欧盟数据法案

（具有欧洲经济区相关性的文本）

欧洲议会和欧洲联盟理事会，

鉴于《欧洲联盟运作条约》，特别是其中的第114条，

鉴于欧洲委员会的提案，

在将立法草案送交各成员国议会之后，

鉴于欧洲中央银行的意见（1），

鉴于欧洲经济和社会委员会的意见（2），

鉴于区域委员会的意见（3），

依照普通立法程序行事（4），

鉴于：

（1）

近年来，以数据为基础的技术对经济各领域产生了变革性影响。尤其是与互联网相连的产品的广泛普及，使得消费者、企业和整个社会所拥有的数据量及其潜在价值显著增加。来自不同领域的高质量且具有互操作性的数据，能够提升竞争力与创新能力，并确保经济的可持续增长。同一份数据可以被用于多种目的并反复使用，且在使用过程中不会出现质量和数量上的任何损失。

(2) 数据共享的障碍阻碍了数据为社会利益实现最优配置。这些障碍包括：数据持有者缺乏自愿签订数据共享协议的激励机制、与数据相关的权利与义务存在不确定性、合同谈判及技术接口实施的成本高昂、数据孤岛中信息的高度碎片化、元数据管理不善、缺乏语义与技术互操作性的标准、制约数据获取的瓶颈、通用数据共享实践的缺失，以及在数据访问与使用方面存在的合同失衡现象。

(3) 在以微型、小型和中型企业（根据欧盟委员会第2003/361/EC号建议附件第2条所界定的中小企业）为主要特征的行业中，往往普遍存在收集、分析和利用数据所需的数字能力和技能不足的问题；同时，由于某一主体将数据保留在系统内，或因数据之间、数据服务之间以及跨境之间的互操作性欠缺，数据访问常常受到限制。

(4) 为应对数字经济的需求，并消除阻碍数据内部市场良好运作的障碍，有必要制定一项协调一致的框架，明确规定何人有权使用产品数据或相关服务数据、在何种条件下以及基于何种依据。因此，成员国不得就本条例适用范围内的事项另行制定或维持任何额外的国家要求，除非本条例另有明确规定，否则将影响本条例的直接且统一适用。此外，欧盟层面的行动不应损害欧盟缔结的国际贸易协定中所规定的义务和承诺。

(5) 本条例确保在欧盟境内使用联网产品或相关服务的用户能够及时获取该联网产品或相关服务所产生的数据，并且这些用户可以使用该等数据，包括将其共享给其自行选择的第三方。本条例规定，在特定情形下，数据控制者有义务向用户及其所选择的第三方提供数据。此外，本条例还确保数据控制者以公平、合理且非歧视性的条款和条件，并以透明的方式，向欧盟境内的数据接收方提供数据。私法规范在整个数据共享框架中发挥着关键作用。因此，本条例对合同法的相关规则予以调整，防止因合同关系中的不平衡而妨碍数据的公平获取与使用。同时，本条例亦规定，当存在特殊需要时，数据控制者应当向公共部门机构、欧盟委员会、欧洲中央银行或欧盟其他机构提供为履行具有公共利益的特定任务所必需的数据。此外，本条例旨在促进数据处理服务之间的切换，并提升欧盟境内数据以及数据共享机制和服务的互操作性。本条例不应被解释为承认或赋予数据控制者任何新的权利，以使用由联网产品或相关服务的使用所产生的数据。

(6) 数据生成是至少两个主体行为的结果，尤其是联网产品的设计者或制造商——在许多情况下，他们同时也是相关服务的提供者——以及联网产品或相关服务的使用者。由于联网产品或相关服务所记录的数据是售后、辅助及其他服务的重要投入要素，这在数字经济中引发了公平性问题。为实现数据所带来的重大经济效益，包括通过自愿协议进行数据共享，以及欧盟企业基于数据开展的价值创造活动，相较于授予排他性的访问与使用权利，采取一种关于数据访问与使用的普遍性权利分配方式更为可取。本条例规定了横向规则，这些规则可供欧盟法律或各国法律遵循，以应对相关行业的具体情况。

(7) 个人数据保护的基本权利尤其受到欧洲议会和理事会颁布的（欧盟）2016/679号条例（6）以及（欧盟）2018/1725号条例（7）的保障。此外，欧洲议会和理事会颁布的2002/58/EC号指令（8）亦通过规定终端设备中存储及从中访问的任何个人与非个人数据的相关条件，对私人生活及通信保密予以保护。上述欧盟立法为可持续且负责任的数据处理提供了基础，即便所涉数据集同时包含个人与非个人数据亦不例外。本条例系对欧盟有关个人数据保护与隐私之法律的补充，且不影响其效力，尤其是（欧盟）2016/679号条例、（欧盟）2018/1725号条例以及2002/58/EC号指令。本条例的任何条款均不得以减损或限制个人数据保护权或通信隐私与保密权的方式予以适用或解释。依据本条例进行的任何个人数据处理，均应符合欧盟数据保护法的规定，包括满足（欧盟）2016/679号条例第6条所规定的有效法律依据要求，并在相关情形下遵守该条例第9条及2002/58/EC号指令第5条第3款的相关条件。本条例并不构成数据控制者收集或生成个人数据的法律依据。

本条例仅规定数据控制者有义务应数据主体之请求，向其自行选定的用户或第三方提供个人数据。此类访问权限仅适用于由数据控制者基于（欧盟）2016/679号条例第6条所列任一法律依据而处理的个人数据。若数据主体并非用户本人，则本条例不为向第三方提供个人数据或使个人数据可供第三方使用创设任何法律依据，亦不应被理解为赋予数据控制者任何新的权利，以利用因使用联网产品或相关服务而产生的个人数据。在此类情形下，为便于数据主体满足（欧盟）2016/679号条例第6条的要求，可能更有利于用户利益。鉴于本条例不应对数据主体的数据保护权益产生不利影响，数据控制者可在上述情形下，通过匿名化个人数据等方式履行相关请求；如现有可得数据中包含多名数据主体的个人数据，亦可仅传输与该用户相关的个人数据。

(8) 在处理活动涉及对个人基本权利构成重大风险的情况下，数据最小化原则以及设计与默认的数据保护原则至关重要。考虑到当前的技术水平，所有参与数据共享的各方，包括本条例适用范围内的数据共享，均应采取技术和组织措施以保护这些权利。此类措施不仅包括假名化和加密，还包括使用日益普及的技术，使算法能够在数据本身上运行，从而在无需在各参与方之间传输或不必要地复制原始数据或结构化数据的情况下，提取有价值的洞察。

(9) 除本条例另有规定外，本条例不影响各国的合同法，包括有关合同订立、效力或履行的规则，以及合同终止的法律后果。本条例是对旨在促进消费者利益并确保高水平消费者保护、同时保护其健康、安全及经济利益的欧盟法律的补充，且不影响上述法律的实施，特别是欧洲议会和理事会颁布的第93/13/EEC号指令（9）以及第2005/29/EC号指令（10）和第2011/83/EU号指令（11）。

(10) 本条例不影响旨在为预防、调查、侦查或起诉刑事犯罪，或为执行刑事处罚，以及为海关和税务目的而共享、获取和使用数据的欧盟及成员国法律文件，无论此类欧盟法律文件系依据《欧洲联盟运作条约》（TFEU）中的何种法律基础通过，亦不影响该领域的国际合作，特别是基于2001年11月23日在布达佩斯签署的《欧洲委员会网络犯罪公约》（ETS No 185）所开展的合作。此类法律文件包括欧洲议会和理事会颁布的第2021/784号（12）、第2022/2065号（13）和第2023/1543号（14）条例，以及欧洲议会和理事会颁布的第2023/1544号指令（15）。本条例不适用于根据欧洲议会和理事会颁布的第2015/847号条例（16）以及第2015/849号指令（17）所进行的数据收集、共享、获取或使用。本条例亦不适用于超出欧盟法律适用范围的领域，且无论如何均不影响成员国在公共安全、国防或国家安全、海关与税收管理，以及公民健康与安全等方面的职权，不论成员国委托何类主体履行与上述职权相关的任务。

(11) 除非本条例另有明确规定，否则旨在为投放欧盟市场的产品确立物理设计和数据要求的欧盟法律不应受到影响。

(12) 本条例是对旨在对某些产品和服务设定无障碍要求的欧盟法律的补充，且不影响其效力，特别是欧洲议会和理事会颁布的（EU）2019/882号指令（18）。

(13) 本条例不影响旨在保护知识产权的欧盟及成员国法律法规，包括欧洲议会和理事会颁布的2001/29/EC号指令（19）、2004/48/EC号指令（20）以及（EU）2019/790号指令（21）。

(14) 通过其组件或操作系统获取、生成或收集有关其性能、使用情况或环境的数据，并能够通过电子通信服务、物理连接或设备内访问方式传输这些数据的互联产品，通常被称为“物联网”，应当属于本条例的适用范围，但原型产品除外。此类电子通信服务的示例尤其包括陆地电话网络、电视有线网络、基于卫星的网络以及近场通信网络。互联产品广泛存在于经济和社会的各个领域，包括私人、民用或商业基础设施、车辆、健康与生活方式设备、船舶、飞机、家用设备和消费品、医疗与健康器械，以及农业和工业机械等。制造商的设计选择，以及在相关情况下，为满足特定行业需求和目标而制定的欧盟或成员国法律，或主管当局的相关决定，应当决定某一互联产品能够提供哪些数据。

(15) 该数据系用户行为与事件的数字化体现，因此应当向用户开放访问权限。本条例项下关于联网产品及相关服务数据的访问与使用规则，同时适用于产品数据与相关服务数据。其中，“产品数据”指由联网产品使用过程中产生的数据，该等数据系制造商设计为可供用户、数据持有人或第三方（包括在适用情形下的制造商）从联网产品中检索获取的数据；“相关服务数据”则指在提供相关服务过程中产生的、同样体现用户行为或与联网产品相关的事件的数字化数据。由联网产品或相关服务使用所产生的数据，应理解为既包括用户有意记录的数据，也包括因用户行为而间接产生的数据，例如有关联网产品所处环境或其交互情况的数据。此类数据还应涵盖通过用户界面或相关服务生成的联网产品使用数据，且不应仅限于表明该等使用已发生的事实，而应包括联网产品因该等使用而产生的全部数据，如传感器自动采集的数据以及嵌入式应用程序所记录的数据，包括用于指示硬件状态及故障状况的应用程序所生成的数据。

此外，此类数据还应包括联网产品或相关服务在用户未进行任何操作期间所生成的数据，例如当用户选择在特定时段内不使用联网产品，而是将其置于待机模式甚至关闭状态时，联网产品及其组件（如电池）的状态可能随之发生变化。未经实质性修改的数据，即以原始形式存在的数据，亦称源数据或原始数据，是指无需进一步处理即可直接生成的数据点；同时，为便于后续处理与分析而预先进行处理、使其易于理解并可予使用的数据亦属本条例的调整范围。此类数据包括从单一传感器或一组联网传感器采集的数据，旨在通过确定某一物理量或品质，或其变化（如温度、压力、流量、音频、pH值、液位、位置、加速度或速度），使所采集的数据能够适用于更广泛的使用场景。“预处理数据”一词不应被解释为对数据持有人施加在数据清洗与转换方面进行大量投资的义务。拟予提供的数据应当包含相关元数据，包括其基本背景信息及时间戳，以便该数据能够与其他数据结合使用，例如与相关联的其他数据点进行排序和分类，或重新格式化为通用格式。

此类数据对于用户而言具有潜在价值，并有助于推动创新以及数字和其他服务的发展，从而保护环境、健康并促进循环经济，包括通过便利相关联网产品的维护与修理来实现上述目标。与此相反，从上述数据中推断或衍生出的信息，即通过对数据赋予价值或提取洞察而产生的结果，尤其是借助专有且复杂的算法（包括作为专有软件组成部分的算法）所获得的信息，不应被视为属于本条例的适用范围，因而亦不适用数据持有人向用户或数据接收方提供该等信息的义务，除非用户与数据持有人另有约定。此类数据尤其可能包括通过传感器融合技术所获取的信息，该技术利用专有且复杂的算法，从联网产品中采集的多个传感器数据中推断或衍生出相关信息，而这些信息可能受知识产权保护。

(16) 本条例使联网产品的用户能够受益于基于该类产品内置传感器所收集数据的售后、配套及其他服务；而这些数据的收集对于提升联网产品的性能具有潜在价值。有必要明确区分：一方面，提供此类配备传感器的联网产品及相关服务的市场；另一方面，与之无关的软件及内容（如文字、音频或视听内容）市场，后者通常受知识产权保护。因此，此类配备传感器的联网产品在用户录制、传输、显示或播放内容时所产生的数据，以及该等内容本身——其往往受知识产权保护，例如用于在线服务——均不应纳入本条例的规制范围。此外，本条例亦不适用于为其他方（非用户）存储或进行其他处理操作而从联网产品获取、生成或访问的数据，例如由其所有者完全代表第三方运营的服务器或云基础设施中所涉及的数据，尤其是用于在线服务的情形。

（17）

有必要就以下产品制定相关规定：此类产品在购买、租赁或租用时与相关服务相连接，以致于若无该服务，则该产品将无法实现其一项或多项功能；或者该产品在其后由制造商或第三方进行连接，以增加或调整其功能。此类相关服务涉及联网产品与服务提供者之间的数据交换，应被理解为明确与联网产品各项功能的运行相关联，例如，在适用情况下，能够向联网产品发送指令并对其行为或操作产生影响的服务。对于那些不会对联网产品的运行产生任何影响、且服务提供者不向联网产品传输数据或指令的相关服务，不应被视为相关服务。此类服务可能包括辅助性咨询、分析或金融服务，以及定期的维修和保养等。相关服务可以作为购买、租赁或租用合同的一部分予以提供。此外，针对同类产品，用户亦可合理预期此类服务将根据联网产品的性质以及销售方、出租方、承租方或其他交易链条中先前环节主体（包括制造商）所作出的公开声明而得到提供。这些相关服务本身可能生成对用户具有价值的数据，且独立于与其相互联动的联网产品的数据收集能力。本条例亦适用于并非由销售方、出租方或承租方直接提供的相关服务，而是由第三方所提供的服务。

如对某项服务是否属于购买、租赁或租用合同的一部分存有疑义，应适用本条例。根据本条例，电源供应及连接性供应均不得被解释为相关服务。

（18）

连接产品的使用者应当被理解为自然人或者法人，例如企业、消费者或者公共部门机构，其拥有连接产品，或者通过租赁或租用协议等途径获得对连接产品所获取数据的访问权或使用权，亦或获得与该连接产品相关的服务。上述访问权限不得以任何方式改变或干涉数据主体就连接产品或相关服务所产生的个人数据所享有的权利。使用者承担使用连接产品的风险并享有相应的利益，同时亦应有权访问其所生成的数据。因此，使用者应当有权从该连接产品及其相关服务所产生的数据中获益。所有权人、承租人或承租方均应被视为使用者，包括在多个主体均可被视为使用者的情形下。在存在多名使用者的情况下，各使用者可能以不同方式参与数据的生成，并对多种使用形式具有利益关联，例如租赁企业进行车队管理，或个人使用汽车共享服务时的出行解决方案。

（19）

数据素养是指使用户、消费者以及企业，尤其是本条例适用范围内的中小企业，能够认识到其所生成、生产并共享的数据所蕴含的潜在价值，并在遵守相关法律规定的前提下，主动提供和开放数据访问权限所需的技能、知识与理解。数据素养应当超越对工具与技术的学习，旨在赋予公民和企业能力与信心，使其能够从包容且公平的数据市场中获益。推广数据素养相关措施并采取适当的后续行动，有助于改善工作条件，最终推动欧盟数据经济的巩固与创新进程。主管当局应当积极推广各类工具，并采取相应措施，以提升本条例适用范围内的用户及实体的数据素养水平，同时增强其对该条例项下权利与义务的认知。

（20）

在实践中，由联网产品或相关服务所产生的数据并非全部都能被其用户便捷地获取，且与互联网相连的产品所生成的数据在可移植性方面往往存在诸多限制。用户难以获得用于利用维修及其他服务提供商所需的数据，企业亦无法推出创新、便捷且更为高效的服务。在许多行业中，尽管制造商对联网产品或相关服务的技术设计拥有控制权，却能够决定哪些数据会被生成以及如何访问这些数据，而其本身并不享有这些数据的任何法律权利。因此，有必要确保联网产品的设计与制造，以及相关服务的设计与提供，均以如下方式开展：使产品数据及相关服务数据——包括用于解释和使用这些数据的相关元数据，尤其是为检索、使用或共享之目的所需的元数据——始终能够以全面、结构化、通用且机器可读的格式，免费、安全地被用户便捷获取。数据持有人通过合法途径从联网产品或相关服务中取得或能够合法取得的产品数据及相关服务数据，例如借助联网产品设计、数据持有人与用户之间关于提供相关服务的合同，以及其用于数据访问的技术手段，在不需付出过度努力的情况下所获得的数据，被称为“ readily available data”。

然而，“readily available data”不包括因使用联网产品而产生的数据，若该联网产品的设计并未规定此类数据可在产生它们的组件之外或在整个联网产品之外进行存储或传输，则不属于此类数据。因此，本条例不应被理解为要求将数据存储于联网产品的中央计算单元上。此种义务的缺失亦不应妨碍制造商或数据持有人与用户自愿就作出相应调整达成一致。此外，本条例中的设计义务不影响《欧盟》2016/679号条例第5条第1款第(c)项所确立的数据最小化原则，亦不应被理解为要求联网产品及相关服务的设计必须使其仅存储或以其他方式处理与其处理目的相关的必要个人数据，而不涉及任何其他个人数据。可以制定欧盟或国家法律，进一步明确具体要求，例如联网产品或相关服务应当提供哪些数据，鉴于此类数据对于这些联网产品或相关服务的高效运行、维修或维护可能至关重要。当制造商或其他方对联网产品或相关服务进行后续更新或变更，导致新增可访问数据或限制最初可访问的数据时，应在该更新或变更的背景下向用户予以告知。

（21）

在若干人或实体被视为用户的情形下，例如在共有财产的情况下，或者当所有者、承租人或承租方共享数据访问权或使用权时，联网产品的设计或相关服务的设计，以及相应的界面设计，应当确保每位用户能够访问其生成的数据。使用产生数据的联网产品通常需要设立用户账户。该账户使数据持有人（可能是制造商）能够识别用户身份，同时亦可作为沟通渠道，并用于提交和处理数据访问请求。若有数家制造商或相关服务提供者向同一用户销售、出租或租赁了联网产品，或提供了相互集成的相关服务，则该用户应当分别向与其订立合同的各方提出请求。对于通常由多人使用的联网产品，其制造商或设计者应当设置必要的机制，以便在必要时为各个人设立独立的用户账户，或允许多人共用同一用户账户。账户解决方案应当允许用户删除其账户并清除与之相关的数据，并且应当支持用户终止数据访问、使用或共享的权利，或提交终止相关权利的请求，尤其应当考虑联网产品所有权或使用方式发生变更的情形。数据访问权限应当基于简便的请求机制予以授予，该机制应能自动执行，无需制造商或数据持有人进行审查或批准。

这意味着只有在用户实际要求访问时，数据才应当被提供。若无法通过自动化方式执行数据访问请求，例如无法通过用户账户或随附于联网产品或相关服务的移动应用程序实现，则制造商应当告知用户如何获取数据。

（22）

联网产品可能被设计为使某些数据能够直接从设备端的数据存储中或从已将该等数据传输至的远程服务器中访问。对设备端数据存储的访问可通过有线或无线局域网络实现，而该等网络须连接至公共可用的电子通信服务或移动网络。该服务器可以是制造商自身的本地服务器容量，也可以是第三方或云服务提供商的服务器。根据《欧盟》2016/679号条例第4条第(8)款所定义的处理者不被视为数据控制者。然而，他们可以被数据控制者特别委托，按照《欧盟》2016/679号条例第4条第(7)款的规定提供数据。联网产品还可能被设计为允许用户或第三方在联网产品上、在制造商的计算实例上，或者在由用户或第三方选择的信息与通信技术（ICT）环境中处理数据。

（23）

虚拟助手在消费者和专业环境的数字化进程中发挥着日益重要的作用，作为易于使用的界面，可用于播放内容、获取信息或激活与互联网连接的产品。虚拟助手可在例如智能家居环境中充当单一入口，并记录大量有关用户如何与联网产品（包括由其他方制造的产品）互动的相关数据，同时可替代制造商提供的触摸屏或智能手机应用程序等接口。用户可能希望将此类数据提供给第三方制造商，以实现新型智能服务。虚拟助手应当受本条例所规定的数据访问权的保护。当用户通过非联网产品制造商提供的虚拟助手与该联网产品互动时所产生的数据，亦应受本条例所规定的数据访问权的保护。然而，本条例仅适用于用户通过虚拟助手与联网产品或相关服务之间互动所产生的数据；虚拟助手生成的、与联网产品或相关服务的使用无关的数据，则不在本条例的适用范围内。

（24）

在订立联网产品购买、租赁或租用合同之前，销售者、出租者或出借者（其可以为制造商）应当以清晰易懂的方式向用户告知该联网产品能够生成的产品数据的相关信息，包括此类数据的类型、格式及其预计数量。这可能涵盖数据结构、数据格式、词汇表、分类方案、分类法以及代码列表等信息（如适用），并提供明确且充分的信息，以便用户行使其权利，说明如何存储、检索或访问这些数据，包括应用程序编程接口的使用条款和服务质量，或者在适用情况下提供软件开发工具包。该项义务旨在提高所生成产品数据的透明度，并便于用户获取相关数据。该信息告知义务可通过以下方式履行：例如，在互联网上维护一个稳定的统一资源定位符（URL），并通过网络链接或二维码予以发布，指向由销售者、出租者或出借者（其可以为制造商）在订立联网产品购买、租赁或租用合同前向用户提供之相关信息。无论如何，必须确保用户能够以可在未来查阅且能保持所存储信息原样的方式保存该信息。

鉴于联网产品的使用者需求，数据控制者不应被要求无限期地保存数据，但应根据《欧盟》2016/679号条例第5条第1款第e项规定的存储限制原则，在适用时制定合理的数据保留政策，以保障本条例所赋予的数据访问权的有效行使。提供信息的义务不影响数据控制者依据《欧盟》2016/679号条例第12条、第13条和第14条向数据主体提供信息的义务。在订立相关服务提供合同之前提供信息的义务应由潜在的数据控制者承担，而不论该数据控制者是否同时订立了联网产品的购买、租赁或租用合同。若在联网产品存续期间或相关服务合同期限内发生信息变更，包括用于处理这些数据的目的与最初指定目的发生变化的情形，亦应将上述变更信息及时告知用户。

（25）

本条例不应被理解为赋予数据持有人使用产品数据或相关服务数据的任何新权利。当联网产品的制造商为数据持有人时，该制造商使用非个人数据的依据应当是制造商与用户之间订立的合同。此类合同可以作为提供相关服务协议的一部分，而该服务协议可与涉及该联网产品的购买、租赁或租用协议一并订立。任何规定数据持有人可以使用产品数据或相关服务数据的合同条款均应向用户予以充分披露，包括数据持有人拟使用该等数据的目的。此类目的可能包括：改进联网产品或相关服务的运行状况、开发新产品或新服务，或者对数据进行汇总，以便将由此产生的衍生数据提供给第三方；但前提是，该等衍生数据不得使能够识别从联网产品传输至数据持有人的具体数据，亦不得使第三方能够从该数据集中推导出这些数据。任何合同条款的变更均应以用户的知情同意为前提。本条例并不妨碍各方就合同条款达成一致，该等条款的效果在于排除或限制数据持有人使用非个人数据，或特定类别的非个人数据。同时，本条例亦不妨碍各方约定直接或间接地向第三方提供产品数据或相关服务数据，包括在适用情况下通过其他数据持有人进行提供。

此外，本条例并不妨碍根据欧盟法律或与欧盟法律相兼容的国家法律所规定的特定行业监管要求，这些要求可在明确界定的公共政策理由下排除或限制数据持有人使用某些此类数据。本条例亦不阻碍用户在企业间交易关系中，依据任何合法的合同条款向第三方或数据持有人提供数据，包括通过约定限制或约束进一步共享该等数据，或者获得相应补偿，例如以放弃其使用或分享该等数据的权利作为交换。尽管“数据持有人”的概念通常不包括公共部门机构，但其可能涵盖公共企业。

（26）

为促进非个人数据市场形成流动、公平且高效的局面，联网产品的用户应当能够以最小的法律与技术成本，与其他主体共享数据，包括用于商业目的。目前，企业往往难以证明为准备非个人数据集或数据产品所必需的人力与计算成本的合理性，也难以通过数据中介服务（包括数据交易平台）将其提供给潜在交易对手。因此，企业共享非个人数据的一大障碍在于，对投资于数据集或数据产品的整理与开放所带来的经济回报缺乏可预见性。为在欧盟范围内推动非个人数据市场实现流动、公平与高效，有必要明确有权在市场上提供此类数据的主体。据此，用户应当享有将非个人数据用于商业及非商业目的与数据接收方共享的权利。该等数据共享可通过用户直接实施、经由数据持有者应用户请求进行，或借助数据中介服务完成。根据欧洲议会和理事会第2022/868号条例（22）的规定，数据中介服务可通过在用户、数据接收方及第三方之间建立商业关系，促进数据经济的发展，并有助于用户行使其数据使用权，例如确保个人数据的匿名化或整合来自多个个体用户的访问权限。

