LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

機器がネットワークにつながると、データが生まれます。稼働の履歴、センサーの値、使い方の記録。このデータは長らく、機器を作った側やサービスを運ぶ側が持つものとして扱われてきました。

その前提に手を入れる規則が、EUで動き出しています。データへの公正なアクセスと使用に関する調和されたルールを定める規則（Regulation (EU) 2023/2854）——通称EUデータ法が、2025年9月12日から適用されています*1。EU市場のコネクテッド製品は、データの共有ができる形で設計されることが求められる方向です*1。

本記事では、EU市場に製品やサービスを出している企業の開発担当と、その改修を受託する立場に向けて、規則が触れる領域、実装で問われる論点、進め方を整理します。制度の解釈が要る部分は最新の公式資料と法務の確認を経て進めてください。

規則が触れる二つの領域

この規則は、性格の違う二つの領域を一つの規則にまとめています。まずその区別を押さえておくと、自社が関わる範囲がはっきりします*1。

一つめは、コネクテッド製品のデータです。EU市場のつながる機器は、データの共有ができるように設計されることが求められる方向です。利用者——消費者であれ企業であれ——が、自分の機器が生み出したデータをより自分の手で扱えるようにする、という考え方です*1。

二つめは、データ処理サービスの切替です。クラウドなどのサービスについて、利用者が別の提供者へ実効的に移れるようにすることが求められます。あわせて、提供者間でのデータの相互運用性を促す内容も含まれています*1。

このほか、公的機関が例外的な状況で民間の保有するデータへアクセスして利用することについての定めや、データ共有を妨げるような不公正な契約条項を禁じる内容も含まれています*1。

日本企業から見ると、関わり方は三通りに分かれます。第一に、EU市場へつながる機器や関連サービスを出している立場。第二に、データ処理サービスを提供している立場。第三に、これらの製品やサービスを使う立場——つまり、データを受け取れる側です。自社がどこに当たるかで、備えの内容が変わります。

実装で問われる四つの問い

製品側の対応を考えるとき、順に確かめたい問いが四つあります。

第一に、データはどこにあるか。機器の内部か、ゲートウェイか、自社のクラウドか、外部のサービスか。同じ機器のデータが複数の場所に分かれていることも珍しくありません。所在を洗い出すのが最初の作業になります。

ここでつまずくのは、集めていないデータの扱いです。機器の中で生まれてはいるが送信していない値、一定期間で捨てている値。これらをどう扱うかは、規則の解釈と製品の設計の両方に関わります。IoTの基盤づくりで扱うような、収集と保持の設計を見直す機会になります。

第二に、そのデータは誰のものか。機器と利用者の紐づけが取れているかが問われます。製品を売った先と、実際に使っている人が違う場合。中古で譲渡された場合。契約が終わった場合。こうした変化を追える構造になっていないと、誰にデータを渡すべきかが判断できません。

第三に、どう渡すか。APIで取れるようにするのか、ファイルで書き出せるようにするのか、画面で見せるのか。渡す形式と項目の定義を決める必要があります。APIの設計で扱うような、外部に公開する前提での仕様づくりが求められます。

実務では、既存の社内向けAPIをそのまま外に出すという判断が危ういことがあります。内部の識別子が漏れる、他の利用者のデータが取れてしまう、負荷が想定を超える——外部公開を前提にした設計が要ります。

第四に、何を記録として残すか。誰に、いつ、どの範囲のデータを渡したか。求めに応じて渡したのか、断ったのか。記録が残っていなければ、対応した事実を示せません。

第三者への共有——ここが設計上の難所

利用者本人がデータを見られるようにするだけなら、比較的素直な改修で済むことが多くなります。難しくなるのは、利用者が指定した第三者へデータを共有する場面です。

とくに同意の管理は、後から足すのが難しい部分です。誰に、どのデータを、いつまで許したのか。撤回されたらどう止めるのか。これを状態として持てる構造が必要になります。

負荷の見立ても要ります。本人が時々見るだけの想定で作ったAPIに、第三者のサービスが定期的にアクセスするようになると、読み出しの量が桁違いになります。APIの流量管理で扱うような、利用の制限と監視の仕組みを最初から織り込んでおきたいところです。

もう一つの論点が、共有先が競合になり得るという点です。渡す範囲の設計は、規則の求めるところと事業の実情の折り合いをつける作業になります。技術だけで決められる話ではなく、法務や事業側の判断を伴います。

サービス提供側——切替できる設計とは

データ処理サービスを提供している立場では、論点が変わります。利用者が別の提供者へ移れるようにする、という要求への向き合い方です*1。

まず、持ち出せる形を用意することです。利用者のデータを、まとまった形で書き出せるか。書き出したものが、他の環境で意味を持つ形式になっているか。自社だけで通じる形式でしか出せない状態は、実質的に移れない状態と変わりません。

