本文目录导读：
欧盟《数据法案》（Data Act）是欧盟委员会于2022年2月提出，并于2023年11月正式通过的《关于公平访问和共享数据的条例》，这是欧盟继《通用数据保护条例》（GDPR）和《数据治理法案》（Data Governance Act）后的又一重要数据立法，旨在释放工业数据价值，促进数据共享,并解决数据经济中的公平性问题。
以下是该法案的核心要点、适用范围及影响：
核心目标与背景
- 释放非个人数据价值：欧盟估计，到2028年数据经济价值将达到8290亿欧元，法案旨在消除数据共享的障碍，让更多企业（尤其是中小企业）和公共机构能利用数据。
- 打破数据垄断：针对大型科技公司（如云服务商、物联网设备制造商）控制数据、设置高转换成本（“锁定效应”）的现象,法案要求增强数据的可移植性和互操作性。
- 平衡利益分配：确保数据生成者（如使用联网设备的用户）与数据处理者（设备制造商、云服务商）之间更公平地分享数据产生的价值。
适用范围与关键主体
法案适用于在欧盟市场内提供或使用的所有联网产品（如智能汽车、工业机器人、可穿戴设备）和相关服务（如云服务、数字孪生服务），无论其数据存储或处理地在何处,主要涉及：
- 数据持有者：通常是产品制造商（如汽车厂商、家电厂商）或服务提供商（如云服务商）。
- 数据接收者：包括用户（个人或企业）、公共部门（在紧急情况或特殊任务下）、其他第三方服务商。
八大核心规则
- 用户数据访问权：用户有权免费、实时、安全地访问其使用联网产品产生的数据（包括生成的衍生数据）,数据持有者必须提供数据接口。
- 数据共享义务：用户可以将这些数据分享给第三方服务提供商（如独立的维修店、数据分析公司）,数据持有者不得设置不合理障碍。
- 公共部门特殊访问权：在公共紧急情况（如自然灾害、疫情）或非紧急但为履行法律任务时，公共部门可强制要求数据持有者提供数据,且不得要求排他性。
- 云服务切换自由：客户（企业和机构）有权在云服务商之间自由切换，服务商必须在30天内完成数据迁移，并禁止设置高额的提前终止费或技术壁垒（如锁定数据格式），这被称为“云服务版携号转网”。
- 数据经济合同公平性：针对大企业与中小企业之间的数据共享合同，法案禁止显失公平的合同条款（如单方面解释权、无限责任豁免等）,中小企业可请求法院或监管部门干预。
- 商业秘密与个人数据保护平衡：当数据共享涉及商业秘密时，数据持有者可要求采取保密措施（如匿名化、数据沙盒）,但不得以保护商业秘密为由拒绝合理的数据访问请求。
- 互操作性标准：要求建立统一标准，确保不同设备和云服务的数据格式、接口能互联互通。
- 禁止数据滥用：明确禁止数据持有者通过技术手段（如强制用户同意数据共享才能使用基础功能）或合同条款来限制数据访问。
与GDPR的关系
- 并行适用：《数据法案》不改变GDPR关于个人数据保护的核心规则，如果数据同时包含个人和非个人元素（如智能汽车的驾驶行为数据与车辆性能数据）,则需分别适用。
- 补充而非冲突：GDPR赋予个人控制其数据的权利，《数据法案》则主要是解决商业主体（B2B、B2G）间非个人数据的共享问题，用户根据GDPR申请下载个人数据，与根据《数据法案》要求车辆制造商分享行车数据,法律基础不同但可互补。
实施时间表与处罚
- 生效日期：2024年1月11日正式生效。
- 适用日期：2025年9月12日起全面适用（即所有在欧盟市场销售的新联网产品和服务需符合要求）,云服务切换规则则从2027年1月12日起适用。
- 处罚：由各成员国自行规定，但必须有效、相称且具劝诫性，最高可处以全球年营业额2%-4%的罚款（具体取决于违规类型），违反数据访问权义务最高可罚4%。
对中国企业与全球市场的影响
- 出口合规成本上升：任何在欧盟销售联网产品（如智能家电、新能源汽车、工业设备）的中国企业，都必须开发数据共享接口（API）、调整云服务合同、修改用户协议和产品设计。
- 云服务与SaaS厂商：中国云厂商（如阿里云、华为云、腾讯云）在欧盟开展业务时，需确保支持客户在30天内迁移数据，并消除数据锁定技术，这对其技术架构提出挑战,但也可能倒逼中国厂商提升服务竞争力。
- 隐私保护与技术创新平衡：法案要求数据可被第三方访问，这可能导致中国企业在欧盟市场需采取更严格的数据安全措施（如数据脱敏、访问控制）,以防止商业秘密泄露。
- 反制“数据围墙”：法案强调互操作性，若中国企业（如车联网服务商）在欧盟被要求向其他欧洲第三方开放数据,需评估其商业模型和数据控制权的风险。
争议与挑战
- 商业秘密保护疑虑：许多行业协会（如汽车行业）担忧，强制共享数据（尤其是算法和制造数据）可能泄露核心竞争力。
- 公共部门访问权边界：公共部门在非紧急情况下调取数据，如何界定“为履行法律任务”的范围？存在被滥用的担忧。
- 技术复杂性：实现跨设备、跨云服务的互操作性标准（如数据格式、接口协议）需要长期行业协作,成本高昂。
总结建议
对于企业而言，立即行动是关键：建议在2025年9月前完成合规体检：
- 产品端：梳理所有联网产品的数据生成类型，设计用户数据导出接口（API）。
- 合同端：修订与用户、第三方及云服务商的条款,删除不合理限制。
- 架构端：确保云服务或设备数据的存储与迁移满足30天切换要求。
- 合规团队：设立专门岗位，协同法务和技术部门,应对各成员国监管差异。
《数据法案》本质上是欧盟在数据主权争夺中的一次制度创新，它通过“赋权用户、打破锁定、开放接口”的逻辑，重塑了从物联网到云服务的产业游戏规则，无论企业是直接受监管，还是希望进入欧盟市场,理解并适应这套规则将是未来几年的核心竞争力之一。