当某些数据被排除在数据持有者向用户或第三方提供义务之外时，相关数据的范围应在用户与数据持有者就特定服务订立的合同中予以明确，以便用户能够便捷地确定哪些数据可供其与数据接收方或第三方共享。数据持有者不得在履行与用户的合同义务之外，出于商业或非商业目的向第三方提供非个人产品数据，但此规定不影响依据欧盟或成员国法律要求数据持有者提供数据的法定义务。在必要情况下，数据持有者还应通过合同约定，约束第三方不得进一步传播其接收的数据。

（27）

在那些以少数制造商向最终用户提供互联产品为特征的行业中，用户在获取、使用及共享数据方面可能仅拥有有限的选择。在此类情形下，合同可能不足以实现赋予用户自主权的目标，从而使用户难以从其所购买、租用或租赁的互联产品所产生的数据中获得价值。因此，创新型小型企业在竞争性环境中提供基于数据的解决方案以及在欧盟范围内构建多元化的数据经济方面的潜力均较为有限。有鉴于此，本条例应当以特定行业的最新发展为基础，例如关于通过合同进行农业数据共享的行为准则。为满足各行业特有的需求与目标，可制定欧盟层面或国家层面的法律。此外，数据持有者不得利用任何现成的非个人数据，以获取有关用户经济状况、资产或生产方式的信息，亦不得以其他任何可能损害该用户在其活跃市场中的商业地位的方式使用此类信息。这包括在与用户就潜在收购其产品或农产品进行合同谈判时，利用有关企业或农场整体经营状况的知识，从而对用户造成不利影响；或者将此类信息纳入针对特定市场的大型综合数据库，例如用于预测下一收获季作物产量的数据库，因为此类使用可能以间接方式对用户产生负面影响。

用户应当被赋予必要的技术接口以管理相关权限，最好配备细粒度的权限选项，如“仅允许一次”或“仅在使用本应用或服务期间允许”，并应包含撤销上述权限的选项。

（28）

在数据持有人与作为联网产品或相关数据生成服务之用户的消费者之间的合同中，欧盟消费者法，特别是第93/13/EEC号指令和第2005/29/EC号指令，适用，以确保消费者不受不公平合同条款的约束。就本条例而言，单方面强加于企业的不公平合同条款对该企业不具有约束力。

（29）

数据持有人可以要求进行适当的身份验证，以核实用户访问数据的权利。在由处理者代表控制者处理个人数据的情况下，数据持有人应当确保访问请求由处理者接收并予以处理。

（30）

用户应当有权将数据用于任何合法目的。这包括向提供售后技术服务、可能与数据控制者所提供的服务形成竞争的第三方提供用户在行使本条例项下权利时所获取的数据，或者指示数据控制者这样做。该请求应当由用户本人或经用户授权、代表用户行事的第三方提出，其中包括数据中介服务提供者。数据控制者应当确保向第三方提供的数据与数据控制者自身因使用相关产品或服务而能够或有权获取的数据一样准确、完整、可靠、相关且最新。在处理数据时，应当尊重任何知识产权。同时，有必要维护对投资于基于产品内置传感器数据功能的产品的激励机制。

（31）

欧洲议会和欧洲理事会第2016/943号指令（欧盟）第23条规定，商业秘密的获取、使用或披露在以下情形下应被视为合法：例如，当该等获取、使用或披露系由欧盟法律或成员国法律所要求或允许时。尽管本条例要求数据持有人向用户或用户选定的第三方披露某些数据，即便该等数据符合商业秘密保护条件，但对该等规定的解释应当确保其与第2016/943号指令（欧盟）所赋予的商业秘密保护相一致。在此背景下，数据持有人应当有权要求用户或用户选定的第三方对被认定为商业秘密的数据予以保密。为此，数据持有人应在披露前识别出商业秘密，并有权与用户或用户选定的第三方就维护其保密性的必要措施达成协议，包括采用示范性合同条款、保密协议、严格的访问控制规程、技术标准以及行为准则等手段。除由委员会制定并推荐的示范性合同条款外，建立与处理数据过程中保护商业秘密相关的行为准则和技术标准亦有助于实现本条例之目的，应予鼓励。如未就必要措施达成协议，或者用户或用户选定的第三方未能实施已达成的措施或破坏了商业秘密的保密性，数据持有人有权拒绝提供或暂停共享被认定为商业秘密的数据。

在此类情况下，数据持有人应当及时以书面形式将决定通知用户或第三方，并向数据持有人所在成员国的主管机关通报其已拒绝提供或暂停共享相关数据的情况，同时说明哪些措施尚未达成协议或未予实施，以及在相关情形下哪些商业秘密的保密性已被破坏。原则上，数据持有人不得仅因某项数据被认定为商业秘密而拒绝根据本条例提出的访问请求，否则将有悖于本条例的预期效果。然而，在特殊情况下，作为商业秘密持有人的数据控制者应当能够根据个案情况，拒绝提供相关特定数据的请求；前提是其能够向用户或第三方证明，尽管该用户或第三方已采取技术和组织措施，但披露该商业秘密仍极有可能导致严重的经济损失。所谓“严重经济损失”，是指造成严重且不可挽回的经济损害。数据控制者应当及时以书面形式向用户或第三方充分说明其拒绝理由，并通知主管机关。该说明应当基于客观事实，明确指出因特定数据披露而可能产生的严重经济损失的具体风险，以及其所采取的保护请求数据的措施为何被认为不足以防范该风险的理由。在此情形下，亦可考虑对网络安全可能产生的负面影响。

在不影响当事人向成员国法院或法庭寻求救济的权利的前提下，若用户或第三方拟对数据控制者作出的拒绝、扣留或暂停数据共享的决定提出异议，该用户或第三方可以向主管机关提出申诉；主管机关应当及时作出决定，确定是否应当启动或恢复数据共享，以及在何种条件下进行；或者与数据控制者协商一致，将争议提交至争议解决机构处理。本条例中关于数据访问权的例外规定，在任何情况下均不得限制《欧盟》2016/679号条例项下数据主体享有的访问权及数据可携带权。

（32）

本条例的目的不仅在于促进新型、创新型互联产品或相关服务的发展，激发售后市场的创新活力，还旨在推动利用相关数据开发全新服务，包括基于多种互联产品或相关服务所产生数据的服务。同时，本条例力求避免削弱获取数据之类型互联产品的投资激励，例如，防止通过使用数据开发出与原产品在功能上具有可替代性或可互换性的竞争性互联产品，尤其是在该竞争性产品在特性、价格及预期用途等方面与原产品存在高度相似性的情形下。本条例并未禁止利用依据本条例获取的数据开发相关服务，因为此种禁令将对创新产生不利的抑制作用。而禁止将依据本条例获取的数据用于开发竞争性互联产品，则有助于保护数据持有者的创新投入。至于某一互联产品是否与数据来源的互联产品构成竞争关系，应根据欧盟竞争法关于界定相关产品市场的既定原则予以判定。然而，合法使用数据的目的亦可包括逆向工程，但须符合本条例以及欧盟或成员国法律的相关要求。此类情形可能适用于维修或延长互联产品使用寿命，或者为互联产品提供售后服务等目的。

（33）

向其提供数据的第三方可以是自然人或法人，例如消费者、企业、研究机构、非营利组织，或者以专业身份行事的实体。在向第三方提供数据时，数据持有人不得滥用其地位，在数据持有人与第三方可能存在直接竞争的市场中谋求竞争优势。因此，数据持有人不得利用任何可轻易获取的数据，以任何形式获取有关第三方经济状况、资产、生产方式或使用情况的见解，从而损害第三方在其所从事市场的商业地位。用户应当能够出于商业目的与第三方共享非个人数据。经与用户达成协议并遵守本条例的规定，第三方有权将其从用户处获得的数据访问权限转让给其他第三方，包括以补偿为交换。根据《欧盟》2022/868号条例所称的数据中介服务，即企业间数据中介和个人信息管理系统（PIMS），可在符合本条例适用范围内的任何合法目的下，协助用户或第三方与不确定数量的潜在交易对手建立商业关系。只要用户对其是否向此类聚合提供数据以及其数据将按何种商业条款被使用的事项仍保有完全控制权，这些服务即可在促进大数据分析或机器学习方面发挥重要作用。

（34）

使用联网产品或相关服务时，尤其是在用户为自然人的情况下，可能会产生与数据主体相关的数据。对此类数据的处理应遵守《欧盟》2016/679号条例所确立的各项规则，包括当某一数据集中个人数据与非个人数据不可分割地相互关联的情形。数据主体可以是用户本人，也可以是其他自然人。个人数据仅能由控制者或数据主体提出请求。在特定情形下，作为数据主体的用户依据《欧盟》2016/679号条例有权查阅与其相关的个人数据，且该等权利不受本条例的影响。根据本条例，作为自然人的用户还有权查阅因使用联网产品而产生的全部数据，无论其为个人数据还是非个人数据。若用户并非数据主体而是企业（包括个体工商户），且不属于联网产品在家庭中共同使用的场合，则该用户被视为控制者。因此，作为控制者的此类用户如拟请求获取因使用联网产品或相关服务而产生的个人数据，须具备《欧盟》2016/679号条例第6条第1款所要求的数据处理法律依据，例如数据主体的同意或履行数据主体作为一方当事人的合同。该用户应当确保数据主体被充分告知用于处理上述数据的具体、明确且合法的目的，以及数据主体如何有效行使其各项权利。

若数据持有者与用户根据《欧盟》2016/679号条例第26条之规定构成共同控制者，则双方须通过彼此之间的安排以透明的方式确定各自在遵守该条例方面的责任。应当理解的是，一旦数据已被提供，该用户如符合本条例规定的标准，亦可能进而成为数据持有者，并因此承担本条例项下关于数据提供的义务。

（35）

产品数据或相关服务数据仅可在用户请求的情况下向第三方提供。本条例相应地补充了《欧盟》2016/679号条例第20条所规定的个人数据主体权利，即以结构化、通用且机器可读的格式接收与其相关的个人数据，并在该等数据系依据该条例第6条第1款第(a)项、第9条第2款第(a)项或第6条第1款第(b)项之合同而通过自动化手段处理时，将其转移至另一控制者。个人数据主体亦有权要求将个人数据直接从一个控制者传输至另一个控制者，但仅限于技术上可行的情形。《欧盟》2016/679号条例第20条规定该权利适用于由数据主体提供的数据，但并未明确此规定是否要求数据主体采取主动行为，亦未说明该权利是否同样适用于那些联网产品或相关服务因其设计而在被动情况下观察数据主体的行为或其他与数据主体相关的信息的情形。本条例所赋予的权利在诸多方面补充了《欧盟》2016/679号条例第20条项下关于接收及转移个人数据的权利。本条例赋予用户访问并将其任何产品数据或相关服务数据提供给第三方的权利，无论其性质是否属于个人数据、区分为主动提供还是被动观察的数据，亦不论数据处理的法律依据为何。

与《欧盟》2016/679号条例第20条不同，本条例对所有在其适用范围内的数据类型（无论是个人数据还是非个人数据）均强制规定并确保第三方访问的技术可行性，从而避免技术障碍继续阻碍或阻止对该类数据的访问。此外，本条例还允许数据控制者就因向用户提供其联网产品所产生的数据之直接访问而产生的费用，向第三方收取合理的补偿，但该补偿不应由用户承担。若数据控制者与第三方无法就此类直接访问的条件达成一致，则绝不得因此妨碍数据主体依据《欧盟》2016/679号条例行使包括数据可携带权在内的各项权利，数据主体仍可通过依照该条例寻求救济途径予以保障。在此背景下应当理解的是，根据《欧盟》2016/679号条例的规定，合同并不允许数据控制者或第三方处理特殊类别个人数据。

（36）

对存储于终端设备并从中访问的任何数据的访问，均受2002/58/EC号指令的约束，并须取得该指令所指的订户或用户的同意；除非此类访问对于提供用户或订户明确请求的信息社会服务而言是严格必要的，或者仅用于传输通信之目的。2002/58/EC号指令保护用户终端设备在处理与存储能力使用以及信息收集方面的完整性。物联网设备如直接或间接连接至公共通信网络，则被视为终端设备。

（37）

为防止对用户的不当利用，应用户请求而获准访问其数据的第三方，仅得为与用户约定的目的处理该等数据，且仅在征得用户对该等数据共享的同意后方可将其转交其他第三方。

(38) 根据数据最小化原则，第三方仅应访问为提供用户所请求的服务所必需的信息。获得数据访问权限后，第三方应当按照与用户约定的目的处理该数据，且不得受到数据控制者的干预。用户拒绝或终止第三方访问其数据的权利，应当与授权第三方访问的权利一样便捷。无论是第三方还是数据控制者，均不得以不正当方式使用户行使选择权或权利变得困难，包括以非中立的方式向用户提供选项，或者通过胁迫、欺骗或操纵用户，亦或通过颠覆或损害用户的自主性、决策能力或选择权，例如借助用户数字界面或其组成部分来实现上述目的。在此背景下，第三方或数据控制者在设计其数字界面时，不应依赖所谓的“黑暗模式”。“黑暗模式”是指那些促使或误导消费者作出对其产生不利后果之决定的设计手法。此类操纵性技术可能被用于说服用户——尤其是弱势消费者——从事其不愿为之的行为，通过诱导其就数据披露交易作出决定而实施欺骗，或者不合理地影响服务使用者的决策过程，从而削弱或损害其自主性、决策能力和选择权。符合欧盟法律的常见且合法的商业惯例本身不应被视为构成“黑暗模式”。

第三方和数据控制者应当遵守相关欧盟法律规定的义务，特别是欧洲议会和理事会颁布的第98/6/EC号指令（24）和第2000/31/EC号指令（25），以及第2005/29/EC号指令和第2011/83/EU号指令所载的各项要求。

(39) 第三方亦应避免使用属于本条例适用范围的数据对个人进行画像，除非此类处理活动对于提供用户所请求的服务而言确属必要，包括在自动化决策的背景下。关于当数据不再为与用户约定之目的所必需时应当予以删除的要求，除涉及非个人数据且另有约定的情形外，系对依据《欧盟》2016/679号条例第17条所赋予的数据主体删除权的补充。若第三方为数据中介服务提供者，则应适用《欧盟》2022/868号条例所规定的针对数据主体的保障措施。第三方可以利用该数据开发新型创新的互联产品或相关服务，但不得用于开发竞争性的互联产品。

(40) 初创企业、小型企业、根据《2003/361/EC号建议》附件第2条被认定为中型企业的企业，以及数字能力相对落后的传统行业企业，在获取相关数据方面面临重重困难。本条例旨在便利上述主体获取数据，同时确保相应义务尽可能保持适度，以避免过度干预。与此同时，少数超大型企业在数字经济领域通过积累和聚合海量数据及其变现所需的技术基础设施，已形成强大的经济实力。这些超大型企业包括提供核心平台服务、掌控整个数字经济平台生态系统的经营主体，而现有或新兴市场参与者均难以对其构成有效挑战或竞争。欧洲议会和理事会于2022年发布的《欧盟条例（EU）2022/1925》（26）旨在纠正上述低效与失衡现象，授权委员会将某一经营主体指定为“守门人”，并对其施加多项义务，其中包括未经同意不得合并特定数据的禁令，以及依据《欧盟条例（EU）2016/679》第20条确保数据可携带权有效实现的义务。

根据《欧盟条例（EU）2022/1925》，鉴于此类经营主体在数据获取方面具有无可匹敌的能力，因此，对于受该等义务约束的数据持有者而言，将“守门人”纳入数据访问权的受益范围既无必要，亦显失当。此外，此种纳入还可能削弱本条例对中小企业所带来的益处，尤其是不利于实现数据价值在各市场主体间公平分配的目标。据此，被指定为“守门人”的核心平台服务提供者，不得依据本条例请求或获准访问用户因使用联网产品、相关服务或虚拟助手而产生的数据。同时，应用户请求向第三方提供的数据，亦不得再向“守门人”开放。例如，第三方不得将相关服务分包给“守门人”。然而，这并不妨碍第三方使用“守门人”所提供的数据处理服务，亦不阻碍该等经营主体通过其他合法途径获取并使用相同数据。本条例所规定的访问权有助于为消费者提供更广泛的服务选择。由于守门人与数据持有人之间的自愿协议不受影响，对向守门人授予访问权限的限制不会将其排除在市场之外，也不会妨碍其提供服务。

(41) 鉴于当前的技术状况，对微型企业和小型企业就其生产或设计的联网产品以及所提供的相关服务施加额外的设计义务，将构成过重负担。然而，若某微型企业或小型企业存在符合《2003/361/EC号建议》附件第3条所界定的伙伴企业或关联企业，而该等企业并不属于微型企业或小型企业，并且该微型企业或小型企业受托从事联网产品的制造或设计，或者提供相关服务，则不适用上述规定。在此类情形下，将制造或设计业务分包给微型企业或小型企业的企业，可以向分包方给予适当补偿。此外，即使某微型企业或小型企业并非联网产品的制造商或相关服务的提供者，其作为数据持有者仍可能受到本条例规定的各项要求约束。对于成立不足一年的中型企业以及自其在市场投放之日起满一年的联网产品，应当适用过渡期规定。该为期一年的过渡期旨在使此类中型企业能够在面临基于本条例所赋予的访问权而开展的联网产品服务市场竞争之前进行调整与准备。但若该中型企业存在不符合微型企业或小型企业认定标准的伙伴企业或关联企业，或者该中型企业曾被委托从事联网产品的制造或设计，或提供相关服务，则不适用上述过渡期规定。

(42) 鉴于联网产品种类繁多，其产生的数据在性质、数量和频率上各不相同，所呈现的数据水平及网络安全风险亦有差异，并且所提供的经济机遇价值各异；为确保内部市场内数据共享实践的一致性，包括跨部门的一致性，并鼓励和促进即使在未规定数据访问权的领域亦能实施公平的数据共享实践，本条例就数据持有人依据欧盟法律或根据欧盟法律制定的国家立法而负有向数据接收方提供数据义务时的数据访问安排，制定了横向规则。此类访问应当基于公平、合理、非歧视且透明的条款与条件。上述一般性访问规则不适用于依据《欧盟》2016/679号条例所规定的数据提供义务。自愿性数据共享不受该等规则的影响。由委员会制定并推荐的、用于企业间数据共享的非约束性示范合同条款，有助于各方订立包含公平、合理且非歧视性条款与条件，并以透明方式予以实施的合同。订立可能包含该等非约束性示范合同条款的合同，不应被视为意味着与第三方共享数据的权利在任何情况下均以存在此类合同为前提。若各方无法订立数据共享合同，包括在争议解决机构的支持下亦未能达成协议，则与第三方共享数据的权利可在国家法院或仲裁庭中得到强制执行。

(43) 在合同自由原则的基础上，当事人应当在其关于数据开放的一般规则框架内，保留在合同中就数据开放的具体条件进行协商的自由。此类合同条款可以包括技术和组织措施，其中亦涉及数据安全相关事项。

(44) 为确保强制性数据访问条件对合同双方均公平，有关数据访问权的一般规则应当援引避免不公平合同条款的规定。

(45) 在企业间关系中订立的任何关于数据开放的协议，均应对同类数据接收方保持非歧视性，无论缔约方是大型企业还是中小企业。为弥补因不同合同所载条件信息不足而致使数据接收方难以判断数据开放条款是否具有非歧视性的问题，数据控制者应当承担举证责任，证明其合同条款不具歧视性。若数据控制者采用不同的数据开放合同条款系出于客观理由，则该等差异并不构成违法的歧视行为。上述义务不影响《欧盟》2016/679号条例的适用。

(46) 为促进对生成并提供有价值数据的持续投资，包括对相关技术工具的投资，同时避免对数据获取与使用的负担过重，以致于使数据共享在商业上不再可行，本条例规定如下原则：在企业间关系中，当数据持有人依据欧盟法律或根据欧盟法律制定的国家立法被要求向数据接收方提供数据时，其可以请求合理的补偿。该补偿不应被视为对数据本身的支付。委员会应当就数据经济领域内合理补偿的计算方法制定指导方针。

(47) 首先，为履行依据欧盟法律或根据欧盟法律制定的国家立法所规定的、关于提供数据的义务而支付的合理补偿，可以包括为提供数据所产生的费用。这些费用可能属于技术性成本，例如用于数据复制、通过电子方式传播以及存储所需的费用，但不包括数据收集或生产相关的费用。此类技术性成本还可包括为使数据可供使用而进行处理所需的费用，其中包括与数据格式化相关的费用。与提供数据相关的费用还可能包括为满足具体的数据共享请求而产生的费用。此外，这些费用也可能因数据量以及为提供数据所采取的具体安排而有所不同。例如，数据持有者与数据接收者之间通过订阅模式或智能合约等方式达成的长期安排，可能会在商业关系中的定期或重复性交易中降低相关成本。与提供数据相关的费用要么专属于某项特定请求，要么与其他请求共同分担。在后一种情况下，单一的数据接收者不应承担全部的提供数据费用。其次，合理补偿还可以包含一定比例的利润空间，但中小企业和非营利性研究机构除外。该利润空间可能因与数据本身相关的因素而异，例如数据的规模、格式或性质。它还可能考虑数据收集的成本。

因此，当数据持有者为自身业务目的收集数据且未进行重大投资时，利润空间可能会相应降低；而当数据持有者为自身业务目的投入大量资金进行数据收集时，利润空间则可能提高。在数据接收者对数据的使用不会影响数据持有者自身经营活动的情形下，利润空间可能会被限制甚至完全排除。此外，如果数据是由用户拥有、租用或租赁的关联产品共同生成的，则相较于其他情形（例如数据由数据持有者在提供相关服务过程中生成的情况），补偿金额也可能相应减少。

(48) 在大型企业之间进行数据共享的情形，或者数据持有者为小型企业或中型企业而数据接收者为大型企业的情形下，无需进行干预。在此类情形中，相关企业被认为能够在合理且非歧视性的范围内就补偿问题进行协商。

(49) 为保护中小企业免受过重经济负担，以免其在商业上难以开发和运营创新商业模式，其为提供数据而应支付的合理补偿不应超过与提供数据直接相关的成本。直接相关成本是指那些可归因于个别请求的成本，同时考虑到必要的技术接口或相关软件及连接性应由数据持有人以永久性方式予以建立。同样的制度也应适用于非营利性研究机构。

(50) 在有充分正当理由的情况下，包括为保障消费者参与度和市场竞争，或为促进某些市场的创新时，欧盟法律或依据欧盟法律制定的国家立法可以规定对特定类型数据的提供给予监管性补偿。

（51）

透明度是一项重要原则，旨在确保数据持有人所要求的补偿是合理的；或者，若数据接收方为中小企业或非营利性研究机构，则该补偿不应超过与向数据接收方提供数据直接相关的成本，且该成本应可归因于相关个别请求。为使数据接收方能够评估并核实补偿是否符合本条例的要求，数据持有人应当向数据接收方提供足以用于计算补偿的详细信息。

（52）

确保获得解决因数据提供而产生的国内及跨境争议的替代途径，应有利于数据持有人和数据接收方，从而增强对数据共享的信任。当各方无法就公平、合理且无歧视的数据提供条款与条件达成一致时，争议解决机构应当为各方提供简便、快速且低成本的解决方案。尽管本条例仅规定了争议解决机构获得认证所需满足的条件，但各成员国仍可自行制定有关认证程序的具体规则，包括认证的有效期或撤销事宜。本条例关于争议解决的规定不应强制成员国设立争议解决机构。

(53) 本条例项下的争议解决程序属于自愿程序，允许用户、数据持有人及数据接收方同意将其争议提交至争议解决机构。因此，各方应有权选择其偏好的争议解决机构，无论该机构位于这些当事人所在成员国境内还是境外。

(54) 为避免同一争议被两个或多个争端解决机构受理的情况，特别是在跨境情形下，争端解决机构应当有权拒绝处理已由其他争端解决机构或成员国法院、仲裁庭受理的争议解决请求。

(55) 为确保本条例的统一适用，争端解决机构应当考虑由委员会制定并推荐的非约束性示范合同条款，以及规定数据共享义务的欧盟法律或成员国法律，或由行业主管部门为实施该等法律而发布的相关指南。

(56) 争端解决程序的当事人不应被剥夺其获得有效救济和公正审判的基本权利。因此，将争议提交争端解决机构的决定不应剥夺当事人向成员国法院或仲裁庭寻求救济的权利。争端解决机构应当公开发布年度活动报告。

(57) 数据持有人可以采取适当的技术保护措施，以防止数据被非法披露或未经授权的访问。然而，这些措施不得对数据接收方构成歧视，亦不得妨碍用户或数据接收方对数据的访问与使用。若数据接收方存在滥用行为，例如通过提供虚假信息误导数据持有人，意图将数据用于非法目的，包括基于该数据开发竞争性的关联产品，则数据持有人，以及在适用情况下且与数据持有人并非同一主体时的商业秘密持有人或用户，可以要求该第三方或数据接收方在无不当延误的情况下采取纠正或补救措施。任何此类请求，尤其是要求停止生产、销售或投放市场相关商品、衍生数据或服务，以及要求停止进口、出口、存储侵权商品或予以销毁的请求，均应根据其与数据持有人、商业秘密持有人或用户利益之间的相称性予以评估。

