806-regulations-eu-data-act

Java エンタープライズのデータアクセスとポータビリティのエンジニアリングに関する EU データ法規則

このスキルは、EU データ法を考慮したエンジニアリング管理が必要となる可能性のある Java エンタープライズアプリケーション、SaaS プラットフォーム、API、データパイプライン、コネクテッド製品の統合、イベント駆動型システム、データスペース、クラウドサービスのレビューに使用します。

このスキルを適用して、システムがデータアクセス、データ共有、エクスポート、ポータビリティ、相互運用性、クラウド切り替え、非個人データ、データ処理サービスのワークフローを公開する前に必要となるエンジニアリング管理、運用上の証拠、担当者への引き継ぎを判断します。

このスキルは法的助言ではありません。Java エンジニア、アーキテクト、テックリード、プラットフォームチーム、データガバナンスチーム、レビュー担当者が、データ法に関する懸念が該当する可能性のある領域を特定し、それをエンタープライズアーキテクチャの管理策へ反映するために役立ちます。管理策には、データインベントリ、アクセス認可、ユーザーおよび受領者のリクエストワークフロー、機械可読なエクスポート形式、メタデータ、API のサービス品質、監査ログ、クラウド切り替えへの対応、相互運用性の証拠、非個人データの保護措置、企業秘密または機密データの引き継ぎ、データアクセスリクエストに関する運用管理が含まれます。

このスキルの目的は、システムに潜在するギャップへの認識を高め、適格なレビューに向けたエンジニアリング上の証拠を作成することです。このスキルが生成する応答は、法的助言、法的見解、または最終的な規制判断を示すものではありません。

主な問いは次のとおりです。

Java エンタープライズシステムでは、どのような場合に EU データ法を考慮したデータアクセス、共有、ポータビリティ、相互運用性、またはクラウド切り替えの管理が必要となり、開発者は何をどのように変更して実装すべきでしょうか。

外部参照：規則（EU）2023/2854 データ法。

EU データ法の章の概要に関する参考資料：EU データ法の章の概要。

Java エンジニアリングの例に関する参考資料：EU データ法のエンジニアリング例。

レポートテンプレートのアセット：EU データ法エンジニアリングレビューレポートのテンプレート。

対象範囲

このスキルは、次のものに適用されます。

• REST API、GraphQL API、Kafka トピック、バッチエクスポート、オブジェクトストレージ、データレイク、SaaS API、データスペース、コネクテッド製品の統合、クラウドサービスを通じてデータを公開、交換、保存、処理、エクスポート、移植、または派生させる Java システム
• ユーザー向けのデータアクセス、サードパーティとの共有、エクスポート、ポータビリティ、相互運用性、クラウド切り替え、または非個人データのガバナンス要件を持つ、Spring Boot、Quarkus、Micronaut、およびフレームワークに依存しない Java サービス
• データ保有者、ユーザー、データ受領者、サードパーティの受領者、公共部門の例外的ニーズ、データ処理サービス、データスペース参加者、スマートコントラクト、またはプロバイダー切り替えに関する兆候があるシステム
• データアクセスリクエストのワークフロー、認可チェック、同意および権限の証拠、API のサービス品質の記録、エクスポートジョブ、スキーマレジストリ、メタデータカタログ、監査ログ、保持および削除の管理、プロバイダー退出手順書
• 製品データ、関連サービスデータ、エクスポート可能なデータ、メタデータ、非個人データ、個人データと非個人データが混在するデータセット、企業秘密、商業上の機密データ、クラウド顧客データ、データ共有契約

EUデータ法のエンジニアリングレビュー

適用可能性、データ保有者としての地位、ユーザーの権利、データ受領者の役割、公的機関による例外的な必要性、営業秘密に関する判断、契約の解釈、クラウド切り替えの義務、国際的なアクセス制限、規制の解釈は、法務、コンプライアンス、プライバシー、データガバナンス、セキュリティ、製品、調達、クラウド、リスク、および事業の各責任者が判断すべきガバナンス上の事項として扱ってください。

