據(jù)報道，歐盟議會近期正式批準了歐盟《數(shù)據(jù)法案》，該法律旨在對智能設(shè)備的制造商和供應(yīng)商以及智能設(shè)備生成的數(shù)據(jù)的處理者實施新的法規(guī)，此類產(chǎn)品包括智能照明系統(tǒng)、智能吸塵器、智能門鈴等。

歐盟數(shù)據(jù)法要求這些產(chǎn)品的制造商和供應(yīng)商以及處理從設(shè)備接收的數(shù)據(jù)的各方遵守以下規(guī)定：

• 允許用戶訪問和使用設(shè)備生成和存儲的有關(guān)他們的數(shù)據(jù)。
• 使用戶能夠在不同服務(wù)之間傳輸數(shù)據(jù)。
• 確保能夠在各種系統(tǒng)中使用數(shù)據(jù)。
• 遵守與歐洲數(shù)據(jù)市場的任何監(jiān)管有關(guān)的規(guī)定。

此外，該法律允許歐洲公共部門機構(gòu)在特殊情況下獲取私營部門公司持有的數(shù)據(jù)。

《數(shù)據(jù)法案》的影響

該法律預計將于 2025 年 7 月底生效。對于制造、供應(yīng)和處理智能設(shè)備相關(guān)數(shù)據(jù)的公司的全面影響仍不清楚。在該法律生效之前的過渡期間，企業(yè)收集和存儲互聯(lián)產(chǎn)品數(shù)據(jù)的方式將需要進行特殊改變。我們評估，企業(yè)將需要制定和實施有關(guān)收集和管理來自智能設(shè)備的數(shù)據(jù)以及有關(guān)此類數(shù)據(jù)的用戶請求的最新程序。企業(yè)還需要審查產(chǎn)品許可和使用協(xié)議，以便數(shù)據(jù)所有權(quán)問題符合法律規(guī)定。

《數(shù)據(jù)法案》（Data Act）彌補了《數(shù)據(jù)治理法案》的偏頗，在歐盟《通用數(shù)據(jù)保護條例》（簡稱“GDPR條例”）的基礎(chǔ)上，提供了適用于所有數(shù)據(jù)的更廣泛的規(guī)則。

由于《 數(shù)據(jù)法案》的要求涉及非常廣泛，所有企業(yè)都應(yīng)評估其任何產(chǎn)品或服務(wù)是否會受到《數(shù)據(jù)法案》的約束。  

歐盟的數(shù)據(jù)法案于2024年1月11日生效。為了實現(xiàn)“解鎖”歐盟數(shù)據(jù)經(jīng)濟的既定目標，《數(shù)據(jù)法案》對物聯(lián)網(wǎng)(“IoT”)設(shè)備和相關(guān)服務(wù)的提供商以及云計算提供商施加了一系列廣泛的數(shù)據(jù)共享、產(chǎn)品設(shè)計和合同義務(wù)。《數(shù)據(jù)法案》規(guī)定的義務(wù)適用于所有經(jīng)濟部門和各種規(guī)模的企業(yè)。由于《數(shù)據(jù)法》的廣泛要求，所有公司都應(yīng)該評估自己的產(chǎn)品或服務(wù)是否會受到《數(shù)據(jù)法案》的約束。該法案規(guī)定的義務(wù)將從2025年下半年開始實施，因此很多企業(yè)幾乎沒有足夠的時間制定有效的合規(guī)戰(zhàn)略。

執(zhí)行概要

《數(shù)據(jù)法案》基于這樣一個普遍假設(shè)：互聯(lián)設(shè)備、服務(wù)和云軟件產(chǎn)生的絕大多數(shù)數(shù)據(jù)都未被使用，或者被少數(shù)大公司收集。通過這項新立法，歐盟尋求“解鎖”這些數(shù)據(jù)，促進數(shù)據(jù)在一個服務(wù)和另一個服務(wù)之間移動，并使用戶能夠訪問這些數(shù)據(jù)——如果得到用戶的批準，第三方企業(yè)也可以訪問這些數(shù)據(jù)。

