直接答案：欧盟《数据法》（Data Act，Regulation (EU) 2023/2854）自 2025-09-12 起适用；对2026-09-12 之后投放欧盟市场的联网产品及相关服务，第 3(1) 条要求默认让用户轻松、安全、免费、以结构化/通用/机器可读格式访问产品数据、相关服务数据和必要元数据（在相关且技术可行时可直接访问）。用户还可以依据第 4 条要求数据持有人提供数据，或依据第 5 条让数据持有人把数据分享给第三方；数据持有人须不迟延、同等质量、对用户免费地提供。云/边缘等数据处理服务商则要满足切换要求：最长通知期 2 个月、过渡期 30 天（技术不可行时最长 7 个月）、切换后至少 30 天取回期，2027-01-12 起不得再收切换费（此前只能收与切换直接相关的减收费）。
本文面向在欧盟销售联网产品（IoT、工业设备、智能家电、车辆相关设备等）的制造商/出口商，以及提供云、边缘、SaaS 等数据处理服务的厂商。资料截止 2026-11-08；依据欧盟委员会 Data Act 政策页、Data Act Explained、EUR-Lex 法规原文、委员会 Data Act FAQ（版本 1.4，2026-01-22）。本文把“官方事实”“编辑解读”和“待确认项”分开写，不构成法律意见。
① Data Act 已经适用；2026-09-12 是新投放联网产品适用第 3(1) 条“默认可访问”设计的节点，不是整部法规的生效日。② 对用户免费，不等于对第三方免费：数据持有人可按第 9 条向第三方请求合理、非歧视补偿（不得向用户收费）。③ 云切换的硬约束是 2 个月通知、30 天过渡、30 天取回，2027-01-12 起切换费归零；合同和导出格式要现在就改。
时间表：从生效到 2027 年切换费归零
Data Act 于 2023-12-13 通过、2023-12-22 在官方公报公布、2024-01-11 生效，自 2025-09-12 起适用。第 50 条还规定了分阶段适用：第 3(1) 条对2026-09-12 之后投放市场的联网产品及相关服务适用；第四章（不公平合同条款）适用于 2025-09-12 之后订立的合同，对在此之前的无限期合同或至少还有 10 年才到期的合同，从 2027-09-12 起适用；切换费从 2024-01-11 至 2027-01-12 可收减收费，2027-01-12 起归零。
| 日期 | 事项 | 对企业含义 |
|---|---|---|
| 2023-12-13 | Data Act 通过 | 欧盟数据访问/共享/切换的统一规则 |
| 2024-01-11 | 生效 | 进入实施准备期 |
| 2025-09-12 | 开始适用 | 数据访问、共享、合同、切换等主要义务 |
| 2026-09-12 | 第 3(1) 条适用节点 | 之后投放市场的联网产品须默认可访问数据 |
| 2027-01-12 | 切换费归零 | 云/边缘服务商不得再收切换费 |
| 2027-09-12 | 第四章对旧合同适用 | 无限期/长期合同的不公平条款规则 |
来源：Regulation (EU) 2023/2854 第 50 条；欧盟委员会 Data Act 政策页与 Data Act Explained（访问 2026-11-08）。具体适用、过渡和成员国执行以法规原文与主管机关要求为准。
谁在范围内：产品、数据持有人、用户、第三方、云服务商
Data Act 覆盖在欧盟市场投放的联网产品及其相关服务，以及数据处理服务（云、边缘等）。核心角色包括：制造商/数据持有人（设计产品、持有数据、向用户/第三方提供）、用户（购买/租赁/租用联网产品的个人或企业）、第三方（经用户请求接收数据的数据接收方）、数据处理服务商（提供切换）、公共部门（第 V 章例外需求访问）。非欧盟制造商只要把联网产品投放欧盟市场，就要对该产品适用相关义务；Data Act 还包含防止第三国政府非法访问欧盟境内非个人数据的保障（第 VII 章）。
| 角色 | 核心义务/位置 | 先核对 |
|---|---|---|
| 联网产品制造商 | 默认数据可访问设计、售前披露、数据持有人义务 | 产品是否投放欧盟市场、投放时间 |
| 数据持有人 | 向用户/第三方提供数据、贸易秘密保护、补偿规则 | 数据范围、是否含贸易秘密 |
| 用户 | 访问/使用/分享数据；不得用于开发竞争产品 | 用户身份与授权 |