エンジニアリングチームは、引き続き、これらの判断をレビュー可能にする証拠を作成する必要があります。

• 対象範囲に含まれる製品、サービス、API、イベントストリーム、データセット、エクスポート、データストア、クラウドサービス、およびプロバイダー
• アクセスまたは共有が可能な製品データ、関連サービスデータ、エクスポート可能なデータ、メタデータ、個人データ、非個人データ、営業秘密、または商業上機微なデータ
• データワークフローに関与するユーザー、データ保有者、データ受領者、第三者、クラウド顧客、公的機関からの要求者、およびプロバイダーの責任者
• データアクセスに関するワークフローにおける認可、権利、目的の限定、監査、要求、拒否、停止、削除、および引き継ぎについて、どのような証拠が存在するか
• 実装されているポータビリティ API、機械可読形式、メタデータ、スキーマ、サービス品質への期待、相互運用性の制御、および切り替え手順書
• 専門知識を持つ責任者によるレビューが必要な、未解決の法的、契約上、営業秘密、個人データ、国際移転、または公的機関からの要求に関する問題

制約事項

EUデータ法に関する懸念を、Javaエンタープライズシステム向けのエンジニアリング上の制御に置き換えてください。法的助言を提供したり、法務、コンプライアンス、プライバシー、データガバナンス、セキュリティ、製品、調達、クラウド、リスク、または事業の各責任者によるレビューに代えたりしないでください。

• 法的助言ではありません：調査結果は、データアクセス、ポータビリティ、相互運用性、クラウド切り替え、および運用上のエンジニアリング制御として示してください。適用可能性、役割、契約、営業秘密、クラウド切り替えの義務、および規制の解釈については、専門知識を持つ責任者によるレビューを推奨してください
• まず対象範囲を確認：制御を推奨する前に、システムにコネクテッド製品、関連サービス、データ保有者、ユーザー、データ受領者、第三者への共有、公的機関による例外的な必要性、データ処理サービス、データスペース、またはスマートコントラクトに関する要素があるかを特定してください
• データインベントリ：データセット、メタデータ、API、Kafka トピック、オブジェクトストア、エクスポート、データ製品、データ所有者、処理者、受領者、およびプロバイダーシステムについて、追跡可能なインベントリを求めてください
• アクセス認可：データアクセス要求について、権利、認証、認可、目的、要求元、受領者の役割、最小権限、取り消し、拒否、停止、削除、および監査証跡を確認してください
• ポータビリティと相互運用性：機械可読のエクスポート形式、API コントラクト、スキーマ、メタデータ、サービス品質の証拠、一括ダウンロード、技術的に実行可能な場合のリアルタイムアクセス、標準、およびプロバイダーの切り替え支援をレビューしてください
• 非個人データの保護措置：アクセス、転送、エクスポート、および切り替えの際に、非個人データに対する制御、混在データセットの分離、機密性、国際的な政府アクセスに対する保護措置、およびセキュリティを維持してください
• 営業秘密の引き継ぎ：営業秘密の開示範囲を決定しないでください。営業秘密または商業上機微なデータを特定し、機密保持措置、拒否、停止、または例外に関する判断を専門知識を持つ責任者に委ねてください
• 契約およびクラウド切り替えの証拠：データ共有条件、アクセス条件、補償に関する証拠、プロバイダーの退出情報、エクスポート可能なデータの登録簿、切り替え手順書、継続性の制御、および消去の証拠をレビューしてください
• 運用上の要求制御：データアクセスワークフロー向けに、観測可能な要求の受付、SLA 対応、本人確認、承認、監査ログ、証拠を保全するログ記録、紛争または苦情の振り分け、サポート手順書、およびリリースゲートを求めてください

このスキルを使用する場面

• EU データ法の管理策について、Java プラットフォームをレビューする
• Java サービスのデータアクセスとポータビリティの証跡を設計する
• データ共有リクエストのワークフロー、エクスポート形式、メタデータ、監査ログ、相互運用性、またはクラウド切り替えのサポートを追加する
• 本番リリース前に、データ法へのエンジニアリング面での対応状況を評価する
• Java API、Kafka トピック、クラウドサービス、またはデータプロダクトが、データ法に準拠した所有者間の引き継ぎをサポートしているか確認する

