欧盟数据法案：设计即可获取，以及云锁定的终结
数据法案是当前这批欧盟条例里最安静的一部，也是最具结构性的一部。它不会在你的网站上放一个横幅，也不会在你的产品上贴一个标签。它改变的是谁拥有你产品产生的数据，并把更换云服务商从一场商业谈判变成一项权利。
第 (EU) 2023/2854 号条例自 2025 年 9 月 12 日起适用。真正需要开发工作的那项义务，也就是为数据可获取性而设计产品，自 2026 年 9 月 12 日起适用。云迁移收费的禁止在 2027 年 1 月 12 日完全落地。
如果你做联网产品，或者提供数据处理服务，这件事就在你的路线图上，不管它有没有被写上去。
两部条例合成一部
数据法案做的是两件相当不同的事，分开看会更清楚。
第一部分赋予联网产品的用户对这些产品所产生数据的权利，以及把数据分享给自己选定的第三方的权利。
第二部分要求数据处理服务提供者，也就是云和边缘服务，让迁移到竞争对手变得可行，并最终免费。
两者针对同一个问题：用户产生的数据最终被锁在收集它的那个供应商手里。
联网产品：数据默认可获取
联网产品是指任何获取、生成或收集有关自身使用或环境的数据、并能够传输这些数据的实体物品。定义是有意宽泛的。车辆、工业机械、农业设备、医疗器械、家用电器、可穿戴设备、智能电表、楼宇系统和消费电子都在范围内。
相关服务是让产品按预期运转的软件，与硬件一并在范围内。
用户得到什么
用户有权获取因其使用而产生的产品数据和相关服务数据，方式要便捷、安全、免费，格式要完整、结构化、常用且机器可读。在技术可行的情况下，访问必须是直接且持续的，而不是定期导出。
他们还可以要求数据持有者把数据分享给其指定的第三方。这个第三方可以是竞争对手的服务、维修厂、保险公司或分析服务商。数据持有者不能用合同条款阻止，也不能用被分享的数据去和用户竞争。
2026 年 9 月 12 日会变什么
从那天起，投放市场的联网产品及其相关服务必须被设计和制造成：产品数据和相关服务数据默认对用户可获取，并且在相关且技术可行的情况下是直接可获取的。
"设计"这个词让这变成了一个开发期限，而不是法务期限。设计义务不能靠一个客服流程来满足。它必须在产品里。
作为工作它长什么样
对多数团队来说，缺口不在接口，而在接口之下的一切。
数据模型。 你必须把用户使用产品所产生的数据，与你推导、丰富或推断出来的数据区分开。用户对前者有权利。这个区分在现有的表结构里往往并不存在，遥测、派生指标和内部分析住在同一批表里。
访问接口。 一个真正的 API，带认证、授权、分页和限流，外加一条给非技术用户的自助路径。收到请求后邮件发一个 CSV，不符合"便捷，并在相关且技术可行时直接"。
第三方授权。 用户可以指定接收方。这意味着一套同意和授权模型：用户把有边界的访问权授予一个与你毫无关系的一方，并且能撤销。如果你的平台没有"委托访问"这个概念，这是最大的一块单项工作。
商业秘密的处理。 条例试图在数据可获取性与商业秘密保护之间取得平衡。你可以要求相称的保密措施，并在窄情形下拒绝或暂停分享。这必须是一个有文档、站得住脚的立场，而不是一句笼统的拒绝，并且值得早点把律师拉进来。
合同前信息。 在销售之前，你必须告诉买方产品会产生哪些数据、如何访问、是否持续和实时，以及你自己是否打算使用它们。这是产品页和文档的内容，属于和 2026 年 9 月落地的产品信息义务同一轮的梳理。
云迁移：锁定的终结
数据法案的后半部分针对数据处理服务，涵盖 IaaS、PaaS 和 SaaS。
提供者必须：
- 移除迁移的商业、技术、合同和组织障碍。
- 在最长过渡期内完成迁移，一般是不超过两个月的通知期之后的 30 天，技术上不可行时可延长。
- 支持以结构化、常用、机器可读格式导出所有可导出的数据和数字资产。
- 提供开放接口，对基础设施服务还要在迁移后提供功能等效。
- 在终止后提供至少 30 天的取回期。
在收费方面，迁移成本自适用日起下降，并自 2027 年 1 月 12 日起完全取消。此后提供者不得为迁移过程收取任何费用。
合同条款必须反映这些，包括迁移流程、过渡期、可导出数据类别的详尽清单，以及所提供的协助。
如果你是云服务的买方
这是真实的谈判筹码，而多数买方没有用。
在下次续约时，索要迁移条款、可导出数据类别和退出协助承诺。你有权拿到。如果回答含糊，那本身就是关于"退出实际会有多难"的信息。
也值得跑一次导出测试，而不是相信一个文档页面。把一切导出来，试着解读它，看看它是否真的能在别处重建你的服务。供应商说可导出的东西，和真正可用的东西之间的落差，通常就是锁定所在。
如果你是云服务的卖方
你需要合同里的迁移条款、一套书面迁移流程、一个能产出真正可用东西的导出机制，以及一份针对 2027 年 1 月零收费节点的计划（如果你今天对出站流量或退出收费）。
出站流量定价值得特别注意。为数据传出收费是行业里根深蒂固的做法，而"普通出站费"和"迁移费"之间的界线正是监管机构会盯的地方。
公共部门访问与 B2B 条款
还有两个较小的点值得知道。
条例赋予公共机构在特殊需要时向私营企业请求数据的权利，主要是公共紧急情况。这很窄，但如果你手里有具备公共意义的数据，值得知道这个流程存在。
它还为单方面强加给另一家企业的、关于数据访问和使用的合同条款引入了不公平性测试。严重偏离良好商业实践的条款不具约束力。这对供应商协议里"要么接受要么走人"的数据条款是一个有用的刹车。
我们现在会做什么
如果你做联网产品，2026 年 9 月这个日期应该已经在某个迭代计划里了。设计义务适用于从那天起投放市场的产品，所以在研发中的一切都在范围内。从数据模型的区分开始，因为其他一切都依赖它。
如果你提供数据处理服务，复核你的合同、导出工具和收费结构。2027 年 1 月的零收费节点不远，而收入上的影响需要管理层决定，而不是工程决定。
如果你采购云服务，在续约时用上你的筹码，并测试你的导出路径。它花一天时间，能告诉你关于真实风险的有价值的信息。
其他所有人仍然应该检查适用范围。联网产品的定义比这个词听起来要宽，而自认为是软件公司的企业有时会发硬件，内部却没有登记这件事。
更大的图景
数据法案是一整套规则的一部分，这些规则共同构建了欧洲软件所依赖的那些前提。2026 年欧盟数字合规指南勾画了整个面，包括与这部法案同时到来的其他期限。
确实有可以利用的重叠。为数据法案建的数据访问接口，与 GDPR 可携带请求共用基础设施。为网络韧性法案建的组件清单，告诉你产品数据实际住在哪里。把这些当成一项平台能力来建而不是三个项目，是一个季度和一年的差别。
我们为欧洲的公司设计和构建数据平台、接口和云基础设施，包括这部条例所预设的委托访问与导出机制。如果你想弄清 2026 年 9 月的设计义务对某个具体产品意味着什么，写信到 office@c9group.dev，或者了解更多我们在 AWS 基础设施和欧盟市场进入方面的工作。
我们构建系统，不提供法律建议。适用范围和商业秘密方面的立场属于你们的律师。