2024年1月11日，欧盟数据保护条例（(EU) 2023/2854）正式生效，此前该条例已在欧盟官方公报上发布20天。该条例自2025年9月12日起实施。这项法规对互联产品制造商和相关服务提供商施加了全新的根本性义务，影响范围广泛，涵盖制造业、能源业、医疗保健业和汽车业等诸多领域。任何在商业环境中生成、处理或使用数据的人员都应及时了解该法规的适用范围。
《数据法》管辖哪些内容？
《数据法》是欧洲数据战略的一部分，旨在增强欧洲在数据经济中的竞争力。该条例规定了谁有权访问使用产品或服务所产生的数据，以及在何种条件下必须共享这些数据。这并非赋予用户获取所有数据的普遍权利，而是构建了一个包含六个特定领域的框架：用户访问产品和服务数据、在公平条款下进行企业间数据共享、在特殊情况下向公众开放数据、数据处理服务之间的切换、防止国际政府机构访问非个人数据以及互操作性。
企业义务：产品设计
互联产品的设计和制造必须确保生成的数据默认情况下能够以机器可读格式轻松、安全、免费地直接供用户访问。互联产品的用户——例如智能家居设备、工业机械或车辆——因此有权访问其使用产品过程中产生的数据。制造商和服务提供商不得再将这些数据据为己有。
重要的是，这项义务分阶段实施。虽然《数据法》整体自2025年9月12日起生效，但互联产品的设计和制造义务仅适用于2026年9月12日之后投放市场的产品。因此，现有产品暂不包含在内。
B2B数据共享的公平条款
该条例包含关于以下方面的具体规定： B2B数据合同中的合同条款一方单方面强加给另一方的条款，如果该条款不公平，则对另一方不具有约束力。如果另一方尽管尝试协商，但仍无法影响条款内容，则该条款被视为单方面强加。证明这一点的举证责任在于加入该条款的一方。
如果一项条款的使用严重偏离良好的商业惯例，并且违反诚信和公平交易原则，则该条款属于不公平条款。该条例列举了一些不公平条款的例子，例如免除故意或重大过失责任、阻止对方使用其自身数据、允许在不合理的短时间内单方面终止合同，或允许单方面进行重大价格或其他实质性变更。其法律后果是，不公平条款对另一方不具有约束力，而合同的其他条款在可分割的范围内仍然有效。
与 GDPR 的相互作用
《数据法》与《通用数据保护条例》（GDPR）并行存在，但二者之间存在重要的相互作用。GDPR也涵盖个人数据，但并未将其与数据保护法割裂开来。如果用户并非被请求获取个人数据的数据主体，则只有在GDPR第6条规定的有效法律依据下，才能提供该个人数据。因此，《数据法》并未对GDPR创设独立的例外：根据《数据法》进行的数据访问并不能免除各方的责任。 他们的 GDPR 义务也未提供在获取目的之外进一步保留或再利用所提供数据的依据。
云可移植性和切换
另一章节要求数据处理服务提供商简化客户切换到其他提供商的流程。他们不得设置任何阻碍客户切换的预商业、商业、技术、合同或组织障碍。自2027年1月12日起，数据处理服务提供商不得再向客户收取任何切换费用。数据和配置的实际转移必须在不造成无故拖延的情况下进行，且无论如何不得超过最长30天的强制过渡期。对于严重依赖单一云提供商的组织而言，这为其在续签或重新谈判合同时提供了新的谈判筹码。
在特殊情况下，公众可以自由出入。
该条例赋予公共部门机构在严格条件下，在特殊需要的情况下（例如公共紧急情况）要求获取私人数据的权力。在这种情况下，除微型企业和小型企业以外的数据持有者有义务免费提供必要数据。在其他特殊需要的情况下，数据持有者有权获得公平补偿。这项权力须遵守该条例规定的比例原则和辅助性原则。
荷兰的执法