《數(shù)據(jù)法案》 的范圍將適用于在歐盟市場上銷售的互聯(lián)產(chǎn)品制造商和相關(guān)服務(wù)提供商；此類互聯(lián)產(chǎn)品或服務(wù)在歐盟的用戶；向歐盟接收方提供數(shù)據(jù)的數(shù)據(jù)持有人；歐盟的數(shù)據(jù)接收方；向歐盟客戶提供服務(wù)的數(shù)據(jù)處理服務(wù)提供商；歐盟機構(gòu)和公共部門機構(gòu)根據(jù)條例訪問數(shù)據(jù)。因此， 《數(shù)據(jù)法案》也將適用于在歐盟市場運營的外國公司，而無論其在歐盟的設(shè)立地點或子公司。

《數(shù)據(jù)法案》所涵蓋的產(chǎn)品和服務(wù)類型被故意定義得非常寬泛。“互聯(lián)產(chǎn)品”被定義為“獲取、生成或收集有關(guān)其使用或環(huán)境的數(shù)據(jù)，并能夠通過電子通信服務(wù)、物理連接或設(shè)備上訪問傳輸產(chǎn)品數(shù)據(jù)的物品，其主要功能不是代表用戶以外的任何一方存儲、處理或傳輸數(shù)據(jù)”。“相關(guān)服務(wù)”被定義為“電子通信服務(wù)以外的數(shù)字服務(wù)，包括軟件，在購買、租賃或租賃時與產(chǎn)品相連，其缺失會阻止連接產(chǎn)品執(zhí)行一項或多項功能，或者隨后由制造商或第三方與產(chǎn)品相連，以增加、更新或調(diào)整連接產(chǎn)品的功能”。

《數(shù)據(jù)法案》將觸及歐洲經(jīng)濟幾乎所有領(lǐng)域的各種規(guī)模的公司，包括智能消費設(shè)備、汽車、聯(lián)網(wǎng)工業(yè)機械、智能冰箱和其他家用電器的制造商，以及與聯(lián)網(wǎng)產(chǎn)品(如流媒體服務(wù)或數(shù)據(jù)分析軟件)交互的任何相關(guān)服務(wù)的制造商。

《數(shù)據(jù)法案》同樣會對云計算提供商產(chǎn)生影響。

《數(shù)據(jù)法案》將要求通過使用物聯(lián)網(wǎng)設(shè)備(“互聯(lián)產(chǎn)品”)或連接到這些設(shè)備的相關(guān)服務(wù)生成的數(shù)據(jù)的可用性和可移植性。它還引入了意義深遠的義務(wù)，旨在允許用戶輕松地在云服務(wù)提供商之間切換，以及規(guī)范智能合約。

《數(shù)據(jù)法案》現(xiàn)已在正式公布，并于2024年1月11日生效。《數(shù)據(jù)法案》的規(guī)定將在生效之日起20個月后開始適用，這意味著受影響的企業(yè)需要在2025年9月12日之前做好遵守該法案的準備。與互聯(lián)產(chǎn)品相關(guān)的設(shè)計要求將適用于2026年9月12日之后在歐盟投放市場的產(chǎn)品。

《數(shù)據(jù)法案》 還將引入一套管理公司之間有關(guān)數(shù)據(jù)訪問和使用的協(xié)議的規(guī)則，并禁止被認為不公平或濫用的合同條款。凡在2025年9月12日之后簽訂的合同，這些規(guī)定將自動適用。對于2025年9月12日或之前簽訂的合同，這些規(guī)定將從2027年9月12日開始適用。

