EU Data Act یکی از تأثیرگذارترین مقررات فناوری است که اروپا از زمان GDPR تصویب کرده، و مهلتی دارد که همین حالا اهمیت دارد. از ۱۲ سپتامبر ۲۰۲۶، محصولات متصلی که به بازار اروپا عرضه میشوند باید طوری ساخته شوند که دادهای که تولید میکنند برای کسانی که از آنها استفاده میکنند در دسترس باشد. برای هر کسی که با location data کار میکند، این یک انتزاع حقوقی دوردست نیست. داده موقعیت دقیقاً همان نوع داده تولیدشده توسط ماشینی است که این قانون دربارهاش است.
در این نوشته توضیح میدهم که Data Act چیست، چه تفاوتی با GDPR دارد، چرا location data در مرکز آن قرار دارد، و اگر شما محصولاتی را با یک API نقشه یا مکان میسازید همه اینها چه معنایی برایتان دارد.
Data Act در واقع چه چیزی را تنظیم میکند
Data Act، که نام رسمیاش Regulation (EU) 2023/2854 است، به یک پرسش ساده پاسخ میدهد که GDPR پاسخش را نمیدهد: چه کسی حق دارد از دادهای که یک محصول متصل تولید میکند استفاده کند؟ سالها پاسخ در عمل «سازنده» بود. یک ماشین، یک خودرو یا یک سنسور حجم زیادی داده تولید میکرد، و آن داده به هر کسی که دستگاه را ساخته بود برمیگشت، اغلب بدون هیچ راه سرراستی برای اینکه کاربر به آن برسد.
Data Act حالت پیشفرض را عوض میکند. کاربر یک محصول متصل، یعنی فرد یا کسبوکاری که آن را خریده یا اجاره کرده، این حق را دارد که به دادهای که تولید میکند دسترسی داشته باشد و آن داده را با شخص ثالثی که خودش انتخاب میکند به اشتراک بگذارد. سازنده دیگر نمیتواند آن داده را یک دارایی انحصاری خودش بداند. این قانون همچنین قواعدی درباره شرایط منصفانه قرارداد برای اشتراک داده، تدابیری در برابر بندهای ناعادلانهای که به کسبوکارهای کوچکتر تحمیل میشود، و الزاماتی که جابهجایی میان ارائهدهندگان cloud را سادهتر میکند معرفی میکند.
مهمتر از همه، این قانون هم داده شخصی و هم داده غیرشخصی را پوشش میدهد. این همان بخشی است که مردم از قلم میاندازند. GDPR فقط به داده مربوط به افراد قابلشناسایی میرسد. Data Act به کل جریانی که یک دستگاه تولید میکند میرسد، فارغ از اینکه فردی در آن قابلشناسایی باشد یا نه.
Data Act و GDPR: دو قانون، یک جریان داده
رایجترین سوءتفاهم این است که Data Act بهنوعی جایگزین GDPR میشود یا آن را رقیق میکند. هیچکدام از اینها را نمیکند. این دو طوری طراحی شدهاند که با هم کار کنند، و چیزهای متفاوتی را اداره میکنند.
GDPR داده شخصی را اداره میکند: شرایطی را تعیین میکند که تحت آن میتوانید اطلاعات مربوط به افراد قابلشناسایی را جمعآوری، پردازش و به اشتراک بگذارید. Data Act دسترسی به داده تولیدشده توسط ماشین و قابلیت جابهجایی آن را اداره میکند: سازندگان را ملزم میکند دادهای را که محصولاتشان تولید میکند باز کنند و به کاربران اجازه میدهد آن را به جای دیگری منتقل کنند.
