EU Data Act（2023/2854）· 联网产品合规
章节：06 数据隐私 | 状态：生效中 | 关键日期：2026-09-12 设计义务适用 适用对象：向欧盟市场投放「联网产品」（connected product）或提供「相关服务」（related service）的跨境卖家/制造商/数据持有方。
〇、官方口径（已确认）
- 法规：Regulation (EU) 2023/2854（Data Act），直接适用于全部 27 个成员国，无需国内转化。
- 适用时间线：
- 2025-09-12：Data Act 主体义务适用（含 B2B/B2G 数据共享、云服务切换等）。
- 2026-09-12：Chapter II 联网产品设计义务（access-by-design）按 Art. 50 过渡条款，仅对该日之后投放到欧盟市场的联网产品及相关服务适用（在此前已投放的存量产品不溯及）。
- 来源：EUR-Lex（eli/reg/2023/2854/oj）· Eversheds Sutherland（Art. 3 vs Art. 50）· Alston & Bird（7 Things to Know）。
一、核心定义（决定你是否被卷入）
| 术语 | 定义要点 | 卖家含义 |
|---|---|---|
| 联网产品 connected product | 获取/生成/收集「使用、性能、环境」数据，且经电子通信服务、物理连接或设备内访问进行通信的产品（智能家电、消费电子、联网车辆、工业设备等） | 在售智能硬件 = 大概率落入 |
| 数据持有方 data holder | 有权使用并提供联网产品/相关服务所生成数据的主体，可包括卖家、出租方、制造商及控制数据访问的相关服务提供方 | 卖家若控制设备数据访问权 → 即数据持有方 |
| 相关服务 related service | 与联网产品运行明确关联、能影响其功能的数字服务 | 配套 App/云服务 = 相关服务 |
| 用户 user | 拥有联网产品、或经合同取得临时使用权、或接收相关服务的自然人或法人 | 你的 EU 终端买家 |
二、2026-09-12 起对「新投放」产品的义务（Chapter II，Art. 3–7）
- Art. 3 透明义务：投放前向用户清晰说明产品将生成/收集哪些数据、数据去向、谁可访问及用途；合同条款须公平合理（FRAND 原则）。
- Art. 3(1) 设计义务（access-by-design）：产品须默认设计为用户可轻松、安全地访问其生成数据（含产品数据+相关服务数据）。→ 这是 9/12 触发的主要合规动作点，涉及产品固件/接口设计，无法靠事后补文档解决。
- Art. 4 用户访问权：用户有权访问并使用其数据（免费、及时、连续）；数据持有方不得设不合理障碍。
- Art. 5 第三方共享权：用户有权要求数据直接共享给第三方（免费、实时、结构化的机器可读格式）。
- Art. 6 数据最小化与限制：数据持有方不得利用数据访问优势设置锁定（lock-in）。
- Art. 7 商业秘密/网络安全保护：可主张商业秘密豁免，但须证明将受严重损害，且不损害用户数据访问权。
- Art. 13 不公平条款：单方面强加的不公平合同条款（如排除用户权利）无效。
三、跨境卖家操作清单（9/12 前完成）
- 1. 盘点在售 SKU：识别所有联网产品/相关服务（智能家居、穿戴、安防、车品、小家电带 App 等），建立 Data Act 台账（SKU × 投放日 × 是否 9/12 后新投放）。
- 2. 区分存量/新增：9/12 前已投放的存量产品不受设计义务溯及，但透明义务与用户访问机制仍应尽量对齐；9/12 后新投放产品必须全量合规。
- 3. 设计评估（重点）：对 9/12 后新投放产品，确认数据是否可经设备内访问/接口/配套 App 轻松获取；无法做到的，评估固件/软件更新方案（注意：设计义务以投放日为锚，不能靠"上市后补丁"倒签）。
- 4. 合同与条款：更新用户协议/销售条款——加入数据访问、第三方共享机制说明；删除单方免责/排他数据条款（防 Art. 13 无效风险）。
- 5. 跨境数据流：EU 用户数据出境仍受 GDPR 约束——Data Act 不豁免 GDPR；个人数据与产品数据重叠时，双法并行（GDPR 优先处理个人数据维度，Data Act 处理非个人产品数据维度）。
- 6. 文档留痕：保留产品数据流图、设计合规评估记录、合同版本，备成员国监管抽查。
四、执法与风险提示
- 成员国数据保护/市场监管机构可对不合规联网产品采取措施；罚则按成员国国内法（Data Act 未设统一罚则上限，与 GDPR 不同——但 GDPR 罚则仍可并行适用）。
- 与 AI Act 交叉：联网产品若含 AI 功能（如智能摄像头识别），需同时满足 AI Act 透明义务（Art. 50）；与 GDPR 交叉：产品数据含个人数据时，DPIA（见
dpia_ops_guide_2026.md）与数据主体权利优先。 - 与 CRD（消费者权益指令） 交叉：消费者撤回后，商家对消费者数据的处理权限同步变化（见 02 章
eu_crd_withdrawal_button_2026.md）。
五、相关条目互链
06_data_privacy/gdpr_eu_seller.md（GDPR 卖家基线）06_data_privacy/dpia_ops_guide_2026.md（DPIA 实操）06_data_privacy/eu_dma_seller_data_access.md（DMA 数据访问）02_platform_account/eu_crd_withdrawal_button_2026.md（CRD 交叉）03_product_compliance/（智能硬件 CE/RED 认证基线）
最后更新：2026-08-20 · Tina（资深法务首席）