EU Data Act とは？位置データと地図APIのための解説

EU Data Act は、GDPR 以降に欧州が可決した中でも最も影響の大きい技術規制の一つであり、いままさに重要な期限が迫っています。2026年9月12日以降、EU 市場に投入されるコネクテッド製品は、それが生成するデータを利用者がアクセスできるように設計しなければなりません。位置データを扱う人にとって、これは遠い法的な抽象論ではありません。位置データこそ、この法律が対象とする機械生成データそのものです。

本記事では、Data Act とは何か、GDPR とどう違うのか、なぜ位置データがその中心にあるのか、そして地図・位置 API で製品を作る場合に何を意味するのかを解説します。

Data Act が実際に規制するもの

Data Act、正式には Regulation (EU) 2023/2854 は、GDPR が答えない単純な問いに答えます。コネクテッド製品が生成するデータを、誰が使えるのか、という問いです。長年、その答えは実質的にメーカーでした。機械や車両、センサーは大量のデータを生成し、そのデータは製品を作った側に流れ込み、利用者が手に入れる簡単な方法はないことがほとんどでした。

Data Act はこの初期設定を変えます。コネクテッド製品の利用者、つまりそれを購入またはリースした個人や企業には、製品が生成するデータにアクセスし、それを自分で選んだ第三者と共有する権利があります。メーカーはもはやそのデータを独占資産として扱えません。この法律はさらに、データ共有における公正な契約条件のルール、中小企業に押しつけられる不当な条項に対する保護、そしてクラウドプロバイダーの乗り換えを容易にする義務も導入しています。

重要なのは、この法律が個人データと非個人データの両方を対象とする点です。ここが見落とされがちです。GDPR が及ぶのは識別可能な個人に関するデータだけです。Data Act は、その中に個人を識別できるかどうかにかかわらず、デバイスが生成するストリーム全体に及びます。

Data Act と GDPR：2つの法律、1つのデータストリーム

最もよくある誤解は、Data Act が何らかの形で GDPR を置き換える、あるいは弱めるというものです。そのどちらでもありません。両者は連携して機能するように設計されており、規制する対象が異なります。

GDPR が規制するのは個人データです。識別可能な個人に関する情報を収集・処理・共有できる条件を定めます。Data Act が規制するのは機械生成データへのアクセスとポータビリティです。メーカーに対し、製品が生成するデータを開放するよう義務づけ、利用者がそれを別の場所へ移せるようにします。

両者が交わる場面では、両方が適用されます。コネクテッド車両からの位置トレースを考えてみてください。これは機械が生成したものなので、Data Act のアクセスとポータビリティのルールが適用されます。同時にドライバーの移動を識別するので個人データでもあり、GDPR も適用されます。Data Act の共有リクエストが GDPR を上書きすることは決してありません。依然として適法な根拠が必要で、通常の保護措置を負い、GDPR が禁じる形で個人データを第三者に渡すことはできません。Data Act はドアを開けますが、そこを誰が通ってよいかを決めるのは依然として GDPR です。

なぜ位置データが中心にあるのか

コネクテッド製品が生成するあらゆるデータの中でも、位置データは最も価値が高く、最も機微なものの一つです。だからこそ、この法律を象徴する試金石になっています。

コネクテッド車両、フリートトラッカー、配送ハードウェア、農業機械、そして無数の IoT センサーは、位置データの連続したストリームを生成します。Data Act のもとでは、その製品の利用者にはそのストリームに到達し、好みのサービスへ移す権利があります。他社のテレマティクスハードウェアを運用する物流会社は、自社の移動データを使える形で要求できます。農家は機械データを独立した分析ツールに持ち込めます。ドライバーは自分の走行履歴を移動できます。

これらの製品を作るチームにとって、3つの義務がオプションから構造的な要件へと変わります。

1. デフォルトでのアクセス。 2026年9月以降、新しいコネクテッド製品は、生成するデータに、特注で邪魔の入るプロセスを経ずに到達できるよう設計されなければなりません。
2. ポータビリティ。 利用者はデータを別の場所へ持ち出せます。つまり、別のシステムが実際に取り込める形で出ていく必要があります。
3. 相互運用性。 下流で理解できないデータは、実質的にポータブルではありません。だからこそオープンフォーマットと安定した参照が重要になります。

これらのいずれも、あなた自身のツールでしか読めない独自エクスポートでは満たせません。あなたのロックインに依存するポータビリティは、ポータビリティではありません。

Data Act の義務に向けた製品設計

この法律の3つの義務、すなわちアクセス、ポータビリティ、相互運用性は、具体的なエンジニアリング上の選択に落とし込まれます。作る段階で正しく設計すれば義務のコストはほぼゼロになりますが、利用者がリクエストを提出してから後付けすると多大なコストがかかります。

誰かが求める前にアクセス経路を作る。 2026年9月以降、新しいコネクテッド製品は生成データをデフォルトで公開しなければならず、サポートチケットと2週間の待ち時間を通じてではありません。利用者に自分のデータを返す、クリーンで文書化されたエンドポイントを設計する最も安価なタイミングは、機能を作っている最中であって、権利が行使された後ではありません。

エクスポートを本当にポータブルにする。 あなた自身のツールでしか読めないポータビリティは、ポータビリティではありません。文書化されたオープン標準である GeoJSON としてシステムから出ていくデータは、その構造からして相互運用性の義務を満たします。独自形式のかたまりは、いずれ提出される苦情のようなものです。オープンフォーマットは、この法律が提供する最も安価な保険です。

識別子とジオコードでロックインを避ける。 住所を座標に変換したり、場所に ID を付けたりするときは、別のシステムが解決できる参照を選びましょう。そうすれば、データを競合他社へ移す利用者が、使えないキーを抱えて到着することはありません。座標レイヤーがここでなぜ重要かは ジオコードとは を参照してください。

この法律が解決 しない ことが一つあります。そもそもどの法域の法律がそのデータを支配するのか、という問題です。これは関連しつつも別の問題、すなわちデータ主権であり、API がたまたま動く場所によって偶然に決まるのではなく、意図的に決めるに値します。詳しくは データ主権と位置データ で扱っています。

MapAtlas は Data Act にどう合致するか

Data Act は、オープンでポータブルでロックのないデータを評価します。そして MapAtlas はまさにそのように結果を返します。私たちの Geocoding API と Search API は、座標や場所を独自コンテナではなく文書化されたオープンフォーマットで返します。したがって、この法律のもとで利用者に負うエクスポートは、後からリバースエンジニアリングするものではなく、すでに手元にあるものになります。

とはいえ、それでコンプライアンスが自動的に達成されるわけではありません。Data Act を満たすのは、製品をどう設計し、契約をどう書き、データをどう統治するかであって、特定のベンダーではありません。適切なインフラがしてくれるのは、後付けをなくすことです。位置レイヤーがすでにオープンでポータブルなら、この法律の最も難しい義務はソースの時点で満たされています。

構成要素については、位置を住所へ戻す方法は リバースジオコーディングとは、ポータビリティの義務を容易にするオープンフォーマットは GeoJSON とは、そして欧州での処理がプラットフォーム全体でどう機能するかは GDPR 準拠の地図 ページで説明しています。この規制は要求が厳しいものですが、今回ばかりはコンプライアンスへの道と、よく設計されたエンジニアリングの道は、同じ一本道です。