关于数据公平获取与使用统一规则并修订条例（EU）2017/2394 与指令（EU）2020/1828 的条例（EU）2023/2854
欧洲议会与欧盟理事会 · Regulation (EU) 2023/2854
欧盟数据经济的横向规则，覆盖六块内容：连接产品与相关服务产生的数据向用户开放（第二章）；依法定义务向数据接收方提供数据（第三章）；企业间数据相关合同的不公平条款控制（第四章）；公共部门基于例外需要获取私营部门数据（第五章）；数据处理服务（云、边缘）的切换与互操作（第六章）；以及针对第三国政府非法获取在欧盟持有的非个人数据的保护（第七章）。对中国企业而言，最具冲击力的是第二章与第六章：前者要求智能硬件"数据可取出"，后者要求云与 PaaS 服务"可被搬走"。
适用范围明确覆盖境外主体。具体触发动作：（1）向欧盟市场投放连接产品（服务机器人、扫地机、智能摄像头、可穿戴、智能座舱、工业传感设备）或提供其相关服务的制造商与服务商，无论设立地在何处（第 1(3)(a) 条）；（2）向欧盟数据接收方提供数据的数据持有者，无论设立地（第 1(3)(c) 条）；（3）向欧盟客户提供数据处理服务的提供者，无论设立地（第 1(3)(f) 条）——中国云厂商、AI PaaS、模型托管平台在欧盟拓客即落入；（4）在欧盟持有非个人数据的数据处理服务提供者面临第 32 条对第三国政府调取的限制。注意第二章覆盖个人与非个人数据，与 GDPR 并行适用。
重点行业：具身智能与机器人、AI 硬件与算力、智能驾驶、企业软件 SaaS、大模型 / 生成式 AI
2024-01-11
条例生效
生效但设过渡期；第 29(2) 条允许在 2024-01-11 至 2027-01-12 期间收取不超过实际成本的削减后切换费。
2025-09-12
条例开始适用
总体开始适用。第四章（企业间数据相关合同的不公平条款规则）适用于此日之后订立的合同；第三章适用于此日之后生效的欧盟法或成员国法规定的数据提供义务。成员国须于本日前向委员会通报罚则规则。
2026-09-12
连接产品的"设计即可访问"义务适用于新上市产品
第 3(1) 条（连接产品与相关服务须在设计上使产品数据与相关服务数据默认、便捷、安全、免费、以全面结构化通用机器可读格式，并在相关且技术可行时直接对用户可访问）适用于本日之后投放市场的连接产品及其相关服务。
2027-01-12
云服务切换费用全面取消
第 29(1) 条：自本日起，数据处理服务提供者不得就切换流程向客户收取任何切换费。
2027-09-12
第四章适用于部分存量长期合同
第四章自本日起适用于 2025-09-12 及之前订立、且属无限期或自 2024-01-11 起至少十年后到期的合同。
每条都写明触发条件、需要留存的证据与条款出处
连接产品的设计与制造、相关服务的设计与提供，须使产品数据与相关服务数据（含解读和使用这些数据所必需的元数据）默认、便捷、安全、免费、以全面、结构化、通用且机器可读的格式可用，并在相关且技术可行时可由用户直接访问。该义务适用于 2026-09-12 之后投放欧盟市场的连接产品及其相关服务。
首次达标投入估算：20–60 人日（估算，非承诺）
在订立连接产品的购买、租赁或租借合同前，销售方、出租方或出租人（可以是制造商）须以清晰易懂的方式向用户至少说明：产品能生成的产品数据的类型、格式与预估量；是否能连续、实时生成数据；数据存储于设备端还是远程服务器（含预计保留期限）；用户如何访问、取回或在相关时删除数据，包括技术手段、使用条款与服务质量。相关服务提供者在订立服务合同前须说明预期获取的产品数据的性质、预估量与采集频率、相关服务数据的性质与预估量、访问与取回安排、存储安排与保留期限等。
首次达标投入估算：5–12 人日（估算，非承诺）