| 第三方 | 目的限制、不得画像、不得转给 gatekeeper、不得开发竞争产品 | 合同与用户授权 |
| 云/边缘服务商 | 切换、导出、通知/过渡/取回、切换费 | 服务类型、合同期限 |
| 公共部门 | 例外需求下的数据请求（第 V 章） | 请求依据与范围 |
| 非欧盟厂商 | 产品投放欧盟市场即适用；第三国访问保障 | 欧盟代表/数据处理地 |
来源：Regulation (EU) 2023/2854 第 1–6、23–31、34–36 条与欧盟委员会 Data Act Explained（访问 2026-11-08）。表中为编辑整理；具体适用范围、角色认定和成员国执行以法规原文为准。
联网产品：默认可访问、售前披露、用户请求
第 3 条要求联网产品在设计和制造时，就让产品数据和相关服务数据（含解释/使用所需元数据）默认轻松、安全、免费、全面、结构化、通用、机器可读，并在相关且技术可行时直接对用户可访问。售前还要以清晰易懂方式披露：数据类别/格式/预估量、是否连续/实时生成、是否存本地/远程及保留期、用户如何访问/取回/删除、如何请求分享给第三方、投诉权利等。若用户不能直接从产品访问，第 4 条要求数据持有人在不迟延、同等质量、免费、结构化/机器可读、相关时连续/实时地提供；涉及安全限制或贸易秘密时，按第 4(2)、(6)–(9) 条处理并通知主管机关。
| 义务 | 要点 | 可核对证据 |
|---|---|---|
| 默认可访问设计 | 第 3(1)：数据+元数据默认易用、安全、免费、结构化、机器可读、可直接访问 | 产品架构、API/导出文档、权限设计 |
| 售前披露 | 第 3(2)/(3)：数据类型/格式/量、实时性、存储/保留、访问/删除、分享/投诉 | 说明书、合同附件、产品页 |
| 用户请求 | 第 4：不迟延、同等质量、免费、结构化/机器可读、连续/实时 | 请求流程、SLA、日志 |
| 第三方分享 | 第 5：按用户请求提供；对用户免费；按第 8/9 条条件 | 授权记录、分享接口、合同 |
| 安全限制 | 第 4(2)：可合同限制/禁止，但须有严重健康/安全/安保影响并通知主管机关 | 风险评估、限制依据、通知记录 |
| 贸易秘密 | 第 4(6)–(9)：识别、保密措施、可暂扣/拒绝并书面说明、通知主管机关 | 贸易秘密清单、NDA/访问控制 |
来源：Regulation (EU) 2023/2854 第 3–5 条（访问 2026-11-08）。表中为编辑整理；数据范围、贸易秘密认定和安全例外需按具体产品与法律意见判断。
第三方分享：目的限制、合同与补偿
用户要求把数据分享给第三方时，数据持有人按第 5 条提供；第三方则受第 6 条约束：只能按与用户约定的目的和条件处理，目的完成后删除（非个人数据另有约定除外）；不得以非中立方式操纵用户选择；不得为画像使用数据（除非为提供服务所必需）；不得把数据转给另一第三方（除非与用户有合同且采取贸易秘密保护措施）；不得把数据提供给被指定为 gatekeeper 的企业；不得用数据开发与源产品竞争的产品。第 8 条要求数据持有人以公平、合理、非歧视、透明的条件提供，不得歧视同类数据接收方；第 9 条允许双方约定合理补偿（可含利润，但中小企业/非营利研究机构不得超过直接成本），补偿不得成为数据本身的对价。第 13 条还规定企业间不公平合同条款不具约束力。
| 对象 | 关键约束 | 合同/证据 |
|---|---|---|
| 第三方 | 目的限制、删除、不得画像、不得转给 gatekeeper、不得开发竞争产品 | 数据分享协议、用户授权、审计权 |
| 数据持有人 | FRAND、非歧视、透明；不得披露贸易秘密（除法定例外） | 条款、价格/补偿方法、拒绝理由 |
| 补偿 | 合理、非歧视、可含利润；中小企业/非营利研究机构仅限直接成本 | 成本核算、补偿明细 |
| 不公平条款 | 第 13 条：显著偏离良好商业惯例、违背诚信的条款不具约束力 | 合同审查、谈判记录 |
| 用户 | 不得用数据开发竞争产品，不得为该目的分享 | 使用限制条款 |
来源：Regulation (EU) 2023/2854 第 5、6、8、9、13 条（访问 2026-11-08）。表中为编辑整理；补偿计算、贸易秘密措施和不公平条款认定需结合具体合同与法律意见。
云切换：2 个月通知、30 天过渡、30 天取回、2027 年费用归零