在荷兰，数据保护条例的执行已通过《数据法实施法》（Uitvoeringswet dataverordening）正式纳入法律。荷兰消费者和市场管理局（ACM）是该条例大部分内容的主管机构，包括产品数据、企业间数据共享和云数据可移植性等章节。荷兰数据保护局（AP）则负责处理涉及隐私敏感的内容以及某些条款和第五章中规定的个人数据处理。这两个机构均可在其各自管辖范围内采取执法行动，例如发布附带处罚或行政罚款的命令。该实施法还规定了ACM和AP之间的合作与信息交换机制，以便两个监管机构能够就重叠问题采取协调一致的行动。
实际上这是什么意思？
开发、进口或分销联网产品的企业现在就应该根据《数据法案》审查其产品设计和合同结构。对于2026年9月12日之后投放市场的产品，设计和可访问性义务将全面适用。代表用户处理数据的服务提供商应评估哪些数据共享义务适用于自身，以及现有协议（包括单方面起草的数据条款）是否符合这些义务。
等到执法行动开始才采取行动，就有可能落后。及时调整产品、服务和合同以符合新规，不仅至关重要。 合规问题但也带来了机遇：在市场对公司如何处理数据越来越挑剔的情况下，那些为客户提供透明度和数据访问权限的公司脱颖而出。
您是否对欧盟数据法案对您的业务或合同的影响有任何疑问？律师们…… Law & More 很高兴为您提供帮助。
常見問題解答
《数据法》是否已适用于我现有的联网产品？
该法规自2025年9月12日起生效，但确保互联产品设计能够让用户访问数据的义务仅适用于2026年9月12日之后投放市场的产品。在此日期之前已上市的现有产品暂不适用。尽管如此，制造商和进口商仍应尽早调整产品开发方向，使其符合新规，以确保未来的产品在上市时即可合规。
如果我的数据合同包含限制数据访问的条款，我应该怎么办？
根据《数据保护法》，单方面强加且阻止另一方使用或利用自身数据的合同条款可能被视为不公平条款，因此不具有约束力。建议对现有数据合同进行审查，以查找此类条款。证明某项条款并非单方面强加的举证责任在于加入该条款的一方。尽早重新谈判通常比等到对方援引相关法规更为有效。
我能否在没有GDPR法律依据的情况下，依据《数据保护法》共享个人数据？
不。《数据保护法》并未提供披露个人数据的独立法律依据。如果用户并非被请求获取个人数据的数据主体，则只有在符合《通用数据保护条例》（GDPR）第6条规定的有效法律依据的情况下，才能提供该数据。此外，《数据保护法》下的数据访问并无任何依据允许在原始目的之外进一步保留或重复使用已披露的个人数据。因此，必须同时确保符合GDPR和《数据保护法》的规定。
作为云服务提供商，我还能收取切换费吗？
自2027年1月12日起，数据处理服务提供商不得向客户收取切换费。此外，自2025年9月12日起，不得设置任何阻碍切换的技术、合同或组织障碍。切换后的实际数据传输必须及时进行，且最迟应在30天的过渡期内完成。现有合同中若包含更长的过渡期或切换费，则应重新审查。
在荷兰，哪个监管机构有权执行《数据法》？
荷兰消费者和市场管理局 (ACM) 和荷兰数据保护局 (AP) 负责执行该法规。ACM 负责该法规的大部分内容，包括产品数据、企业间数据共享和云数据可移植性等条款。AP 负责某些条款和第五章中涉及隐私敏感内容和个人数据处理的部分。两个机构均可作出处罚或行政罚款的命令。针对此类决定，当事人可采取通常的行政救济措施，包括提出异议、上诉和申请临时救济。
《数据法》是否也适用于小型企业？
该条例在几个方面根据企业规模进行了区分。例如，在公共紧急情况下，微型企业和小型企业无需免费提供数据；在这种情况下，它们有权获得公平补偿。对于其他义务——包括互联产品的可访问性义务和B2B条款的公平性测试——中小企业没有普遍的豁免。因此，规模较小的互联产品或云服务提供商也必须及时调整其运营以符合该条例的要求。
