欧盟Data Act设计义务已适用，联网设备应开放哪些数据

面向欧盟市场销售联网工业设备的企业，已经进入Data Act的一项新适用阶段：法规第3(1)条要求在产品设计和相关服务提供时考虑用户的数据访问，适用对象是2026年9月12日之后投放市场的联网产品及其相关服务。它并不要求把所有算法、软件和分析报告免费公开；企业需要分别判断设备与主体是否适用、哪些数据在范围内、由谁以什么方式提供。

欧盟机械与先进制造平台在8月的工业数据政策介绍中提示了这一节点。以下按截至2026年10月25日的现行法规与欧盟委员会实施问答，解释它如何影响设备数据交付，尤其是制造商、设备使用企业和维修服务方之间的关系。

2025年的访问权与2026年的设计义务有什么不同？

Data Act，即《欧盟数据法案》Regulation (EU) 2023/2854，2024年1月11日生效，2025年9月12日起一般适用。2026年9月的节点不是整部法规第一次生效，而是第3(1)条设计义务开始覆盖相应新投放产品。具体日期与要求可核对法规官方公报文本第3条及第50条。

一般适用阶段，符合条件的用户已经可以要求访问、使用和分享设备产生的相关数据，不能因设备是早年购买就直接认定没有访问权。但数据本身也有时间范围：欧盟委员会实施问答第4题明确，第二章涵盖的是法规一般适用后产生或收集的数据，旧设备可享有访问权，并不意味着此前所有历史数据都可按这一章索取。设计义务则要求相应的新投放产品及相关服务，从设计和提供方式上，使产品数据、相关服务数据及必要元数据默认便于用户安全、免费访问，并采用完整、结构化、通用、机器可读的格式；在相关且技术可行时，应允许直接访问。

“投放市场”看每一台产品首次进入欧盟市场，而非型号发布年份。欧盟委员会问答第8题说明，同一产品之后的转售与首次投放不同。因此，一个已经销售多年的设备型号，其在2026年9月12日之后首次投放欧盟市场的新设备，也不能仅凭“这是旧型号”排除设计义务。判断时应保存与实际首次投放对应的交易资料，而不是只查看研发立项或型号发布日。

哪些工业设备和企业需要判断适用？

能够获取、生成或收集自身使用、性能或环境数据，并通过有线、无线连接等方式传出数据的工业机械，可能构成联网产品。连接不只指持续连接互联网，维护时通过接口读取数据也可能涉及。这里讨论的是联网产品数据访问规则；不能因为工厂使用了一套普通软件，就把所有软件数据和云服务义务都归入同一范围。

“用户”可以是设备所有者，也可以是按合同取得临时使用权的承租者，保护范围关注欧盟内用户。制造商即使设在欧盟以外，只要其联网产品投放欧盟市场，仍需判断相关义务。与此同时，制造商不必然是唯一的数据持有者：某些数据由整机厂获得，另一些可能由相关服务提供商掌握；应结合合同关系、实际数据访问能力确定各方角色。欧盟委员会Data Act实施问答第21、28题解释了这些情形。

第7条还规定了企业规模相关例外。微型或小型企业制造、设计的产品，或其提供的相关服务所生成的数据，满足条文条件时可不适用第二章义务；但不能忽略不符合该规模的伙伴或关联企业，以及受分包制造、设计、提供服务等情况。中型企业也有特定的一年安排：成为中型企业未满一年，以及由中型企业投放的联网产品自投放起一年内，分别需要按条文核对。企业规模依欧盟定义判断，不能直接用中国的中小企业认定替代。

因此，适用性判断应落到“哪台产品、何时首次投放、谁是用户、谁掌握哪些数据、主体是否满足例外条件”。这些条件决定后面的具体义务，不能从“出口到欧洲”直接跳到“所有数据立即全部开放”。

温度、运行记录与预测性维护结论，哪些属于访问范围？

第二章的数据访问主要覆盖产品及相关服务生成的原始数据、预处理数据，以及使其可理解和可使用的必要元数据。对于由数据持有者提供的数据，还要判断它是否属于其无需付出超出简单操作的不成比例努力即可取得的“现成可用数据”。仅按文件名是“日志”还是“报告”分类并不可靠，应看数据如何产生、经过了什么处理。

