"欧盟《数据法》会影响我们吗？"这个问题正被提上向欧洲销售智能设备、机械或联网设备企业的议程，而且附带着具体日期。据欧盟委员会称，《数据法》于2024年1月11日生效，自2025年9月12日起适用。此外，时间表中的两个关键节点已经临近：联网产品设计义务适用于2026年9月12日之后投放市场的产品；云服务提供者的转换费用则将自2027年1月12日起完全取消。
本文依据欧盟委员会页面和EUR-Lex上的法规文本，概述《数据法》可能影响土耳其企业的途径，并提出一份实用检查清单。
《数据法》规范哪些内容？
Regulation (EU) 2023/2854第1条列出了其涵盖的事项：向用户提供联网产品及相关服务数据、企业之间的数据共享、在特殊情况下向公共机构提供数据、便利数据处理服务之间的转换、防止非个人数据遭受非法境外访问的保障措施，以及互操作性标准。
对土耳其企业而言，决定性因素是适用范围条款。该法规适用于在欧盟投放市场的联网产品的制造商以及相关服务的提供者，无论其设立地在何处。向欧盟客户提供数据处理（云）服务的提供者也适用同样的方法。换言之，总部位于土耳其的制造商或软件公司，如果在欧盟市场提供其产品或服务，就必须进行适用范围评估。
根据该法规的定义，联网产品是指能够生成或收集有关其使用或环境的数据，并能通过电子通信服务、物理连接或设备端访问传输这些数据的物品。相关服务是指与产品相连、缺少它产品就无法执行某项功能的数字服务，包括软件。这一定义可以涵盖从工业机械到家用电器、从车辆设备到农业传感器的广泛产品。
联网产品出口商的义务
设计义务。 联网产品的设计必须使用户能够默认地、轻松、安全、免费地以机器可读格式访问产品及相关服务数据，以及解读这些数据所需的元数据。根据第50条，这一义务适用于2026年9月12日之后投放市场的产品。因此，此后进入欧盟的新型号必须在设计阶段满足这一要求。
售前信息。 在订立合同之前，卖方、出租方或制造商必须清楚说明产品可生成数据的类型、格式和估计数量，数据是否持续实时生成，存储在何处，以及用户如何访问。
访问及与第三方共享。 如果数据无法直接访问，数据持有者必须应用户请求，无不当延误地免费提供可随时获取的数据；当用户或代表用户行事的一方提出请求时，还必须将同样的数据提供给第三方。该法规另行规定了保护商业秘密的措施，以及在特殊情况下附理由拒绝的可能性。
对自身使用的限制。 数据持有者只能依据与用户订立的合同使用可随时获取的非个人数据，且不得从这些数据中推断有关用户经济状况或生产方法、可能削弱用户商业地位的信息。
小企业豁免。 本节义务不适用于微型和小型企业制造的联网产品；但前提是该企业没有超过这一规模的合伙企业或关联企业，且不为他人进行合同制造。因此，对于为大品牌进行合同制造的土耳其小型供应商而言，豁免并非自动适用。
企业间合同。 一家企业单方面强加给另一家企业、严重偏离良好商业惯例的数据访问和使用条款不具约束力。这些规则适用于2025年9月12日之后订立的合同；对于此前订立的无固定期限或长期合同，适用日期为2027年9月12日。
对云服务用户和云服务提供者
该法规第六章旨在消除阻碍客户转换到同类服务、其他提供者或自有基础设施的商业、技术和合同障碍。根据第25条，合同至少必须包含以下内容：
- 启动转换的通知期最长为两个月。
- 通知期后的转换期最长为30个日历日；如技术上不可行，提供者可在14个工作日内告知客户理由，并提出最长七个月的替代期限。
- 可转移数据和数字资产的完整清单、至少30天的数据取回期，以及此后彻底删除的保证。