جایی که به هم میرسند، هر دو اعمال میشوند. یک ردپای مکانی از یک خودرو متصل را در نظر بگیرید. توسط ماشین تولید شده، پس قواعد دسترسی و جابهجایی Data Act اعمال میشود. حرکات یک راننده را هم مشخص میکند، پس داده شخصی است و GDPR هم اعمال میشود. یک درخواست اشتراک تحت Data Act هرگز GDPR را کنار نمیزند: همچنان به یک مبنای قانونی نیاز دارید، همچنان تدابیر حفاظتی معمول را بدهکارید، و همچنان نمیتوانید داده شخصی را طوری که GDPR منع میکند به شخص ثالث بدهید. Data Act دری را باز میکند؛ GDPR همچنان تعیین میکند چه کسی اجازه دارد از آن رد شود.
چرا location data در مرکز قرار دارد
از میان همه دادههایی که محصولات متصل تولید میکنند، location data یکی از باارزشترین و حساسترینهاست، و دقیقاً به همین دلیل یک نمونه آزمون تعیینکننده برای این قانون است.
خودروهای متصل، fleet trackerها، سختافزار تحویل کالا، ماشینآلات کشاورزی و بیشمار سنسور IoT جریانی پیوسته از داده موقعیت تولید میکنند. تحت Data Act، کاربر آن محصول این حق را دارد که به آن جریان برسد و آن را به سرویسی که ترجیح میدهد منتقل کند. یک شرکت لجستیک که سختافزار telematics متعلق به دیگری را به کار میگیرد میتواند داده حرکتی خودش را در قالبی قابلاستفاده بخواهد. یک کشاورز میتواند داده ماشین را به یک ابزار تحلیل مستقل ببرد. یک راننده میتواند تاریخچه سفرهایش را منتقل کند.
برای تیمهایی که این محصولات را میسازند، سه وظیفه از حالت اختیاری به حالت ساختاری تبدیل میشوند:
- دسترسی بهصورت پیشفرض. از سپتامبر ۲۰۲۶، یک محصول متصل جدید باید طوری طراحی شود که دادهای که تولید میکند بدون یک فرایند سفارشی و دستوپاگیر قابلدسترسی باشد.
- قابلیت جابهجایی. کاربران میتوانند دادهشان را به جای دیگری ببرند، و این یعنی داده باید در قالبی خارج شود که سیستمی دیگر واقعاً بتواند آن را بخواند.
- تعاملپذیری. دادهای که در پاییندست قابلفهم نباشد واقعاً قابلجابهجایی نیست، پس قالبهای باز و ارجاعهای پایدار اهمیت دارند.
هیچکدام از اینها با یک خروجی اختصاصی که فقط ابزارهای خودتان میتوانند بخوانند برآورده نمیشود. جابهجاییای که به قفلشدن (lock-in) در سیستم شما وابسته باشد اصلاً جابهجایی نیست.
طراحی یک محصول برای وظایف Data Act
سه وظیفه این قانون، یعنی دسترسی، جابهجایی و تعاملپذیری، به انتخابهای مهندسی مشخصی تبدیل میشوند. اگر همان موقع که میسازید درستشان کنید، این تعهد تقریباً هیچ هزینهای برایتان ندارد؛ اگر بعد از اینکه کاربری درخواست میدهد بخواهید آنها را وصله کنید، هزینهاش خیلی زیاد میشود.
مسیر دسترسی را پیش از آنکه کسی بخواهد بسازید. از سپتامبر ۲۰۲۶ یک محصول متصل جدید باید داده تولیدشدهاش را بهصورت پیشفرض عرضه کند، نه از طریق یک تیکت پشتیبانی و دو هفته انتظار. ارزانترین زمان برای طراحی یک endpoint تمیز و مستندشده که داده خود کاربر را به او برمیگرداند، همان موقعی است که دارید آن قابلیت را میسازید، نه بعد از اینکه حق اعمال شد.
خروجی را واقعاً قابلجابهجایی کنید. جابهجاییای که فقط ابزارهای خودتان میتوانند بخوانند جابهجایی نیست. دادهای که سیستم شما را بهصورت GeoJSON، یک استاندارد باز و مستندشده، ترک میکند، وظیفه تعاملپذیری را ذاتاً برآورده میکند؛ یک blob اختصاصی یک شکایت است که منتظر ثبتشدن است. قالبهای باز ارزانترین بیمهای هستند که این قانون پیشنهاد میدهد.