(58) 在一方处于更强的谈判地位的情况下，存在该方可能利用其优势地位损害另一缔约方利益的风险，尤其是在就数据访问权进行谈判时，从而导致数据访问在商业上变得缺乏可行性，甚至在经济上难以承受。此类合同失衡会损害所有缺乏有效能力就数据访问条件进行谈判的企业，这些企业往往别无选择，只能接受“要么接受、要么放弃”的合同条款。因此，当某些规制数据访问与使用、或对违反及终止数据相关义务的责任与救济的合同条款系单方面强加于企业时，该等条款不应具有约束力。

(59) 关于合同条款的规则应当将合同自由原则作为企业间关系中的一个基本概念予以考虑。因此，并非所有合同条款都应接受不公平性审查，而仅限于那些被单方面强加的条款。这涉及“要么接受、要么放弃”的情形：一方提供某一特定合同条款，而另一家企业尽管试图协商却无法影响该条款的内容。单纯由一方提供并由另一家企业接受的合同条款，或者经双方协商后以修改形式达成一致的条款，均不应被视为单方面强加的条款。

(60) 此外，关于不公平合同条款的规则仅适用于与数据提供相关的合同要素，即有关数据访问与使用的合同条款，以及针对违反和终止数据相关义务所设定的责任或救济措施。同一份合同中与数据提供无关的其他部分，则不应适用本条例所规定的不公平性审查。

(61) 识别不公平合同条款的标准仅适用于那些因较强谈判地位而被滥用的过度条款。绝大多数在商业上对一方更为有利的合同条款，包括那些在企业间合同中常见的条款，均属合同自由原则的正常体现，仍应继续适用。就本条例而言，严重偏离良好商业惯例的情形，除其他情况外，还包括客观上削弱了被单方面强加该条款的一方保护其在相关数据方面合法商业利益的能力。

(62) 为确保法律确定性，本条例确立了一份始终被视为不公平的条款清单，以及一份被推定为不公平的条款清单。在后一种情形下，设定该合同条款的企业应当能够通过证明本条例所列的合同条款在具体个案中并不具有不公平性来推翻该项不公平推定。若某一合同条款既未被列入始终被视为不公平的条款清单，也未被列入被推定为不公平的条款清单，则适用一般性的不公平条款规定。就此而言，本条例中列为不公平合同条款的各项内容应作为解释一般性不公平条款规定的参照标准。最后，由委员会制定并推荐的、用于企业间数据共享合同的非约束性示范合同条款，亦可在商业主体协商合同时提供有益参考。如某项合同条款被认定为不公平，则相关合同应在不包含该条款的情况下继续有效，除非该不公平合同条款无法与合同其他条款相分离。

(63) 在出现特殊需要的情况下，公共部门机构、欧盟委员会、欧洲中央银行或欧盟各机构为履行其法定职责并符合公共利益之目的，可能有必要使用现有数据，包括在适当情况下连同相关元数据，以应对公共紧急事件或其他特殊情况。所谓“特殊需要”，是指那些不可预见且具有时限性的状况，有别于那些可以事先规划、定期发生或频繁出现的情形。尽管“数据持有者”的概念通常不包括公共部门机构，但可能涵盖公共企业。从事研究的组织及资助研究的机构亦可被归类为公共部门机构或受公法管辖的机构。为减轻企业的负担，微型企业和小型企业仅在特殊需要情况下负有向公共部门机构、欧盟委员会、欧洲中央银行或欧盟各机构提供数据的义务；此种情形须满足以下条件：该数据系为应对公共紧急事件所必需，且相关公共部门机构、欧盟委员会、欧洲中央银行或欧盟各机构在同等条件下无法通过其他途径及时、有效地获取该数据。

(64) 在发生公共卫生紧急事件、由自然灾害（包括因气候变化和环境退化而加剧的灾害）以及人为重大灾害（如重大网络安全事件）等公共紧急情况时，为实现公共利益而使用相关数据的必要性将优先于数据持有人对其所持数据自由处置的利益。在此类情况下，数据持有人应当承担义务，在公共部门机构、委员会、欧洲中央银行或欧盟机构提出请求时，向其提供相关数据。公共紧急状态的存在应依据欧盟或成员国法律，并按照相关程序予以认定或宣布，包括相关国际组织的相关程序。在上述情形下，公共部门机构应当证明，其所请求的数据无法通过其他方式在及时、有效且同等条件下获取，例如通过其他企业自愿提供数据或查阅公共数据库等方式。

(65) 例外需求亦可能源于非紧急情形。在此类情形下，公共部门机构、委员会、欧洲中央银行或欧盟机构仅得请求非个人数据。公共部门机构应当证明，该等数据对于履行法律明确规定的、以公共利益为目的的特定任务而言属必要，例如编制官方统计资料或应对公共紧急事件并从中恢复。此外，此类请求仅可在以下条件下提出：公共部门机构、委员会、欧洲中央银行或欧盟机构已确认存在特定数据，且该等数据无法通过其他方式在及时、有效且同等条件下获取；同时，该机构已穷尽一切可用手段以获取相关数据，例如通过自愿协议获取数据，包括按市场价格购买非个人数据，或依赖现有数据提供义务，或者采取新的立法措施以确保数据的及时可得。有关请求的条件与原则，如目的限制、比例原则、透明度及期限限制等，亦应予适用。就用于编制官方统计资料之数据请求而言，请求方公共部门机构还应当证明本国法律是否允许其在市场上购买非个人数据。

(66) 本条例不应适用于亦不优先于私人与公共实体之间为数据交换而达成的自愿安排，包括中小企业提供数据的情形；同时，本条例不影响欧盟法律中有关公共实体向私人实体提出强制性信息请求的规定。因非例外性需求而对数据持有人施加的数据提供义务，特别是在数据范围及数据持有人已知或数据使用可定期进行的情况下，例如报告义务和内部市场相关义务，均不受本条例影响。为核查适用规则之遵守情况而获取数据的要求，包括当公共部门机构将合规核查任务委托给非公共部门机构时，亦不受本条例影响。

(67) 本条例是对欧盟及成员国法律的补充，且不影响其关于为统计目的获取并使用数据的相关规定，特别是欧洲议会和理事会第223/2009号条例（27）以及与官方统计相关的国家法律。

(68) 为履行其在预防、调查、侦查或起诉刑事或行政违法行为，以及执行刑事和行政处罚等方面的职责，同时为税收或海关目的收集数据，公共部门机构、委员会、欧洲中央银行或欧盟各机构应依据其在欧盟或成员国法律项下的职权行事。因此，本条例不影响上述领域内关于数据共享、获取及使用的立法规定。

(69) 根据《欧盟》2016/679号条例第6条第1款和第3款的规定，在特殊情况下，为数据持有者向公共部门机构、委员会、欧洲中央银行或欧盟机构提供数据的法律依据作出规定时，有必要在欧盟层面建立一个适度、有限且可预期的框架，以确保法律确定性并最大限度地减轻企业所承担的行政负担。为此，公共部门机构、委员会、欧洲中央银行或欧盟机构向数据持有者提出的数据请求，其内容范围和细化程度应当具体、透明且适当。请求的目的以及所请求数据的预期用途应当明确说明，并允许请求方为履行其符合公共利益的具体任务而享有适当的灵活性。同时，该请求还应尊重被请求的数据持有者的合法权益。通过要求请求方遵守“一次提交原则”，即同一数据不得由多个公共部门机构或委员会、欧洲中央银行、欧盟机构重复请求，从而将数据持有者所承受的负担降至最低。为确保透明度，委员会、欧洲中央银行或欧盟机构提出的数据请求应当由请求方及时予以公开。欧洲中央银行及欧盟机构应当将其请求通报委员会。若数据请求系由公共部门机构提出，则该机构还应当通知该公共部门机构所在成员国的数据协调员。所有请求均应在线公开。

收到数据请求的通知后，主管机关可以决定对该请求的合法性进行评估，并行使与本条例的执行和适用相关的职能。数据协调员应当确保所有由公共部门机构提出的请求均能在线公开。

(70) 提供数据义务的目的在于确保公共部门机构、委员会、欧洲中央银行或欧盟机构具备必要的知识，以便应对、预防或从公共紧急事件中恢复，或者维持履行法律明确规定的特定任务的能力。这些实体获取的数据可能涉及商业敏感信息。因此，无论是《2022/868号条例》还是欧洲议会和理事会的《2019/1024号指令》（28），均不应适用于根据本条例提供的数据，亦不应被视为可供第三方再利用的开放数据。然而，这并不影响《2019/1024号指令》在再利用为编制官方统计而使用了依据本条例获取的数据时的适用性，前提是该再利用不包含基础数据本身。此外，在符合本条例所规定条件的前提下，为开展研究或用于官方统计的开发、生产与传播而共享数据的可能性亦不受影响。公共部门机构还应被允许与其他公共部门机构、委员会、欧洲中央银行或欧盟机构交换依据本条例获取的数据，以满足对相关数据提出请求的特殊需求。

(71) 数据控制者应当有权在不无故拖延的情况下，且无论如何不得迟于请求中所援引的特殊需求性质所规定的五个工作日或三十个工作日期限内，拒绝公共部门机构、委员会、欧洲中央银行或欧盟机构提出的请求，或者要求对该请求予以修改。在相关情况下，当数据控制者对所请求的数据并不具备控制权时，亦即其无法即时获取该数据且无法确定其可获得性时，数据控制者同样享有上述权利。若能够证明该请求与另一公共部门机构、委员会、欧洲中央银行或欧盟机构此前为同一目的提交的请求类似，且数据控制者尚未依据本条例收到有关删除该数据的通知，则应存在不予提供数据的有效理由。拒绝请求或要求修改请求的数据控制者应当将其作出决定的正当理由告知提出请求的公共部门机构、委员会、欧洲中央银行或欧盟机构。就所请求的数据集而言，若适用欧洲议会和理事会第96/9/EC号指令（29）项下的独特数据库权利，数据控制者应当以不妨碍公共部门机构、委员会、欧洲中央银行或欧盟机构根据本条例获取或共享该数据的方式行使该项权利。

(72) 在涉及公共紧急响应的特殊需求情形下，公共部门机构应当尽可能使用非个人数据。对于基于非公共紧急情况的特殊需求而提出的请求，不得要求提供个人数据。若请求范围涵盖个人数据，数据控制者应当对该等数据进行匿名化处理。如确有必要将个人数据纳入拟向公共部门机构、委员会、欧洲中央银行或欧盟机构提供的数据之中，或者在无法实现匿名化的情况下，请求方应当证明其处理个人数据的严格必要性以及具体且有限的处理目的。同时，应当遵守适用于个人数据保护的相关规定。数据的提供及其后续使用应当附带保障措施，以维护相关个人的权利和利益。

(73) 根据特殊需要向公共部门机构、委员会、欧洲中央银行或欧盟机构提供的数据，仅可用于其被请求的目的，除非提供该数据的数据持有人明确同意将其用于其他目的。一旦该数据不再为请求中所述目的所必需，即应予以删除，除非另有约定，并且应当通知数据持有人。本条例以欧盟及各成员国现行的获取制度为基础，并不改变在透明度义务框架下有关公众获取文件的国家法律。当此类透明度义务不再需要时，相关数据亦应予以删除。

(74) 公共部门机构、委员会、欧洲中央银行或欧盟机构在再利用由数据持有人提供的数据时，应当同时遵守适用的欧盟或国家法律以及数据持有人所承担的合同义务。此外，它们不得开发或增强与数据持有人之相关产品或服务相竞争的产品或服务，亦不得为上述目的将该数据共享给第三方。同时，经数据持有人请求，应当向其作出公开致谢，并对所接收数据的安全性负有责任。在为实现数据被请求之目的而必须向公共部门机构、委员会、欧洲中央银行或欧盟机构披露数据持有人商业秘密的情况下，应在披露前确保该等披露的保密性。

(75) 当涉及维护重大公共利益时，例如应对突发公共事件，公共部门机构、委员会、欧洲中央银行或相关欧盟机构不应被要求就其获取的数据向企业支付补偿。突发公共事件属于罕见情形，且并非所有此类事件均需使用企业所持有的数据。同时，提供数据的义务可能对微型企业及小型企业构成沉重负担，因此应允许其在应对突发公共事件的情形下亦可主张补偿。鉴于此，数据持有者的经营活动不太可能因公共部门机构、委员会、欧洲中央银行或欧盟机构援引本条例而受到不利影响。然而，由于除应对突发公共事件之外的特殊需求情形可能更为常见，在此类情况下，数据持有人有权获得合理补偿，该补偿金额不得超过为满足请求而产生的技术和组织成本，以及为使数据可供公共部门机构、委员会、欧洲中央银行或相关欧盟机构使用所必需的合理利润空间。该项补偿不应被视为对数据本身的对价，亦不具有强制性。若国家法律禁止国家统计机构或其他负责统计生产的国家机关向数据持有人就提供数据的行为支付补偿，则数据持有人不得据此主张补偿。

相关公共部门机构、委员会、欧洲中央银行或欧盟机构可通过将争议提交至数据持有人所在成员国的主管机关，对数据持有人所请求的补偿金额提出异议。

(76) 公共部门机构、委员会、欧洲中央银行或欧盟机构，如为开展其自身无法实施的科学研究活动或分析活动所必需，有权将其根据请求获取的数据与其他实体或个人共享，但前提是这些活动须与数据请求的目的相一致。该等机构应当及时将此类共享情况告知数据持有人。在相同情况下，上述数据亦可与各国国家统计局及欧洲统计局共享，用于官方统计的制定、编制和发布。然而，此类研究活动应当与数据请求的目的相一致，且数据持有人应被告知其所提供数据的进一步共享情况。从事研究的个人或可与其共享上述数据的研究机构，应当以非营利方式开展相关活动，或者在其开展的活动中履行经国家认可的公共利益使命。对于那些因结构性情形而使商业企业得以对其施加重大影响，并因此可能使其享有对研究成果的优先获取权的组织，不应被视为本条例所指的研究机构。

(77) 为应对跨境公共紧急事件或其他特殊需要，数据请求可以向请求方所属成员国以外的其他成员国的数据控制者提出。在此情形下，请求方公共部门机构应当通知数据控制者所在成员国的主管机关，以便其依据本条例所确立的标准对请求进行审查。同样，由欧盟委员会、欧洲中央银行或欧盟机构提出的请求亦应适用上述规定。如涉及个人数据的请求，该公共部门机构还应当通知其所在成员国负责监督实施《欧盟》2016/679号条例的监管机构。相关主管机关有权建议该公共部门机构、欧盟委员会、欧洲中央银行或欧盟机构与数据控制者所在成员国的公共部门机构开展合作，以确保尽可能减轻数据控制者的行政负担。当主管机关就请求是否符合本条例提出实质性异议时，应当驳回该公共部门机构、欧盟委员会、欧洲中央银行或欧盟机构的请求；上述主体在采取任何进一步行动之前，包括重新提交请求时，均应考虑该等异议。

(78) 数据处理服务（包括云服务和边缘计算服务）的客户能够在保持最低限度服务功能且不中断服务的情况下，从一项数据处理服务切换至另一项服务，或者在不存在不当障碍及数据传输费用的前提下同时使用多家供应商的服务，这一能力是构建更具竞争力的市场、降低新数据处理服务提供商进入门槛，并进一步保障服务使用者韧性的关键条件。享受免费试用服务的客户亦应享有本条例所规定的切换权利，以避免此类服务导致客户陷入锁定状态。

(79) 欧洲议会和欧洲理事会第2018/1807号条例（30）鼓励数据处理服务提供商制定并有效实施自我监管行为准则，涵盖包括促进数据处理服务提供商的切换及数据迁移在内的最佳实践。鉴于为应对这一问题而制定的自我监管框架采纳率有限，且开放标准与接口普遍缺失，有必要对数据处理服务提供商施加一套最低限度的监管义务，以消除商业前、商业、技术、合同及组织等方面的障碍——这些障碍不仅限于客户退出时的数据传输速度降低——从而阻碍数据处理服务之间的有效切换。

(80) 数据处理服务应当涵盖那些能够通过网络实现无处不在且按需访问的、可配置、可扩展并具有弹性的分布式计算资源共享池的服务。这些计算资源包括但不限于网络、服务器或其他虚拟或物理基础设施、软件（含软件开发工具）、存储、应用程序及各类服务。数据处理服务的客户能够无需数据处理服务提供方的人工干预，自主地自助获取计算能力，例如服务器时间或网络存储空间，这种能力可被视为所需管理投入极低，并且在服务提供方与客户之间几乎无需交互。术语“无处不在”用于描述通过网络提供的、并借助促进异构瘦客户端或胖客户端平台（从网页浏览器到移动设备及工作站）使用的机制加以访问的计算能力。“可扩展”是指数据处理服务提供方能够灵活调配计算资源，且不受资源地理位置限制，以应对需求波动；“弹性”则指根据需求动态分配和释放计算资源，从而依据工作负载快速增减可用资源的能力。“共享池”用于描述向多个用户提供的计算资源，这些用户共享同一服务访问权限，但各自的数据处理过程独立进行，尽管服务由同一套电子设备提供。

“分布式”用于描述位于不同联网计算机或设备上的计算资源，它们通过消息传递相互沟通与协调。“高度分布式”则用于描述那些将数据处理更贴近数据产生或采集地点的数据处理服务，例如在联网的数据处理设备中进行处理。边缘计算作为此类高度分布式数据处理的一种形式，预计将催生新的商业模式以及云服务交付模式，而这些新模式自始至终都应保持开放性和互操作性。

(81) 通用概念“数据处理服务”涵盖大量服务，这些服务具有极为广泛的不同目的、功能及技术架构。按照服务提供者与用户的一般理解，并符合广泛采用的标准，数据处理服务可分为以下三种数据处理服务交付模式之一或多种：基础设施即服务（IaaS）、平台即服务（PaaS）以及软件即服务（SaaS）。上述服务交付模式系由数据处理服务提供者所提供的特定、预封装的ICT资源组合。此外，这三种基本的数据处理服务交付模式还辅以新兴的变体，每种变体均由独特的ICT资源组合构成，例如存储即服务和数据库即服务等。数据处理服务还可进一步细分为更为具体的类别，划分为若干非穷尽的服务集合，这些服务具有相同的主要目标与核心功能，且采用相同类型的数据处理模型，但与服务的运营特性无关（即属于同一服务类型）。归属于同一服务类型的服务可能共享相同的数据处理服务模式；然而，两个数据库看似具有相同的主要目标，但在考量其数据处理模型、分发模式以及所针对的应用场景后，此类数据库可能被归入更为细化的同类服务子类别。同一服务类型的服务可能在性能、安全性、韧性及服务质量等方面呈现出不同且相互竞争的特征。

(82) 破坏从数据处理服务的源提供商处提取属于客户之出口数据的行为，可能会妨碍在目标数据处理服务提供商的基础设施中恢复服务功能。为便于客户制定退出策略、避免不必要且繁重的工作，并确保客户不会因切换过程而丢失任何数据，数据处理服务的源提供商应当在客户决定转至由另一数据处理服务提供商提供的不同服务或迁移到本地ICT基础设施时，提前告知客户可导出的数据范围。可导出的数据范围至少应包括由客户使用数据处理服务直接或间接生成、或与之共同产生的输入数据和输出数据，以及元数据；但不包括数据处理服务提供商或第三方的任何资产或数据。可导出的数据还应排除受知识产权保护、构成该数据处理服务提供商或第三方商业秘密的任何资产或数据，以及与服务完整性和安全性相关、其导出会使数据处理服务提供商面临网络安全漏洞的数据。上述豁免不应妨碍或延误切换过程。

(83) 数字资产是指以数字形式存在的、客户享有使用权的要素，包括与配置设置、安全、访问及控制权限管理相关的应用程序和元数据，以及其他诸如虚拟化技术的表现形式（如虚拟机和容器）等要素。只要客户对这些数字资产享有独立于其拟退出的数据处理服务合同关系的使用权，即可进行转移。上述其他要素对于客户在其目标数据处理服务提供商环境内有效使用其数据和应用程序至关重要。

(84) 本条例旨在促进数据处理服务之间的切换，涵盖客户终止现有数据处理服务合同、与不同数据处理服务提供商订立一项或多项新合同、迁移其可导出的数据和数字资产，并在适用情况下享受功能等效性所需的各种条件与措施。

(85) 切换是一项以客户为导向的操作，包含多个步骤，包括数据提取，即从数据处理服务源提供商的生态系统中下载数据；数据转换，即将数据按照与目标位置模式不匹配的方式进行结构化处理；以及将数据上传至新的目标位置。在本条例所规定的特定情形下，将合同中的某项服务单独剥离并转移至其他提供商，亦应被视为切换行为。在某些情况下，切换过程由第三方实体代表客户进行管理。因此，在上述情形下，本条例所确立的客户各项权利与义务，包括善意合作的义务，均应适用于该第三方实体。数据处理服务提供商与客户根据前述流程各阶段的不同要求，承担相应的责任。例如，数据处理服务源提供商负责将数据提取为机器可读格式，但数据上传至新环境的责任则由客户及数据处理服务目标提供商承担，除非已获得专门的专业迁移服务。拟行使本条例所规定之切换相关权利的客户，应当将其决定通知数据处理服务源提供商，该决定可以是：切换至另一家数据处理服务提供商、切换至本地部署的ICT基础设施，或删除该客户的资产并清除其可导出的数据。

(86) 功能等效是指，在完成切换后，基于客户的可导出数据和数字资产，在相同服务类型的新数据处理服务环境中重新建立最低限度的功能水平；其中，目标数据处理服务针对合同项下向客户提供的共享功能，在相同输入条件下能够产生实质上相当的结果。数据处理服务提供商仅被期望就源数据处理服务与目标数据处理服务各自独立提供的功能实现功能等效。本条例并不构成对除IaaS交付模式服务提供商之外的其他数据处理服务提供商提供功能等效的义务。

（87）

数据处理服务广泛应用于各个行业，其复杂程度和服务类型各不相同。这一点在迁移流程及时间安排方面尤为重要。尽管如此，仅在有充分正当理由的情况下，方可基于技术上不可行的理由延长过渡期，以便在既定时间内完成切换流程。在此情形下，举证责任应完全由相关数据处理服务提供方承担。上述规定不影响客户享有一次延长过渡期的权利，且该延长期限应由客户根据自身需求自行确定。客户可在过渡期内或过渡期开始前主张该项权利，同时需注意，在过渡期内合同仍继续有效。

（88）

切换费用是指数据处理服务提供方向客户就切换流程收取的费用。通常，此类费用旨在将数据处理服务原提供方因切换流程而产生的成本转嫁给希望进行切换的客户。常见的切换费用包括：将数据从一家数据处理服务提供商传输至另一家或传输至本地ICT基础设施所产生的费用（即数据出站费用），以及在切换过程中为特定支持性操作所发生的费用。不必要过高的数据出站费用及其他与实际切换成本无关的不合理收费，会阻碍客户进行切换、限制数据自由流动，可能削弱市场竞争，并通过降低客户选择其他或新增服务提供方的意愿而造成锁定效应。因此，自本条例生效之日起三年后，应取消所有切换费用；在此之前，数据处理服务提供方仍可收取较低标准的切换费用。

(89) 数据处理服务的源提供商应当能够将某些任务外包，并向第三方实体支付费用，以履行本条例规定的义务。客户不应承担数据处理服务的源提供商在切换过程中所订立的服务外包所产生的费用；除非该等费用系因数据处理服务提供商应客户要求为切换过程提供超出本条例明确规定的切换义务范围的额外支持而开展的工作所致，否则该等费用应被视为不合理的。本条例的规定并不妨碍客户就迁移过程中的支持向第三方实体支付费用，亦不妨碍各方根据欧盟或成员国法律约定固定期限的数据处理服务合同，包括为覆盖此类合同提前终止而设定的按比例计算的提前终止罚金。为促进竞争，与不同数据处理服务提供商之间切换相关的收费逐步取消的范围应特别涵盖数据处理服务提供商向客户收取的数据出站费用。数据处理服务本身的标准化服务费不属于切换费用，该等标准化服务费不受取消措施影响，继续适用，直至相关服务合同终止为止。本条例允许客户请求提供超出数据处理服务提供商依据本条例所负切换义务范围的附加服务；此类附加服务经客户请求并事先同意相应价格后，可由服务提供商予以实施并收取费用。

(90) 为克服供应商锁定现象——这种现象有损竞争并阻碍新服务的发展——有必要采取一种富有雄心且能激发创新的互操作性监管方法。数据处理服务之间的互操作性涉及多个接口以及基础设施和软件的多层架构，通常难以仅通过是否可行的二元测试来界定。相反，构建此类互操作性需要进行成本效益分析，以判断追求合理可预期的结果是否具有经济合理性。ISO/IEC 19941:2017是一项重要的国际标准，为实现本条例的目标提供了重要参考，其中包含了有助于阐明这一过程复杂性的技术性考量。

(91) 当数据处理服务提供者本身亦为第三方提供商所提供的数据处理服务的客户时，其自身将能够更有效地实现服务切换，同时仍须遵守本条例对其自身服务提供所规定的各项义务。