次に、設定や構成も含めることです。データだけ渡しても、それをどう使っていたかがわからなければ再現できません。設定の情報をどこまで含めるかは、設計の判断になります。

そして、手続の期間です。申し出を受けてから、どれくらいで書き出せるのか。手作業でしか出せない構造だと、要求が増えたときに運用が回らなくなります。自動で出せる形にしておくのが望ましいでしょう。

ここは、利用者の側から見た「囲い込みからの脱出」の話とちょうど裏表になります。ベンダーロックインからの移行で扱うような論点を、提供側の立場で先に設計しておく——そういう性格の作業です。

なお、切替に伴う手数料の扱いについても定めが置かれています。段階的な取扱いが定められているため、料金の設計を見直す必要があるかは公式資料と法務の確認で押さえておく領域です。

クラウドの乗り換えという観点からの整理は、EUデータ法とクラウド乗り換えへの影響で扱っています。利用者の側から見た論点と合わせて確かめると、提供側で用意すべきものがはっきりします。

受け取る側の視点——使える機会として見る

この規則は、義務の話としてだけ捉えるともったいない部分があります。データを受け取れる側に立つと、機会として見える面もあります。

自社が使っている機器のデータです。工場の設備、社用車、業務用の機器。メーカーのサービスを通してしか見られなかったデータに、自社の分析基盤から触れる道が開ける可能性があります。製造の実行管理で扱うような、設備の実績を業務システムへ取り込む取り組みの材料が増えるということです。

保守や修理の選択肢です。機器のデータにアクセスできれば、メーカー以外の事業者に保守を頼む道が広がります。自社で状態を見て判断することもできます。

クラウドの移行です。切替のしやすさが制度として求められる方向にあるなら、移行の計画を立てやすくなります。データの棚卸しと管理で扱うような、どこに何があるかを把握する作業が先に要ります。

ただし、受け取れることと使えることは別です。渡されたデータの意味がわからなければ活用できません。項目の定義、単位、欠測の扱い——受け取る側にも設計が要ります。この点は、規則が整っても自動では解決しない部分です。

受託・委託で進めるときの要点

この種の改修を外部と進める場合の要点を挙げます。

第一に、対象の切り分けを先に行うことです。自社の製品・サービスのうち、EU市場に出ているものはどれか。そのうち、つながる機能を持つものはどれか。範囲を絞らずに始めると、調査だけで工数が膨らみます。

第二に、データの棚卸しを独立した工程にすることです。どこに何が、どの粒度で、どれだけの期間保持されているか。この調査の結果によって改修の範囲が変わるため、調査と実装を分けて発注する形が合理的です。

第三に、法務との窓口を決めることです。どこまで渡すべきか、どの範囲を絞れるか。規則の解釈が要る判断は法務や事業側の領域です。開発側は決まった要件を実装する役割に集中します。

第四に、外部公開を前提にした設計をすることです。社内向けAPIの延長ではなく、外に出す前提での認証、権限、流量制御、監視。ここを軽く見ると、公開後に問題が出ます。

第五に、記録の設計を要件に含めることです。誰に何をいつ渡したかの記録は、後から追加するのが面倒です。最初から入れておきます。

体制としては、組込み側とクラウド側の両方を扱える要員が入れるかが分かれ目になります。データが機器の中で生まれ、ゲートウェイを経てクラウドへ届く——この流れ全体を見られないと、所在の把握も渡し方の設計もできません。両方を同じ場で進められるかを、委託先を選ぶ観点に入れておくとよいでしょう。

まとめ：EUデータ法への備えで押さえる3つの視点

データへの公正なアクセスと使用に関する規則（EU 2023/2854）が2025年9月12日から適用され、EU市場のコネクテッド製品はデータの共有ができる形で設計されることが求められる方向にあります。押さえたい視点は三つです。第一に、この規則は性格の違う二つの領域——コネクテッド製品のデータへのアクセスと第三者への共有、そしてデータ処理サービスの切替と相互運用性——を含むため、自社がどちらに関わるのかを先に切り分ける必要があること。第二に、製品側の実装では、データがどこにあるか、誰のものか、どう渡すか、何を記録として残すかという四つの問いに答える形で設計が進み、とくに第三者への共有では同意の管理と範囲の制御、負荷の見立てが難所になること。第三に、義務としてだけでなく、自社が使っている機器のデータへアクセスできる機会としても捉えられることです。まずはEU市場に出ている製品・サービスの範囲を絞り、データの所在と保持の棚卸しから着手するのが堅実でしょう。

よくある質問

出典

1. *1　参考：European Commission「Data Act」（https://digital-strategy.ec.europa.eu/en/policies/data-act）。規則の正式名称と番号（EU 2023/2854）、適用開始日、コネクテッド製品のデータアクセス、切替と相互運用性、不公正な契約条項の禁止の一次情報として（2026年8月確認）

Tweet