欧盟《数据法案》将对出海企业带来哪些影响？

发布时间：2025-11-05 09:15:54 来源：云智核 作者：域名

据报道，欧盟欧盟议会近期正式批准了欧盟《数据法案》，数据该法律旨在对智能设备的法案制造商和供应商以及智能设备生成的数据的处理者实施新的法规，此类产品包括智能照明系统、将对智能吸尘器、出海智能门铃等。企业

欧盟数据法要求这些产品的欧盟制造商和供应商以及处理从设备接收的数据的各方遵守以下规定：

此外，出海该法律允许欧洲公共部门机构在特殊情况下获取私营部门公司持有的企业数据。

《数据法案》的欧盟影响

该法律预计将于 2025 年 7 月底生效。对于制造、数据供应和处理智能设备相关数据的法案公司的全面影响仍不清楚。在该法律生效之前的过渡期间，企业收集和存储互联产品数据的方式将需要进行特殊改变。云南idc服务商我们评估，企业将需要制定和实施有关收集和管理来自智能设备的数据以及有关此类数据的用户请求的最新程序。企业还需要审查产品许可和使用协议，以便数据所有权问题符合法律规定。

《数据法案》（Data Act）弥补了《数据治理法案》的偏颇，在欧盟《通用数据保护条例》（简称“GDPR条例”）的基础上，提供了适用于所有数据的更广泛的规则。

由于《 数据法案》的要求涉及非常广泛，所有企业都应评估其任何产品或服务是否会受到《数据法案》的约束。  

欧盟的数据法案于2024年1月11日生效。为了实现“解锁”欧盟数据经济的既定目标，《数据法案》对物联网(“IoT”)设备和相关服务的提供商以及云计算提供商施加了一系列广泛的数据共享、产品设计和合同义务。《数据法案》规定的义务适用于所有经济部门和各种规模的企业。由于《数据法》的广泛要求，所有公司都应该评估自己的亿华云计算产品或服务是否会受到《数据法案》的约束。该法案规定的义务将从2025年下半年开始实施，因此很多企业几乎没有足够的时间制定有效的合规战略。

执行概要

《数据法案》

基于这样一个普遍假设：互联设备、服务和云软件产生的绝大多数数据都未被使用，或者被少数大公司收集。通过这项新立法，欧盟寻求“解锁”这些数据，促进数据在一个服务和另一个服务之间移动，并使用户能够访问这些数据——如果得到用户的批准，第三方企业也可以访问这些数据。

《数据法案》 的范围将适用于在欧盟市场上销售的互联产品制造商和相关服务提供商；此类互联产品或服务在欧盟的用户；向欧盟接收方提供数据的数据持有人；欧盟的数据接收方；向欧盟客户提供服务的数据处理服务提供商；欧盟机构和公共部门机构根据条例访问数据。因此， 《数据法案》也将适用于在欧盟市场运营的外国公司，而无论其在欧盟的设立地点或子公司。

被定义为“电子通信服务以外的数字服务，包括软件，在购买、租赁或租赁时与产品相连，其缺失会阻止连接产品执行一项或多项功能，或者随后由制造商或第三方与产品相连，以增加、更新或调整连接产品的功能”。

《数据法案》同样会对云计算提供商产生影响。

《数据法案》现已在正式公布，并于2024年1月11日生效。《数据法案》的规定将在生效之日起20个月后开始适用，这意味着受影响的企业需要在2025年9月12日之前做好遵守该法案的准备。与互联产品相关的设计要求将适用于2026年9月12日之后在欧盟投放市场的产品。

《数据法案》 还将引入一套管理公司之间有关数据访问和使用的协议的规则，并禁止被认为不公平或滥用的合同条款。凡在2025年9月12日之后签订的合同，这些规定将自动适用。对于2025年9月12日或之前签订的合同，这些规定将从2027年9月12日开始适用。