(92) 数据处理服务提供者应当在其能力范围内，按照与其各自义务相称的原则，提供一切必要的协助与支持，以确保向其他数据处理服务提供者之服务的切换过程得以成功、有效且安全地进行。本条例并不要求数据处理服务提供者开发新的数据处理服务类别，包括在不同数据处理服务提供者的ICT基础设施内或基于该等基础设施而开发此类服务，以在非其自有系统环境内保障功能等效性。数据处理服务的源提供者无权访问或了解目标数据处理服务提供者的运行环境。功能等效性不应被理解为要求源数据处理服务提供者在其目标数据处理服务提供者的基础设施内重建相关服务；相反，源数据处理服务提供者应当在其权限范围内采取一切合理措施，通过提供相应的能力、充分的信息、文档资料、技术支持，并在必要时提供所需工具，以促进实现功能等效性的过程。

(93) 数据处理服务提供者还应当消除现有障碍，不得设置新的障碍，包括针对希望切换至本地部署ICT基础设施的客户。这些障碍可能涉及商业前阶段、商业、技术、合同或组织管理等方面。此外，数据处理服务提供者还应当消除阻碍将某一特定单项服务从其依据合同提供的其他数据处理服务中单独剥离的障碍，并在不存在重大且经证实的技术障碍妨碍此种剥离的情况下，使该相关服务可供切换。

（94）

在整个切换过程中，应当维持高水平的安全性。这意味着数据处理服务的源提供方应当将其在该服务中所承诺的安全水平延伸至其在切换过程中负责的所有技术安排，例如网络连接或物理设备。与合同终止相关的既有权利，包括由欧盟议会和理事会颁布的《条例（EU）2016/679》以及《指令（EU）2019/770》（31）所引入的相关权利，均不应受到影响。本条例不应被理解为妨碍数据处理服务提供方向客户提供新的、改进的服务、特性和功能，或据此与其他数据处理服务提供方开展竞争。

（95）

数据处理服务提供方向客户提供的信息应当有助于支持客户的退出策略。该等信息应包括：启动从该数据处理服务进行切换的程序；用户数据可导出的机器可读数据格式；用于导出数据的工具，包括开放接口，以及关于与基于开放互操作性规范的协调标准或通用规范兼容性的信息；可能对切换过程产生影响的已知技术限制和约束条件的信息；以及完成切换过程所需的预计时间。

(96) 为促进数据处理服务之间的互操作性和切换，用户及数据处理服务提供方应当考虑使用实施与合规工具，尤其是由委员会以《欧盟云规则手册》和《数据处理服务公共采购指南》形式发布的相关工具。特别是，标准合同条款具有积极作用，因为它们能够增强各方对数据处理服务的信心，构建更为均衡的用户与数据处理服务提供方之间的关系，并就适用于向其他数据处理服务切换的条件提升法律确定性。在此背景下，用户及数据处理服务提供方应当考虑采用标准合同条款或其他自我监管的合规工具，但前提是这些工具必须完全符合本条例的规定，并由根据欧盟法设立的相关机构或专家小组制定。

(97) 为便于数据处理服务之间的切换，所有相关方，包括数据处理服务的源提供方和目标提供方，均应本着诚信原则予以合作，以确保切换过程的有效性，实现必要数据的安全、及时传输，并采用通用的机器可读格式及开放接口，同时避免服务中断并维持服务的连续性。

（98）

对于那些主要功能系为满足特定客户之特殊需求而量身定制，或全部组件均为针对某一特定客户开发的数据处理服务，应当豁免其部分适用于数据处理服务切换的相关义务。但此规定不适用于数据处理服务提供方通过其服务目录以广泛商业规模所提供的服务。数据处理服务提供方有义务在签订合同前，向潜在客户充分告知本条例中不适用于相关服务的各项义务。此外，数据处理服务提供方日后仍可将此类服务规模化部署；在此情形下，该提供方须遵守本条例所规定的全部切换义务。

（99）

为符合允许在数据处理服务提供商之间进行切换的最低要求，本条例还旨在提升多种具有互补功能的数据处理服务并行使用的互操作性。这涉及如下情形：客户并未终止合同以转至另一家数据处理服务提供商，而是同时并行使用来自不同提供商的多项服务，并以互操作的方式加以运用，从而在其系统架构中充分利用各项服务的互补功能。然而，应当认识到，为便于服务的并行使用而将数据从一家数据处理服务提供商导出至另一家，可能是一项持续性的活动，这与作为切换流程一部分所要求的一次性数据导出存在差异。因此，自本条例生效之日起满三年后，数据处理服务提供商仍应有权收取数据导出费用，但该费用不得超过其实际发生的成本，以支持并行使用之目的。这一点尤为重要，尤其是在成功部署多云战略方面；多云战略使客户能够实施面向未来的ICT战略，并降低对单一数据处理服务提供商的依赖。此外，为数据处理服务的客户提供多云方案的便利，也有助于提升其数字化运营韧性，正如欧洲议会和理事会颁布的第2022/2554号条例（32）中针对金融服务机构所确认的那样。

（100）

根据欧洲议会和理事会第（EU）No 1025/2012号条例附件II制定的开放互操作性规范与标准（33），在互操作性和可移植性领域，有望实现多供应商云环境，而这正是欧洲数据经济中开放式创新的关键要求。鉴于截至2016年，在云标准化协调（CSC）倡议框架下所确定的标准在市场上的采纳程度有限，委员会亦有必要依赖市场各方主体，制定相关开放互操作性规范，以跟上该行业技术发展的快速步伐。此类开放互操作性规范随后可由委员会以通用规范的形式予以采纳。此外，对于那些尚未通过市场驱动机制形成能够促进PaaS及SaaS层面有效云互操作性的通用规范或标准的情形，委员会应依据本条例并遵照第（EU）No 1025/2012号条例的规定，针对尚无相应标准的具体服务类型，要求欧洲标准化机构予以制定。与此同时，委员会还将鼓励市场各方主体制定相关的开放互操作性规范。经与利益相关方协商后，委员会可通过实施性法案，借助欧盟统一标准库中关于数据处理服务互操作性的条目引用，对特定服务类型强制适用互操作性方面的协调标准或通用规范。

数据处理服务提供者应当确保其产品和服务与这些基于开放互操作性规范的协调标准及通用规范相兼容，且不得对数据的安全性或完整性产生不利影响。数据处理服务互操作性的协调标准以及基于开放互操作性规范的通用规范，仅在其符合本条例所规定之标准时方可被引用；该等标准与第（EU）No 1025/2012号条例附件II中的要求以及国际标准ISO/IEC 19941:2017所界定的互操作性要素具有同等效力。此外，标准化工作还应充分考虑中小企业的实际需求。

(101) 第三国可以制定旨在直接传输或提供对其境外非个人数据的政府访问权限的法律、法规及其他法律文件，包括在欧盟境内的相关数据。对于第三国法院或法庭作出的判决，或者包括执法机关在内的其他司法或行政当局作出的决定，若要求对非个人数据进行此类传输或访问，则只有在该请求依据请求方第三国与欧盟或某一成员国之间生效的国际协定（如司法协助条约）时，方可予以执行。在其他情况下，可能会出现如下情形：由第三国法律引发的关于传输或提供非个人数据的请求，与欧盟法或相关成员国国内法所规定的保护该类数据的义务相冲突，尤其是在涉及个人基本权利的保护方面，例如安全权和获得有效救济的权利；或者与成员国国家安全或国防相关的根本利益相冲突；此外，还可能涉及商业敏感数据的保护，包括商业秘密的保护，以及知识产权的保护，包括根据该国法律所承担的保密义务。

在缺乏规制此类事项的国际协定的情况下，仅当经核实确认第三国法律制度要求明确说明决定的理由及其相称性、法院命令或决定具有特定性，并且收件人的有理由之异议能够由具备相应职权的第三国法院或法庭予以审查，同时该法院或法庭有权充分考虑数据提供方的相关法律利益时，方可允许对非个人数据的传输或访问。在第三国主管机关的数据访问请求条款允许的范围内，数据处理服务提供者应当能够在准许访问相关数据之前，通知被请求数据的客户，以便核实该访问是否可能与欧盟法或成员国国内法发生冲突，例如与商业敏感数据保护相关的法律，包括商业秘密及知识产权的保护，以及有关保密的合同义务。

(102) 为进一步增强对数据的信任，至关重要的是，在尽可能的范围内实施各项保障措施，以确保欧盟公民、公共部门机构和企业对其数据享有控制权。此外，还应遵守欧盟法律以及在安全、数据保护与隐私、消费者保护等方面所确立的价值观与标准。为防止第三国当局非法获取非个人数据，本条例适用的数据处理服务提供者，例如云服务和边缘计算服务，应当采取一切合理措施，防止第三方访问存储非个人数据的系统，包括在必要时通过数据加密、定期接受审计、经验证的遵守相关安全认证体系，以及修改公司政策等方式加以实现。

(103) 标准化与语义互操作性应在为确保欧洲共同数据空间内部及跨领域互操作性提供技术解决方案方面发挥关键作用，这些数据空间可以是特定目的或行业的，也可以是跨行业的互操作框架，旨在制定通用标准与实践，以便于共享或联合处理数据，用于开发新产品和服务、开展科学研究或支持公民社会倡议等。本条例规定了若干互操作性的基本要求。在数据空间中向其他参与者提供数据或数据服务的主体，包括那些促进或参与欧洲共同数据空间内数据共享的实体以及数据持有者，在其控制范围内的相关要素方面，均应遵守上述要求。对这些规则的合规可通过遵循本条例所规定的各项基本要求予以保障，或者通过符合经协调的标准或通用规范而推定符合相关要求。为促进对互操作性要求的遵从，有必要对符合欧盟第1025/2012号条例所规定的协调标准或其部分的互操作性解决方案设定符合推定；该条例构成了默认框架，用以制定能够产生此类符合推定的标准。委员会应当评估互操作性方面的障碍并确定标准化需求的优先顺序，据此可依据欧盟第1025/2012号条例，请求一个或多个欧洲标准化组织起草满足本条例所规定的基本要求的协调标准。

若此类请求未能形成协调标准，或者现有协调标准不足以确保符合本条例的基本要求，委员会可在充分尊重标准化组织角色与职能的前提下，在相关领域采纳通用规范。通用规范仅应作为特殊情形下的后备方案，用于促进对本条例基本要求的遵从，或在标准化进程受阻、或适当协调标准的制定出现延误时采用。如延误系因相关标准的技术复杂性所致，委员会在考虑制定通用规范之前，应当对此予以审慎评估。共同规范应当以开放和包容的方式制定，并在相关情况下考虑由《2022/868号条例》设立的欧洲数据创新委员会（EDIB）的意见。此外，不同领域的共同规范可根据该等领域的特定需求，依照欧盟或成员国法律予以采纳。同时，应赋予委员会授权制定数据处理服务互操作性统一标准的权力。

(104) 为促进用于自动执行数据共享协议的工具之间的互操作性，有必要针对专业人员为他人创建或集成到支持数据共享协议实施的应用程序中的智能合约，制定基本要求。为便于此类智能合约符合这些基本要求，有必要根据《欧盟》第1025/2012号条例的规定，对符合协调标准或其部分的智能合约设定合规推定。本条例中“智能合约”的概念在技术上保持中立。例如，智能合约可以与电子账本相连接。基本要求仅适用于智能合约的供应商，但不适用于那些仅为内部使用而自行开发智能合约的情形。确保智能合约能够被中断和终止的基本要求，意味着数据共享协议各方须达成相互同意。有关民事、合同及消费者保护法律的相关规则在数据共享协议中继续适用，或应继续保持不受影响，即便采用智能合约来实现此类协议的自动化执行。

(105) 为证明符合本条例的基本要求，智能合约的供应商，或者在无供应商的情况下，从事在执行协议或其部分过程中为他人部署智能合约并依据本条例提供数据的个人或实体，应当进行合格评定并出具欧盟合格声明。此类合格评定应遵循欧洲议会和理事会《第765/2008号条例》（34）以及欧洲议会和理事会《第768/2008/EC号决定》（35）所载的一般原则。

(106) 除智能合约的专业开发者负有遵守基本要求的义务外，还应鼓励那些在数据空间内向其他参与者提供数据或基于数据的服务的主体，在共同的欧洲数据空间内及跨空间范围内，支持包括智能合约在内的数据共享工具的互操作性。

(107) 为确保本条例的适用与执行，各成员国应当指定一个或多个主管机关。如某一成员国指定多个主管机关，还应当在其间指定一名数据协调员。主管机关之间应当相互合作。根据适用的本国程序行使调查权时，主管机关应当能够查找并获取相关信息，特别是在其管辖范围内的实体活动方面；并且，在开展联合调查时，应充分考虑到：对另一成员国管辖范围内实体所采取的监督与执法措施，应在相关情况下由该另一成员国的主管机关依照跨境合作的相关程序予以实施。主管机关应当及时相互协助，尤其是在某一成员国的主管机关掌握着其他成员国主管机关正在进行的调查所需的相关信息，或者能够收集到该实体所在成员国主管机关无法获取的信息时。主管机关及数据协调员应当在由委员会维护的公共登记册中予以公布。数据协调员可作为促进跨境情形下合作的额外机制，例如当某一成员国的主管机关不确定应向数据协调员所在成员国的哪一主管机关寻求协助时，特别是案件涉及多个主管机关或多个行业领域的情形。数据协调员除其他职责外，还应作为处理所有与本条例适用相关事宜的单一联络点。

如未指定数据协调员，则由主管机关承担本条例赋予数据协调员的各项职责。负责监督数据保护法律遵守情况的机关以及依据欧盟或本国法律指定的主管机关，应当在其各自职权范围内负责本条例的适用。为避免利益冲突，负责在基于特殊需要提出请求后提供数据之领域的本条例适用与执行的主管机关，不得享有提出此类请求的权利。

（108）

为行使其在本条例项下的权利，自然人和法人应当有权通过提交投诉的方式，就其在本条例项下权利受到侵害的情况寻求救济。数据协调机构应当应要求向自然人和法人提供所有必要的信息，以便其向适当的主管机关提交投诉。该等主管机关有义务予以合作，确保投诉得到妥善处理，并以有效且及时的方式予以解决。为使消费者保护合作网络机制得以运用并推动代表性诉讼的开展，本条例对欧洲议会和理事会第2017/2394号条例（36）以及欧洲议会和理事会第2020/1828号指令（37）的附件作出修订。

（109）

主管机关应当确保对违反本条例所规定义务的行为施加处罚。此类处罚可包括罚款、警告、训诫或责令相关商业行为符合本条例规定的义务。成员国所设定的处罚应当具有实效性、适当性和威慑力，并应当考虑EDIB的相关建议，从而有助于在处罚的设定与适用方面实现最大程度的一致性。在适当情况下，主管机关应当采取临时措施，以在针对涉嫌违法行为的调查进行期间限制该违法行为的影响。在此过程中，主管机关应当综合考量违法的性质、严重程度、规模及持续时间等要素，同时兼顾所涉公共利益、相关活动的范围与性质，以及违法主体的经济承受能力。此外，还应当考虑违法主体是否系统性或反复性地未能履行其在本条例项下的义务。为确保“一事不再理”原则得到遵守，特别是避免对同一违反本条例义务的行为予以多次处罚，拟对未在欧盟境内设立且未指定法律代表的违法主体行使管辖权的成员国，应当毫不拖延地将有关情况通报所有数据协调机构及委员会。

（110）

欧盟数据互操作性平台（EDIB）应当就本条例所涵盖的议题，向委员会提供咨询并协助其协调各国的相关实践与政策，同时推动实现本条例在技术标准化方面的目标，以提升互操作性。此外，EDIB还应在促进各主管机关就本条例的适用与执行开展全面讨论方面发挥关键作用。这种信息交流旨在增进全欧盟范围内司法救济的有效获取，并加强执法与司法合作。除其他职能外，各主管机关应将EDIB作为评估、协调并采纳有关本条例违规处罚措施建议的平台。EDIB应使各主管机关能够在委员会的协助下，协调确定并实施此类处罚的最佳方式，从而避免碎片化，同时兼顾成员国的灵活性，并形成有助于本条例一致性适用的有效建议。EDIB还应在标准化进程以及通过实施性法案采纳共同规范方面发挥咨询作用；在通过授权性法案建立针对数据处理服务提供商征收的切换费用的监测机制方面亦应发挥作用，并进一步明确数据互操作性、数据共享机制与服务以及欧洲共同数据空间的基本要求。此外，EDIB还应就制定用于保障欧洲共同数据空间运行的互操作性规范的指南，向委员会提供咨询并予以协助。

（111）

为帮助企业起草和谈判合同，委员会应在必要时考虑特定行业的条件及现有自愿数据共享机制的实践，制定并推荐适用于企业间数据共享合同的非约束性示范合同条款。这些示范合同条款主要应作为一种实用工具，尤其帮助中小企业订立合同。若得到广泛且全面的应用，这些示范合同条款还将对涉及数据访问与使用的合同设计产生积极影响，从而更广泛地推动形成更加公平的数据访问与共享合同关系。

(112) 为消除以下风险：即通过联网产品及其相关服务的传感器等物理组件所获取或生成的数据，以及由机器生成的其他数据的持有者，依据《96/9/EC号指令》第7条主张其特有的权利，从而尤其妨碍用户根据本条例有效行使访问和使用数据的权利以及与第三方共享数据的权利，应当明确指出，该特有的权利不适用于此类数据库。此规定并不影响《96/9/EC号指令》第7条项下特有的权利在符合该条第1款规定的保护要求时，对包含不在本条例适用范围内的数据的数据库的可能适用。

(113) 为考虑数据处理服务的技术性方面，应将依据《欧盟运作条约》第290条制定相关法律文件的权力授予委员会，以便补充本条例，建立针对市场上数据处理服务提供者收取的切换费用的监测机制，并进一步明确为向其他参与者提供数据或数据服务的数据空间参与方所应满足的互操作性基本要求。尤为重要的是，委员会在开展相关准备工作时，应进行适当的磋商，包括专家层面的磋商，并且这些磋商应当遵循2016年4月13日关于“更好立法”的机构间协议中所确立的原则（38）。特别是，为确保欧洲议会和理事会能够平等参与委托法案的制定，应在与成员国专家同时收到所有文件的同时，其专家亦应系统性地获准参加负责起草委托法案的委员会专家小组会议。

(114) 为确保本条例的统一实施条件，应将有关采纳通用规范以确保数据互操作性、数据共享机制与服务以及共同的欧洲数据空间、数据处理服务互操作性的通用规范，以及智能合约互操作性的通用规范的实施权力授予委员会。此外，还应将为在欧盟数据处理服务互操作性中央标准库中公布数据处理服务互操作性的协调标准和通用规范的参考文献之目的的实施权力授予委员会。上述权力应依据欧洲议会和理事会第（EU）No 182/2011号条例（39）行使。

（115）

本条例不应影响针对特定行业或公共利益领域之特殊需求的相关规定。此类规定可能包括关于数据访问技术方面的额外要求，例如数据访问接口，或数据访问的具体提供方式，如直接从产品本身获取，或通过数据中介服务提供。此类规定亦可包含对数据控制者访问或使用用户数据权利的限制，或涉及数据访问与使用之外的其他方面，如治理事项或安全要求，包括网络安全要求。此外，本条例亦不应影响在构建共同的欧洲数据空间背景下的更为具体的规定，或者在本条例所规定的例外情形下，不影响旨在为科学研究目的提供数据访问并授权使用的欧盟及成员国法律。

（116）

本条例不应影响竞争规则的适用，特别是《欧盟运作条约》第101条和第102条。本条例所规定的各项措施不得被用于以违反《欧盟运作条约》的方式限制竞争。

（117）

为使本条例适用范围内的相关主体能够适应其中规定的新规则，并作出必要的技术安排，该等规则应自2025年9月12日起生效。

（118）

欧洲数据保护监督员与欧洲数据保护委员会已根据第（EU）2018/1725号条例第42条第1款和第2款的规定予以咨询，并于2022年5月4日提交了其意见。

（119）

鉴于本条例之目的，即确保数据经济各参与主体之间数据价值分配的公平性，并促进对数据的公平获取与使用，从而有助于建立真正的数据内部市场，无法由成员国充分实现，而鉴于该行动的规模或影响以及数据的跨境使用，唯有在欧盟层面方能更有效地予以实现，因此，根据《欧洲联盟条约》第5条所载的辅助性原则，欧盟可以采取相应措施。同时，依据该条所载的比例性原则，本条例的范围不超出为实现上述目标所必需的限度。

特此制定本条例：

一般规定

第一章 · 第一条

主题与范围

1. 本条例规定了统一的规则，其中包括：

（a）

向联网产品或相关服务的用户提供产品数据及相关服务数据；

（b）

数据持有者向数据接收方提供数据；

(c) 在为履行符合公共利益的特定任务而存在特殊需要的情况下，数据持有者向公共部门机构、欧盟委员会、欧洲中央银行以及欧盟机构提供数据；

(d) 促进数据处理服务之间的切换；

(e) 引入防止第三方非法访问非个人数据的保障措施；以及

(f) 制定用于访问、传输和使用数据的互操作性标准。

2. 本条例涵盖个人数据和非个人数据，包括以下各类数据及其相应适用情形：

（a）

第二章适用于除内容以外的、与联网产品及相关服务的性能、使用及环境有关的数据；

（b）

第三章适用于任何受法定数据共享义务约束的私营部门数据；

(c) 第四章适用于任何基于企业间合同而被访问和使用的私营部门数据；

(d) 第五章适用于以非个人数据为重点的任何私营部门数据；

(e) 第六章适用于由数据处理服务提供者处理的任何数据和服务；

(f) 第七章适用于由数据处理服务提供者在欧盟境内持有的任何非个人数据。

3. 本条例适用于：

（a）

在欧盟市场投放的联网产品制造商及相关服务提供者，无论其设立地为何处；

（b）

指(a)项所述的在欧盟境内使用联网产品或相关服务的用户；

(c) 数据控制者，无论其设立地为何处，向欧盟境内的数据接收方提供数据的主体；

(d) 向其提供数据的欧盟境内数据接收方；

(e) 公共部门机构、欧盟委员会、欧洲中央银行以及欧盟机构，在为履行符合公共利益的特定任务而存在对相关数据的特殊需求时，要求数据控制者提供数据的主体；以及应此类请求而提供相关数据的数据控制者；

(f) 数据处理服务提供者，无论其设立地为何处，向欧盟境内的客户提供此类服务的主体；

（g）

数据空间的参与者、使用智能合约的应用程序供应商，以及在其贸易、业务或职业活动中涉及为他人执行协议而部署智能合约的人员。

4. 在本条例提及互联产品或相关服务之处，该等提及亦应被视为包括虚拟助手，只要其与互联产品或相关服务发生交互。

5. 本条例不影响欧盟及成员国关于个人数据保护、通信隐私与保密以及终端设备完整性的法律；上述法律适用于因本条例所规定的权利与义务而处理的个人数据，特别是《欧盟》2016/679号条例、《欧盟》2018/1725号条例以及《2002/58/EC号指令》，其中包括监管机构的权力与职权以及数据主体的权利。在用户为数据主体的情况下，本条例第二章所规定的权利应当补充《欧盟》2016/679号条例第15条和第20条项下数据主体的访问权及数据可携带权。如本条例与欧盟关于个人数据或隐私保护的法律，或者依据该等欧盟法律制定的成员国国内法之间存在冲突，则应以有关的欧盟或成员国个人数据或隐私保护法律为准。

6. 本条例不适用于也不预先排除私人与公共实体之间就数据交换所达成的自愿安排，尤其是数据共享的自愿安排。

本条例不影响旨在为预防、调查、侦查或起诉刑事犯罪，或为执行刑罚，以及为海关与税务目的而规定数据共享、访问与使用的欧盟或成员国法律文件，特别是《欧盟》2021/784号条例、《欧盟》2022/2065号条例、《欧盟》2023/1543号条例以及《欧盟》2023/1544号指令，亦不影响该领域的国际合作。本条例不适用于根据《欧盟》2015/847号条例及《欧盟》2015/849号指令所进行的数据收集、共享、访问或使用。本条例亦不适用于超出欧盟法律适用范围的领域，并且无论如何均不影响成员国在公共安全、国防或国家安全方面的职权，无论由成员国委托承担相关职责的实体为何种类型，亦不影响其维护国家其他基本职能的权力，包括确保国家领土完整及维持社会秩序。本条例亦不影响成员国在海关与税收管理以及公民健康与安全方面的职权。

7. 本条例通过增设普遍适用的云切换义务，对《欧盟》2018/1807号条例所确立的自律机制予以补充。

8. 本条例不影响旨在保护知识产权的欧盟及成员国法律，特别是指令2001/29/EC、2004/48/EC以及(EU) 2019/790。

9. 本条例是对旨在促进消费者利益并确保高水平消费者保护、同时保护其健康、安全及经济利益的欧盟法律的补充，且不影响上述法律，特别是指令93/13/EEC、2005/29/EC及2011/83/EU。

10. 本条例不妨碍订立自愿的合法数据共享合同，包括在互惠基础上订立的合同，但该等合同须符合本条例所规定的各项要求。

第一章 · 第2条

定义

为本条例之目的，适用下列定义：

（1）

“数据”指任何关于行为、事实或信息的数字化表示，以及此类行为、事实或信息的任何汇编，包括以声音、视觉或视听记录形式存在的内容；

(2) “元数据”指对数据内容或用途的结构化描述，有助于发现或使用该数据；

(3) “个人数据”指《欧盟》2016/679号条例第4条第(1)项所界定的个人数据；

(4) “非个人数据”指除个人数据之外的数据；

(5) “联网产品”指能够获取、生成或收集与其使用情况或环境相关数据，并可通过电子通信服务、物理连接或设备端访问方式传输产品数据的物品，其主要功能并非代表用户以外的任何一方存储、处理或传输数据；