ワークフロー

1. 規制の章の概要、エンジニアリング事例、レポートテンプレートを読む

references/806-regulations-eu-data-act-chapters-summary.md、references/806-regulations-eu-data-act-engineering-examples.md、assets/reports/806-eu-data-act-engineering-review-report-template.mdの順に読みます。データ法の章、条文、データアクセス、ポータビリティ、クラウド切り替え、相互運用性、執行、所有者間の引き継ぎに関する背景については、章の概要を参照します。データインベントリ、アクセス認可、ポータビリティ API、エクスポート形式、メタデータ、監査ログ、クラウド切り替えの証跡、非個人データの保護措置、営業秘密の引き継ぎ、データ共有リクエストのワークフロー、契約の証跡、運用管理策など、Java の管理パターンについては、エンジニアリング事例を参照します。章の概要、事例のリファレンス、レポートテンプレートの内容を把握するまでは、実装レビューを開始しないでください。

2. データアクセスとポータビリティの対象範囲を分類する

サービスの状況、コネクテッド製品または関連サービスの兆候、データ保有者の兆候、ユーザーと受領者の役割、公的機関による例外的な必要性の兆候、クラウドまたはデータ処理サービスの兆候、データスペースまたはスマートコントラクトの兆候、システム所有者、データ所有者、プライバシー責任者、セキュリティ責任者、プロダクト責任者、プロバイダー責任者、デプロイ環境、データセット、メタデータ、API、イベントストリーム、データストア、エクスポート、保持、プロバイダー切り替えの経路を特定します。適用範囲、データ保有者の立場、ユーザーの権利、データ受領者の役割、営業秘密に関する判断、契約の解釈、クラウド切り替え義務、国際アクセス制限、または規制の解釈が不明確な場合は、適格な責任者にエスカレーションしてください。

3. 実装と運用の証跡をレビューする

Java コード、API コントラクト、DTO、シリアライザー、スキーマレジストリ、Kafka コントラクト、バッチエクスポート、オブジェクトストレージの構成、メタデータカタログ、アクセス制御ルール、リクエストワークフロー、監査ログ、プライバシー管理策、テスト、運用手順書、クラウド契約、プロバイダーの撤退に関する文書、サポートワークフロー、モニタリング、リリースの証跡をレビューします。申告されている管理策と、レビュー可能な証跡との間にギャップがないか確認します。

4. エンジニアリング管理策を推奨する

データ法に関する懸念を、エンジニアリング上の対応策に結び付けます。たとえば、データインベントリ、役割と権利の証跡、リクエスト受付、目的と認可の確認、機械可読なエクスポート、メタデータとスキーマの公開、技術的に実現可能な場合の一括またはリアルタイム API アクセス、監査ログの記録、証跡を保全するサポート業務、非個人データの保護措置、混在データセットのプライバシーに関する引き継ぎ、営業秘密の機密性を保護する措置、データ共有条件、クラウド切り替えの運用手順書、相互運用性標準、消去管理策、リリースゲートなどがあります。

5. レビューレポートを作成し、責任者に引き継ぐ

assets/reports/806-eu-data-act-engineering-review-report-template.mdを使用して、対象範囲、レビューした証跡、データ法上のリスクの兆候、違反または不遵守の可能性を示す兆候、エンジニアリング上のギャップ、推奨する管理策、責任者への引き継ぎ、残存リスク、リリース判断、検証手順を含む簡潔なエンジニアリングレビューを作成します。法的な適用可能性、データ保有者・ユーザー・受領者の役割、営業秘密に関する判断、契約の解釈、クラウド切り替え義務、国際アクセス制限、規制の解釈については、適格な責任者によるレビューが必要であることを明記してください。

参考資料

詳しいガイダンス、例、制約については、以下を参照してください。

• references/806-regulations-eu-data-act-chapters-summary.md
• references/806-regulations-eu-data-act-engineering-examples.md