TAHOTA
近期，不少向欧洲站供货的中国卖家陆续收到平台关于欧盟《数据法案》（Data Act）透明度声明的合规要求。有的卖家卖的是带Wi-Fi的智能设备，有的卖的只是一根线连着电脑的简单外设。大家普遍困惑，这个声明的法律依据是什么？产品不联网、不上云，是不是不用填？数据不在我手里，义务又该怎么履行？
本文结合多类联网产品透明度声明的实务处理经验，系统解答上述问题。
透明度声明的直接法律依据，是欧洲议会与欧盟理事会2023年12月13日通过的《关于协调数据公平访问与使用数据的统一规则条例》（Regulation (EU) 2023/2854，简称《数据法案》）第3条。
根据该条例第50条，条例于官方公报刊登后第20日（即2024年1月11日）生效，除另有规定外自2025年9月12日起正式适用；其中第3条第1款规定的“设计即可访问”义务，自2026年9月12日之后投放市场的网联产品及相关服务开始适用。这意味着合同前透明度义务当下已经进入强制执行阶段，而设计合规义务则应纳入下一代产品规划。
需要区分的是，《数据法案》与《通用数据保护条例》（GDPR）是两部并行的法律。根据《数据法案》第2条第(3)、(4)项，个人数据含义沿用GDPR，而非个人数据则是个人数据以外的一切数据。GDPR调整个人数据处理，《数据法案》则主要调整网联产品产生的产品数据（含非个人数据）的访问与使用，二者不能互相替代，企业应当分别评估、并行合规。
透明度披露是一项合同前义务。《数据法案》第3条第2款规定，在订立网联产品的购买、租赁或租用合同之前，销售方、出租方（可以是制造商本人）就应当以清晰、易懂的方式向用户提供法定信息。亚马逊等平台将其纳入上架合规审核，正是该法定义务向平台的传导。
卖家最常见的误区，是把“网联”狭义理解为“连接互联网”。《数据法案》第2条第(5)项对“网联产品”的界定要宽得多：
“网联产品”是指获取、生成或收集与其使用或环境相关的数据，并且能够通过电子通信服务、物理连接（physical connection）或设备端访问（on-device access）传输产品数据的物品，且其主要功能不是代表用户以外的任何一方存储、处理或传输数据。
条例序言第(14)条进一步明确，通过电子通信服务、物理连接或设备端访问传输数据的产品均应纳入范围，原型产品除外。
判断的关键不在于设备是否插网线、连Wi-Fi，而在于两个问题：
其一，产品使用中是否生成数据（传感器读数、输入信号、运行日志等）；
其二，数据是否能够通过任何方式传到产品外部或在设备端被读取，哪怕只是一个USB接口或本地连接。
德国联邦网络局（Bundesnetzagentur）在官方解读中明确举例，通过USB接口、NFC接口传输数据同样构成网联产品。
因此，一类通过USB线缆连接电脑、本身无网络模块的有线外设，虽然不连接互联网，但会实时生成输入信号并通过物理连接传输，依然落入适用范围，“不联网就不用填声明”的判断在法律上不能成立。
透明度声明要求披露数据持有者身份。根据第2条第(13)项，“数据持有者”是指依据本条例、欧盟法或成员国法，有权或有义务使用并提供数据的自然人或法人。许多卖家的实际情况是：产品数据实时流过、断电即消失，或全部保存在用户终端，制造商服务器上并无数据。
这种情况下能否免除声明义务？答案是否定的。第3条的透明度披露触发前提是产品属于网联产品，与制造商是否实际持有数据并无必然关联；即使制造商不持有数据，仍需如实披露产品数据的类型、流向、存储与访问方式。