由于《數(shù)據(jù)法案》的范圍和義務(wù)范圍廣泛，企業(yè)必須現(xiàn)在就開始準備，審查他們的產(chǎn)品、做法和政策，以確保合規(guī)。 《數(shù)據(jù)法案》的實施將需要對產(chǎn)品進行重大修改，并修訂合同條款。例如，企業(yè)應(yīng)該開始審計他們的數(shù)據(jù)存儲策略，并考慮實施數(shù)據(jù)法案廣泛的數(shù)據(jù)共享要求所需的更改。管理數(shù)據(jù)共享和處理實踐的合同也需要進行審查，并可能進行修訂。

對于一些公司來說，《數(shù)據(jù)法案》還將開辟新的商業(yè)機會，而且——由于 《數(shù)據(jù)法案》下的權(quán)利不僅限于中小企業(yè)——大型企業(yè)將被授權(quán)從這項立法中受益，并基于《數(shù)據(jù)法案》 下可訪問的第三方數(shù)據(jù)開發(fā)新的商業(yè)模式。

接下來，我們繼續(xù)看看《數(shù)據(jù)法案》 的主要內(nèi)容和影響。

物聯(lián)網(wǎng)設(shè)備和服務(wù)

《數(shù)據(jù)法案》規(guī)定了將互聯(lián)產(chǎn)品生成的數(shù)據(jù)提供給此類互聯(lián)產(chǎn)品的用戶、應(yīng)用戶要求提供給第三方以及在特殊情況下提供給公共部門機構(gòu)的法律義務(wù)。

受影響的產(chǎn)品和服務(wù)范圍非常廣泛。互聯(lián)產(chǎn)品包括收集有關(guān)其使用或環(huán)境的數(shù)據(jù)，然后可以通過電子通信服務(wù)、物理連接或設(shè)備上訪問傳輸此類數(shù)據(jù)的所有設(shè)備和設(shè)備。

例如，B2B連接的產(chǎn)品可能包括汽車制動系統(tǒng)、電梯、能夠收集數(shù)據(jù)的工廠機器或智能太陽能電池板。在B2C領(lǐng)域，例子包括智能冰箱、智能揚聲器和清潔機器人、健身追蹤器、醫(yī)療設(shè)備和現(xiàn)代汽車等家用電器。但是，主要用于顯示或播放內(nèi)容或記錄和傳輸內(nèi)容的產(chǎn)品(例如，個人電腦、服務(wù)器、平板電腦和智能手機、相機)不在《數(shù)據(jù)法案》的范圍之內(nèi)。

與互聯(lián)產(chǎn)品相關(guān)的義務(wù)也涵蓋相關(guān)服務(wù)。這些是在購買時包含在產(chǎn)品中或與產(chǎn)品相互連接的數(shù)字服務(wù)，或隨后由制造商或第三方連接到產(chǎn)品中，并且對于產(chǎn)品執(zhí)行其主要功能至關(guān)重要。值得注意的例子包括語音助手，連接到智能揚聲器的音樂流媒體服務(wù)，連接到健身追蹤器的生活方式建議應(yīng)用程序，工業(yè)機器的命令和控制軟件，以及用于建筑物能源優(yōu)化的軟件。

在《數(shù)據(jù)法案》中，互聯(lián)產(chǎn)品制造商被認定為“數(shù)據(jù)持有者”。關(guān)于 《數(shù)據(jù)法案》范圍內(nèi)的數(shù)據(jù)，該法規(guī)區(qū)分了“產(chǎn)品數(shù)據(jù)”和“相關(guān)服務(wù)數(shù)據(jù)”。“產(chǎn)品數(shù)據(jù)”是指使用連接產(chǎn)品產(chǎn)生的數(shù)據(jù)，這些數(shù)據(jù)是由制造商設(shè)計的，可由用戶、數(shù)據(jù)持有人或第三方通過電子通信服務(wù)、物理連接或設(shè)備訪問檢索。“相關(guān)服務(wù)數(shù)據(jù)”涵蓋“代表用戶操作或與連接產(chǎn)品相關(guān)的事件的數(shù)字化數(shù)據(jù)，這些數(shù)據(jù)由用戶故意記錄或作為提供商提供相關(guān)服務(wù)期間用戶操作的副產(chǎn)品而產(chǎn)生”。為了符合 《數(shù)據(jù)法案》的規(guī)定，“相關(guān)服務(wù)數(shù)據(jù)”必須與設(shè)備的使用有關(guān)。