روی شناسهها و geocodeها قفل نشوید. وقتی یک نشانی را به مختصات تبدیل میکنید یا یک ID به یک مکان میچسبانید، ارجاعهایی را ترجیح دهید که سیستمی دیگر بتواند آنها را resolve کند، تا کاربری که دادهاش را به یک رقیب منتقل میکند با کلیدهای بیاستفاده وارد نشود. برای اینکه چرا لایه مختصات اینجا اهمیت دارد، جیوکد چیست را ببینید.
یک چیزی که این قانون آن را حل نمیکند این است که اصلاً قانون کدام حوزه قضایی بر داده حاکم است. این یک پرسش مرتبط اما جداست، یعنی حاکمیت داده، و ارزشش را دارد که آگاهانه دربارهاش تصمیم بگیرید نه اینکه تصادفی و بر اساس اینکه API شما کجا اجرا میشود تعیین شود.
MapAtlas چطور با Data Act جور درمیآید
Data Act به داده باز، قابلجابهجایی و بدونقفل پاداش میدهد، و MapAtlas هم بهصورت پیشفرض نتایج را همینطور برمیگرداند. Geocoding API و Search API ما مختصات و مکانها را در قالبهای باز و مستندشده تحویل میدهند نه در یک ظرف اختصاصی، بنابراین خروجیای که تحت این قانون به کاربرانتان بدهکارید چیزی است که همین حالا دارید، نه چیزی که بعداً مجبور باشید با reverse-engineering به آن برسید.
هیچکدام از اینها انطباق را خودکار نمیکند. Data Act با این برآورده میشود که چطور محصولتان را طراحی میکنید، قراردادهایتان را مینویسید و دادهتان را اداره میکنید، نه با هیچ فروشنده واحدی. کاری که زیرساخت درست انجام میدهد حذف آن وصلهکاری بعدی است: اگر لایه مکانی شما همین حالا باز و قابلجابهجایی باشد، سختترین وظایف این قانون از همان مبدأ برآورده میشوند.
برای بلوکهای سازنده، جیوکدینگ معکوس چیست به تبدیل موقعیتها به نشانی میپردازد، GeoJSON چیست قالب بازی را توضیح میدهد که وظیفه جابهجایی را ساده و بیدردسر میکند، و صفحه نقشههای سازگار با GDPR ما نشان میدهد که پردازش اروپایی در سراسر پلتفرم چطور کار میکند. این مقررات سختگیر است، اما اینبار مسیر منطبق و مسیر خوبمهندسیشده یک جاده واحد هستند.
سوالات متداول
EU Data Act چیست؟
EU Data Act (Regulation (EU) 2023/2854) یک قانون اروپایی است که تعیین میکند چه کسی میتواند به دادهای که محصولات متصل (connected products) و سرویسهای مرتبط تولید میکنند دسترسی داشته باشد و از آن استفاده کند. ایده اصلیاش این است که دادهای که یک دستگاه تولید میکند، از یک خودرو گرفته تا یک سنسور، یک ماشین یا یک wearable، باید برای کاربری که آن را تولید کرده در دسترس باشد، نه اینکه سازنده آن را قفل کند. بیشتر مفاد آن از ۱۲ سپتامبر ۲۰۲۵ اجرا شدهاند، و از ۱۲ سپتامبر ۲۰۲۶ محصولات متصلی که تازه عرضه میشوند باید طوری طراحی شوند که این داده بهصورت پیشفرض در دسترس باشد. این قانون بهجای جایگزینی GDPR، در کنار آن قرار میگیرد: GDPR داده شخصی را اداره میکند، در حالی که Data Act دسترسی به داده تولیدشده توسط ماشین (شخصی و غیرشخصی) و اشتراک آن را اداره میکند.
