普华永道：欧盟《数据法案》将如何重塑中资企业出海模式！

来源：市场资讯

（来源：四大新鲜事儿）

当一辆智能汽车、一台工业机器人或一套智能家居设备进入欧盟市场后，设备运行过程中持续产生的数据，应当由谁控制？是产品制造商、云服务商、设备所有者，还是实际使用设备的人？在过去，这个问题往往由掌握技术平台和数据接口的一方决定。如今，欧盟正在通过《数据法案》（EU Data Act）重新划分数据访问、使用和共享的权利边界。

对于中国出海企业而言，这不只是一项新的“数据合规要求”。它可能直接影响智能产品的设计方式、数据平台的技术架构、云服务合同、售后服务模式，以及企业对商业秘密和核心数据资产的保护能力。随着《数据法案》进入实施阶段，面对高额的违规罚款以及越来越多的欧洲客户、合作伙伴和供应链企业开始关注相关合规能力。对于已经进入或计划进入欧盟市场的中国企业而言，尽早开展评估和能力建设已不再是“是否需要做”的问题，而是“何时开始做”的问题。

《数据法案》不是另一部《通用数据保护条例》（GDPR）

欧盟《数据法案》的正式名称是《欧洲议会和理事会关于公平访问和使用数据的统一规则》，即 Regulation (EU) 2023/2854。该法规于2024年1月11日生效，并已自2025年9月12日起正式适用。与此同时，《数据法案》第3条规定的“数据可访问设计（Access by Design）”要求将自2026年9月12日起适用于新投放欧盟市场的联网产品和相关服务，要求企业从产品设计和研发阶段就具备数据访问能力，而非在产品上市后通过额外功能进行补充。

提到欧盟数据监管，很多企业首先想到的是《通用数据保护条例》（General Data Protection Regulation, GDPR）。两者确实存在交叉，但关注的问题并不相同。GDPR主要保护自然人的个人数据与隐私权，重点回答“企业能否以及如何处理个人数据”。《数据法案》则更广泛地关注“联网产品及其服务使用中产生的数据”，覆盖个人数据与非个人数据的访问、使用、共享、迁移和价值分配，重点回答“谁可以使用哪些数据，以及在什么条件下使用”。

例如，智能汽车产生的数据可能同时包括车辆故障信息、电池运行状态、驾驶行为和位置信息。其中，位置信息和能够关联到驾驶者的数据可能属于个人数据，需要遵守GDPR；设备性能和零部件状态等数据则可能属于非个人数据，但仍可能受到《数据法案》的调整。

因此，《数据法案》并不会取代GDPR。企业需要同时识别数据共享义务、个人数据处理依据、商业秘密保护和网络安全风险，避免出现“为了满足一部法律，却违反另一部法律”的情况。欧盟委员会也明确将《数据法案》定位为一项跨行业的数据访问与使用规则，并强调个人数据保护仍应得到保障。

为什么欧盟要制定《数据法案》？

智能汽车、可穿戴设备、工业机械、农业设备和智能家居产品每天都在产生大量数据。但在传统商业模式下，用户虽然购买或租赁了设备，却未必能够查看、导出或自主使用设备产生的数据。数据通常掌握在产品制造商、平台运营商或相关服务提供商手中。用户想要将数据提供给独立维修商、保险公司或第三方分析服务机构时，常常会遇到接口不开放、数据格式不兼容、合同不允许或迁移成本过高等障碍。

欧盟希望通过《数据法案》降低这些数据壁垒，使消费者和企业用户对其使用联网产品所产生的数据拥有更大的控制权，同时促进维修、售后服务、工业分析、云计算和数据创新市场的竞争。

《数据法案》的逻辑并不是简单地宣布“数据归用户所有”，而是建立一套更加细致的规则：

这意味着企业需要从法律、产品、技术、安全和商业模式多个维度共同应对。

企业不合规的代价远不止高额罚款

对于许多中国出海企业而言，《数据法案》最大的误区，是将其视为一项仅影响法务团队的新数据法规。事实上，《数据法案》直接影响产品设计、数据访问与共享机制、云服务切换能力以及客户数据管理模式。一旦未能满足相关要求，企业不仅可能面临监管调查和高额处罚，还可能失去重要客户、被要求调整现有产品，甚至影响其在欧盟市场的持续经营能力。

与 GDPR 不同，《数据法案》没有统一的欧盟层面罚款上限。法案第40条要求各成员国制定自己的处罚规则，并确保处罚是“有效、相称且具有威慑力”的。而对于《法案》中涉及个人数据处理义务的违规行为，数据保护监管机构可以依据 GDPR 实施行政罚款。最高可达2,000万欧元；或企业全球年度营业额的4%，两者取较高者。对于大型跨国企业而言，这意味着潜在处罚金额可能达到数千万甚至上亿欧元。

除监管处罚外，自然人和法人还可以向主管机关提出投诉，并依法寻求司法救济。同时，《数据法案》也可能与欧盟消费者集体救济机制产生联动，因此企业在特定情况下还可能面临消费者组织或其他机构发起的集体维权行动。