根據(jù)《數(shù)據(jù)法案》，數(shù)據(jù)持有人將有義務(wù)設(shè)計互聯(lián)產(chǎn)品，使用戶能夠簡單、安全地訪問其使用所產(chǎn)生的數(shù)據(jù)。默認情況下應(yīng)提供訪問，如果不能直接訪問，則應(yīng)用戶的要求提供訪問。根據(jù)用戶的要求，數(shù)據(jù)持有者必須使數(shù)據(jù)“隨時可用”，以及解釋和使用該數(shù)據(jù)所需的元數(shù)據(jù)。

此外，如果用戶要求，數(shù)據(jù)持有者必須與第三方共享數(shù)據(jù)。數(shù)據(jù)持有人必須在公平、合理和非歧視的條件下共享數(shù)據(jù)。為了激勵產(chǎn)生有價值的數(shù)據(jù)，在B2B關(guān)系中，當法律上有義務(wù)向數(shù)據(jù)接收方提供數(shù)據(jù)時，數(shù)據(jù)持有者可以要求合理的補償。

在《數(shù)據(jù)法案》的談判過程中，如何在保護商業(yè)秘密與數(shù)據(jù)共享要求之間取得平衡是一個備受爭議的話題。一般來說，商業(yè)秘密必須受到保護，只有在數(shù)據(jù)持有人和用戶在披露前采取一切必要措施以保護機密性的情況下才必須披露。 

《數(shù)據(jù)法案》規(guī)定，披露數(shù)據(jù)的義務(wù)應(yīng)以保留《商業(yè)秘密指令》(指令(EU) 2016/943)所提供的保護的方式進行解釋。數(shù)據(jù)持有人應(yīng)在披露前識別商業(yè)秘密，并有可能與用戶或用戶選擇的第三方就保護其機密性的必要措施達成協(xié)議，包括使用示范合同條款、保密協(xié)議、嚴格的訪問協(xié)議、技術(shù)標準和適用行為守則。

沒有約定必要措施的，或者用戶選擇的第三方不履行約定措施或者破壞商業(yè)秘密保密性的，數(shù)據(jù)權(quán)利人應(yīng)當有權(quán)拒絕或者暫停被認定為商業(yè)秘密的數(shù)據(jù)的共享。在“特殊情況”和“個案處理”下，資料持有人可能會拒絕查閱資料的要求，只要資料持有人可以證明其因披露商業(yè)秘密而面臨“嚴重經(jīng)濟損失”的威脅。法案規(guī)定，嚴重經(jīng)濟損失“意味著嚴重和無法彌補的經(jīng)濟損失”。這一例外可能會被嚴格適用。此外，該例外的開放性不允許受影響的企業(yè)依賴明確的法律標準，歐洲法院將如何解釋該例外仍有待觀察。

守門人

數(shù)字經(jīng)濟平臺生態(tài)系統(tǒng)對競爭的挑戰(zhàn)，引起各國關(guān)注，并相繼推出或修改法律、提出新的政策以適應(yīng)數(shù)字經(jīng)濟的新格局。繼《一般數(shù)據(jù)保護條例》（GDPR）之后，《數(shù)字市場法》可謂是歐盟針對數(shù)字市場的規(guī)范又一重磅立法。該法案在立法上首次提出了守門人制度作為數(shù)字經(jīng)濟反壟斷監(jiān)管和規(guī)制的新路徑，基于對于數(shù)字平臺巨頭造成競爭威脅的考慮，為保障具有競爭性和公平性的數(shù)字市場秩序，規(guī)定一系列專門的原則和義務(wù)，對于平臺的一系列行為模式設(shè)立了規(guī)制框架。

