データ法とは何ですか?
2025 年 9 月 12 日から適用される EU データ法 (規制 (EU) 2023/2854) は、デジタル経済全体におけるデータの可搬性、相互運用性を強化し、個々のサービスプロバイダーへの依存を最小限に抑えることを目的とした包括的な法的枠組みを導入しています。その最も影響力のある規定の中に、クラウド切り替えを規制し、「データ処理サービス」のプロバイダーに重大な義務を課す第 VI 章に基づく強制切り替え権があります。
有期契約は引き続き合法ですが、IaaS、PaaS、SaaS を含むサービス プロバイダーは、データ法の新しい義務を考慮して、これらの契約の構造と内容を再評価する必要があります。この規制は、プロバイダーがクライアントとやり取りする方法に影響を与える調和されたルールを導入し、契約条件が公正、合理的、非差別的な条件を反映していることを保証することをプロバイダーに強制します。その結果、規制の要件に合わせて、将来の更新や修正でコンプライアンスを維持するために、多くの既存の契約を調整する必要がある可能性があります。
どのエンティティが範囲内に含まれますか?
データ法は、データの生成、処理、使用に関与するエンティティに適用されます。その範囲には以下が含まれます。
- コネクテッド製品のメーカーおよび関連サービスのプロバイダー: モノのインターネット (IoT) デバイスとそれに関連するデジタル サービスを EU 市場に投入する事業体。
- データ保有者: これには、接続された製品やサービスによって生成されたデータへのアクセスを制御するメーカー、サービス プロバイダー、プラットフォーム オペレーターが含まれます。
- データ受信者: 公共または民間を問わず、商業または公益目的でデータ所有者からデータを受け取るエンティティ。
- 公共部門機関: EU 機関および加盟国当局は、公的緊急事態などの例外的な必要がある場合に、保有者にデータを要求することがあります。
- データ処理サービスのプロバイダー: データ法の第 2 条 (8) および規則 81 によれば、データ処理サービスは、構成可能なコンピューティング リソースの共有プールへのオンデマンドのネットワーク アクセスを可能にするデジタル サービスです。これには以下が含まれます:
- サービスとしてのソフトウェア (SaaS)
- サービスとしてのプラットフォーム (PaaS)
- サービスとしてのインフラストラクチャ (IaaS)
ただし、すべての SaaS プロバイダーが自動的に対象となるわけではありません。データ処理サービスの定義を満たすサービス、つまりスケーラブルで弾力性のある構成可能なコンピューティング リソースを提供するサービスのみが対象となります。
ただし、サービスが EU 内の顧客に提供される場合、この法律はプロバイダーが設立された場所に関係なく適用されます。
クラウド サービス プロバイダーの主な義務 ?
第 VI 章に基づき、SaaS プロバイダーにはサービス切り替え義務と契約上の透明性要件が課せられます。 2025 年 9 月 12 日以降、以下が含まれます。
データポータビリティアイコン: ドロップダウン
(第23条): プロバイダーは、クライアントがデータ、および可能な場合にはアプリケーションやその他のデジタル コンテンツを別のプロバイダーに移植できるようにすることで、切り替えの障壁を取り除く必要があります。これには、効果的な移行をサポートするために必要なすべての技術的および契約上の措置を講じることが含まれます。
技術的義務アイコン: ドロップダウン
(第24条): プロバイダーは切り替えプロセス中に適切な支援を提供する必要がありますが、宛先インフラストラクチャ内でクライアントの環境を再構築する必要はありません。彼らの義務は、彼ら自身のサービス、契約、および商行為に限定されます。
切り替え契約要件アイコン: ドロップダウン
(第25条): オンプレミス インフラストラクチャへの切り替えまたは移行の場合、契約ではクライアントの権利とプロバイダーの義務を明確に定義する必要があります。契約には、2 か月のキャンセル期間と、プロバイダーが移行をサポートする必要がある 30 日間の切り替え期間が含まれている必要があります。
情報提供義務アイコン: ドロップダウン
(第26条): プロバイダーは、利用可能な切り替え手順、形式、および既知の技術的制限についてクライアントに通知する必要があります。また、データ構造、形式、関連する相互運用性標準を詳細に記載したオンライン レジストリを維持する必要もあります。
誠実義務アイコン: ドロップダウン
(第27条): 切り替えプロセスに関与するすべての関係者は、オープンで機械可読形式を使用して、安全でタイムリーで中断のないデータ転送を保証するために誠意を持って協力する必要があります。
国際送金の透明性アイコン: ドロップダウン
(第28条): プロバイダーは、ICT インフラストラクチャの管轄区域を公表し、非個人データへの国際的な違法アクセスを防止するために講じられている保護措置を説明する必要があります。これらの開示はサービス契約で参照する必要があります。
切り替え手数料の廃止アイコン: ドロップダウン
(第29条): 2024 年 1 月から 2027 年 1 月までの間、プロバイダーは直接費用に限定して割引料金を請求する場合があります。 2027 年 1 月以降、切り替えは無料でなければなりません。クライアントには、契約締結前に適用されるすべての料金を通知する必要があります。
オープンインターフェースと相互運用性アイコン: ドロップダウン
(第30条): プロバイダー (IaaS プロバイダーを除く) は、相互運用性とデータのポータビリティを可能にするオープン インターフェイスを無料で提供する必要があります。新しいテクノロジーを開発したり、保護されたデジタル資産を開示したりする必要はありません。
不当な契約条件アイコン: ドロップダウン
(第 13 条): プロバイダーは、B2B 契約、特にデータのアクセスまたは使用に影響を与える契約において、一方的に不公平な条件を課してはなりません。特定の条項は無効とみなされ、その他の条項は濫用とみなされるため、慎重な法的検討が必要です。
EU の規制として、データ法は加盟国全体に直接適用されますが、施行は各国当局に委任されています。各加盟国は、コンプライアンスの監視と執行措置の処理を担当する 1 つ以上の管轄当局を指定する必要があります。違反した場合、特に個人データが関係する場合、多額の罰金、民事責任、規制調査が課される可能性があり、GDPR に基づく同時施行が引き起こされます。
SCCS および MCTS との協定を適応させますか?