更值得关注的是，大型欧洲客户正在逐步将《数据法案》相关要求纳入供应商评估、采购尽职调查和合同谈判过程。因此，从实际商业影响来看，除了罚款本身，很多时候比罚款更值得担心的是大型客户流失、法院禁令、集体维权和声誉损失：

进而使企业的商业模式、品牌认可度和营业收入都收到冲击。

为什么中国企业需要立即行动？

《数据法案》的许多要求并非通过更新隐私政策或补充合同条款即可完成。用户数据访问机制、第三方共享流程、商业秘密保护措施、数据门户、API接口以及云服务迁移能力往往涉及产品功能调整、系统改造和跨部门协同。对于已经在欧盟市场销售产品的企业而言，整改适配工作可能需要较长周期。因此，越早开展适用性评估和差距分析，企业越能够降低罚款风险及后续实施成本，并减少因客户要求或监管变化带来的业务影响。

哪些中国企业需要重点关注？

在《数据法案》框架下，“是否进入欧盟数据生态并控制相关数据”往往比“企业是否在欧盟设立法人实体”更能决定其是否受到监管约束。从实际业务场景来看，以下行业尤其需要关注：

需要强调的是，上述行业属于《数据法案》的典型应用领域，而不是法规设定的封闭行业目录。对于同时提供智能设备、云平台和售后服务的企业，还可能在不同业务环节承担多重角色，需要分别识别相应义务，并将法规要求落实到产品设计、数据治理、合同安排和网络安全措施之中。

《数据法案》具有明显的域外适用效力，其适用范围并不限于在欧盟境内设立法人实体的企业。对于中国企业而言，即使未在欧盟设立子公司、分公司或其他法律实体，只要在欧盟市场销售联网产品、提供相关数字服务，或者向欧盟客户提供云服务、数据处理服务，便需要评估法案的适用性。

尤其需要注意的是，法案对于义务主体的判断并不单纯以企业注册地、服务器所在地或销售主体为依据，而更加关注企业在数据生态中的实际角色，如掌握客户设备数据的平台运营方等。例如，设备虽然由欧洲经销商销售，但设备运行过程中产生的遥测数据、运行数据或用户数据被回传至中国总部进行存储、分析和管理；或者欧洲客户购买设备后，相关数据全部进入由中国厂商运营的云平台。在此类场景下，中国企业仍可能因其在数据访问、管理、使用和共享过程中的实际职责，而被纳入《数据法案》的适用范围并承担相应合规义务。

《数据法案》将给企业带来哪些具体变化？

变化一：销售前增加数据透明披露

《数据法案》要求企业将数据透明度前置到产品销售和客户沟通环节。在用户购买、租赁或使用联网产品之前，企业需要以清晰、易于理解的方式向用户说明产品的数据生成和使用情况，而不能仅通过冗长的隐私政策或合同条款履行告知义务。

企业需要考虑披露的信息包括：

企业需要在产品上市前就完成相关规划，而不是在产品上线后再通过法律文件进行补充。

变化二：产品支持用户访问和获取数据

《数据法案》进一步要求，联网产品和相关服务不能再将用户数据访问权仅停留在政策声明或合同承诺层面。对于符合法定条件的用户，企业需要提供便捷、安全且有效的数据访问机制，使其能够实际获取产品使用过程中产生的数据。这可能涉及用户门户、移动应用、API接口、数据导出工具、身份认证、权限管理、日志记录和请求响应机制。

这意味着《数据法案》合规需要提前进入产品需求、研发设计和销售流程，而不能等到产品上线后再由法务部门补充一份政策文件。随着《数据法案》自2025年9月12日起正式适用，企业需要具备持续、有效地自动化响应用户数据访问和第三方数据共享请求的能力。因此，数据访问能力建设将成为企业最大的实施挑战之一。

变化三：用户可以要求把数据提供给第三方

用户不仅可以自己访问设备产生的数据，还可能要求数据持有者将相关数据提供给指定的第三方。以智能设备维修为例，用户可以选择独立维修商，并要求相关设备数据用于故障判断。这有助于降低对原厂售后服务的依赖，也会改变制造商对售后数据的传统控制模式。欧盟委员会将此类规则视为扩大用户选择和促进数据驱动型服务竞争的重要措施。

企业因此需要建立一套可执行的第三方数据共享流程和技术方案，否则，企业很容易陷入两种极端。一种是为了降低风险而拒绝所有请求，可能构成不合规；另一种是未经审查即提供数据，可能造成个人数据泄露、商业秘密暴露或网络安全事件。

变化四：商业秘密不能成为“一拒了之”的理由

设备数据可能暴露产品性能、算法规律、系统架构或工艺参数，这也是很多制造企业最担心的问题。

《数据法案》并未否定商业秘密保护。相反，它允许企业采取必要的技术和组织措施保护商业秘密，并在特定高风险情况下设置相应保障。但企业通常不能只写一句“涉及商业秘密”，就拒绝所有数据访问或共享请求。