《數(shù)字市場法》第三條和第四條規(guī)定了守門人的認定標準，第五條至十三條分別規(guī)定了守門人的義務(wù)。企業(yè)被認定為守門人的原則性條件是：企業(yè)對內(nèi)部市場有重大影響；提供核心平臺服務(wù)且作為商務(wù)用戶和終端用戶的重要交互手段；在其業(yè)務(wù)中享有穩(wěn)固和持久的地位，或者可以預見它將在不久的將來享有這種地位。

一旦被認定為守門人，平臺企業(yè)將承擔下列一系列的義務(wù)，并且被禁止實施某些特定的行為。具體而言，這些義務(wù)可以從數(shù)據(jù)層面、平臺中立層面、通路層面進行簡單地區(qū)分。

《數(shù)據(jù)法案》指出，“根據(jù)建議2003/361/EC附件第2條，初創(chuàng)企業(yè)、小企業(yè)、符合中型企業(yè)資格的企業(yè)，以及來自數(shù)字能力欠發(fā)達的傳統(tǒng)行業(yè)的企業(yè)，難以獲得相關(guān)數(shù)據(jù)”。在此基礎(chǔ)上， 《數(shù)據(jù)法案》的目標是讓這些規(guī)模較小的公司成為立法的主要受益者。另一方面， 《數(shù)據(jù)法案》禁止根據(jù)歐盟《數(shù)字市場法》被指定為守門人的公司接收數(shù)據(jù)(其云服務(wù)除外)。

云切換

《數(shù)據(jù)法案》將對公共云和私有云計算服務(wù)產(chǎn)生重大影響，因為它要求提供商促進云和邊緣產(chǎn)品之間的切換。

《數(shù)據(jù)法案》引入了一些合同、商業(yè)和技術(shù)要求，以促進數(shù)據(jù)從一個提供商轉(zhuǎn)移到另一個提供商。受影響的供應(yīng)商將被要求消除他們自己和競爭對手的云服務(wù)之間“有效切換的障礙”，這些障礙可以是商業(yè)的、技術(shù)的、合同的和組織的。

如果用戶希望從目前的提供商那里刪除數(shù)據(jù)并切換到新的提供商，他們也將不再被允許收取費用。然而， 《數(shù)據(jù)法案》規(guī)定，云服務(wù)提供商不需要開發(fā)新技術(shù)或服務(wù)，披露受知識產(chǎn)權(quán)保護的數(shù)字資產(chǎn)，也不需要采取損害其服務(wù)完整性和安全性的措施。

《數(shù)據(jù)法案》中的云轉(zhuǎn)換義務(wù)留下了解釋的余地，其應(yīng)用的確切性質(zhì)很難預測。此外，考慮到云切換的復雜性，特別是對于某些類型的工作負載，鑒于在制定模糊和廣泛的義務(wù)時對技術(shù)復雜性的關(guān)注顯然有限，監(jiān)管機構(gòu)將如何在實踐中實施這一要求仍有待觀察。為了建立防御，對于面臨重大技術(shù)障礙的公司來說，遵守 《數(shù)據(jù)法案》的要求，制定記錄這些障礙和合規(guī)努力的策略，可能是很重要的。

智能合約

《數(shù)據(jù)法案》中更有爭議的要求之一涉及智能合約的設(shè)計。智能合約被廣泛定義為“用于自動執(zhí)行協(xié)議或部分協(xié)議的計算機程序，使用一系列電子數(shù)據(jù)記錄并確保其完整性和時間順序的準確性”。數(shù)據(jù)法案不區(qū)分數(shù)字合約和使用分布式賬本技術(shù)的智能合約，也可能影響公共區(qū)塊鏈上現(xiàn)有的智能合約。