EU Data Act چه تفاوتی با GDPR دارد؟
GDPR درباره محافظت از داده شخصی است: محدود میکند که چطور اطلاعاتی را که هویت یک فرد را مشخص میکند جمعآوری، پردازش و به اشتراک بگذارید. Data Act درباره دسترسی به داده تولیدشده توسط ماشین و قابلیت جابهجایی (portability) آن است: سازندگان را ملزم میکند دادهای را که یک محصول متصل تولید میکند در اختیار کاربر بگذارند و به آن کاربر اجازه میدهد آن را با اشخاص ثالث به اشتراک بگذارد. جایی که این دو با هم همپوشانی دارند، مثلاً یک ردپای مکانی که هم توسط ماشین تولید شده و هم شخصی است، هر دو قانون همزمان اعمال میشوند. Data Act قدرت GDPR را کم نمیکند؛ یک درخواست اشتراک داده تحت Data Act همچنان باید مبانی قانونی و تدابیر حفاظتی GDPR را رعایت کند.
EU Data Act برای location data چه معنایی دارد؟
location data یکی از روشنترین نمونههای داده تولیدشده توسط ماشین است که این قانون پوششاش میدهد. یک خودرو متصل، یک fleet tracker، یک دستگاه تحویل کالا یا یک سنسور IoT پیوسته داده موقعیت تولید میکند، و تحت Data Act کاربر آن محصول این حق را دارد که به آن دسترسی پیدا کند و آن را به سرویسی که خودش انتخاب میکند منتقل کند. برای هر کسی که قابلیتهای مکانمحور میسازد، نتیجه عملی این است که قابلیت جابهجایی داده (portability) و تعاملپذیری (interoperability) دیگر یک امتیاز خوببودن نیستند بلکه به یک الزام طراحی تبدیل میشوند. اگر یک ردپای مکانی به یک فرد گره خورده باشد، آن هم داده شخصی است، پس GDPR هم علاوه بر آن اعمال میشود.
EU Data Act از چه زمانی اجرایی میشود؟
Data Act در ژانویه ۲۰۲۴ لازمالاجرا شد و از ۱۲ سپتامبر ۲۰۲۵ قابل اعمال گشت. یک نقطهعطف مهم دیگر در ۱۲ سپتامبر ۲۰۲۶ رخ میدهد: محصولات متصل و سرویسهای مرتبطی که از آن تاریخ به بازار اروپا عرضه میشوند باید طوری طراحی شوند که دادهای که تولید میکنند بهصورت پیشفرض بهسادگی، امن، و در جای مربوط بهطور مستقیم برای کاربر در دسترس باشد. الزامات تعویض ارائهدهنده cloud و تعاملپذیری هم تقریباً در همان بازه بهتدریج اجرایی میشوند. اجرای قانون بر عهده مراجع صلاحیتدار تعیینشده توسط هر کشور عضو است، بنابراین جریمههای دقیق از کشوری به کشور دیگر فرق میکند.
APIهای نقشه چطور میتوانند از انطباق با مقررات منطقهای مانند Data Act پشتیبانی کنند؟
یک API نقشه یا مکان بهتنهایی نمیتواند شما را منطبق کند، چون انطباق به طراحی محصول، قراردادها و حاکمیت داده شما بستگی دارد. کاری که یک ارائهدهنده درست انجام میدهد حذف اصطکاک است: APIای که کوئریهای مکانی را داخل اتحادیه اروپا پردازش میکند، داده را در قالبهای باز و قابلجابهجایی مانند GeoJSON عرضه میکند، و شما را در شناسههای اختصاصی (proprietary) قفل نمیکند، برآوردهکردن وظایف دسترسی، جابهجایی و تعاملپذیری Data Act را بسیار سادهتر میکند، و همزمان مقررات منطقهای همسایه مانند GDPR را هم آسانتر میسازد. MapAtlas بهصورت پیشفرض location data را داخل اتحادیه اروپا پردازش میکند و نتایج را در قالبهای باز برمیگرداند، که سطح انطباق را کوچک نگه میدارد.