更稳妥的做法是建立数据分层分类和风险评估机制，《数据法案》真正带来的挑战，是要求企业证明自己的限制措施具有必要性和比例性，而不仅是基于内部政策作出笼统判断。

变化五：数据合同需要重新审查

在企业间的数据交易和共享中，合同地位较强的一方不能单方面强加明显不公平的条款。

对于中国出海企业，这会影响数据许可协议、设备租赁合同、平台合作协议、售后服务协议、经销协议、云服务合同和数据分析合作协议等相关合作协议。

变化六：云服务需要解决“迁不走”的问题

客户从一家云服务商迁移到另一家时，经常面对数据难以导出、接口不开放、应用无法兼容、费用过高或迁移时间不确定等问题。

《数据法案》通过云服务切换和互操作规则，试图减少此类锁定。对服务商而言，这不只是修改合同，还可能需要调整技术架构、数据格式、导出机制、服务流程和安全控制。因此，迁移并不意味着简单地下载一个压缩包。企业还需要处理一系列技术性问题。因此，云服务和SaaS企业有必要尽早把可迁移性纳入架构治理。

落地中的跨部门协同挑战

《数据法案》的实施具有明显的跨专业特征。法律团队需要确定适用范围、角色和义务；产品团队需要重新设计用户入口；研发团队需要提供数据接口；安全团队需要防止越权访问和接口滥用；隐私团队需要判断是否涉及个人数据；商业团队则要调整合同与收费模式。

如果只从单一角度推进，往往会留下一系列断点：

因此，企业真正需要的不是一份通用检查表，而是一套能够落实到产品、流程、合同和技术控制中的合规方案。

我们如何帮助企业应对《数据法案》

作为专注于网络安全与隐私保护的咨询团队，托普华永道全球网络以及欧洲成员机构的本地专家资源，我们能够结合欧盟监管要求、执法实践和行业经验，为中国出海企业提供本地化与全球化相结合的专业支持，帮助企业更有效地应对欧盟市场的数据合规挑战，帮助企业把《数据法案》的法律要求转化为可实施、可验证、可持续运行的控制措施。

针对《数据法案》下的数据访问和共享要求，普华永道可协助企业梳理相关数据系统和数据流转路径，并结合自动化工具能力，实现自动化响应，帮助企业提升合规运营效率和用户体验。

普华永道EU Data Act自动化解决方案示例：

结语

《数据法案》的实施，意味着欧盟数据监管正在从个人数据保护进一步延伸至联网产品数据的访问、共享与流通。对中国出海企业而言，合规不应只是对法规条文的被动响应，而应成为优化产品设计、完善数据治理、提升安全能力和建立客户信任的重要契机。

作为一家成熟的全球化公司，普华永道拥有丰富的网络安全、隐私保护和数据合规实践经验。依托覆盖全球的专业服务网络以及欧洲成员机构的本地监管和行业实践经验，我们能够为中国出海企业提供跨区域、跨学科的一体化支持，帮助企业更好地理解和应对欧盟市场的合规要求。同时结合企业的产品形态、数据角色、技术架构和欧盟业务阶段，提供从适用性与差距评估、数据梳理、访问与共享机制建设，到产品及接口安全、敏感数据保护、云迁移安全和持续运营的专业支持，协助企业准确识别《数据法案》带来的合规要求与潜在风险，并将其转化为可执行的治理机制、产品能力和安全措施，帮助企业平稳完成法规过渡，为持续、稳健地拓展海外市场奠定合规基础。

同时，普华永道也将陪伴中国企业平稳应对各国监管变化，在降低中国企业出海合规风险的同时，进一步提升产品可信度、客户信任和全球化竞争力，为企业安全、稳健地拓展海外市场提供有力支撑。

黄启佳

普华永道中国咨询业务主管合伙人

电话：+86 (21) 2323 8896

邮箱：horatio.kk.wong@cn.pwc.com

中部

张俊贤

普华永道中国中部网络安全和隐私服务主管合伙人

电话：+86 (21) 2323 3927

邮箱：chun.yin.cheung@cn.pwc.com

黄思维

普华永道中国网络安全和隐私服务合伙人

电话：+86 (21) 2323 2605

邮箱：miles.huang@cn.pwc.com

潘晓鸥

普华永道中国网络安全和隐私服务合伙人

电话：+86 (21) 2323 2693

邮箱：sean.pan@cn.pwc.com

北部

李睿

普华永道中国内地网络安全和隐私服务主管合伙人

电话：+86 (10) 6533 2312

邮箱：lisa.ra.li@cn.pwc.com

南部

吴冠豪

罗兵咸永道网络安全、数据及科技风险咨询主管合伙人

电话：+852 2289 2967

邮箱：gary.kh.ng@hk.pwc.com

翁泽鸿

普华永道中国网络安全和隐私服务合伙人

电话：+86 (20) 3819 2629

邮箱：danny.weng@cn.pwc.com

谢浩程

罗兵咸永道网络安全和隐私服务主管合伙人

电话：+852 2289 2086

邮箱：jenius.h.shieh@hk.pwc.com

本文亦感谢普华永道中国网络安全和隐私服务经理高俊夫以及高级顾问刘兰兰的贡献。