データ法第 41 条に基づき、欧州委員会は拘束力のないモデル契約条項 (MCT) および標準契約条項 (SCC) の開発を任務とする専門家グループを招集しました。これらの文書は、SaaS 契約を含む、公正、合理的、非差別的なクラウド サービス契約の起草を促進するように設計されています。
専門家グループの最終報告書では、SCC は自主的で拘束力はないが、関係者が適応可能であり、すべてのクラウド サービス モデル (IaaS、PaaS、SaaS) に関連するように構造化されていることが明らかにされています。 SCC は、必須の要素を規定するのではなく、データ法の遵守を促進し、契約上のベスト プラクティスを奨励するベースライン フレームワークを提供します。これらは次のような重要な領域に対応します。
- 切り替え・解約手続き、
- サービスの継続性とセキュリティ、
- 責任の配分、
- 透明性と変更管理。
これらの条項は、特にデータ アクセス、移植性、相互運用性の観点から、プロバイダーと顧客がデータ法の要件を予測し、それに適合できるように、データ処理契約やその他の契約文書に統合されるように設計されています。
コンプライアンスのタイムライン?
- 2025 年 9 月 12 日以降に署名された契約には、第 13 条が直ちに適用されます。
- それ以前に締結された契約については、以下の条件のいずれかが満たされる場合にのみ、第 13 条が 2027 年 9 月 12 日から適用されます。
- 契約期間が無期限である、または
- 有効期限は 2024 年 1 月 11 日から少なくとも 10 年後、つまり 2034 年 1 月 11 日以降に期限切れになるように設定されています。
この段階的なアプローチにより、長期契約または無期限契約は段階的に準拠することが保証されますが、短期契約は更新または修正されない限り影響を受けません。
フランスの契約法および EU の法解釈に従って、2025 年 9 月 12 日以降の有期契約の更新は新しい契約の締結として扱われるため、更新日からデータ法の対象となります。同様に、自動更新（暗黙の再契約）によっても、無期限の契約となる場合には、規制の適用が引き起こされる可能性があります。このような場合、契約は第 50 条に基づく経過条項の範囲内となり、第 13 条は 2027 年 9 月 12 日から適用される場合があります。
今、どのような措置を講じるべきでしょうか?
現在データ法が施行されているため、SaaS プロバイダーは業務、契約、技術インフラストラクチャを調整するために迅速に行動する必要があります。コンプライアンスを確保し、法的および商業的リスクを軽減するには、次の手順が不可欠です。
契約の監査と再草案:
- 既存の SaaS 契約を確認して、制限的な終了条項や不透明な切り替え手順など、データ法、特に第 VI 章と矛盾する条項を特定します。
- 標準の条件とテンプレートを更新して、2 か月のキャンセル期間、定義されたサポート義務を伴う 30 日間の切り替え期間、譲渡可能なデータとデジタル資産の明確な説明などの必須の処分を含めます。
技術的な準備状況の評価:
- データのエクスポート、移植性、相互運用性に関するプラットフォームの機能を評価します。
- API と安全な転送プロトコルを開発または強化して、ユーザー主導の移行をサポートします。
ガバナンスと文書化:
- スイッチング、データ アクセス、ユーザー権利に関する内部ポリシーと手順を確立し、技術文書とデータ形式と標準の公開レジストリを維持します。
- 国境を越えたデータアクセスのレビューを含む、規制監査と執行措置の準備をします。
顧客とのコミュニケーション:
- 権利、手順、制限の切り替えについて明確なガイダンスを提供します。
- データ転送に関連する料金、管轄区域、および保護措置に関する透明性を確保します。
トレーニングとモニタリング
- データ法の要件と影響について法務および技術スタッフをトレーニングします。
- EU 加盟国全体の規制の動向と施行の傾向を監視します。
[View source.]
#クラウド #サービス #プロバイダーへの主な影響 #BCLP