当用户无法从产品或相关服务直接获取数据时，数据持有者须无不当延迟地向用户提供可随时获得的数据及必要元数据，质量与其自身可得者相同，且便捷、安全、免费，采用全面、结构化、通用且机器可读的格式，在相关且技术可行时连续实时提供，并应支持通过电子方式的简单请求。用户还有权要求数据持有者以同等条件将该等数据提供给其指定的第三方。数据持有者仅在共享会危及欧盟或成员国法律规定的产品安全要求并对人身健康安全造成严重不利影响时，方可与用户约定限制或禁止，且拒绝共享时须通知依第 37 条指定的主管机关。依《数字市场法》被指定为守门人的企业不得作为本条下的合格第三方。
首次达标投入估算：15–40 人日（估算，非承诺）
一家企业单方施加于另一家企业的、关于数据访问与使用或数据相关义务违约与终止的责任与救济的合同条款，若不公平则对被施加方不具约束力。条款的使用严重偏离数据访问与使用领域的良好商业惯例、违反诚信与公平交易的，即为不公平。第 13(4) 条列明当然不公平的情形，包括排除或限制单方施加方对故意或重大过失的责任、排除被施加方在对方不履约时可获得的救济或对方的相应责任等。反映欧盟法强制性规定、或在合同未作约定时本应适用的欧盟法规定的条款，不视为不公平。
首次达标投入估算：5–15 人日（估算，非承诺）
数据处理服务提供者须采取第 25、26、27、29、30 条规定的措施，使客户能切换到同一服务类型的其他提供者、迁移至本地 ICT 基础设施，或在相关时同时使用多个提供者；并须移除阻碍客户终止合同、与其他提供者订立新合同、移植其可导出数据与数字资产（含在使用免费额度后）的商业、技术、合同与组织障碍。自 2027-01-12 起不得收取任何切换费；2024-01-11 至 2027-01-12 期间只能收取不超过与该次切换直接相关成本的削减后费用。签约前须向潜在客户清晰说明标准服务费、可能的提前终止罚金与过渡期内可能收取的削减后切换费，并在网站专区或其他易访问方式向客户公开。
首次达标投入估算：20–60 人日（估算，非承诺）
数据处理服务提供者须采取一切适当的技术、组织与法律措施（包括合同安排），防止在与欧盟法或相关成员国国内法相冲突的情况下发生国际与第三国政府对其在欧盟持有的非个人数据的获取与传输。第三国法院、法庭或行政机关要求传输或提供访问的决定或判决，仅在基于该第三国与欧盟之间、或与某成员国之间生效的国际协定（如司法协助条约）时方可被承认或执行。无此类协定时，只有同时满足第 32(3) 条三项条件（第三国制度要求说明决定的理由与比例性并具有特定性；被要求方的合理反对可由该国有权法院审查；作出或审查该决定的法院有权充分考虑受欧盟法或成员国法保护的数据提供者的相关法律利益）方可传输或提供访问。
首次达标投入估算：10–30 人日（估算，非承诺）
罚则由成员国规定，须有效、相称、劝阻（第 40(1) 条），成员国须于 2025-09-12 前通报委员会。第 40(3) 条列出统一考量因素（性质、严重性、规模与持续时间；减轻或补救行动；既往违规；获益或避免的损失；其他加重减轻因素；违规方在欧盟上一财年的年营业额）。第 40(4) 条特别规定：涉及第二章、第三章与第五章义务且涉及个人数据的违规，GDPR 监管机构可在其权限范围内依 GDPR 第 83 条处以最高至第 83(5) 条金额（2,000 万欧元或全球年营业额 4%）的罚款。
两处需要个案判断：其一，罚则由成员国分别立法，实际金额区间与执法机关在各国不同，本条目未逐国列举；其二，第 41 条要求委员会在 2025-09-12 前制定非约束性示范合同条款（MCT）与云合同标准条款（SCC）；截至核实日，委员会数据法专题页仅列出"建议草案"（Draft Recommendation）版本，未检索到最终通过的建议，因此这些条款的最终文本与法律地位仍待确认，不应在合同中直接引用为已定稿文本。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。