假设的设备数据	如何判断	实际交付时的关键区别
设备生成并可取得的温度、压力、转速记录。	属于测量性能、使用或环境的原始或预处理数据时，通常在范围内。	不能仅以制造商已经做过基础格式转换为由，将其全部变成独家分析成果。
时间戳、单位、传感器含义等解释信息。	属于理解和使用数据所必需的元数据时，应随相关数据提供。	一列缺少时间和单位的数字，可能无法供用户开展分析。
通过复杂专有算法形成的剩余寿命预测或综合诊断结论。	若属于经额外投入形成的推断、派生数据，不因第二章访问权而当然要求提供。	是否排除要看实际处理与数据性质，不能只给普通测量值换一个“AI结果”的名称。
包含商业秘密的信息。	需要按法规的保护机制处理，不能仅贴上“保密”标签便一律拒绝。	要识别具体秘密信息、必要保护措施及适用的停止或拒绝条件。

欧盟委员会问答第4、5、5a题还专门讨论了数据加工与边缘处理。把运算移到设备本地，不会使原本可取得或可向外传输的原始、预处理数据自动脱离规则。若要理解本地与云端怎样分工，可参阅工业边缘计算说明；在Data Act下，关键仍是具体数据的性质、存取与传输能力，而非架构名称。

直接访问、按请求提供和第三方共享怎样分工？

直接访问意味着用户能够自行提取、下载或接收数据，不必每次等待数据持有者人工批准；数据可以位于设备上，也可以位于远端服务器。第3(1)条保留了“相关且技术可行”的条件，欧盟委员会问答第22题明确，并非所有产品、所有数据都必须无条件提供直接访问。

用户不能直接取得数据时，适用第4条的数据持有者应按请求提供现成可用数据及必要元数据，不得无故拖延，并达到与其自身可用数据相同的质量。在相关且技术可行时，还涉及持续和实时提供。因此，只有可视化截图、缺失关键字段的汇总表，未必能满足机器可读和可复用的要求；实际交付应与数据内容、使用情形和技术条件对应。

用户还可以要求数据持有者向其指定的第三方提供数据，例如欧盟内的独立维修服务商。这里有两个重要区别：用户免费访问，不等于第三方与数据持有者之间的数据提供安排或维修服务本身全部免费；允许发展竞争性维修服务，也不等于允许用取得的数据开发竞争性联网产品。第三方应按与用户约定的目的使用数据，受法规相应限制；被指定为DMA“守门人”的企业不能依此成为获数第三方。法规也没有要求持有者必须基于第二章向未设立于欧盟的第三方开放数据。

商业秘密和个人数据怎样影响交付？

商业秘密需要具体识别。根据欧盟委员会问答第23题，数据持有者可以在披露前与用户或第三方约定必要保护措施；未能达成或落实措施、保密性受到破坏等情况，可能触发暂停或不提供。拒绝提供还有更严格的例外门槛：数据持有者同时也是商业秘密持有者，并能以客观证据证明，即使采取相应技术和组织保护措施，披露仍极可能使其遭受严重经济损害时，才可逐案拒绝提供有关的特定数据。相应决定还涉及告知理由、通知主管机关及救济机制，不是销售合同里一句“全部数据属于厂家秘密”就可以替代。

若日志同时含有操作人员身份或其他个人数据，Data Act不会代替GDPR所需的处理依据。企业用户与数据主体不是同一个人时，应分别判断访问和传输个人数据的合法基础，或在适当情况下提供匿名化数据。必要的保密与数据保护措施应进入具体交付方案，而不是等接口完成后才补一段通用声明。

用一次设备维修说明数据交付应完成什么

假设一家欧盟工厂希望让当地独立维修商分析某设备的异常升温，且相关产品、主体和数据满足上述适用条件。首先应明确工厂需要的是哪些时段、哪些测点的温度记录，以及维修商受托完成的分析任务。随后核对谁实际持有这些记录，并将必要的单位、时间戳和测点含义一并纳入交付。这个例子只说明做法，不代表某企业已经实现降本或故障减少。

如果设备厂商只能提供自己算法生成的“健康评分”，而基础温度记录属于其现成可用的范围内数据，就不能仅靠这一个评分替代对用户数据请求的判断。反过来，用户也不能因获得温度记录的权利，就当然要求厂商交付剩余寿命算法、源代码或全部内部诊断成果。第三方拿到数据后能否正确分析，仍取决于数据质量、工况信息和其技术能力。

对新设备的设计验收，建议让技术与业务团队共同确认三项结果：用户在签约前能看懂设备将生成哪些数据及如何取得；适用范围内的数据能够通过约定方式被安全读取；交付内容、质量和元数据足以支持约定的使用。访问数据的权限与修改设备控制参数的权限也应分别设计。这样才能把设计义务落到可检查的产品行为，而不只是新增一份政策说明文件。