由于《数据法案》的范围和义务范围广泛，企业必须现在就开始准备，审查他们的产品、做法和政策，以确保合规。 《数据法案》的实施将需要对产品进行重大修改，并修订合同条款。例如，企业应该开始审计他们的数据存储策略，并考虑实施数据法案广泛的数据共享要求所需的更改。管理数据共享和处理实践的合同也需要进行审查，并可能进行修订。

对于一些公司来说，《数据法案》还将开辟新的商业机会，而且——由于 《数据法案》下的权利不仅限于中小企业——大型企业将被授权从这项立法中受益，并基于《数据法案》 下可访问的第三方数据开发新的商业模式。

接下来，我们继续看看《数据法案》 的主要内容和影响。

物联网设备和服务

《数据法案》

规定了将互联产品生成的数据提供给此类互联产品的用户、应用户要求提供给第三方以及在特殊情况下提供给公共部门机构的法律义务。

例如，B2B连接的产品可能包括汽车制动系统、电梯、能够收集数据的工厂机器或智能太阳能电池板。在B2C领域，例子包括智能冰箱、智能扬声器和清洁机器人、健身追踪器、医疗设备和现代汽车等家用电器。但是，主要用于显示或播放内容或记录和传输内容的产品(例如，个人电脑、服务器、平板电脑和智能手机、相机)不在《数据法案》的范围之内

。

与互联产品相关的义务也涵盖相关服务。这些是在购买时包含在产品中或与产品相互连接的数字服务，或随后由制造商或第三方连接到产品中，并且对于产品执行其主要功能至关重要。值得注意的例子包括语音助手，连接到智能扬声器的音乐流媒体服务，连接到健身追踪器的生活方式建议应用程序，工业机器的命令和控制软件，以及用于建筑物能源优化的软件。

根据《数据法案》，数据持有人将有义务设计互联产品，使用户能够简单、安全地访问其使用所产生的数据。默认情况下应提供访问，如果不能直接访问，则应用户的要求提供访问。根据用户的要求，数据持有者必须使数据“随时可用”，以及解释和使用该数据所需的元数据。

在《数据法案》的谈判过程中，如何在保护商业秘密与数据共享要求之间取得平衡是一个备受争议的话题。一般来说，商业秘密必须受到保护，只有在数据持有人和用户在披露前采取一切必要措施以保护机密性的情况下才必须披露。 

《数据法案》规定，披露数据的义务应以保留《商业秘密指令》(指令(EU) 2016/943)所提供的保护的方式进行解释。数据持有人应在披露前识别商业秘密，并有可能与用户或用户选择的第三方就保护其机密性的必要措施达成协议，包括使用示范合同条款、保密协议、严格的访问协议、技术标准和适用行为守则。

没有约定必要措施的，或者用户选择的第三方不履行约定措施或者破坏商业秘密保密性的，数据权利人应当有权拒绝或者暂停被认定为商业秘密的数据的共享。在“特殊情况”和“个案处理”下，资料持有人可能会拒绝查阅资料的要求，只要资料持有人可以证明其因披露商业秘密而面临“严重经济损失”的威胁。法案规定，严重经济损失“意味着严重和无法弥补的经济损失”。这一例外可能会被严格适用。此外，该例外的开放性不允许受影响的企业依赖明确的法律标准，欧洲法院将如何解释该例外仍有待观察。

守门人

数字经济平台生态系统对竞争的挑战，引起各国关注，并相继推出或修改法律、提出新的政策以适应数字经济的新格局。继《一般数据保护条例》（GDPR）之后，《数字市场法》可谓是欧盟针对数字市场的规范又一重磅立法。该法案在立法上首次提出了守门人制度作为数字经济反垄断监管和规制的新路径，基于对于数字平台巨头造成竞争威胁的考虑，为保障具有竞争性和公平性的数字市场秩序，规定一系列专门的原则和义务，对于平台的一系列行为模式设立了规制框架。