(6) “相关服务”指除电子通信服务之外的数字服务，包括软件，在购买、租赁或租用时与产品相连接，以致若无该服务则联网产品无法实现一项或多项功能；或者由制造商或第三方在之后将该服务与产品连接，以增加、更新或调整联网产品的功能；

(7) “处理”指对数据或数据集合所进行的任何操作或一系列操作，无论是否采用自动化手段，例如收集、记录、组织、结构化、存储、改编或变更、检索、查阅、使用、通过传输、传播或其他方式予以提供、整合或组合、限制、删除或销毁；

(8) “数据处理服务”指向客户提供的数字服务，使用户能够随时随地按需接入集中式、分布式或高度分布式性质的共享计算资源池，这些资源具有可配置性、可扩展性和弹性，并能以最小的管理投入或服务提供商交互迅速部署和释放；

(9) “同一服务类型”指具有一致的主要目标、数据处理服务模式及主要功能的一组数据处理服务；

(10) “数据中介服务”是指《欧盟》2022/868号条例第2条第(11)项所界定的数据中介服务；

(11) “数据主体”是指《欧盟》2016/679号条例第4条第(1)项所指的数据主体；

(12) “用户”是指拥有联网产品，或已通过合同被授予该联网产品临时使用权，或者接受相关服务的自然人或法人；

(13) “数据持有人”是指根据本条例、适用的欧盟法律或依据欧盟法律制定的国家法律，有权或有义务使用并提供数据的自然人或者法人，包括在合同约定的情况下，其在提供相关服务过程中获取或生成的产品数据或相关服务数据；

(14) “数据接收方”是指为与其贸易、商业、手工业或职业相关的目的而行事的自然人或者法人，但不包括联网产品或相关服务的使用者；该方由数据持有人提供数据，包括应用户向数据持有人提出的请求而提供的第三方，或者根据欧盟法律或依据欧盟法律制定的国家法律所规定的法定义务而提供的第三方；

(15) “产品数据”是指通过使用制造商设计为可通过电子通信服务、物理连接或设备端访问方式被用户、数据持有人或第三方检索到的联网产品所产生的数据，必要时亦包括制造商自身产生的数据；

(16) “相关服务数据”是指由用户有意记录的与联网产品相关的用户行为或事件的数字化数据，或者在服务提供者提供相关服务的过程中作为用户行为副产物而生成的数据；

（17）

“易于获取的数据”是指数据持有人依法从联网产品或相关服务中获取，或者能够依法获取，且无需超出简单操作范围的不成比例的努力的产品数据和相关服务数据；

（18）

“商业秘密”是指《欧盟》2016/943号指令第2条第(1)款所界定的商业秘密；

（19）

“商业秘密持有人”是指《欧盟》2016/943号指令第2条第(2)款所界定的商业秘密持有人；

（20）

“画像分析”是指《欧盟》2016/679号条例第4条第(4)款所界定的画像分析；

（21）

“在市场上提供”是指在商业活动中，无论是否收取费用，将联网产品供应至欧盟市场以供分销、消费或使用的行为；

（22）

“投放市场”是指首次将联网产品投放至欧盟市场的行为；

（23）

“消费者”是指为与其贸易、商业、手工业或职业无关之目的而行事的任何自然人；

（24）

“企业”是指就本条例所涵盖的合同与行为而言，为与其贸易、商业、手工业或职业相关之目的而行事的自然人或法人；

（25）

“小型企业”是指《2003/361/EC号建议书》附件第2条第2款所界定的小型企业；

（26）

“微型企业”是指《2003/361/EC号建议书》附件第2条第3款所界定的微型企业；

（27）

“欧盟机构”是指根据《欧洲联盟条约》、《欧盟运作条约》或《建立欧洲原子能共同体条约》通过的法律文件设立的欧盟机构、办事处和机关；

（28）

“公共部门机构”是指成员国的国家、地区或地方当局，以及成员国的公法法人，或者由一个或多个此类当局或一个或多个此类机构组成的协会；

（29）

“公共紧急情况”是指在时间上有限的特殊情形，例如公共卫生紧急情况、由自然灾害引发的紧急情况、人为造成的重大灾害（包括重大网络安全事件），该等情形对欧盟人口或某一成员国的全部或部分造成不利影响，并可能对生活条件、经济稳定、金融稳定，或对欧盟或相关成员国的经济资产产生严重且持久的负面影响，且该等情形已按照欧盟或成员国法律的相关程序予以认定或正式宣布；

（30）

“客户”是指与数据处理服务提供者订立合同关系，以使用一项或多项数据处理服务的自然人或法人；

（31）

“虚拟助手”是指能够处理需求、任务或问题的软件，包括基于音频、书面输入、手势或动作的需求、任务或问题，并根据这些需求、任务或问题，提供对其他服务的访问权限，或控制联网产品的功能；

（32）

“数字资产”是指以数字形式存在的要素，包括应用程序，客户对其享有使用权，且该使用权独立于其拟更换的数据处理服务的合同关系；

（33）

“本地ICT基础设施”是指由客户拥有、租用或租赁的ICT基础设施及计算资源，位于客户自身的数据中心内，并由客户或第三方运营；

（34）

“切换”是指涉及数据处理服务的源提供者、数据处理服务的客户，以及在适用情况下目的地数据处理服务提供者的过程，通过该过程，数据处理服务的客户从使用某一数据处理服务转变为使用同一服务类型或其他服务的另一数据处理服务提供者所提供的服务，或转变为本地ICT基础设施，包括通过提取、转换和上传数据的方式实现。

（35）

“数据导出费用”是指客户通过网络从数据处理服务提供者的ICT基础设施中提取其数据时，向该客户提供至另一家服务提供者系统或本地ICT基础设施所收取的数据传输费用；

（36）

“切换费用”是指除标准服务费或提前终止罚金外，数据处理服务提供者因本条例规定的客户切换至另一家服务提供者系统或本地ICT基础设施的行为而向客户收取的费用，包括数据导出费用；

（37）

“功能等效性”是指在切换过程结束后，基于客户的可导出数据和数字资产，在新的同类型数据处理服务环境中重新建立最低限度的功能水平；其中，目标数据处理服务针对合同项下向客户提供的共享功能，在相同输入条件下能够产生实质上相当的结果；

(38) “可导出数据”，就第23条至第31条以及第35条而言，是指客户使用数据处理服务时直接或间接生成、或伴随产生的输入与输出数据，包括元数据；但不包括任何受知识产权保护或构成商业秘密的数据或资产，无论其属于数据处理服务提供者还是第三方；

(39) “智能合约”是指一种计算机程序，用于自动执行协议或其部分内容，通过一系列电子数据记录来确保其完整性及时间顺序的准确性；

(40) “互操作性”是指两个或多个数据空间、通信网络、系统、互联产品、应用程序、数据处理服务或组件之间能够交换并使用数据以实现其功能的能力；

(41) “开放互操作性规范”是指信息与通信技术领域内的一种技术规范，其性能导向旨在实现数据处理服务之间的互操作性；

(42) “通用规范”是指除标准之外的一种文件，其中载有技术解决方案，用以满足本条例所确立的特定要求与义务；

(43) “协调标准”是指《欧盟第1025/2012号条例》第2条第(1)款(c)项所界定的协调标准。

企业对消费者及企业对企业数据共享

第二章 · 第三条

使产品数据及相关服务数据对用户可访问的义务

1. 连接产品应当按照以下方式设计和制造，相关服务应当按照以下方式设计并提供：产品数据及相关服务数据（包括解释和使用这些数据所必需的相关元数据）默认情况下应以易于获取、安全可靠、免费且全面、结构化、通用且机器可读的格式呈现；在相关且技术可行的情况下，还应直接向用户开放访问权限。

2. 在订立连接产品的购买、租赁或租用合同之前，销售者、出租者或出借者（可以是制造商）应当以清晰易懂的方式向用户提供至少下列信息：

（a）

连接产品能够生成的产品数据的类型、格式及其预计容量；

（b）

连接产品是否能够持续、实时地生成数据；

(c) 连接产品是否能够在设备端或远程服务器上存储数据，以及在适用情况下，数据的预期保留期限；

(d) 用户如何访问、检索或在相关情况下删除数据，包括实现上述操作的技术手段，以及相应的使用条款和服务质量。

3. 在订立相关服务提供合同之前，该相关服务的提供者应当以清晰易懂的方式向用户提供至少下列信息：

（a）

拟定的数据持有人预计将获取的产品数据的性质、预计容量及采集频率，并在相关情况下说明用户访问或检索此类数据的安排，包括拟定的数据持有人的数据存储安排及数据的保留期限；

（b）

将要生成的相关服务数据的性质和预计容量，以及用户访问或检索此类数据的安排，包括拟定的数据持有人的数据存储安排及数据的保留期限；

(c) 拟定的数据持有人是否计划自行使用现有数据及其用途，以及是否拟允许一个或多个第三方根据与用户协商一致的目的使用该数据；

(d) 拟数据控制者的身份，例如其商号及其设立的地理地址，并在适用情况下，其他数据处理方的身份；

(e) 能够使用户迅速联系拟数据控制者并与其高效沟通的联系方式；

(f) 用户如何请求将数据共享给第三方，以及在适用情况下，如何终止该数据共享；

（g）

用户有权就违反本章任何条款的行为向根据第37条指定的主管机关提出投诉；

（h）

潜在数据持有人是否为从联网产品中可获取或在提供相关服务过程中产生的数据所包含的商业秘密的权利人；如潜在数据持有人并非该商业秘密的权利人，则应注明该商业秘密权利人的身份；

(i) 用户与潜在数据持有人之间合同的期限，以及终止该合同的相关安排。

第二章 · 第四条

用户与数据持有者在产品数据及相关服务数据的访问、使用和提供方面的权利与义务

1. 在用户无法从联网产品或相关服务中直接访问数据的情况下，数据持有者应当在不无故拖延的前提下，以与自身所享有的同等质量，向用户提供可随时获取的数据以及解释和使用这些数据所需的相应元数据；上述数据应以全面、结构化、通用且机器可读的格式提供，并在相关且技术可行的情况下，以连续、实时的方式提供。此项要求应在技术可行的前提下，通过电子方式以简单请求的形式予以实现。

2. 用户与数据持有者可以依据合同约定限制或禁止对数据的访问、使用或进一步共享，但前提是该等处理可能损害由欧盟法律或成员国法律规定的联网产品的安全要求，并因此对自然人的健康、安全或安保造成严重不利影响。行业主管部门可在该等情形下向用户及数据持有者提供技术专业知识。若数据持有者根据本条规定拒绝共享数据，应当及时通知依据第37条指定的主管机关。

3. 在不影响用户于任何阶段向成员国法院或仲裁庭寻求救济的权利的前提下，就与数据持有者之间因第2款所述合同性限制或禁止而产生的任何争议，用户可以：

（a）

根据第37条第5款第(b)项的规定，向主管机关提出投诉；或者

（b）

与数据持有人协商一致，按照第10条第1款的规定将争议提交至争端解决机构。

4. 数据持有者不得以不当方式使用户行使本条所赋予的选择权或权利变得困难，包括但不限于以非中立的方式向用户提供选择，或通过用户数字界面及其部分的结构、设计、功能或运行方式，削弱或损害用户的自主性、决策能力或选择权。

5. 为核实某一自然人或法人是否符合第1款所指的用户资格，数据持有者不得要求该人提供超出必要范围的信息。此外，数据持有者不得留存任何有关用户访问所申请数据的信息，尤其是日志数据，除非该等信息对于妥善执行用户的访问请求以及保障数据基础设施的安全与维护确属必要。

6. 商业秘密应当予以保密，仅在数据持有人与数据使用者于披露前采取一切必要措施以确保其保密性，尤其是针对第三方时，方可予以披露。数据持有人或在二者不为同一主体的情况下由商业秘密持有人，应当在相关元数据中明确标识受商业秘密保护的数据，并与数据使用者就维护共享数据保密性的适当技术和组织措施达成一致，特别是在涉及第三方的情形下，例如示范合同条款、保密协议、严格的访问控制规程、技术标准以及行为准则的适用等。

7. 如未就第6款所述必要措施达成协议，或者数据使用者未能实施根据第6款约定的措施，或损害了商业秘密的保密性，数据持有人可以拒绝提供或视情况暂停对被认定为商业秘密的数据的共享。数据持有人作出的决定应当有充分理由并以书面形式及时通知数据使用者。在此类情形下，数据持有人还应当将已拒绝或暂停数据共享的情况通报依据第37条指定的主管机关，并说明哪些措施未获约定或未予实施，以及在相关情况下哪些商业秘密的保密性已被破坏。

8. 在特殊情况下，若作为商业秘密持有人的数据持有人能够证明尽管数据使用者已按照本条第6款采取了技术和组织措施，但其仍极有可能因商业秘密的披露而遭受严重经济损失，则该数据持有人可依个案拒绝有关特定数据的访问请求。该项证明应当基于客观要素予以充分论证，特别是第三国对商业秘密保护的可执行性、所请求数据的性质与保密等级，以及相关产品的独特性和新颖性，并应当以书面形式及时通知数据使用者。如数据持有人依据本款拒绝共享数据，应当将此情况通报依据第37条指定的主管机关。

9. 在不影响数据使用者于任何阶段向成员国法院或仲裁机构寻求救济的权利的前提下，欲对数据持有人依据第7款和第8款作出的拒绝、扣留或暂停数据共享的决定提出异议的数据使用者可以：

（a）

根据第37条第5款第(b)项，向主管机关提出投诉；该主管机关应当在不无故拖延的情况下，决定是否以及在何种条件下启动或恢复数据共享；或者

（b）

与数据持有人协商一致，按照第10条第1款的规定将争议提交至争端解决机构。

10. 用户不得利用依据第1款所述请求获取的数据，开发与其数据来源的联网产品相竞争的联网产品，亦不得出于该目的向第三方共享上述数据；同时，用户不得利用该等数据获取有关制造商或（如适用）数据持有人的经济状况、资产及生产方式等方面的洞察信息。

11. 用户不得采取强制手段，亦不得利用数据持有人为保护数据而设计的技术基础设施中的漏洞，以获取对数据的访问权限。

12. 若用户并非所请求个人数据之数据主体，则由联网产品或相关服务使用所产生的任何个人数据，仅在符合《欧盟》2016/679号条例第6条规定的有效法律依据，并且在相关情况下满足该条例第9条以及《2002/58/EC号指令》第5条第3款所规定条件的前提下，方可由数据持有人向用户提供。

13. 数据持有人仅得基于与用户的合同，使用任何可获得的非个人数据。数据持有人不得以任何可能损害该用户在其活跃市场中商业地位的方式，利用此类数据获取有关其经济状况、资产及生产方式，或其使用情况等方面的洞察信息。

14. 数据持有人不得为商业或非商业目的，向第三方提供非个人的产品数据，除非用于履行其与用户的合同。在相关情况下，数据持有人应当通过合同条款约束第三方，禁止其进一步分享从数据持有人处接收的数据。

第二章 · 第五条

用户向第三方共享数据的权利

1. 应用户或代表用户行事的当事人的请求，数据控制者应当及时、免费地向第三方提供其 readily available（易于获取）的数据以及解释和使用这些数据所必要的相应元数据，且所提供的数据质量不得低于数据控制者自身可获得的质量水平；该等数据应以全面、结构化、常用且机器可读的格式，通过便捷、安全的方式提供，并在相关且技术可行的情况下，以连续和实时方式提供。数据控制者向第三方提供数据，应符合第8条和第9条的规定。

2. 第一款不适用于在测试尚未投放市场的新联网产品、物质或工艺过程中可轻易获取的数据，除非第三方依合同被允许使用此类数据。

3. 根据《欧盟条例》（EU）2022/1925第3条被指定为守门人的任何企业，均不得成为本条项下的合格第三方，因此不得：

（a）

以任何方式，包括提供金钱或其他形式的补偿，向用户招揽或提供商业激励，促使用户将其根据第4条第1款请求而获得的数据提供给其某项服务；

（b）

诱导或商业激励用户根据本条第1款要求数据控制者将其数据提供给其某项服务；

(c) 接收用户根据第4条第1款请求所获取的数据。

4. 为核实自然人或法人是否符合第1款所述的用户或第三方资格，不得要求用户或第三方提供超出必要范围的信息。数据持有者不得保留关于第三方对数据访问请求的访问信息，除非该等信息对于妥善执行第三方的数据访问请求以及保障数据基础设施的安全和维护是必要的。

5. 第三方不得采用强制手段，或利用数据持有者为保护数据而设计的技术基础设施中的漏洞，以获取数据访问权限。

6. 数据持有者不得以可能损害第三方在其所参与市场的商业地位的任何其他方式，利用任何易于获取的数据来推导关于第三方的经济状况、资产和生产方法或使用情况的信息，除非该第三方已授权此类使用，并且具备随时轻松撤回该授权的技术可能性。

7. 在用户并非所请求个人数据之数据主体的情况下，由联网产品或相关服务的使用所产生的任何个人数据，仅在符合《欧盟》2016/679号条例第6条规定的有效法律依据，并且在适用时满足该条例第9条以及《2002/58/EC号指令》第5条第3款所规定条件的前提下，方可由数据控制者向第三方提供。

8. 数据控制者与第三方未能就数据传输安排达成一致的，不得妨碍、阻止或干涉数据主体根据《欧盟》2016/679号条例所享有的各项权利，尤其是该条例第20条所规定的数据可携带权。

9. 商业秘密应当予以保密，仅在为实现用户与第三方之间约定之目的所必需的范围内方可向第三方披露。数据控制者，或者如其与商业秘密持有人并非同一人时，则由商业秘密持有人，应当在相关元数据中明确标识受商业秘密保护的数据，并与第三方共同商定一切为维护共享数据保密性所必需的适当技术和组织措施，例如示范合同条款、保密协议、严格的访问权限管理规程、技术标准以及行为准则的实施等。

10. 如未就本条第9款所述必要措施达成协议，或者第三方未能实施依据本条第9款所约定的措施，亦或损害了商业秘密的保密性，数据控制者得拒绝提供或视情况暂停对被认定为商业秘密的数据之共享。数据控制者的决定应当有充分理由并以书面形式及时通知第三方。在此类情形下，数据控制者还应当将已拒绝或暂停数据共享的情况通报依照第37条指定的主管机关，并说明哪些措施尚未达成协议或实施，以及在适用时哪些商业秘密的保密性已被破坏。

11. 在特殊情况下，如果作为商业秘密持有人的数据持有人能够证明，尽管第三方已根据本条第9款采取了技术和组织措施，但其仍极有可能因商业秘密的披露而遭受严重经济损失，则该数据持有人可以逐案拒绝有关特定数据的访问请求。该证明应当基于客观要素予以充分证实，特别是第三国对商业秘密保护的可执行性、所请求数据的保密性质与程度，以及相关产品的独特性和新颖性，并应在不无故拖延的情况下以书面形式提供给第三方。如数据持有人依据本款拒绝共享数据，应当通知根据第37条指定的主管机关。

12. 在不影响第三方于任何阶段向成员国法院或法庭寻求救济的权利的前提下，希望对数据持有人依据第10款和第11款作出的拒绝、扣留或暂停数据共享的决定提出异议的第三方，可以：

（a）

根据第37条第5款第(b)项的规定，向主管机关提出申诉；主管机关应当在不无故拖延的情况下，决定是否以及在何种条件下启动或恢复数据共享；或者

（b）

与数据持有人协商一致，按照第10条第1款的规定将争议提交至争端解决机构。

13. 第1款所述权利不得对数据主体依据适用的欧盟及成员国个人数据保护法律所享有的权利产生不利影响。

第二章 · 第六条

依用户请求接收数据的第三方之义务

1. 第三方仅得按照与用户约定的目的和条件，并遵守欧盟及成员国有关个人数据保护的法律，包括就个人数据而言的数据主体权利，处理根据第5条向其提供的数据。除非就非个人数据另有与用户约定，否则第三方应在数据不再为约定目的所必需时予以删除。

2. 第三方不得：

（a）

以不当方式使用户行使第5条及本条项下的选择或权利，包括以非中立的方式向用户提供选择，或通过胁迫、欺骗或操纵用户，或通过颠覆或损害用户的自主性、决策能力或选择权，包括借助用户数字界面或其部分；

（b）

尽管有《欧盟》2016/679号条例第22条第2款(a)项和(c)项的规定，但不得将所接收的数据用于画像分析，除非该等数据之使用系为提供用户所请求的服务所必需；

(c) 将所接收的数据提供给其他第三方，除非该等数据系基于与用户订立的合同而提供，且该其他第三方已采取数据持有人与第三方之间约定的所有必要措施以确保商业秘密的保密性；

(d) 将所接收的数据提供给依据《欧盟》2022/1925号条例第3条被指定为守门人的企业；

(e) 利用所接收的数据开发与产生访问数据之互联产品相竞争的产品，或为此目的与其他第三方共享该等数据；此外，第三方亦不得利用其所获知的任何非个人产品数据或相关服务数据，以获取关于数据持有人之经济状况、资产及生产方式或其使用情况之见解；

(f) 以对互联产品或相关服务的安全性产生不利影响的方式使用所接收的数据；

（g）

忽视根据第5条第9款与数据持有人或商业秘密持有人之间约定的具体措施，从而破坏商业秘密的保密性；

（h）

阻碍作为消费者的用户（包括基于合同关系的用户）将其所接收的数据提供给其他方。

第二章 · 第七条

企业对消费者及企业对企业数据共享义务的适用范围

1. 本章规定的义务不适用于由微型企业或小型企业生产、设计的联网产品，或者由其提供的相关服务所产生的数据，但前提是该企业不存在符合《2003/361/EC号建议》附件第3条所界定的、且不属于微型企业或小型企业的关联企业或合作企业；同时，该微型企业或小型企业亦未受托从事联网产品的制造、设计或相关服务的提供。

同样，对于根据《2003/361/EC号建议》附件第2条被认定为中型企业的企业在一年内生产的联网产品，以及自该中型企业将其产品投放市场之日起一年内产生的相关数据，亦适用上述规定。

2. 任何以损害用户利益为目的，排除、减损或变更用户在本章项下权利效力的合同条款，对用户均不具有约束力。

依据欧盟法律负有数据提供义务的数据持有人的义务

第三章 · 第八条

数据持有人向数据接收方提供数据的条件

1. 在企业间关系中，当数据持有人依据第5条或其他适用的欧盟法律或根据欧盟法律制定的国家立法有义务向数据接收方提供数据时，应当与该数据接收方就数据提供的安排达成一致，并按照本章及第四章的规定，以公平、合理且无歧视的条款和条件，并以透明的方式予以实施。

2. 关于数据访问与使用，或者关于违反或终止数据相关义务的责任与救济的合同条款，若其构成第13条所指的不公平合同条款，或者在损害用户利益的情况下排除、减损或变更用户依据第二章享有的权利，则该等条款不具约束力。

3. 数据持有人在提供数据的安排方面，不得对不同类别的数据接收方进行歧视，包括在提供数据时对数据持有人的关联企业或合作企业亦不得有所区别。如数据接收方认为其获得数据的条件存在歧视情形，数据持有人应当在其提出合理请求后，及时向该数据接收方提供证明不存在歧视的相关信息。

4. 数据持有人不得向数据接收方提供数据，包括以独家方式提供，除非该用户提供依据第二章提出的相应请求。

5. 数据持有人与数据接收方均无需提供超出为核实其就数据提供所约定的合同条款，或其依据本条例及其他适用的欧盟法律或根据欧盟法律制定的国家立法所承担的义务所需的信息。

6. 除欧盟法律另有规定，包括本条例第4条第6款及第5条第9款，或根据欧盟法律制定的国家立法另有规定外，向数据接收方提供数据的义务并不导致商业秘密的披露。

第三章 · 第九条

因提供数据而支付的补偿

1. 数据持有者与数据接收者在企业间关系中就提供数据所达成的任何补偿，均应具有非歧视性且合理，并可包含一定利润空间。

2. 在商定任何补偿时，数据持有者与数据接收者应当特别考虑：

（a）

为提供数据而产生的成本，特别是用于数据格式化、通过电子方式传播及存储的相关费用；

（b）

在适用情况下，对数据收集与生产所作的投资，并应考虑其他相关方是否参与了该数据的获取、生成或收集。

3. 第1款所述的补偿还可根据数据的数量、格式及性质予以确定。

4. 若数据接收者为中小企业或非营利性研究机构，且该数据接收者不存在不符合中小企业认定标准的关联企业或合作企业，则其约定的任何补偿不得超过第2款(a)项所述的成本。

5. 欧盟委员会应当根据第42条所述的欧洲数据创新委员会（EDIB）的意见，制定有关合理补偿计算的指导原则。

6. 本条规定并不排除其他欧盟法律或依据欧盟法律制定的国家法律对提供数据所获补偿作出排除规定，或规定较低的补偿标准。

7. 数据持有者应当向数据接收者提供充分详尽的信息，说明补偿计算的依据，以便数据接收者能够评估是否符合第1至第4款的要求。

第三章 · 第十条

争端解决

1. 用户、数据持有者和数据接收者应当有权向依照本条第5款认证的争议解决机构申请，以依据第4条第3款和第9款以及第5条第12款的规定解决争议，同时亦可就本章及第四章规定的关于数据提供之公平、合理且非歧视性条款与条件，以及透明的数据提供方式所引发的争议进行解决。