在费用方面，第29条规定了分阶段时间表：2027年1月12日之前，提供者只能收取不超过与转换直接相关成本的减额费用；此后，不得收取任何转换费用。提供者还必须在其网站上公布其基础设施所受管辖的司法辖区，以及其针对境外公共机构访问所采取的措施。
由于这些权利是为欧盟客户设定的，土耳其企业的云合同是否属于这一范围，需要根据合同相对方和服务提供地单独评估。而在欧盟设有关联公司的集团，以及向欧盟客户提供SaaS或托管服务的土耳其软件公司，则可能直接属于本节的适用范围。对于为客户定制、不大规模提供的服务，部分技术义务和收费规则不适用。关于云迁移的总体框架，可参阅我们关于云迁移从何入手的文章。
执法与修订议程
处罚由各成员国确定；对于联网产品数据等某些部分的违规行为，数据保护机构可处以最高达《通用数据保护条例》（GDPR）最高处罚档次的行政罚款。
在2025年11月提出的数字综合方案中，欧盟委员会提议在云转换规则中为中小企业、小型中型市值企业和定制服务设立有针对性的豁免。但这仅是提案；截至2026年10月5日，EUR-Lex记录显示没有修订该法规的法案，只有勘误。规划应以现行文本为依据，并单独跟踪修订进程。
检查清单
以下步骤是根据法规文本归纳的一般框架；应通过法律评估，结合您的产品和合同结构加以调整。
- 产品清单： 列出销往欧盟的哪些产品能够生成和传输数据，以及哪些应用或软件可能被视为"相关服务"。
- 日期区分： 单独标记2026年9月12日之后投放市场的型号；设计义务适用于这些型号。
- 数据地图： 针对每种产品，记录生成哪些数据、存储在何处、能以何种格式导出，以及元数据是否充分。
- 售前信息文本： 检查第3条所要求的信息是否完整出现在用户手册、合同和网页上。
- 请求处理流程： 确定由谁、通过何种渠道、在多长时间内处理来自用户或第三方的数据访问请求；事先识别包含商业秘密的数据。
- 规模和合同制造核查： 如依赖小企业豁免，应将有关合伙企业、关联企业和合同制造的条件形成书面记录。
- 合同审查： 根据不公平条款规则，审查与欧盟业务伙伴合同中的数据访问和责任条款。
- 云合同： 与提供者明确通知期、转换期、数据清单、取回和删除等条款，以及2027年1月12日之后转换费用的情况。
- 个人数据： 如产品数据包含个人数据，应结合KVKK（土耳其数据保护法）下的义务评估GDPR的优先适用问题。
结论
对于向欧盟市场提供联网产品或云服务的土耳其企业，《数据法》不仅是一个法律问题，更是一个同时涉及产品设计、数据基础设施和合同管理的数字化议题。如果今天就编制好清单和数据地图，法律评估以及对可能修订的适应将顺利得多。关于欧盟监管时间表的另一个维度，您还可以参阅欧盟《人工智能法》的新时间表。
为何物流经验在此很重要。 对于向欧盟发运联网产品的制造商而言，检查清单的前两步（产品清单和日期区分）在很大程度上是一项可追溯性工作：哪些型号和序列号、在何时发给了哪些客户。发运、交付和库存记录往往已包含其中大部分信息，而第5步的请求处理流程可以借鉴订单处理：单一受理入口、指定负责人、截止期限和完成凭证。我们的一位顾问在运营、物流和供应链领域拥有30多年经验：在一家大型科技分销企业，他端到端负责物流、仓储、技术服务和行政运营，组建并带领100多人的团队，并通过以KPI为导向的项目带来持久改善。他还曾管理全国范围的仓储和运输运营以及大规模分销网络。作为一名工业工程师，他如今通过人工智能与自动化，将这种供应链管理纪律带给中小企业。了解我们的顾问。
本文仅供一般参考，不能替代法律意见。
#interimmanagement #forwarddeployedengineering