《数字市场法》第三条和第四条规定了守门人的认定标准，第五条至十三条分别规定了守门人的义务。企业被认定为守门人的原则性条件是：企业对内部市场有重大影响；提供核心平台服务且作为商务用户和终端用户的重要交互手段；在其业务中享有稳固和持久的地位，或者可以预见它将在不久的将来享有这种地位。

一旦被认定为守门人，平台企业将承担下列一系列的义务，并且被禁止实施某些特定的行为。具体而言，这些义务可以从数据层面、平台中立层面、通路层面进行简单地区分。

《数据法案》指出，“根据建议2003/361/EC附件第2条，初创企业、小企业、符合中型企业资格的企业，以及来自数字能力欠发达的传统行业的企业，难以获得相关数据”。在此基础上， 《数据法案》的目标是让这些规模较小的公司成为立法的主要受益者。另一方面， 《数据法案》禁止根据欧盟《数字市场法》被指定为守门人的公司接收数据(其云服务除外)。

云切换

《数据法案》将对公共云和私有云计算服务产生重大影响，因为它要求提供商促进云和边缘产品之间的切换。

如果用户希望从目前的提供商那里删除数据并切换到新的提供商，他们也将不再被允许收取费用。然而， 《数据法案》规定，云服务提供商不需要开发新技术或服务，披露受知识产权保护的数字资产，也不需要采取损害其服务完整性和安全性的措施。

智能合约

《数据法案》

中更有争议的要求之一涉及智能合约的设计。智能合约被广泛定义为“用于自动执行协议或部分协议的计算机程序，使用一系列电子数据记录并确保其完整性和时间顺序的准确性”。数据法案不区分数字合约和使用分布式账本技术的智能合约，也可能影响公共区块链上现有的智能合约。

使用智能合约的应用程序供应商必须确保智能合约提供“访问控制机制”和“非常高的鲁棒性”。他们还需要确保智能合约包含一个终止开关，这是一种可以破坏合约或暂停其操作以“终止交易的持续执行”的机制。

与GDPR相互作用

与仅适用于个人数据的法规(EU) 2016/679(“GDPR”)不同， 《数据法案》的范围更广，因为它适用于个人和非个人数据。因此，正如 《数据法案》第1(5)条明确规定的那样，本条例不影响欧盟和各国关于保护个人数据和隐私的法律，特别是GDPR和指令2002/58/EC(“电子隐私指令”)。

这意味着，只要用户是数据主体， 《数据法案》 授予的所有权利都是对《通用数据保护条例》授予的权利的补充，例如访问权和数据可移植性权。然而，为了限制《数据法案》 的解释或实施可能与现有数据保护法律框架不一致的风险，《数据法案》明确规定，如果《数据法案》 与欧盟关于个人数据和隐私保护的法律或根据该欧盟法律采用的国家法律之间存在冲突，则应以该欧盟或国家法律为准。

执行

虽然《数据法案》在整个欧盟范围内引入了统一的规则，但它将由国家当局执行，并由各个成员国决定他们希望为此指定哪个当局。 《数据法案》 还将适用处罚的决定权交给会员国，但须遵守案文中规定的一些最低要求。处罚必须是“有效的、相称的和劝阻性的”，成员国必须在生效之日起20个月内，即2025年9月12日之前，将这些处罚的实质内容通知欧盟委员会。

企业为何需要重视

《数据法案》是一项广泛而高度复杂的立法，将对各种规模的行业和企业产生广泛的影响。鉴于有众多例外，在某种程度上是开放式的条款和看似不明确的定义，《数据法案》将如何在实践中执行仍然存在很多不确定性。

然而，有一件事是明确的：受影响的企业应该立即开始准备其合规策略，并审查产品设计和相关的合同框架。这种准备工作还需要更仔细地分析与每个特定业务和产品相关的法律和技术问题，以及可能适用于或限制《数据法案》下数据流的其他相关法律框架的接口，包括GDPR，以及关于守门人的《数字市场法》。

相关文章