2. 争议解决机构应当在相关当事人提出裁决请求之前，将其收费标准或用于确定收费标准的机制予以告知相关当事人。

3. 对于依据第4条第3款和第9款以及第5条第12款提交至争议解决机构的争议，若该机构作出有利于用户或数据接收者的裁决，则数据持有者应当承担争议解决机构收取的所有费用，并向该用户或数据接收者偿付其因争议解决而产生的其他合理费用。若争议解决机构作出有利于数据持有者的裁决，则用户或数据接收者无须偿付数据持有者为争议解决已支付或应支付的任何费用或其他支出，除非争议解决机构认定该用户或数据接收者明显存在恶意行为。

4. 数据处理服务的客户与提供者应当有权向依照本条第5款认证的争议解决机构申请，以依据第23条至第31条的规定解决有关客户权利及数据处理服务提供者义务被侵犯的争议。

5. 争议解决机构设立地的成员国应当应该机构之请求，对其予以认证，前提是该机构已证明其符合下列全部条件：

（a）

其具有公正性和独立性，并应当依据明确、非歧视且公平的程序规则作出裁决；

（b）

其具备必要的专业知识，特别是在涉及公平、合理且非歧视性的条款与条件（包括赔偿）以及以透明方式提供数据等方面，从而使其能够有效确定上述条款与条件；

(c) 其可通过电子通信技术便捷地获得访问；

(d) 其能够至少以欧盟的一种官方语言，迅速、高效且经济有效地作出裁决。

6. 成员国应当将根据第5款获得认证的争议解决机构通知委员会。委员会应当在专门网站上公布该等机构的名单，并及时予以更新。

7. 争端解决机构应当拒绝受理已提交至其他争端解决机构或成员国法院、仲裁庭的争端解决请求。

8. 争端解决机构应当在合理期限内允许各方就其提交该机构审理的事项陈述意见。在此情形下，每一方当事人均应获知对方当事人就其争议所提交的材料以及专家作出的任何陈述，并有权对上述材料及陈述发表意见。

9. 争端解决机构应当自收到依据第1款和第4款提出的请求之日起九十日内就其所受理的事项作出裁决。该裁决应当以书面形式或者以可持久保存的载体作出，并附具理由说明。

10. 争端解决机构应当编制并公开年度活动报告。此类年度报告尤其应当包含以下一般性信息：

（a）

争端处理结果的汇总；

（b）

解决争端的平均时长；

(c) 争端最常见的原因。

11. 为促进信息与最佳实践的交流，争端解决机构可以决定在其第10款所述的报告中载明有关如何避免或解决相关问题的建议。

12. 争端解决机构的裁决仅在各方于争端解决程序开始前明确同意其具有约束力的情况下，对各方具有约束力。

13. 本条不影响各方在成员国法院或仲裁庭寻求有效救济的权利。

第三章 · 第十一条

关于数据未经授权的使用或披露的技术保护措施

1. 数据持有人可以采取适当的技术保护措施，包括智能合约和加密技术，以防止对数据（包括元数据）的未经授权访问，并确保符合第4条、第5条、第6条、第8条和第9条的规定，以及与数据提供相关的约定合同条款。此类技术保护措施不得对数据接收方进行歧视，亦不得妨碍用户依照第5条获取、检索、使用或访问数据的权利，或根据欧盟法律或依据欧盟法律制定的国家法律享有的任何第三方权利。除非经数据持有人同意，用户、第三方及数据接收方均不得更改或移除上述技术保护措施。

2. 在第3款所述情形下，第三方或数据接收方应当在无不当延误的情况下，遵守数据持有人以及在适用情况下且并非同一主体时，商业秘密持有人或用户的各项要求：

（a）

删除数据持有人所提供的数据及其任何副本；

（b）

停止生产、提供、投放市场或使用基于通过该等数据所获知信息而生产的商品、衍生数据或服务，或者为上述目的而进口、出口或储存侵权商品，并销毁所有侵权商品；前提是存在严重风险，即该等数据的非法使用将对数据持有人、商业秘密持有人或用户造成重大损害，或者从数据持有人、商业秘密持有人或用户的利益角度出发，采取该等措施并不显失比例。

(c) 将未经授权使用或披露数据的情况告知用户，并说明为终止该等未经授权使用或披露所采取的措施；

(d) 对因该等被非法访问或使用的数据遭受滥用或披露的一方予以赔偿。

3. 第2款适用于以下情形：第三方或数据接收方曾：

（a）

为获取数据之目的，向数据持有人提供虚假信息，采用欺骗性或胁迫性手段，或者利用数据持有人用于保护数据的技术基础设施中的漏洞；

（b）

将所提供的数据用于未经授权的目的，包括开发符合第6条第2款第(e)项所指的竞争性互联产品；

(c) 非法向第三方披露数据；

(d) 未按照第5条第9款的规定维持所约定的技术和组织措施；或

(e) 在未经数据持有人同意的情况下，擅自更改或移除数据持有人依据本条第1款所采取的技术保护措施。

4. 第2款亦适用于以下情形：用户变更或移除数据持有人所采取的技术保护措施，或者未按照与数据持有人、或在二者并非同一主体时与商业秘密持有人达成的协议，维持用户为保护商业秘密而采取的技术和组织措施；以及任何通过违反本条例的方式从用户处接收数据的其他方。

5. 当数据接收方违反第6条第2款第(a)项或第(b)项时，用户享有与本条第2款中数据持有人相同的权利。

第三章 · 第12条

依据欧盟法律负有数据提供义务的数据持有者的义务范围

1. 本章适用于在企业间关系中，数据控制者根据第5条或根据适用的欧盟法律以及依据欧盟法律制定的国家法律，有义务向数据接收方提供数据的情形。

2. 数据共享协议中的合同条款，如该条款对一方当事人不利，或者在适用情况下对用户不利，而排除本章的适用、减损本章的规定或变更其效力，则对该当事人不具有约束力。

企业间与数据访问及使用相关的不公平合同条款

第四章 · 第十三条

单方面强加于另一企业的不公平合同条款

1. 一项关于数据访问与使用，或关于违反数据相关义务及终止该等义务时的责任与救济的合同条款，若由某一企业单方面强加于另一企业，则该条款对该后一企业不具有约束力，除非其显失公平。

2. 凡反映欧盟法律强制性规定，或在合同条款未对此事项作出规定时本应适用的欧盟法律规定的合同条款，均不应被视为不公平。

3. 若某项合同条款的性质使其使用严重偏离数据访问与使用的良好商业惯例，并且违背诚实信用原则，则该条款应被认定为不公平。

4. 特别是，就第3款而言，若某项合同条款之目的或效果为：

（a）

排除或限制单方面设定该条款之方因故意行为或重大过失所应承担的责任；

（b）

排除受该条款单方面约束之方在未履行合同义务时可获得的救济，或者排除单方面设定该条款之方在违反上述义务时所应承担的责任；

(c) 赋予单方面设定该条款之方独家决定所提供数据是否符合合同约定，或解释任何合同条款的权利。

5. 就第3款而言，若某项合同条款之目的或效果为：

（a）

不当地限制在未履行合同义务情形下的救济或在违反上述义务情形下的责任，或者扩大受该条款单方面约束之企业的责任范围；

（b）

允许单方面设定该条款之方以明显损害另一缔约方合法利益的方式访问并使用其数据，尤其是在该等数据包含商业敏感信息，或受商业秘密或知识产权保护的情况下；

(c) 阻止受该条款单方面约束之方使用其在合同期限内提供或生成的数据，或者将该等数据的使用范围限制到足以使该方无法适当使用、获取、访问或控制该等数据，亦无法充分挖掘其价值的程度；

(d) 防止被单方面施加该条款的一方在合理期限内解除协议；

(e) 防止被单方面施加该条款的一方在合同期限内或合同终止后合理期限内，获取由该方提供或生成的数据副本；

(f) 使单方面施加该条款的一方能够在不合理短的通知期限内解除合同，同时考虑另一缔约方转而使用替代且相当服务的合理可能性以及由此造成的经济损失，但存在严重理由的情形除外；

（g）

使单方面施加该条款的一方能够实质性地变更合同中约定的价格或与拟共享数据的性质、格式、质量或数量相关的任何其他实质性条件，且合同中未明确规定此种变更的有效理由及另一方因此享有解除合同的权利；

第一款第（g）项的规定不影响单方面施加该条款的一方保留单方面变更不定期合同条款之权利的条款，前提是合同已明确规定此类单方面变更的有效理由，单方面施加该条款的一方须就任何拟议变更向另一缔约方提供合理通知，且在发生变更时，另一缔约方有权无须支付任何费用而解除合同。

6. 如果某一合同条款系由一方当事人提供，而另一方当事人虽曾试图协商却仍无法对其内容施加影响，则该条款应被视为本条所指的单方面施加条款。提供该合同条款的一方负有举证责任，证明该条款并非单方面施加。对于被质疑的合同条款，提供方不得主张该条款属于不公平合同条款。

7. 若不公平合同条款可与合同其余条款相分离，则其余条款仍具约束力。

8. 本条不适用于界定合同主要标的或关于所提供数据对价是否充分的合同条款。

9. 第一款所涵盖合同的各方不得排除本条的适用，亦不得对该条作出减损规定或变更其效力。

基于特殊需要，向公共部门机构、委员会、欧洲中央银行及欧盟机构提供数据

第五章 · 第十四条

基于特殊需要提供数据的义务

在公共部门机构、委员会、欧洲中央银行或欧盟机构根据第15条的规定证明存在使用某些数据的特殊需要时，包括为解释和使用这些数据所必需的相关元数据，以履行其符合公共利益的法定职责，除公共部门机构外的其他法人数据持有者应当在收到经充分说明理由的请求后提供该等数据。

第五章 · 第十五条

使用数据的特殊需要

1. 在本章所指的范围内，对特定数据的特殊使用需求应当在时间和范围上受到限制，并且仅在下列任何一种情形下方可被视为存在：

（a）

当所请求的数据对于应对公共紧急情况而言是必需的，且公共部门机构、委员会、欧洲中央银行或欧盟机构在同等条件下无法通过其他方式及时有效地获取该等数据时；

（b）

在(a)项未涵盖的情形下，且仅限于非个人数据的情况下，当出现以下情形时：

(i) 公共部门机构、委员会、欧洲中央银行或欧盟机构依据欧盟法律或国家法律行事，并已明确识别出某些特定数据，而这些数据的缺失将导致其无法履行一项以公共利益为目的、并由法律明文规定的具体任务，例如编制官方统计资料或缓解、恢复公共紧急状况；以及

(ii) 公共部门机构、委员会、欧洲中央银行或欧盟机构已穷尽其可支配的所有其他手段以获取该等数据，包括通过提供市场价格购买市场上存在的非个人数据，或者依赖于现有数据提供义务，亦或采取能够确保数据及时可用的新立法措施。

2. 第1款(b)项不适用于微型企业及小型企业。

3. 关于证明公共部门机构无法通过市场购买获得非个人数据的举证义务，在以编制官方统计资料为公共利益目的的具体任务且根据国家法律不允许购买此类数据的情形下，不予适用。

第五章 · 第十六条

与其他向公共部门机构、委员会、欧洲中央银行及欧盟机构提供数据的义务之间的关系

1. 本章不影响为报告、遵守信息获取请求或证明、核实法律义务的履行而由欧盟法或成员国法律所规定的各项义务。

2. 本章不适用于公共部门机构、欧盟委员会、欧洲中央银行以及从事预防、调查、侦查或起诉刑事或行政违法行为、执行刑事处罚的欧盟机构，亦不适用于海关或税务管理部门。本章不影响适用于预防、调查、侦查或起诉刑事或行政违法行为、执行刑事或行政处罚，或涉及海关或税务管理的适用的欧盟法和成员国法律。

第五章 · 第十七条

请求提供数据

1. 在根据第14条请求数据时，公共部门机构、委员会、欧洲中央银行或欧盟机构应当：

（a）

明确所需的数据，包括为解释和使用这些数据所必需的相关元数据；

（b）

证明为实现第15条所述的特殊需求而提出的数据请求所具备的必要条件已得到满足；

(c) 说明请求的目的、所请求数据的预期用途，包括在适用情况下，按照本条第4款由第三方使用的相关情况、该用途的持续期限，以及在相关情形下，个人数据处理如何应对该特殊需求；

(d) 如有可能，明确所有有权访问该数据的各方预计何时删除该数据；

(e) 说明为何选择向特定的数据控制者提出请求的理由；

(f) 明确任何其他公共部门机构或委员会、欧洲中央银行、欧盟机构，以及预计与之共享所请求数据的第三方；

（g）

在请求个人数据的情况下，明确为落实数据保护原则及必要的保障措施（如假名化）所必需且相称的技术和组织措施，并说明数据控制者是否可在提供数据前实施匿名化；

（h）

载明赋予请求方公共部门机构、委员会、欧洲中央银行或欧盟机构的、与其为公共利益所执行的具体任务相关的法律依据；

(i) 明确数据应予提供的截止日期，以及第18条第2款所指的、数据控制者可拒绝请求或要求修改请求的截止日期；

(j) 尽最大努力避免因履行数据请求而导致数据控制者承担违反欧盟或国家法律的责任。

2. 根据本条第1款提出的数据请求应当：

（a）

以书面形式提出，并采用清晰、简洁、通俗易懂的语言，以便数据控制者理解；

（b）

应当明确说明所请求数据的具体类型，并且该等数据应当是数据控制者在提出请求时能够掌控的；

(c) 应当与所提出的特殊需求相称，并就所请求数据的粒度、数量以及访问频率作出充分合理的说明；

(d) 应当尊重数据控制者的合法目的，承诺按照第19条第3款的规定确保商业秘密的保护，并考虑提供数据所需的成本与努力；

(e) 关于非个人数据，且仅在经证明不足以满足根据第15条第1款(a)项所规定的使用数据的特殊需求时，方可要求以假名化形式提供个人数据，并制定为保护该数据而应采取的技术与组织措施；

(f) 将主管机关依据第37条指定的机关依照第40条所施加的处罚告知数据控制者，如其未遵守该项请求；

（g）

当请求由公共部门机构提出时，应立即通过在线方式向请求方所在成员国第37条所述的数据协调员予以传送；除非该数据协调员认为公开此类信息将对公共安全构成风险，否则应在无不当延误的情况下予以公开；

（h）

当请求由欧盟委员会、欧洲中央银行或某一欧盟机构提出时，应立即通过在线方式予以公布；

(i) 当请求涉及个人数据时，应毫不拖延地通知负责监督第2016/679号条例在请求方所在成员国实施情况的监管机构。

欧洲中央银行及各欧盟机构应当将其相关请求通报欧盟委员会。

3. 公共部门机构、欧盟委员会、欧洲中央银行或某一欧盟机构不得将依据本章获取的数据用于《2022/868号条例》第2条第(2)款或《2019/1024号指令》第2条第(11)款所界定的再利用目的。《2022/868号条例》及《2019/1024号指令》均不适用于公共部门机构依据本章获取的数据。

4. 本条第3款并不妨碍公共部门机构、欧盟委员会、欧洲中央银行或某一欧盟机构，为完成第15条所述之任务，按照本条第1款(f)项规定的要求，与其他公共部门机构或欧盟委员会、欧洲中央银行、某一欧盟机构交换依据本章获取的数据，或者在已通过公开协议将技术检查或其他职能委托给第三方的情况下，向该第三方提供上述数据。对于此类第三方，亦应适用公共部门机构依据第19条所承担的义务，尤其是有关保护商业秘密保密性的保障措施。当公共部门机构、欧盟委员会、欧洲中央银行或某一欧盟机构根据本款规定传输或提供数据时，应当毫不拖延地通知接收该数据的数据控制者。

5. 在数据控制者认为其根据本章享有的权利因数据的传输或提供而受到侵犯时，可以向其设立地所在成员国依据第37条指定的主管机关提出投诉。

6. 委员会应当制定本条所规定的请求的示范模板。

第五章 · 第十八条

对数据请求的遵守

1. 数据持有者收到根据本章提出的提供数据的请求时，应当在考虑到必要的技术、组织和法律措施的前提下，毫不拖延地向提出请求的公共部门机构、委员会、欧洲中央银行或欧盟机构提供相关数据。

2. 在不损害欧盟或成员国法律中关于数据可用性的特定要求的前提下，数据持有者可以拒绝或请求修改根据本章提出的提供数据的请求，且不得无故拖延；无论如何，对于为应对公共紧急情况而提出的必要数据请求，应在收到请求后五个工作日内作出决定；而在其他存在特殊需求的情况下，也应在收到此类请求后三十个工作日内作出决定。数据持有者可基于以下任一理由拒绝或请求修改：

（a）

数据持有者对所请求的数据并无控制权；

（b）

另一公共部门机构或委员会、欧洲中央银行、欧盟机构此前已就同一目的提交过类似请求，且数据持有者尚未收到依据第19条第1款(c)项关于删除相关数据的通知；

(c) 请求不符合第17条第1款和第2款规定的条件。

3. 若数据持有者决定按照第2款(b)项的规定拒绝请求或请求修改，则应当说明先前就同一目的提交请求的公共部门机构或委员会、欧洲中央银行、欧盟机构的身份。

4. 当所请求的数据包含个人数据时，数据持有者应当对数据进行适当匿名化处理，除非为满足向公共部门机构、委员会、欧洲中央银行或欧盟机构提供数据的请求而必须披露个人数据。在此类情况下，数据持有者应当对数据进行假名化处理。

5. 当公共部门机构、委员会、欧洲中央银行或欧盟机构希望对数据持有者拒绝提供所请求数据的行为提出异议，或者当数据持有者对请求提出异议且该事项无法通过适当修改请求予以解决时，该事项应当移交至数据持有者所在成员国依据第37条指定的主管机关处理。

第五章 · 第十九条

公共部门机构、委员会、欧洲中央银行及欧盟机构的义务

1. 根据第14条所作请求而接收数据的公共部门机构、委员会、欧洲中央银行或欧盟机构应当：

（a）

不得以与请求目的不相符的方式使用该等数据；

（b）

已采取技术和组织措施，以确保所请求数据的保密性和完整性以及数据传输的安全性，尤其是个人数据，并保障数据主体的权利和自由；

(c) 在数据不再为既定目的所必需时，应立即予以删除，并在无不当延误的情况下通知数据持有人以及根据第21条第1款接收该等数据的个人或组织，已删除相关数据；除非依据欧盟或成员国有关文件公开获取的法律，在透明度义务框架下需要对数据进行存档。

2. 根据本章规定接收数据的公共部门机构、委员会、欧洲中央银行、欧盟机构或第三方不得：

（a）

将数据或关于数据持有人经济状况、资产及生产或运营方式的见解用于开发或改进与其数据持有人之关联产品或相关服务相竞争的产品或服务；

（b）

为(a)项所述任何目的将该等数据分享给其他第三方。

3. 向公共部门机构、委员会、欧洲中央银行或欧盟机构披露商业秘密，仅限于为实现第15条所涉请求之目的所绝对必要之范围。在此情形下，数据持有人或在非同一人时的商业秘密持有人，应当明确标识受商业秘密保护的数据，包括在相关元数据中予以注明。公共部门机构、委员会、欧洲中央银行或欧盟机构在披露商业秘密前，应当采取一切必要且适当的技术与组织措施，以维护商业秘密的保密性，包括酌情采用示范合同条款、技术标准及行为准则。

4. 公共部门机构、委员会、欧洲中央银行或欧盟机构应对其所接收数据的安全负责。

第五章 · 第二十条

因特殊需要而给予的补偿

1. 除微型企业及小型企业以外的数据控制者，应当根据第15条第1款(a)项的规定，免费提供为应对公共紧急情况所必需的数据。收到数据的公共部门机构、委员会、欧洲中央银行或欧盟机构，应当在数据控制者提出请求时向其作出公开确认。

2. 数据控制者有权就根据第15条第1款(b)项提出的请求而提供数据的行为获得合理补偿。该补偿应当涵盖为履行该请求所产生的技术和组织成本，包括但不限于匿名化、假名化、聚合以及技术调整的相关费用，并包含合理的利润空间。应公共部门机构、委员会、欧洲中央银行或欧盟机构的要求，数据控制者应当提供有关成本及合理利润空间计算依据的信息。

3. 第2款亦适用于微型企业和小型企业主张因提供数据而获得补偿的情形。

4. 数据控制者无权就根据第15条第1款(b)项提出的请求而提供数据的行为获得补偿，但下列情形除外：当为公共利益执行的特定任务系官方统计的编制，且国家法律禁止购买数据时。各成员国应当将本国法律禁止为编制官方统计而购买数据的情况通报委员会。

5. 当公共部门机构、委员会、欧洲中央银行或欧盟机构对数据控制者所请求的补偿金额持有异议时，可以向数据控制者所在地成员国依据第37条指定的主管机关提出申诉。

第五章 · 第二十一条

在特殊需求背景下获取的数据与研究机构或统计机构的共享

1. 公共部门机构、委员会、欧洲中央银行或欧盟机构有权共享根据本章收到的数据：

（a）

为开展与数据请求目的相一致的科学研究或分析而向个人或组织共享；或者

（b）

为编制官方统计而向各国统计局及欧洲统计局共享。

2. 根据第1款接收数据的个人或组织应当以非营利性方式行事，或者在欧盟或成员国法律所认可的公共利益使命范围内行事。其不得包括那些商业实体对其具有重大影响力的组织，该等影响力可能导致其优先获取研究结果。

3. 根据本条第1款接收数据的个人或组织应当遵守适用于公共部门机构、委员会、欧洲中央银行或欧盟机构的第17条第3款及第19条所规定的相同义务。

4. 尽管有第19条第1款(c)项的规定，根据本条第1款接收数据的个人或组织可以在公共部门机构、委员会、欧洲中央银行及欧盟机构删除数据后，将为数据请求目的而接收的数据保存最长六个月。

5. 当公共部门机构、委员会、欧洲中央银行或欧盟机构拟根据本条第1款传输或提供数据时，应当毫不拖延地通知从其处接收数据的数据持有人，并说明接收数据的组织或个人的身份及其联系方式、传输或提供数据的目的、数据使用期限以及已采取的技术保护和组织措施，包括涉及个人数据或商业秘密的情形。如数据持有人不同意该等数据的传输或提供，可以向其设立地所在成员国依据第37条指定的主管机关提出申诉。

第五章 · 第二十二条

相互协助与跨境合作

1. 公共部门机构、委员会、欧洲中央银行以及欧盟机构应当相互合作并互相协助，以一致的方式实施本章规定。

2. 在根据第1款请求和提供协助的过程中所交换的任何数据，均不得用于与请求目的不相符的用途。

3. 当某一公共部门机构拟向设在另一成员国的数据控制者请求数据时，应当首先将该意向通知该成员国依据第37条指定的主管机关。此项要求同样适用于委员会、欧洲中央银行及欧盟机构提出的请求。该请求应由数据控制者所在成员国的主管机关予以审查。

4. 主管机关在根据第17条规定的各项要求对请求进行审查后，应当毫不拖延地采取下列措施之一：

（a）

将请求转交数据控制者，并在适用情况下，告知提出请求的公共部门机构、委员会、欧洲中央银行或欧盟机构，如有必要，需与数据控制者所在成员国的公共部门机构开展合作，以减轻数据控制者履行该请求时所面临的行政负担；

（b）

依据本章规定，以充分且正当的理由驳回该请求。

提出请求的公共部门机构、委员会、欧洲中央银行及欧盟机构，在采取进一步行动（如视情况重新提交请求）之前，应当考虑相关主管机关依据第一款所提供的意见及其理由。

数据处理服务之间的切换

第六章 · 第二十三条

消除有效切换的障碍

数据处理服务提供者应当采取第25条、第26条、第27条、第29条和第30条所规定之措施，以使客户能够切换至由其他数据处理服务提供者提供的同类服务，或切换至本地ICT基础设施，或者在相关情况下同时使用多家数据处理服务提供者。特别是，数据处理服务提供者不得设置并应当消除任何商业前、商业、技术、合同及组织方面的障碍，这些障碍会妨碍客户：

（a）

在遵守最长通知期限并成功完成切换程序后，依据第25条终止其数据处理服务合同；

（b）

与另一家提供同类服务的数据处理服务提供者订立新合同；

(c) 将客户的可迁移数据及数字资产迁移至另一家数据处理服务提供者或本地ICT基础设施，包括在享受免费套餐服务之后亦应如此；

(d) 依据第24条，在由另一家提供同类服务的数据处理服务提供者所构建的ICT环境中实现新数据处理服务使用的功能等效性；

(e) 在技术可行的情况下，将第30条第1款所述的数据处理服务与其他由该数据处理服务提供者提供的数据处理服务予以解耦。

第六章 · 第二十四条

技术义务的范围

第23条、第25条、第29条、第30条及第34条所规定的数据处理服务提供者的责任，仅适用于由数据处理服务的原始提供者所提供的服务、合同或商业惯例。

第六章 · 第25条

关于切换的合同条款

1. 客户在更换数据处理服务提供商或（如适用）迁移到本地ICT基础设施时所享有的权利以及数据处理服务提供方的义务，应当以书面合同的形式予以明确载明。数据处理服务提供方应当在签订合同之前，以允许客户存储和复制该合同的方式向客户提供该合同。