第 23 条要求数据处理服务商移除切换障碍；第 25 条要求合同明确切换权利义务：客户可要求切换到同类服务或本地 ICT，通知期最长 2 个月，过渡期最长 30 个日历日；若技术上不可行，服务商须在 14 个工作日内说明并给出替代过渡期，最长 7 个月；过渡期后至少30 天取回期，取回期结束后彻底删除可导出数据。第 29 条规定 2024-01-11 至 2027-01-12 可收“减收费”，且不得超过切换直接成本；2027-01-12 起不得收任何切换费。第 30 条要求非基础设施类服务提供开放接口，按结构化/通用/机器可读格式导出；第 28 条要求披露 ICT 基础设施所在司法辖区和防止第三国政府访问的措施。
| 环节 | 时限/要求 | 企业动作 |
|---|---|---|
| 通知期 | 最长 2 个月 | 合同写清通知方式与起算点 |
| 过渡期 | 30 个日历日；不可行时最长 7 个月 | 提供协助、保持连续性、披露风险 |
| 取回期 | 过渡期后至少 30 天 | 导出格式、接口、下载工具 |
| 删除 | 取回期后彻底删除可导出数据 | 删除证明、审计记录 |
| 切换费 | 2027-01-12 起为零；此前仅直接成本 | 费用清单、成本核算 |
| 接口/格式 | 非基础设施服务开放接口；结构化/机器可读 | API 文档、导出格式、在线登记 |
| 国际访问 | 披露司法辖区与防止第三国访问措施 | 网站专页、合同条款 |
来源：Regulation (EU) 2023/2854 第 23、25、28–30 条（访问 2026-11-08）。表中为编辑整理；“同类服务”、技术不可行和定制服务的适用范围以法规原文与主管机关解释为准。
90 天落地清单
如果还没有 Data Act 项目，建议先用 90 天把“产品产生什么数据、谁能访问、怎么导出、合同怎么写、云怎么切”串起来。顺序是：数据地图 → 产品设计/售前披露 → 用户与第三方请求流程 → 贸易秘密与合同 → 云切换/导出 → 证据与演练。
| 阶段 | 动作 | 产出 |
|---|---|---|
| 第 1–2 周 | 盘点联网产品、生成数据、元数据、存储位置、用户类型 | 数据地图、适用产品清单 |
| 第 2–4 周 | 按第 3 条做默认可访问设计与售前披露 | 产品/说明书/合同更新清单 |
| 第 4–6 周 | 建用户访问与第三方分享流程（第 4/5 条） | 请求表单、API/导出、授权记录 |
| 第 5–7 周 | 识别贸易秘密、安全限制与拒绝/暂扣流程 | 贸易秘密清单、NDA、通知模板 |
| 第 6–9 周 | 审查数据共享合同与补偿方法（第 8/9/13 条） | 合同模板、补偿核算 |
| 第 8–11 周 | 云切换演练：通知、过渡、导出、取回、删除 | 切换 Runbook、导出格式、费用清单 |
| 第 10–12 周 | 证据包与管理层评审 | 合规证据索引、整改计划 |
编辑整理的落地建议，不是官方模板；具体产品设计、合同、贸易秘密和切换要求以 Data Act、委员会 FAQ/指南和主管机关要求为准。
常见问题
Data Act 现在生效了吗？
适用了。Data Act 于 2024-01-11 生效，自 2025-09-12 起适用；第 3(1) 条对 2026-09-12 之后投放市场的联网产品及相关服务适用。2027-01-12 起切换费归零。
2026-09-12 这个日期是什么意思？
它是第 3(1) 条“默认可访问”设计义务对新投放产品的适用节点：2026-09-12 之后投放欧盟市场的联网产品和相关服务，须让用户默认能轻松、安全、免费、结构化/机器可读地访问产品数据、相关服务数据和必要元数据。它不是整部法规的生效日。
哪些产品/企业适用？
在欧盟市场投放的联网产品及相关服务，以及云/边缘等数据处理服务。制造商、数据持有人、用户、第三方数据接收方和数据处理服务商都可能是义务主体。非欧盟制造商只要把产品投放欧盟市场，也要对该产品适用相关义务。
数据要免费给用户吗？
第 3/4 条要求对用户免费提供；第 5 条第三方分享也要求“对用户免费”。但数据持有人可以按第 9 条向第三方数据接收方请求合理、非歧视的补偿（可含利润；中小企业/非营利研究机构仅限直接成本），补偿不是数据本身的对价，也不能向用户收费。
贸易秘密怎么办？
