私も最初、これ、悩みました；
なんで、/html/なんだろう？って。
でも、よく見ると、ちゃんと定義ファイルがあります。
.HTACCESSを使用して、というのは、システムエラーがどこで出るか、でないか、という検証が他のバグなどと相まって難しくなりそうなので、私は使用していませんため、分かる部分のみご回答しますね。
以下、説明です。


この、/html/と/data/が同階層に有るというのは、
・/html/　　←WEBの公開領域
・/data/　　←WEBの公開領域と同階層（＝公開領域外）
になるようデータを配置するようになっているのだと思います。

DETA領域はテンプレートなどが入っているので、一般のユーザーから覗けない領域に配置するという考えからでしょう。
EC-CUBEの構成をそのまま使用する場合は、このように設置すればいいことになります。


ですので、そのまま配置するときは、
・/html/以下は、ファイルだけを公開領域に（public_htmlとかwebとか言う名称のWEBサイトのルートディレクトリ）
・/data/は、その1つ上に（＝/html/以下のファイルと/data/が同階層になるように）
おけば、いいことになります。


もし、WEBの公開領域より上の階層にアクセスする権限が与えられていない（または、ファイルを保存してはいけない）レンタルサーバーの場合は、

１）/html/以下は、WEBの公開領域に入れる
２）/data/をフォルダごと、その中に入れる
３）/WEBルート(=/html)/define.php　の2行目〜6行目(Ver.2.3の場合で）
---------------
/** HTMLディレクトリからのDATAディレクトリの相対パス */
define("HTML2DATA_DIR", "/../data/");

/** DATA ディレクトリから HTML ディレクトリの相対パス */
define("DATA_DIR2HTML", "/../html/");
---------------
となっているのを、
---------------

/** HTMLディレクトリからのDATAディレクトリの相対パス */
define("HTML2DATA_DIR", "/data/");

/** DATA ディレクトリから HTML ディレクトリの相対パス */
define("DATA_DIR2HTML", "../");
---------------
とすれば、OKなのですが、こちらはpopoさんのご要望（>ファイルの移動なしで、htaccessでRewriteRuleの記述だけでアドレスを変更できれば良いと思っているのですが）には副いませんね。
一般的なレンタルサーバーの場合は、こちらの構成にして/data/以下もWEBルート以下に置くことが多くなるだろうと思いましたが、どうでしょうかね。。。

セキュリティ面でのポイントなどは、EC-CUBEのファイル構成に詳しい方のアドバイスを受けて頂いたほうがいいかと思いますが、拝見したところ、現状では、/data/もWEB公開領域以下に配置されているようですので、セキュリティレベルが下がる、ということはありません。


管理画面や買い物動作、カスタマイズなど主要な動作では動作確認しています。
設定されるときに、特殊な動作やカスタマイズの中で、個別指定でファイルのURLを記述した場合などは、そちらのチェックをして頂ければいいかと思います。