使用智能合約的應(yīng)用程序供應(yīng)商必須確保智能合約提供“訪問控制機制”和“非常高的魯棒性”。他們還需要確保智能合約包含一個終止開關(guān)，這是一種可以破壞合約或暫停其操作以“終止交易的持續(xù)執(zhí)行”的機制。

雖然很難確定受這些要求影響的業(yè)務(wù)的全部范圍，但任何智能合約應(yīng)用的提供商都應(yīng)仔細考慮如何遵守《數(shù)據(jù)法案》。

與GDPR相互作用

與僅適用于個人數(shù)據(jù)的法規(guī)(EU) 2016/679(“GDPR”)不同， 《數(shù)據(jù)法案》的范圍更廣，因為它適用于個人和非個人數(shù)據(jù)。因此，正如 《數(shù)據(jù)法案》第1(5)條明確規(guī)定的那樣，本條例不影響歐盟和各國關(guān)于保護個人數(shù)據(jù)和隱私的法律，特別是GDPR和指令2002/58/EC(“電子隱私指令”)。

這意味著，只要用戶是數(shù)據(jù)主體， 《數(shù)據(jù)法案》 授予的所有權(quán)利都是對《通用數(shù)據(jù)保護條例》授予的權(quán)利的補充，例如訪問權(quán)和數(shù)據(jù)可移植性權(quán)。然而，為了限制《數(shù)據(jù)法案》 的解釋或?qū)嵤┛赡芘c現(xiàn)有數(shù)據(jù)保護法律框架不一致的風險，《數(shù)據(jù)法案》明確規(guī)定，如果《數(shù)據(jù)法案》 與歐盟關(guān)于個人數(shù)據(jù)和隱私保護的法律或根據(jù)該歐盟法律采用的國家法律之間存在沖突，則應(yīng)以該歐盟或國家法律為準。

執(zhí)行

雖然《數(shù)據(jù)法案》在整個歐盟范圍內(nèi)引入了統(tǒng)一的規(guī)則，但它將由國家當局執(zhí)行，并由各個成員國決定他們希望為此指定哪個當局。 《數(shù)據(jù)法案》 還將適用處罰的決定權(quán)交給會員國，但須遵守案文中規(guī)定的一些最低要求。處罰必須是“有效的、相稱的和勸阻性的”，成員國必須在生效之日起20個月內(nèi)，即2025年9月12日之前，將這些處罰的實質(zhì)內(nèi)容通知歐盟委員會。

然而，歐盟委員會將通過制定準則和實施立法來支持成員國的執(zhí)法，例如，對共享數(shù)據(jù)的合理補償、互操作性規(guī)范、示范合同條款或協(xié)調(diào)的智能合約標準。出于這些原因，企業(yè)應(yīng)該制定一個協(xié)調(diào)的、集中的歐盟范圍內(nèi)的合規(guī)策略。

企業(yè)為何需要重視

《數(shù)據(jù)法案》是一項廣泛而高度復雜的立法，將對各種規(guī)模的行業(yè)和企業(yè)產(chǎn)生廣泛的影響。鑒于有眾多例外，在某種程度上是開放式的條款和看似不明確的定義，《數(shù)據(jù)法案》將如何在實踐中執(zhí)行仍然存在很多不確定性。

然而，有一件事是明確的：受影響的企業(yè)應(yīng)該立即開始準備其合規(guī)策略，并審查產(chǎn)品設(shè)計和相關(guān)的合同框架。這種準備工作還需要更仔細地分析與每個特定業(yè)務(wù)和產(chǎn)品相關(guān)的法律和技術(shù)問題，以及可能適用于或限制《數(shù)據(jù)法案》下數(shù)據(jù)流的其他相關(guān)法律框架的接口，包括GDPR，以及關(guān)于守門人的《數(shù)字市場法》。