2025年9月12日，欧盟《数据法案》正式生效 。该法案的核心目标是赋予用户对其联网设备（如智能手表、汽车、智能电视和工业机械）生成的数据的控制权 。通过设定公平的数据可用性规则，该法案旨在促进欧洲数字经济中的创新、竞争力和增长 。
法案生效的时间线：
2022年2月23日：欧盟委员会正式提出《数据法案》提案。
2023年6月27日：欧盟理事会通过了其关于该法案的谈判立场。
2023年11月27日：欧洲议会和欧盟理事会达成最终协议。
2024年12月：该法案正式在《欧盟官方公报》上发布并生效。
2025年9月12日：该法案开始正式适用，大多数条款在此日期生效。
《数据法案》的核心是打破数据壁垒，确保联网设备的用户能够公平地访问和使用其设备产生的数据。其主要内容包括：
1、数据共享义务：
（1）B2C/B2B (企业对消费者/企业)：设备制造商和数据持有者必须在技术上和法律上保证用户能够轻松访问其设备数据，并将其共享给第三方服务提供商（如维修公司）。
（2）B2G (企业对政府)：在公共紧急情况（如自然灾害）下，企业有义务在请求下向政府机构提供数据。
2、云服务提供商切换：法案消除了技术、合同和商业障碍，允许客户在不同的云数据处理服务提供商之间更轻松地切换，避免被单一服务商锁定。
3、不公平合同条款：法案对数据共享合同中的不公平条款进行了规范，尤其是在企业对企业（B2B）关系中，以保护中小企业。
4、商业秘密保护：法案要求在数据共享过程中，数据持有者必须采取一切技术和组织措施来保护商业秘密。
5、非法数据传输的限制：法案规定，只有在符合欧盟法律或国际协议的情况下，才允许将欧盟境内的数据传输给第三国政府。
三、 适用范围与处罚
1、合规性要求：法案对所有向欧盟市场提供服务的企业具有普遍适用性，无论其公司注册地在哪里。
2、监管与罚款：成员国将指定一个或多个主管机构负责监督法案的实施。违反法案规定的企业将面临高额罚款，具体金额与欧盟《通用数据保护条例》（GDPR）类似，可高达全球年营业额的4%或2000万欧元（以较高者为准）。
《数据法案》对以下几个行业的影响尤为深远：
1、物联网（IoT）设备制造商：智能家电、智能穿戴设备、智能家居系统等制造商必须重新设计其产品，以确保数据的可访问性和可移植性。
2、汽车产业：互联汽车、电动汽车制造商必须向车主及其授权的第三方（如独立维修店）开放车辆数据，从而打破原厂在维修和售后服务上的垄断。
3、工业设备制造商：农用机械、建筑设备和工业机器人等制造企业必须向用户提供设备性能数据，这将促进新的数据驱动型服务市场。
4、云服务提供商：云巨头们必须调整其合同条款和技术架构，以允许客户更容易地迁移数据和工作负载。
（一）法律与合同实践
1、更新合同与服务条款： 全面审查并更新所有与数据相关的现有合同，包括用户协议、供应商协议和数据共享协议。确保合同中明确规定了用户的数据访问权、可移植性和第三方共享权限。
2、标准化数据共享协议： 制定公平、透明且易于理解的标准化数据共享协议。避免使用不公平或含糊不清的条款来阻碍数据共享。这不仅能确保合规，还能建立与合作伙伴和用户之间的信任。
3、明确商业秘密保护机制： 在数据共享协议中，详细说明如何识别和保护商业秘密，并提供技术和组织保障措施，以防止敏感信息泄露。
（二）技术与产品设计
贯彻“数据共享设计”原则： 在产品和服务的开发初期就将数据共享和可访问性作为核心设计原则。这类似于“隐私设计”理念，旨在从一开始就为用户提供对数据的控制权。
建立标准化API接口： 开发安全、标准化、文档清晰的应用程序接口（API），以便用户或其授权的第三方能够轻松、高效地访问和接收设备生成的数据。
实现数据可移植性： 确保数据可以以结构化、常用且机器可读的格式导出，以方便用户将数据迁移到其他服务或平台。
（三）内部治理与组织
建立数据治理团队： 组建一个跨部门团队，由法律、IT、产品和业务部门的代表组成，共同负责数据治理和合规工作。该团队应负责制定和实施内部数据共享政策，并定期进行审计。
开展员工培训： 对所有相关员工进行定期培训，使其了解《数据法案》的要求、数据共享的流程以及如何安全处理用户数据和商业秘密。
制定响应和风险管理计划： 建立一个清晰的流程，以响应用户的数据访问请求，并定期进行风险评估，识别潜在的合规风险和漏洞，并及时采取纠正措施。
（四）还需要生效后关注的点有
1、数据的法律性质与所有权问题：在法案框架下，数据的所有权、控制权和使用权如何重新分配？数据本身是否被视为一种财产？如何界定“原始数据”和“推断数据”？
3、合同条款的设置：法案明确禁止在企业对企业（B2B）关系中设置不公平的数据共享合同条款，特别是针对中小企业。如何界定合同条款的“不公平”？这是否会引发大量合同纠纷？法案对合同自由原则的干预程度有多大？这将对企业间的合同谈判和法律审查带来新的复杂性。
4、云服务市场的竞争与可移植性：法案旨在客户能够轻松地在不同云服务提供商之间切换。如何有效执行这一规定？在实践中，数据迁移和互操作性的技术标准如何制定和实施？如何确保客户不会因为“出口”数据而面临不合理的费用或限制？
5、与《通用数据保护条例》（GDPR）的关系：法律界普遍关注《数据法案》与《GDPR》之间的协调与互补。两者都涉及数据，但《数据法案》主要关注非个人数据和设备数据，而《GDPR》则专注于个人数据。当设备数据同时包含个人数据和非个人数据时，应如何适用不同的法律框架？如何确保两者在实践中不产生冲突，而是相互补充？
施吉龙律师认为，虽然以上问题可能还会长时间的存在，但无论是作为企业内部还是外部非法务合规专家，针对这些可以预见的具体问题，在没有官方的解释或者规定以前，也可预先需要进行安排。因为在民商事领域，特别是在法律规定不是很明确的时候，就需要我们这些专家有所预测、防范和风险应对安排，“尊重当事人意思自治原则”不应停留在意识和原则层面，更应该反映到合同条款设置和交易安排中。
施吉龙律师认为，企业如果能够将以上建议整合到企业的运营、技术和法律框架中，则不仅能够满足《数据法案》的强制性要求，还能建立更强大的数据生态系统，为用户提供更好的服务，并在新的数据驱动型经济中保持竞争力。