但数据不在厂商手中时，后续义务实际履行成本极低。第4条第1款规定的数据持有者向用户提供数据义务，针对的是用户无法从产品直接访问的“随时可用数据”（readily available data）；第5条第1款规定了用户要求将数据转交第三方时数据持有者的提供义务。而序言第(20)条明确指出，“随时可用数据”不包括产品设计未规定存储或传输至生成组件之外的数据，本条例不应被理解为强制要求产品在中央计算单元上存储数据。
因此，正确做法是在声明中客观说明数据路径。实务中可将数据分为三类分别界定：
其一，实时产生、断电即消失的瞬时信号，不存在长期持有关系；
其二，持久保存在设备本地的系统日志等产品数据，制造商作为产品设计者为法定责任主体，但用户通常可在设备侧直接访问导出；
其三，用户创作内容保存在用户自有终端的，由用户本人持有。这比笼统宣称“我们不持有任何数据”更严谨，也更经得起审核。
第一，准确对应法定披露项目
针对网联产品销售，第3条第2款要求至少披露四项：(a)产品能够生成数据的类型、格式和预估量；(b)是否能够持续、实时生成数据；(c)是否在设备本地或远程服务器存储数据及预期留存期限；(d)用户如何访问、检索以及（如适用）删除数据，包括技术手段、使用条款和服务质量。若产品附带相关服务（如云服务、配套App），还需叠加第3条第3款针对相关服务的9项披露，包括数据持有者身份与地理地址（第d项）、联系方式（第e项）、如何请求向第三方共享及终止共享（第f项）、向第37条指定的主管机关投诉的权利（第g项）、商业秘密持有者身份（第h项）以及合同期限与终止安排。声明中数据持有者身份、欧盟责任人、联系方式等信息，均来源于此。
第二，如实覆盖合同终止、投诉与救济
第3条第3款要求说明合同期限及终止安排；同一款第(g)项还要求告知用户有权依据第37条向主管机关投诉。纯硬件一次性销售产品，也应说明用户停止使用后瞬时信号、本地日志、用户文件分别如何处置，不能省略。
第三，表述准确，避免自相矛盾
设备产生实时信号但不持久存储，应表述为“生成但不持久保存”，不能写成“设备不生成数据”。对用户依据第5条享有的第三方转交权，制造商客观上无法执行的，应正面说明技术限制并指引用户在本地完成，而第4条第4款亦禁止数据持有者通过非中立选项等方式不当增加用户行权难度。
第四，第三方应用数据点到为止
对搭载开放系统、用户可自行安装第三方应用的设备，声明有必要说明第三方上传通路以切割责任。但应限定三点：上传由用户主动选择触发、制造商不自动传输、第三方处理受其自身条款约束并独立担责。制造商不应替第三方描述收集范围或作出安全承诺，核心篇幅仍应放在设备自身产品数据上。
第五，联网功能核实到底，占位信息必须补齐
对具备Wi-Fi却自称“无厂商云服务”的产品，须由技术侧书面确认联网是否仅用于下载升级、有无诊断或崩溃日志自动回传，存在任何自动上传即须如实披露。法律实体名称、注册地址、支持邮箱、欧盟责任人、服务条款与隐私政策链接等均为强制内容，带有“待填写”字样的声明不具备合规效力，多站点销售还应提供对应官方语言版本。
结合笔者的实务经验，我建议卖家按三步推进：
先做产品定性，梳理硬件架构与数据流向，对照第2条第(5)项的定义和“是否生成数据、是否可通过任何方式传出”两个问题判断范围，拿不准的从严把握。
再依第3条第2、3款逐项起草声明，在详情页、结账页、说明书二维码等合同前可见位置部署；最后做好内部留档，保存数据架构说明、技术确认记录与声明版本，以备平台或监管核查。
同时，面向2026年9月第3条第1款设计义务，应在下一代产品规划中提前落实数据默认、安全、免费、机器可读地可访问。
《数据法案》透明度义务的本质，不是给企业增加负担，而是要求企业把产品数据的真实情况讲清楚。尽早完成这份“说明书”，既是进入欧盟市场的通行证，也是自身合规能力的体现。
作者简介
刘大亮 律师
专业认证-数据安全治理专家
daliang.liu@tahota.com
业务领域：数据合规、股权、知识产权
