EUデータ法、IoT製品に「データアクセス設計」義務 9月12日以降の新規上市が分岐点
EUのData Act（データ法）が、コネクテッド製品の設計に直接関わる新しい段階に入りました。Data Act自体は2025年9月12日から広く適用されていますが、規則第50条は、第3条1項の「データアクセスを製品設計に組み込む義務」について、2026年9月12日より後にEU市場へ上市されるコネクテッド製品と関連サービスに適用すると定めています。
つまり、今回の節目は「EUデータ法が初めて施行された」という話ではありません。すでに存在するData Actのうち、製品・サービスを最初からデータアクセス可能な構造にする第3条1項の義務が、新たに上市される製品群へ直接かかる段階に入ったということです。
何が義務になるのか
第3条1項は、コネクテッド製品を「製品データと関連サービスデータを、デフォルトで、容易・安全・無償に、包括的かつ構造化された一般的な機械可読形式でユーザーが利用できるように」設計・製造することを求めています。関連性があり技術的に可能な場合には、ユーザーが製品から直接データへアクセスできることも求められます。
欧州委員会は対象例として、コネクテッドカー、スマートテレビ、健康モニタリング機器、スマートホーム機器に加え、航空機、ロボット、産業機械などを挙げています。消費者向け製品だけでなく、製造業や建設、農業などで使われるB2B機器も重要な対象です。
日本企業にも域外適用 EUに拠点がなくても対象になり得る
Data Act第1条3項は、EU市場に上市されるコネクテッド製品のメーカーと関連サービス提供者について、事業者の設立地を問わず規則を適用すると定めています。EU域内に法人を持たない日本企業でも、EU市場へ対象製品を投入する場合は規制対象になり得ます。
また、「placing on the market（上市）」はEU市場で製品が最初に提供されることを指します。このため、同じ製品シリーズでも、いつEU市場に最初に出されたかという時点管理が重要になります。2026年9月12日以前の製品すべてに一律の改修義務が突然生じた、と理解するのは正確ではありません。
「データを渡せる」ではなく、最初からアクセスできる製品設計へ
Data Actでは2025年から、ユーザーが自らの利用によって生成されたデータへのアクセスを求める仕組みがすでに始まっています。今回の第3条1項の段階は、それをさらに製品開発・設計工程までさかのぼらせる点が重要です。
メーカー側では、どのデータが生成されるのか、どこに保存されるのか、どの形式で利用者へ渡せるのか、APIや直接アクセスをどう設計するのか、営業秘密やサイバーセキュリティ、GDPRとの整合をどう確保するのか、といった論点を開発初期から整理する必要があります。
なお、Data Actには一定の零細・小規模企業への例外や、一定条件の中規模企業に関する経過措置があります。対象範囲は企業規模、製品、関連会社や委託関係によって変わるため、単純に「IoT製品ならすべて同じ義務」とは限りません。
制裁は加盟国制度とGDPRとの組み合わせで執行
Data ActはEU規則であり、加盟国に直接適用されます。一方、違反への具体的な制裁ルールは加盟国が定める仕組みです。規則第40条は、制裁を「実効的、比例的、抑止的」にするよう求めています。また、個人データに関わる一定の違反では、GDPR監督当局がその権限の範囲でGDPR第83条に基づく行政制裁金を科すことができると規定されています。
Data ActはGDPRを置き換えるものではありません。個人データが含まれる場合は、データ共有の権利だけでなく、処理の法的根拠やデータ主体の権利など、既存の個人情報保護ルールとの両立が必要です。
日本企業への影響
影響が大きいのは、自動車・自動車部品、産業機械、ロボット、スマート家電、IoT機器、農業機械、建設機械、健康モニタリング機器などをEUへ輸出する企業です。製品そのものだけでなく、アプリ、遠隔監視、予知保全など製品機能と結び付いた「関連サービス」も確認が必要です。
特に新製品やモデルチェンジ品を欧州へ投入する企業は、法務部門だけでなく、設計、IT、サイバーセキュリティ、アフターサービス、販売部門を横断して対応する必要があります。規制対応が製品発売直前の契約修正だけでは完結しにくい点が、今回の節目の実務上の重要性です。
ACIMA WORLD NEWSの視点
今回の変化は、欧州のデータ政策が「企業が持つデータを必要に応じて開示する」段階から、「ユーザーがアクセスできることを前提に製品そのものを設計する」段階へ進んだことを示しています。これは法務だけの問題ではなく、製品アーキテクチャ、API、データ形式、アフターサービス市場、さらには競争戦略にも関わります。
今後は、加盟国ごとの執行体制や制裁運用に加え、自動車や産業機械など各分野で「どのデータまでが対象になるのか」「どの程度の直接アクセスが技術的に可能と判断されるのか」が実務の焦点になります。ACIMA WORLD NEWSでは、EU当局のガイダンスや執行事例を継続して追跡します。
一次情報・確認資料
・EUR-Lex：Regulation (EU) 2023/2854（Data Act） — 第1条、第3条、第7条、第37条、第40条、第50条を確認
海外規制の調査・継続モニタリング
アシーマでは、海外政府・規制当局・公的機関の一次情報を確認し、日本語で整理する海外情報リサーチサービスを提供しています。海外規制、政策、競合企業、技術動向などの継続モニタリングにも対応しています。
コメント