数据持有人要识别贸易秘密并在元数据中标注，与用户/第三方约定保密措施（NDA、访问控制、技术标准等）。未达成措施、用户不执行或泄露时，可暂扣/暂停分享，并书面说明、通知主管机关；在极可能遭受严重经济损失的例外情况下，可逐案拒绝，但须书面说明并通知主管机关。
云切换要多久、还收费吗？
通知期最长 2 个月；过渡期原则 30 个日历日，技术不可行时最长 7 个月；过渡期后至少 30 天取回期，之后彻底删除。2024-01-11 至 2027-01-12 只能收与切换直接相关的减收费；2027-01-12 起不得收任何切换费。
个人数据怎么处理？
Data Act 不影响 GDPR。涉及个人数据时，仍要有 GDPR 第 6 条（及必要时第 9 条）的合法依据；用户不是数据主体时，数据持有人向第三方提供个人数据也要满足 GDPR 和 ePrivacy 条件。Data Act 不构成收集/生成个人数据的法律依据。
罚款多少？
Data Act 要求成员国设定有效、相称、具有威慑力的处罚，并在 2025-09-12 前通知委员会；没有统一的欧盟罚款金额。对第 II、III、V 章等义务的违反，GDPR 监管机构可在其权限内按 GDPR 第 83 条罚款（最高至第 83(5) 条金额）。具体金额/程序看成员国法律。
研究方法与局限
本文把“官方事实”和“编辑建议”分开：Data Act 的通过/生效/适用日期、第 3(1) 条的 2026-09-12 节点、2027-01-12 切换费归零、第 3/4/5/6/8/9/13/23/25/28/29/30/40 条内容，来自 EUR-Lex Regulation (EU) 2023/2854；政策背景、章节划分和适用说明来自欧盟委员会 Data Act 政策页、Data Act Explained 与委员会 FAQ（版本 1.4，2026-01-22）。90 天清单和表格中的“证据/动作”为编辑整理。
局限有八个：① 本文不是法律意见；② 未逐国核对主管机关、处罚金额和执法实践；③ 委员会 FAQ/指南可能更新（本文使用 2026-01-22 版本 1.4）；④ 贸易秘密、安全限制和“技术不可行”的判断高度依赖具体产品与事实；⑤ 未覆盖车辆数据等特定行业指南；⑥ 未提供合同模板、API 规范或技术标准细节；⑦ 未展开 Data Act 与 GDPR、Data Governance Act、DMA/DSA 的逐条交叉；⑧ 个人数据处理、第三国访问和跨境传输需结合具体法律意见。
数据来源与口径
- European Commission, Data Act：digital-strategy.ec.europa.eu/en/policies/data-act。2024-01-11 生效、2025-09-12 适用；联网产品数据访问、云切换、公共部门访问、合同不公平条款等。访问 2026-11-08。
- European Commission, Data Act explained：digital-strategy.ec.europa.eu/en/policies/data-act-explained。章节结构、IoT 数据共享、云切换、第三国访问保障、与 Data Governance Act 的关系。访问 2026-11-08。
- EUR-Lex, Regulation (EU) 2023/2854（Data Act）：eur-lex.europa.eu/eli/reg/2023/2854/oj。第 3/4/5/6/8/9/13 条数据访问与共享、第 23/25/28/29/30 条云切换、第 40 条处罚、第 50 条分阶段适用。访问 2026-11-08。
- European Commission, Commission publishes Frequently Asked Questions about the Data Act（FAQ 版本 1.4，2026-01-22）：digital-strategy.ec.europa.eu/en/library/commission-publishes-frequently-asked-questions-about-data-act。实施 FAQ、模型合同条款/标准合同条款、车辆数据指南、法律 Helpdesk。访问 2026-11-08。
资料截止 2026-11-08；本文依据官方页面与法规原文整理，不构成法律意见；具体义务以 Data Act、委员会指南/FAQ、主管机关和成员国法律为准。