2. 在不损害《欧盟》2019/770号指令的前提下，本条第1款所述的合同至少应当包含以下内容：

（a）

条款，允许客户在提出请求后，及时且无论如何不得迟于强制规定的最长过渡期——即自第(d)项所述的最长通知期限届满之日起算的30个日历日——切换至由其他数据处理服务提供方提供的数据处理服务，或将所有可导出的数据及数字资产迁移至本地ICT基础设施；

(i) 为客户提供合理协助，并为经客户授权的第三方在切换过程中提供支持；

(ii) 以应有的谨慎态度确保业务连续性，并继续履行合同项下的各项功能或服务；

(iii) 提供关于原数据处理服务提供方在履行相关功能或服务方面已知风险的清晰信息；

(iv) 确保在整个切换过程中维持高水平的安全保障，特别是在数据传输期间以及根据第(g)项规定的取回期内持续保障数据安全，且须符合适用的欧盟或国家法律的规定；

（b）

数据处理服务提供方有义务支持客户与合同服务相关的退出策略，包括提供所有相关信息；

(c) 规定在下列情形之一发生时，合同视为终止，并应将终止事宜通知客户：

(i) 如适用，在切换过程成功完成后；

(ii) 在第(d)款所述的最长通知期限届满时，若客户不愿办理转网，而仅要求在服务终止时删除其可导出的数据及数字资产；

(d) 为启动转网程序设定的最长通知期限，不得超过两个月；

(e) 对转网过程中可迁移的所有数据及数字资产类别作出详尽规定，其中至少应包括所有可导出的数据；

(f) 一份详尽的清单，列明与数据处理服务提供商内部运作相关的各类数据类别；在存在该提供商商业秘密泄露风险的情况下，这些数据应被排除在本款第(e)项所规定的可导出数据之外，但前提是此类豁免不得妨碍或延误第23条所规定的切换程序；

（g）

至少30个日历日的数据检索期限，自客户与数据处理服务提供方根据本款第(a)项及第4款约定的过渡期终止后起算；

（h）

一项条款，确保在第(g)项所述的检索期限届满后，或在另行约定且晚于第(g)项所述检索期限届满之日的替代期限届满后，由客户直接生成或与客户直接相关的一切可导出数据及数字资产均被彻底清除，前提是切换程序已成功完成；

(i) 数据处理服务提供方依据第29条可能收取的切换费用。

3. 第1款所述合同应当包含如下条款：在第2款第(d)项所指的最长通知期限届满时，客户有权向数据处理服务提供方通知其拟采取下列一项或多项行动：

（a）

切换至另一家数据处理服务提供方，在此情形下，客户应当提供该新服务提供方的相关必要信息；

（b）

切换至本地部署的ICT基础设施；

(c) 清除其可导出的数据及数字资产。

4. 如第2款第(a)项所规定的强制性最长过渡期在技术上无法实现，数据处理服务提供方应当在客户提出切换请求后的14个工作日内予以通知，并对技术不可行性作出充分说明，同时提出一项替代过渡期，该替代过渡期不得超过七个月。根据第1款规定，替代过渡期内应当确保服务连续性。

5. 在不影响第4款的前提下，第1款所述合同应当包含条款，赋予客户一次延长过渡期的权利，延长期限由客户根据自身需求自行确定。

第六章 · 第二十六条

数据处理服务提供者的信息告知义务

数据处理服务提供者应当向客户提供：

（a）

关于切换及迁移至该数据处理服务的可用程序的信息，包括可用的切换与迁移方法及格式，以及数据处理服务提供者所知的限制与技术性约束；

（b）

一个指向由数据处理服务提供者托管的最新在线登记册的链接，该登记册载有所有数据结构与数据格式的详细信息，以及相关标准和开放互操作性规范，其中列明了第25条第2款第(e)项所述的可导出数据。

第六章 · 第二十七条

诚信义务

所有相关方，包括数据处理服务的接收方，均应本着诚信原则予以合作，以确保切换过程的有效性、实现数据的及时转移，并维持数据处理服务的连续性。

第六章 · 第二十八条

国际接入与转让方面的合同透明度义务

1. 数据处理服务提供者应当在其网站上公布下列信息，并保持该等信息的最新状态：

（a）

其各项服务所采用的数据处理信息通信技术基础设施所适用的司法管辖区；

（b）

数据处理服务提供者为防止在欧盟境内持有的非个人数据遭到国际政府机关访问或转移而采取的技术、组织及合同措施的一般性说明，但前提是该等访问或转移将导致与欧盟法律或相关成员国国家法律相冲突。

2. 第1款所述的网站应当列于数据处理服务提供者所提供的所有数据处理服务的合同之中。

第六章 · 第二十九条

逐步取消切换费用

1. 自2027年1月12日起，数据处理服务提供者不得就切换程序向客户收取任何切换费用。

2. 自2024年1月11日至2027年1月12日，数据处理服务提供者可以就切换程序向客户收取减免后的切换费用。

3. 第2款所述的减免后切换费用不得超过数据处理服务提供者因相关切换程序而直接产生的成本。

4. 在与客户订立合同之前，数据处理服务提供者应当向潜在客户提供清晰的信息，包括可能收取的标准服务费用和提前终止罚金，以及在第2款所述期限内可能收取的减免后切换费用。

5. 在必要时，数据处理服务提供者应当向客户提供有关涉及高度复杂或高成本切换的数据处理服务的信息，或者对于那些若不进行切换便会对数据、数字资产或服务架构造成重大干扰的服务的相关信息。

6. 在适用情况下，数据处理服务提供者应当通过其网站上的专门栏目或其他易于获取的方式，向客户公开第4款和第5款所述的信息。

7. 欧盟委员会有权根据第45条采纳授权法案，以补充本条例，建立一项监测机制，由欧盟委员会对数据处理服务提供者在市场上征收的切换费用进行监督，确保按照本条第1款和第2款规定的期限实现切换费用的取消与减免。

第六章 · 第三十条

交换的技术方面

1. 提供数据处理服务的供应商，其服务涉及可扩展且具有弹性的计算资源，但仅限于服务器、网络以及运行基础设施所必需的虚拟资源等基础设施要素，而不提供对存储于上述基础设施要素上或在其上以其他方式处理或部署的运营服务、软件及应用程序的访问权限的，应当根据第27条的规定，采取一切合理措施，促使客户在切换至涵盖相同服务类型的另一项服务后，能够在使用目标数据处理服务时实现功能上的等效性。原数据处理服务提供商应当通过提供相应的能力、充分的信息、文档、技术支持，并在适当情况下提供必要的工具，来便利这一切换过程。

2. 除第1款所述情形外，数据处理服务的供应商应当向所有客户及有关的目标数据处理服务提供商免费提供开放接口，以促进切换过程。这些接口应当包含足以支持开发与相关服务进行通信的软件所需的相关信息，从而实现数据可移植性和互操作性。

3. 对于本条第1款未提及的数据处理服务，数据处理服务的供应商应当确保其与基于开放互操作性规范或互操作性协调标准的通用规范相兼容，且该兼容性应在欧盟数据处理服务互操作性中央标准库公布相关通用规范或互操作性协调标准之日至少满12个月后生效；上述规范或标准的公布应遵循依据第35条第8款在《欧盟官方公报》上发布的相关实施法案。

4. 除本条第1款所述情形外，数据处理服务的供应商应当按照本条第3款规定的义务，更新第26条第(b)项所指的在线登记册。

5. 在同一服务类型的服务之间进行切换的情况下，若本条第3款所述的通用规范或互操作性协调标准尚未依照第35条第8款在欧盟数据处理服务互操作性中央标准库中公布，则数据处理服务的供应商应当应客户要求，以结构化、通用且机器可读的格式导出所有可导出的数据。

6. 数据处理服务提供者不得被要求开发新技术或新服务，亦不得向客户或另一数据处理服务提供者披露或转让受知识产权保护的数字资产或构成商业秘密的数字资产，或者损害客户或服务提供者的安全与服务完整性。

第六章 · 第三十一条

针对特定数据处理服务的专门制度

1. 第23条第(d)项、第29条以及第30条第1款和第3款所规定的义务，不适用于其主要功能的大部分系为满足某一特定客户的特殊需求而量身定制的数据处理服务，或者所有组成部分均系为某一特定客户之目的而开发的数据处理服务；且该等数据处理服务并未通过数据处理服务提供方的服务目录以广泛的商业规模予以提供。

2. 本章所规定的义务，不适用于作为非生产版本、用于测试与评估目的且在有限期限内提供的数据处理服务。

3. 在订立本条所述数据处理服务提供合同之前，数据处理服务提供方应当将本章中不适用的义务告知拟订约客户。

非法的国际政府对非个人数据的访问与转移

第七章 · 第三十二条

国际政府间获取与转让

1. 数据处理服务提供者应当采取一切适当的技术、组织和法律措施，包括订立合同，以防止在欧盟境内持有的非个人数据遭到国际及第三国政府的访问与传输；此种传输或访问若将导致与欧盟法律或相关成员国国家法律相冲突，则应予以避免，但第2款或第3款的规定除外。

2. 第三国法院或法庭作出的任何决定或判决，以及第三国行政机关作出的任何要求数据处理服务提供者传输或允许访问属于本条例适用范围且在欧盟境内持有的非个人数据的决定，只有在依据请求方第三国与欧盟之间生效的国际协议（如司法协助条约）或者请求方第三国与某一成员国之间的此类协议时，方可被承认或以任何方式予以执行。

3. 在缺乏第2款所述国际协议的情况下，若数据处理服务提供者系第三国法院或法庭作出的决定或判决，或第三国行政机关作出的决定之相对人，而该决定或判决要求其传输或允许访问属于本条例适用范围且在欧盟境内持有的非个人数据，并且遵守该决定或判决可能使该相对人面临与欧盟法律或相关成员国国家法律相冲突的风险，则该第三国机关对该等数据的传输或访问仅可在以下情形下进行：

（a）

第三国制度要求对该等决定或判决的理由及其相称性予以明确说明，并要求该等决定或判决具有特定性，例如通过确立与特定嫌疑人或违法行为之间的充分关联；

（b）

相对人的有理由之异议须经由主管的第三国法院或法庭予以审查；以及

(c) 发出该决定或判决，或对行政机关决定进行审查的主管第三国法院或法庭，依该第三国法律有权充分考虑受欧盟法律或相关成员国国家法律保护的数据处理服务提供者的相关合法权益。

决定或判决的接收方可以就是否符合第一款规定的条件，向负责法律事务国际合作的相关国家机关或主管当局征求意见，尤其是在其认为该决定可能涉及商业秘密及其他具有商业敏感性的数据，或者涉及受知识产权保护的内容，亦或转移可能导致重新识别的情况下。相关国家机关或主管当局可以征询欧盟委员会的意见。如果接收方认为该决定或判决可能影响欧盟或其成员国的国家安全或国防利益，则应当征求相关国家机关或主管当局的意见，以确定所请求的数据是否涉及欧盟或其成员国的国家安全或国防利益。如接收方在一个月内未收到答复，或者该机关或主管当局的意见认定不符合第一款规定的条件，接收方可以据此拒绝关于非个人数据的转移或访问请求。

第42条所述的EDIB应当为欧盟委员会制定有关评估本款第一款规定条件是否满足的指南提供建议并予以协助。

4. 如符合第2款或第3款规定的条件，数据处理服务提供者应当根据该请求的合理解释，以及第3款第二项所述的相关国家机关或主管当局的解释，提供回应请求所允许的最低限度数据。

5. 数据处理服务提供者应当在响应第三国主管当局的数据访问请求之前，告知客户该请求的存在，但用于执法目的且为维持执法活动有效性所必需的情形除外。

互操作性

第八章 · 第三十三条

关于数据、数据共享机制与服务以及共同欧洲数据空间互操作性的基本要求

1. 参与向其他参与者提供数据或数据服务的数据空间的主体，应当遵守下列基本要求，以促进数据、数据共享机制和服务的互操作性，以及旨在实现特定目的或特定行业、跨行业的欧洲共同数据空间的互操作性——这些共同数据空间是用于共享或联合处理数据的通用标准与实践框架，其用途包括但不限于新产品与服务的开发、科学研究或公民社会倡议：

（a）

数据集的内容、使用限制、许可协议、数据收集方法、数据质量和不确定性等信息，在适用情况下，应当以机器可读格式予以充分描述，以便接收方能够查找、访问并使用相关数据；

（b）

数据结构、数据格式、词汇表、分类方案、分类体系及代码列表（如适用）应当以公开且一致的方式予以说明；

(c) 访问数据的技术手段，例如应用程序编程接口，以及其使用条款和服务质量，应当予以充分说明，以便各方之间能够以机器可读格式实现自动化的数据访问与传输，包括持续性传输、批量下载或实时传输；在技术可行且不损害所连接产品正常运行的前提下，上述方式方可实施；

(d) 在适用情况下，应当提供支持数据共享协议自动化执行工具（如智能合约）互操作性的相关手段。

这些要求可以具有通用性质，亦可针对特定行业，同时应充分考虑与其他欧盟法律或国家法律所产生要求之间的相互关联。

2. 欧盟委员会有权根据本条例第45条，通过制定授权法案，对本条例进行补充，进一步明确本条第1款所规定的基本要求；对于那些因其性质而只有在通过具有约束力的欧盟法律文件加以进一步细化时才能产生预期效果的要求，亦应作出相应规定，以确保能够恰当地反映技术和市场的发展变化。

欧盟委员会在制定授权法案时，应当依据第42条第(c)(iii)款的规定，充分考虑EDIB的意见。

3. 向符合经协调的标准或其部分标准（其参考文献已在《欧盟官方公报》上公布）的数据空间中的其他参与者提供数据或数据服务的数据空间参与者，应在该等基本要求被此类协调标准或其部分标准所涵盖的范围内，被视为符合本条第1款所规定的基本要求。

4. 委员会应当根据《欧盟第1025/2012号条例》第10条的规定，要求一个或多个欧洲标准化组织起草符合本条第1款所规定的基本要求的协调标准。

5. 委员会可以通过实施性法案，在下列条件均已满足的情况下，就本条第1款所规定的一项或多项基本要求制定共同规范：

（a）

委员会已根据《欧盟第1025/2012号条例》第10条第1款的规定，要求一个或多个欧洲标准化组织起草一项符合本条第1款所规定的基本要求的协调标准，并且：

(i) 该请求未被接受；

(ii) 针对该请求的协调标准未能在依据《欧盟第1025/2012号条例》第10条第1款规定的期限内予以发布；或者

(iii) 协调标准不符合该请求；以及

（b）

根据《欧盟第1025/2012号条例》，关于本条第1款所规定的相关基本要求的协调标准的引用尚未在《欧盟官方公报》上公布，且在合理期限内亦无望公布此类引用。

上述实施性法案应当按照《欧盟第1025/2012号条例》第46条第2款所述的审查程序予以通过。

6. 在拟定本条第5款所述的实施性法案草案之前，委员会应当将认为本条第5款所述条件已获满足的情况告知《欧盟第1025/2012号条例》第22条所述的委员会。

7. 在拟定本条第5款所述的实施性法案时，委员会应当考虑EDIB的意见以及其他相关机构或专家小组的看法，并适当征求所有相关利益攸关方的意见。

8. 提供数据或数据服务给其他参与数据空间的参与者，而这些数据空间符合由本条第5款所述实施性法案或其部分所确立的共同规范者，应被视为在该等共同规范或其部分所涵盖的范围内，符合本条第1款所规定的基本要求。

9. 当一项协调标准由欧洲标准化组织采纳并提交给委员会，以期在《欧盟官方公报》上公布其引用信息时，委员会应当依据第(EU) No 1025/2012号条例对该协调标准进行评估。当该协调标准的引用信息在《欧盟官方公报》上公布后，委员会应当废止本条第5款所提及的实施性法案，或其中涵盖与该协调标准所覆盖的相同基本要求的部分。

10. 当某一成员国认为某项通用规范未能完全满足第1款规定的基本要求时，应当通过提交详细说明的方式将此情况告知委员会。委员会应当对该详细说明进行评估，并在适当情况下对制定该项通用规范的实施性法案予以修订。

11. 委员会可以根据第(EU) 2022/868号条例第30条第(h)项的规定，结合EDIB的建议，制定相关指南，该条款旨在为共同欧洲数据空间的运作确立互操作性的框架及通用标准和实践。

第八章 · 第34条

为并行使用数据处理服务之目的而实现的互操作性

1. 第23条、第24条、第25条第2款(a)项(ii)目、(a)项(iv)目、(e)项和(f)项以及第30条第2款至第5款所规定的要求，亦应比照适用于为实现数据处理服务并行使用之互操作性而提供数据处理服务的提供者。

2. 当一项数据处理服务与另一项数据处理服务并行使用时，数据处理服务的提供者可以收取数据出口费用，但仅限于转嫁实际发生的出口成本，且不得超过该等成本。

第八章 · 第三十五条

数据处理服务的互操作性

1. 开放式互操作性规范和用于数据处理服务互操作性的协调标准应当：

（a）

在技术可行的情况下，实现覆盖同一服务类型的不同数据处理服务之间的互操作性；

（b）

提升覆盖同一服务类型的不同数据处理服务之间数字资产的可移植性；

(c) 在技术可行的情况下，促进第30条第1款所指、覆盖同一服务类型的不同数据处理服务之间的功能等效性；

(d) 不对数据处理服务及数据的安全性和完整性产生不利影响；

(e) 应当以能够适应技术进步并纳入新功能与数据处理服务创新的方式进行设计。

2. 用于数据处理服务互操作性的开放式互操作性规范和协调标准应当充分涵盖：

（a）

运输互操作性、句法互操作性、语义数据互操作性、行为互操作性以及政策互操作性的云相关方面；

（b）

数据句法可移植性、数据语义可移植性以及数据政策可移植性的云数据可移植性方面；

(c) 应用程序句法可移植性、应用程序指令可移植性、应用程序元数据可移植性、应用程序行为可移植性以及应用程序政策可移植性的云应用方面。

3. 开放式互操作性规范应当符合第1025/2012号欧盟条例附件II的规定。

4. 在考虑相关国际及欧洲标准和自律倡议之后，委员会可根据第1025/2012号欧盟条例第10条第1款的规定，要求一个或多个欧洲标准化组织起草满足本条第1款和第2款所规定的基本要求的协调标准。

5. 委员会可通过实施性法案，采纳基于开放式互操作性规范的通用规范，涵盖本条第1款和第2款所规定的所有基本要求。

6. 在拟定本条第5款所述的实施性法案草案时，委员会应当考虑第37条第5款第(h)项所指的相关主管当局以及其他相关机构或专家小组的意见，并适当征求所有相关利益攸关方的意见。

7. 当某一成员国认为某项通用规范未能完全满足第1款和第2款所规定的基本要求时，应当通过提交一份详细说明的方式将此情况告知委员会。委员会应对该详细说明进行评估，并在适当情况下对制定该项通用规范的实施法案予以修订。

8. 为实施第30条第3款之目的，委员会应通过实施法案，在欧盟数据处理服务互操作性中央标准库中公布用于数据处理服务互操作性的协调标准及通用规范的参考信息。

9. 本条所述的实施法案应当依照第46条第2款所规定的审查程序予以通过。

第八章 · 第三十六条

关于执行数据共享协议的智能合约的基本要求

1. 使用智能合约的应用程序的供应商，或者在不存在智能合约的情况下，其贸易、业务或职业涉及在执行协议或其部分条款时为他人部署智能合约并提供数据的人员，应当确保这些智能合约符合以下基本要求：

（a）

强健性和访问控制，以确保该智能合约在设计时已配备访问控制机制，并具备极高的强健性，从而避免功能错误并抵御第三方的操纵；

（b）

安全终止与中断，以确保存在一种机制能够终止交易的持续执行，并且该智能合约包含内部功能，可以重置或指示合约停止或中断运行，特别是为了避免未来发生意外执行；

(c) 数据归档与连续性，以确保在智能合约必须被终止或停用的情况下，仍有可能对交易数据、智能合约逻辑及代码进行归档，从而保留过去对数据所执行操作的记录（可审计性）；

(d) 访问控制，以确保智能合约在治理层和智能合约层均通过严格的访问控制机制得到保护；以及

(e) 一致性，以确保与该智能合约所执行的数据共享协议条款保持一致。

2. 智能合约的供应商，或者在不存在智能合约的情况下，其贸易、业务或职业涉及在执行协议或其部分条款时为他人部署智能合约并提供数据的人员，应当进行符合性评估，以满足第1款规定的基本要求，并在满足这些要求后签发欧盟符合性声明。

3. 通过起草欧盟符合性声明，使用智能合约的应用程序的供应商，或者在不存在智能合约的情况下，其贸易、业务或职业涉及在执行协议或其部分条款时为他人部署智能合约并提供数据的人员，应当对其遵守第1款规定的基本要求承担相应责任。

4. 符合已在《欧洲联盟官方公报》上公布的协调标准或其相关部分的智能合约，应在该等协调标准或其相关部分所涵盖的范围内，推定其符合第1款规定的基本要求。

5. 委员会应当根据《欧盟第1025/2012号条例》第10条的规定，要求一个或多个欧洲标准化组织起草符合本条第1款所规定的基本要求的协调标准。

6. 委员会可以通过实施性法案，在下列条件均已满足的情况下，就本条第1款所规定的基本要求中的任何一项或全部制定共同规范：

（a）

委员会已根据《欧盟第1025/2012号条例》第10条第1款的规定，要求一个或多个欧洲标准化组织起草一项符合本条第1款所规定的基本要求的协调标准，并且：

(i) 该请求未被接受；

(ii) 针对该请求的协调标准未能在依据《欧盟第1025/2012号条例》第10条第1款规定的期限内予以发布；或者

(iii) 协调标准不符合该请求；以及

（b）

根据《欧盟第1025/2012号条例》，关于本条第1款所规定的相关基本要求的协调标准的引用尚未在《欧盟官方公报》上公布，且在合理期限内亦无望公布此类引用。

上述实施性法案应当按照《欧盟第1025/2012号条例》第46条第2款所述的审查程序予以通过。

7. 在拟定本条第6款所述的实施性法案草案之前，委员会应当将认为本条第6款所述条件已获满足的情况告知《欧盟第1025/2012号条例》第22条所指的委员会。

8. 在拟定本条第6款所述的实施性法案时，委员会应当考虑EDIB的意见以及其他相关机构或专家小组的看法，并适当征询所有相关利益攸关方的意见。

9. 智能合约的提供方，或者在不存在智能合约提供方的情况下，其贸易、业务或职业涉及在履行协议或其部分的过程中为他人部署智能合约的人，如使数据符合本条第6款所述实施性法案所确立的共同规范或其部分，则应推定其符合本条第1款所规定的基本要求，前提是该等基本要求已被上述共同规范或其部分所涵盖。

10. 当一项协调标准由欧洲标准化组织采纳并提交给委员会，以期在《欧盟官方公报》上公布其引用信息时，委员会应当依据第(EU) No 1025/2012号条例对该协调标准进行评估。当某项协调标准的引用信息在《欧盟官方公报》上公布后，委员会应当废止本条第6款所提及的实施性文件，或者废止其中涉及与该协调标准所涵盖的相同基本要求的部分。

11. 当某一成员国认为某项共同规范未能完全满足第1款规定的基本要求时，应当通过提交一份详尽的说明向委员会予以通报。委员会应当对该详尽说明进行评估，并可在适当情况下对制定该项共同规范的实施性文件作出修订。

实施与执行

第九章 · 第三十七条

主管机关与数据协调员

1. 每个成员国应当指定一个或多个主管机关，负责本条例的适用与执行（主管机关）。成员国可以设立一个或多个新的主管机关，也可以依托现有主管机关。

2. 当成员国指定多个主管机关时，应当在其中指定一名数据协调员，以促进各主管机关之间的协作，并就本条例的适用与执行相关事宜向本条例适用范围内的实体提供协助。主管机关在行使第5款所赋予的任务和权力时，应当相互协作。

3. 负责监督《欧盟》2016/679号条例适用情况的监管机构，应当负责监督本条例在个人数据保护方面的适用。《欧盟》2016/679号条例第六章和第七章应当比照适用。

欧洲数据保护监督员应当负责监督本条例在涉及欧盟委员会、欧洲中央银行或欧盟机构方面的适用。在相关情况下，《欧盟》2018/1725号条例第62条应当比照适用。

本款所述监管机构的任务和权力应当在个人数据处理领域内行使。

4. 在不损害本条第1款的前提下：

（a）

对于与本条例适用相关的特定行业数据访问与使用问题，应当尊重行业主管机关的职权；

（b）

负责实施和执行第23条至第31条以及第34条和第35条的主管机关，应当在数据及电子通信服务领域具备相应经验。

5. 成员国应当确保主管机关的任务和权力得到明确界定，并包括：

（a）

在本条例适用范围内，促进用户及实体对本条例项下权利与义务的认识与理解；

（b）

处理因涉嫌违反本条例而产生的投诉，包括涉及商业秘密的事项，并在适当范围内对投诉事项进行调查，同时在合理期限内定期向投诉人通报调查进展及结果，特别是在需要进一步调查或与其他主管机关协调的情况下，应根据国家法律的相关规定予以告知。

(c) 对涉及本条例适用的事项开展调查，包括根据从其他主管机关或其他公共机关收到的信息进行调查；

(d) 施加有效、相称且具有威慑力的财务处罚，该等处罚可包括定期处罚及具有追溯效力的处罚，或启动法律程序以处以罚款；

(e) 监测与数据提供和使用相关的技术及商业发展动态；

(f) 与其他成员国的主管当局以及在相关情况下与欧盟委员会或欧洲数据保护委员会合作，以确保本条例的一致性和高效实施，包括通过电子方式及时交换所有相关信息，其中包括与本条第10款有关的信息；

（g）

与负责执行其他欧盟或国家法律法规的相关主管当局合作，包括数据及电子通信服务领域的主管当局、负责监督《欧盟》2016/679号条例实施的监管机构，或各行业主管机构，以确保本条例与其他欧盟及国家法律得到一致执行；

（h）

与相关主管当局合作，确保第23条至第31条以及第34条和第35条与其他适用的欧盟法律及适用于数据处理服务提供商的自律规则保持一致地得到执行；

(i) 确保根据第29条的规定取消漫游费用；

(j) 审查依据第五章提出的各项数据请求。

在指定的情况下，数据协调员应当促进第一款第(f)、(g)和(h)项所述的合作，并应主管当局的要求予以协助。

6. 数据协调员，在已指定相应主管当局的情况下，应当：

（a）

作为与本条例适用有关的所有问题的单一联络点；

（b）

确保在第五章规定的特殊需要情形下，公共部门机构所提出的数据提供请求能够在线公开，并推动公共部门机构与数据持有者之间自愿达成的数据共享协议；

(c) 每年向欧盟委员会通报根据第4条第2款和第8款以及第5条第11款所通知的拒绝决定。

7. 成员国应当将主管机关的名称及其职责与权限通知委员会，并在适用情况下，同时通报数据协调员的名称。委员会应当建立并维护这些机关的公开登记册。

8. 在依照本条例履行其职责并行使职权时，主管当局应当保持公正，不受任何直接或间接的外部影响，并且不得就个案向任何其他公共机关或任何私人主体寻求或接受指示。

9. 成员国应当确保主管当局获得充足的人力、技术资源以及相关专业知识，以便有效履行其依据本条例所承担的职责。

10. 属于本条例适用范围的实体，应受其设立地所在成员国的管辖。若该实体在多个成员国设有机构，则应视为由其主要营业地所在成员国管辖，即该实体设有总部或注册地址并据此行使主要财务职能及运营控制的成员国。

11. 凡属于本条例适用范围、在欧盟境内提供联网产品或服务但未在欧盟境内设立的实体，均应在某一成员国指定一名法律代表。

12. 为确保本条例得到遵守，属于本条例适用范围、在欧盟境内提供联网产品或服务的实体，应当指定一名法律代表；该法律代表将作为主管当局就与该实体有关的所有事项进行沟通的对象，可替代该实体本身或与其同时被主管当局联系。该法律代表应当配合主管当局，并根据要求全面说明该实体为确保遵守本条例而采取的措施及已落实的相关规定。

13. 属于本条例适用范围的实体，若在其产品投放市场或提供服务时涉及欧盟境内事务，则应视为受其法定代表人所在成员国的管辖。此类实体指定法定代表人的行为，不影响该实体所承担的法律责任，也不影响针对该实体可能采取的任何法律行动。在该实体依照本条规定指定法定代表人之前，为确保本条例的适用和执行，该实体应接受所有相关成员国的管辖。任何主管机关均可行使管辖权，包括施加有效、相称且具有威慑力的处罚，但前提是该实体未因相同事实而受到另一主管机关依据本条例执行的程序约束。

14. 主管当局应有权向其成员国管辖范围内的用户、数据持有者或数据接收者，或其法定代理人，要求提供所有为核实本条例合规性所必需的信息。任何信息请求均应与履行相关基础任务相称，并应说明理由。

15. 当一成员国的主管当局向另一成员国的主管当局请求协助或执行措施时，应提交一份载明理由的请求。主管当局在收到此类请求后，应在不无故拖延的情况下作出回应，详细说明已采取或将要采取的行动。

16. 主管当局应尊重保密原则以及职业和商业秘密原则，并依照联盟法律或国内法保护个人数据。在协助请求背景下交换的任何信息，以及根据本条提供的任何信息，仅可用于提出该请求所涉事项。

第九章 · 第三十八条

申诉权

1. 在不影响任何其他行政或司法救济措施的前提下，自然人和法人有权在其惯常居住地、工作地或设立地所在成员国的相关主管机关处，单独或在相关情况下集体提出投诉，前提是其认为自身依据本条例享有的权利受到侵害。数据协调员应当应要求向自然人和法人提供向相应主管机关提出投诉所需的一切必要信息。

2. 收到投诉的主管机关应当根据本国法律，将案件处理进展及所作决定告知投诉人。

3. 主管机关应当开展合作，以有效且及时的方式处理并解决投诉，包括通过电子方式交换所有相关信息，且不得无故拖延。此种合作不应影响《欧盟》2016/679号条例第六章和第七章以及《欧盟》2017/2394号条例所规定的合作机制。

第九章 · 第三十九条

有效司法救济权

1. 尽管存在任何行政或其他非司法救济途径，任何受影响的自然人和法人均有权就主管机关作出的具有法律约束力的决定获得有效的司法救济。

2. 当主管机关对投诉未予处理时，任何受影响的自然人和法人应当依照本国法律，享有获得有效司法救济的权利，或者有权请求由具备相应专业知识的公正机构进行审查。

3. 根据本条提起的诉讼应当向提出司法救济请求的主管机关所属成员国的法院或法庭提起；在相关情况下，亦可由一名或多名自然人或法人的代表以集体方式提起。

第九章 · 第四十条

罚则

1. 成员国应当制定适用于违反本条例行为的处罚规则，并采取一切必要措施确保其得到执行。所规定的处罚应当有效、适当且具有威慑力。

2. 成员国应当在2025年9月12日前将上述规则和措施通知委员会，并在其后任何影响这些规则和措施的修订发生时及时通知委员会。委员会应当定期更新并维护一个便于公众查阅的公开登记册，载明上述各项措施。

3. 成员国应当考虑欧洲数据保护委员会（EDIB）的建议，以及下列非穷尽性的标准，用以对违反本条例的行为施加处罚：

（a）

违反行为的性质、严重程度、规模及持续时间；

（b）

违反方为减轻或弥补因该违法行为造成的损害而采取的任何行动；

(c) 违反方以往是否存在其他违法行为；

(d) 违反方因该违法行为所获得的经济利益或避免的经济损失，但仅限于能够可靠认定的部分；

(e) 其他适用于案件具体情况的加重或减轻情节；

(f) 违反方在上一财政年度于欧盟境内的年营业额。

4. 对于违反本条例第二章、第三章及第五章所规定义务的行为，负责监督《欧盟》2016/679号条例实施情况的监管机构，可在其职权范围内依据该条例第83条的规定处以行政罚款，最高金额不得超过该条例第83条第5款所规定的数额。

5. 对于违反本条例第五章所规定义务的行为，欧洲数据保护监督官可在其职权范围内依据《欧盟》2018/1725号条例第66条的规定处以行政罚款，最高金额不得超过该条例第66条第3款所规定的数额。

第九章 · 第四十一条

示范合同条款与标准合同条款

委员会应当于2025年9月12日前，制定并推荐关于数据访问与使用的非约束性示范合同条款，包括有关合理补偿及商业秘密保护的条款，以及用于云计算合同的非约束性标准合同条款，以协助各方当事人起草和谈判具有公平、合理且无歧视性的合同权利与义务的合同。

第九章 · 第四十二条

EDIB的作用

欧盟委员会根据《2022/868号条例》第29条设立的专家小组EDIB，由各成员国主管机关代表组成，旨在支持本条例的一致适用：

（a）

就各成员国主管机关在执行第二章、第三章、第五章和第七章时形成一致做法一事，向欧盟委员会提供建议并予以协助；

（b）

通过能力建设和信息交流，促进各成员国主管机关之间的合作，特别是制定在跨境案件中就第二章、第三章和第五章项下权利与义务之执行进行高效信息交换的方法，包括在处罚设定方面的协调；

(c) 就以下事项向欧盟委员会提供建议并予以协助：

(i) 是否请求起草第33条第4款、第35条第4款及第36条第5款所指的统一标准；

(ii) 起草第33条第5款、第35条第5款及第8款以及第36条第6款所指的实施性法案；

(iii) 起草第29条第7款及第33条第2款所指的授权性法案；以及

(iv) 通过第33条第11款所指的关于建立通用欧洲数据空间运作之共同标准与实践的互操作框架的指南。

根据第96/9/EC号指令的特殊权利

第十章 · 第四十三条

包含特定数据的数据库

《96/9/EC号指令》第7条所规定的特殊权利，在数据系从属于本条例适用范围的联网产品或相关服务获取或生成时，不适用，尤其是在涉及该条例第4条和第5条的情况下。

最终条款

第十一章 · 第四十四条

其他规制数据访问与使用权利义务的欧盟法律文件

1. 在2024年1月11日或之前生效的欧盟法律文件以及据此制定的授权法案或实施法案中，关于企业之间、企业与消费者之间，以及在特殊情况下企业与公共机构之间提供数据的具体义务，均不受影响。

2. 本条例不影响欧盟法律根据某一行业的需求、共同欧洲数据空间或公共利益领域的需要，另行规定之进一步要求，尤其是涉及以下方面：

（a）

数据访问的技术性问题；

（b）

对数据持有人访问或使用用户所提供之特定数据的权利所施加的限制；

(c) 超越数据访问与使用的其他相关事项。

3. 除第五章外，本条例不影响欧盟及成员国法律中有关为科学研究目的而获取并授权使用数据的规定。

第十一章 · 第四十五条

授权的行使

1. 授予委员会采用授权法案的权力，须符合本条所规定的条件。

2. 第29条第7款及第33条第2款所述之授权法案制定权，自2024年1月11日起，无限期授予委员会。

3. 第29条第7款及第33条第2款所指之权力委托，可由欧洲议会或理事会随时予以撤销。撤销决定一经作出，即终止该决定所指定之权力委托；其效力自该决定在《欧盟官方公报》公布之次日起生效，或依该决定所载明之更晚日期生效。但该决定不影响已生效之任何授权法案之效力。

4. 委员会在通过授权法案前，应当依照2016年4月13日关于更好立法之机构间协议所确立的原则，征求各成员国指派之专家的意见。

5. 委员会一经通过授权法案，应同时通知欧洲议会和理事会。

6. 根据第29条第7款或第33条第2款通过之授权法案，仅在以下情形下方得生效：一是在该法案通知欧洲议会与理事会之日起三个月内，欧洲议会或理事会均未提出异议；二是在该期限届满前，欧洲议会与理事会均已书面告知委员会其不拟提出异议。上述期限得经欧洲议会或理事会之倡议而延长三个月。

第十一章 · 第四十六条

委员会程序

1. 委员会应由《条例（欧盟）2022/868》设立的委员会提供协助。该委员会系《条例（欧盟）第182/2011号》所指之委员会。

2. 凡提及本款之处，均适用欧盟第182/2011号条例第5条的规定。

第十一章 · 第四十七条

关于欧盟条例（EU）2017/2394的修正案

在《欧盟条例》（EU）2017/2394的附件中，增加以下条款：

‘29.

欧洲议会和理事会于2023年12月13日通过的关于数据公平获取与使用的统一规则，并修订《欧盟条例》（EU）2017/2394及《欧盟指令》（EU）2020/1828的《数据法》（Regulation (EU) 2023/2854）（官方公报L，2023/2854，2023年12月22日，ELI：http://data.europa.eu/eli/reg/2023/2854/oj）。’

第十一章 · 第四十八条

对指令（欧盟）2020/1828的修正案

在指令（EU）2020/1828的附件一中，增加以下条款：

“68.”

欧洲议会和欧洲理事会于2023年12月13日通过的关于数据公平获取与使用的统一规则，并修订条例（EU）2017/2394及指令（EU）2020/1828的第2023/2854号条例（《数据法》）（官方公报L，2023/2854，2023年12月22日，ELI：http://data.europa.eu/eli/reg/2023/2854/oj）。

第十一章 · 第四十九条

评估与审查

1. 截至2028年9月12日，委员会应当对本条例进行评估，并将其主要结论报告提交给欧洲议会、理事会以及欧洲经济和社会委员会。该评估应当特别审查：

（a）

为本条例第15条之目的及本条例第五章之实际适用而应被视为存在特殊需求的情形，特别是公共部门机构、委员会、欧洲中央银行以及欧盟各机构在适用本条例第五章方面的经验；由主管当局根据本条例第18条第5款就第五章适用情况所提起的程序的数量及其结果（按主管当局报告）；为满足信息获取请求而依据欧盟或成员国法律所规定的其他义务所产生的影响；诸如根据条例（EU）2022/868获认可的数据利他主义组织所建立的自愿数据共享机制对实现本条例第五章目标的影响，以及个人数据在本条例第15条语境下的作用，包括隐私增强技术的发展演变；

（b）

本条例对经济中数据使用的影响，包括对数据创新、数据货币化实践及数据中介服务的影响，以及对共同欧洲数据空间内数据共享的影响；

(c) 不同类别和类型数据的可获取性与使用情况；

(d) 根据第5条将某些类别的企业排除在受益人范围之外的情况；

(e) 对知识产权未产生任何影响的情况；

(f) 对商业秘密的影响，包括对其免受非法获取、使用及披露的保护，以及根据第4条第8款和第5条第11款允许数据持有人拒绝用户请求之机制所产生的影响，并尽可能考虑对指令（EU）2016/943的任何修订；

（g）

鉴于新的商业惯例及市场创新的迅猛发展，第13条所提及的不公平合同条款清单是否仍具时效性；

（h）

数据处理服务提供者的合同实践是否发生变动，以及这是否导致其充分遵守第25条的规定；

(i) 数据处理服务提供者为交换过程所收取的费用的降低，符合根据第29条逐步取消交换费用的规定；

(j) 本条例与对数据经济具有相关性的其他欧盟法律文件之间的相互作用；

（k）

防止政府对非个人数据的非法访问；

（l）

第37条所要求的执法机制的有效性；

（m）

本条例对中小企业在创新能力以及欧盟境内用户获取数据处理服务方面的可及性所产生的影响，以及履行新义务所带来的负担。

2. 委员会应于2028年9月12日前对本条例进行评估，并将其主要评估结果报告提交欧洲议会、理事会以及欧洲经济和社会委员会。该评估应当审查第23条至第31条以及第34条和第35条的影响，特别是在定价方面以及欧盟境内所提供的数据处理服务的多样性方面，并特别关注中小企业服务提供者。

3. 成员国应当向委员会提供编制第1款和第2款所述报告所需的信息。

4. 根据第1款和第2款所述报告，委员会可在适当情况下向欧洲议会和理事会提交立法提案，以修订本条例。

第十一章 · 第五十条

生效与适用

本条例自其在欧盟官方公报公布之日起第二十天起生效。

本条例自2025年9月12日起适用。

第三条第一款所规定的义务适用于2026年9月12日之后投放市场的相关产品及其相关服务。

第三章适用于根据欧盟法律或依据欧盟法律制定的国家立法而产生的数据提供义务，该等义务于2025年9月12日之后生效。

第四章适用于2025年9月12日之后订立的合同。

第四章自2027年9月12日起适用于2025年9月12日或之前订立的合同，但前提是：

（a）

合同期限为不定期；或

（b）

合同到期日距2024年1月11日至少满十年。

本条例具有完全的约束力，并在所有成员国直接适用。

于2023年12月13日在斯特拉斯堡签署。

欧洲议会

主席

R. METSOLA

理事会

主席

P. NAVARRO RÍOS

(1) 《欧盟官方公报》C系列第402号，2022年10月19日，第5页。

(2) 《欧盟官方公报》C系列第365号，2022年9月23日，第18页。

(3) 《欧盟官方公报》C系列第375号，2022年9月30日，第112页。

(4) 欧洲议会于2023年11月9日通过的立场（尚未在《欧盟官方公报》上公布）以及理事会于2023年11月27日作出的决定。

(5) 欧盟委员会于2003年5月6日发布的2003/361/EC号建议，关于微型、小型和中型企业的界定（《欧盟官方公报》L系列第124号，2003年5月20日，第36页）。

(6) 欧洲议会和理事会于2016年4月27日通过的2016/679号条例，关于自然人在个人数据处理方面的保护以及此类数据的自由流动，并废止95/46/EC号指令（《通用数据保护条例》）（《欧盟官方公报》L系列第119号，2016年5月4日，第1页）。

(7) 欧洲议会和理事会于2018年10月23日通过的2018/1725号条例，关于自然人在欧盟各机构、机关、办事处及代理机构处理个人数据时的保护以及此类数据的自由流动，并废止45/2001号条例及1247/2002/EC号决定（《欧盟官方公报》L系列第295号，2018年11月21日，第39页）。

(8) 欧洲议会和理事会于2002年7月12日通过的第2002/58/EC号指令，涉及电子通信领域个人数据处理及隐私保护（隐私与电子通信指令）（《欧盟官方公报》L系列第201号，2002年7月31日，第37页）。

(9) 欧盟理事会于1993年4月5日颁布的第93/13/EEC号指令，关于消费者合同中的不公平条款（《欧盟官方公报》L 95，1993年4月21日，第29页）。

(10) 欧洲议会和理事会于2005年5月11日颁布的第2005/29/EC号指令，关于内部市场中经营者对消费者实施的不公平商业行为，并修订了理事会第84/450/EEC号指令、欧洲议会和理事会第97/7/EC号、第98/27/EC号及第2002/65/EC号指令，以及欧洲议会和理事会第2006/2004号条例（“不公平商业行为指令”）（《欧盟官方公报》L 149，2005年6月11日，第22页）。

(11) 欧洲议会和理事会于2011年10月25日颁布的第2011/83/EU号指令，关于消费者权益，修订了理事会第93/13/EEC号指令和欧洲议会和理事会第1999/44/EC号指令，并废除了理事会第85/577/EEC号指令和欧洲议会和理事会第97/7/EC号指令（《欧盟官方公报》L 304，2011年11月22日，第64页）。

(12) 欧洲议会和理事会于2021年4月29日颁布的第2021/784号条例，关于应对网络上传播恐怖主义内容的问题（《欧盟官方公报》L 172，2021年5月17日，第79页）。

(13) 欧洲议会和理事会于2022年10月19日颁布的第2022/2065号条例，关于数字服务单一市场，并修订了第2000/31/EC号指令（《数字服务法》）（《欧盟官方公报》L 277，2022年10月27日，第1页）。

(14) 欧洲议会和理事会于2023年7月12日颁布的第2023/1543号条例，关于刑事诉讼程序中电子证据的欧洲取证令和欧洲保全令，以及刑事诉讼后监禁刑罚的执行（《欧盟官方公报》L 191，2023年7月28日，第118页）。

(15) 欧洲议会和理事会于2023年7月12日颁布的第2023/1544号指令，规定了在刑事诉讼程序中收集电子证据时指定机构的指定及法律代表的任命的统一规则（《欧盟官方公报》L 191，2023年7月28日，第181页）。

(16) 欧洲议会和理事会于2015年5月20日颁布的第2015/847号条例，关于资金转移附带信息的规定，并废除了第1781/2006号（EC）条例（《欧盟官方公报》L 141，2015年6月5日，第1页）。

(17) 欧洲议会和理事会于2015年5月20日颁布的第2015/849号指令，关于防止金融系统被用于洗钱或恐怖主义融资的目的，修订了第648/2012号（EU）条例，并废除了第2005/60/EC号欧洲议会和理事会指令以及第2006/70/EC号委员会指令（《欧盟官方公报》L 141，2015年6月5日，第73页）。

(18) 欧洲议会和理事会于2019年4月17日颁布的第2019/882号指令，关于产品和服务的无障碍要求（《欧盟官方公报》L 151，2019年6月7日，第70页）。

(19) 欧洲议会和欧洲理事会于2001年5月22日颁布的关于在信息社会中协调版权及相关权利某些方面的第2001/29/EC号指令（《欧盟官方公报》L 167，2001年6月22日，第10页）。

(20) 欧洲议会和欧洲理事会于2004年4月29日颁布的关于知识产权执法的第2004/48/EC号指令（《欧盟官方公报》L 157，2004年4月30日，第45页）。

(21) 欧洲议会和欧洲理事会于2019年4月17日颁布的关于数字单一市场中版权及相关权利并修订第96/9/EC号指令和第2001/29/EC号指令的第2019/790号（EU）指令（《欧盟官方公报》L 130，2019年5月17日，第92页）。

(22) 欧洲议会和欧洲理事会于2022年5月30日颁布的关于欧洲数据治理并修订第2018/1724号（数据治理法）条例的第2022/868号（EU）条例（《欧盟官方公报》L 152，2022年6月3日，第1页）。

(23) 欧洲议会和欧洲理事会于2016年6月8日颁布的关于保护未披露的技术诀窍和商业信息（商业秘密）免遭非法获取、使用和披露的第2016/943号（EU）指令（《欧盟官方公报》L 157，2016年6月15日，第1页）。

(24) 欧洲议会和欧洲理事会于1998年2月16日颁布的关于在向消费者提供产品价格时保护消费者的第98/6/EC号指令（《欧盟官方公报》L 80，1998年3月18日，第27页）。

(25) 欧洲议会和欧洲理事会于2000年6月8日颁布的关于内部市场中信息社会服务特别是电子商务某些法律方面的第2000/31/EC号指令（“电子商务指令”）（《欧盟官方公报》L 178，2000年7月17日，第1页）。

(26) 欧洲议会和欧洲理事会于2022年9月14日颁布的关于数字领域可竞争且公平市场的第2022/1925号（EU）条例，并修订第2019/1937号和第2020/1828号（数字市场法）指令（《欧盟官方公报》L 265，2022年10月12日，第1页）。

(27) 欧洲议会和欧洲理事会于2009年3月11日颁布的关于欧洲统计并废除第223/2009号（EC）条例的第2009/223号（EC）条例，该条例涉及向欧洲共同体统计局传输受统计保密约束的数据、第322/97号（EC）理事会条例以及第89/382/EEC、Euratom决定——该决定设立了欧洲共同体统计计划委员会（《欧盟官方公报》L 87，2009年3月31日，第164页）。

(28) 欧洲议会和欧洲理事会于2019年6月20日颁布的关于开放数据及公共部门信息再利用的第2019/1024号（EU）指令（《欧盟官方公报》L 172，2019年6月26日，第56页）。

(29) 欧洲议会和欧洲理事会于1996年3月11日颁布的关于数据库法律保护的第96/9/EC号指令（《欧盟官方公报》L 77，1996年3月27日，第20页）。

(30) 欧洲议会和理事会于2018年11月14日颁布的关于欧盟非个人数据自由流动框架的第2018/1807号条例（《欧盟官方公报》L 303，2018年11月28日，第59页）。

(31) 欧洲议会和理事会于2019年5月20日颁布的关于数字内容与数字服务供应合同某些方面的第2019/770号指令（《欧盟官方公报》L 136，2019年5月22日，第1页）。

(32) 欧洲议会和理事会于2022年12月14日颁布的关于金融部门数字化运营弹性的第2022/2554号条例，并修订第(EC) No 1060/2009、第(EU) No 648/2012、第(EU) No 600/2014、第(EU) No 909/2014以及第(EU) 2016/1011号条例（《欧盟官方公报》L 333，2022年12月27日，第1页）。

(33) 欧洲议会和理事会于2012年10月25日颁布的关于欧洲标准化的第1025/2012号条例，该条例修订了理事会第89/686/EEC和第93/15/EEC号指令，以及欧洲议会和理事会的第94/9/EC、第94/25/EC、第95/16/EC、第97/23/EC、第98/34/EC、第2004/22/EC、第2007/23/EC、第2009/23/EC和第2009/105/EC号指令，并废除了理事会第87/95/EEC号决定及欧洲议会和理事会第1673/2006/EC号决定（《欧盟官方公报》L 316，2012年11月14日，第12页）。

(34) 欧洲议会和理事会于2008年7月9日颁布的关于认可要求并废除第(EEC) No 339/93号条例的第765/2008号条例（《欧盟官方公报》L 218，2008年8月13日，第30页）。

(35) 欧洲议会和理事会于2008年7月9日颁布的关于产品市场投放共同框架的第768/2008/EC号决定，并废除了理事会第93/465/EEC号决定（《欧盟官方公报》L 218，2008年8月13日，第82页）。

(36) 欧洲议会和理事会于2017年12月12日颁布的关于负责执行消费者保护法律的国家主管机关之间合作的第2017/2394号条例，并废除第(EC) No 2006/2004号条例（《欧盟官方公报》L 345，2017年12月27日，第1页）。

(37) 欧洲议会和理事会于2020年11月25日颁布的关于保护消费者集体利益的代表性诉讼的第2020/1828号指令，并废除第2009/22/EC号指令（《欧盟官方公报》L 409，2020年12月4日，第1页）。

(38) 《欧盟官方公报》L 123，2016年5月12日，第1页。

(39) 欧洲议会和理事会于2011年2月16日颁布的关于成员国对委员会行使实施权进行控制机制之规则与基本原则的第182/2011号条例（《欧盟官方公报》L 55，2011年2月28日，第13页）。