欧盟委员会发布4套数据访问和使用示范合同条款和6组云计算标准合同条款和共用定义

原文来源｜《欧盟官方公报》L系列，2026年11月6日，第2026/2394号建议，第1页节选。

2026年11月6日，《欧盟官方公报》刊载欧盟委员会2026年10月29日通过的《关于数据访问和使用的非约束性示范合同条款及云计算合同非约束性标准条款的建议》（第2026/2394号）。文件以《欧盟运行条约》第292条和《数据法》（Data Act，条例〔EU〕2023/2854）第41条为依据，提供四套数据访问和使用示范合同条款（Model Contractual Terms，MCTs），以及六组云计算标准合同条款（Standard Contractual Clauses，SCCs）和共用定义。正式文本的附件Ⅰ是通用说明，附件Ⅱ至Ⅴ处理数据共享，附件Ⅵ至Ⅺ规定云合同实质模块，附件Ⅻ统一定义。

这套文本解决的是履行问题。设备用户有权取得数据，维修商怎样接收？企业有权迁出云服务，供应商应该给什么文件、保留多久、继续提供哪些服务？《数据法》给出法定底线，范本把这些问题转化成合同附件、通知程序和可核对的交付事项。对中小企业而言，这意味着谈判时可以直接指出缺失的条款，例如数据格式、迁移期间的服务保障或供应商变更条款的条件。

一、范本可以改，法定义务仍按法律适用

《数据法》第41条使用”non-binding”一词，意为”不具约束力”。第2026/2394号建议鼓励缔约方使用范本，也请成员国通过主管机关和指定争议解决机构推广使用。附件Ⅰ明确，当事人可按需求选用和改写。条款一旦被有效纳入合同，双方依合同承担约定的义务。直接来自《数据法》的义务按其适用范围发生，不取决于供应商是否采用范本。法院仍可依法审查合同。第13条关于企业间单方施加的不公平数据合同条款的规则，尤其值得结合实际谈判过程和条款内容单独判断。

解释框也是这套范本的重要设计。它们提示条款的法源、交叉引用和不同选项的后果。例如当事人可选择把安全措施写成一般的风险相称义务，也可另列附件，明确加密、访问控制或隔离存储。签约文本应清楚区分选定的合同义务、尚待填充的技术参数和说明性文字。对于企业与消费者的合同，还要核查远程交易撤回权等强制规则。范本原本主要面向企业间交易。

二、四套数据条款分别回答谁交数据、谁能使用

表1 四套数据访问和使用范本（根据第2026/2394号建议附件Ⅱ至Ⅴ整理）

附件Ⅱ适用于联网产品或相关服务的用户与数据持有者。它把”readily available data”即”易于获得的数据”落到清单，要求描述类型、预计数据量、收集频率、存储地点及保存期限。以联网设备维修为例，设备运行日志及为使数据可读而进行基础处理后的记录，可以进入数据清单。经额外投资推导出的预测性洞见，则须与基础数据分别判断。《数据法》第4条规定，在用户无法直接访问时，持有者须按条件向用户提供相关数据，原则上不向用户收费。企业采购设备时，最好把接口、元数据和更新频率写入附件，否则抽象的访问权很难用于实际维护。

附件Ⅲ适用于用户与数据接收者，解决接收者可以怎样用数据。仍以维修为例，设备用户可与维修商约定诊断所需数据、使用目的、安全措施和后续共享条件。附件Ⅳ则处理持有者依法向第三方提供数据时的交付关系，例如设备厂商依用户请求向维修商提供数据。这里应分别核查交付安排、商业秘密保护与补偿。《数据法》第8、9条要求企业间提供条件公平、合理且不歧视，补偿须合理且不歧视，并对符合条件的中小企业和非营利研究机构设有成本上限。用户端免费访问与第三方接收端可能支付补偿，是两条不同规则。

附件Ⅴ适用于企业自愿共享数据，例如两家制造企业共同改进设备故障识别模型。双方可约定数据范围、目的、更新、再共享、安全措施与终止后的处理。是否允许模型训练、是否可以保留训练产物、合同结束后是否还能继续使用，以及是否可向分包商提供数据，应当分别写清。即使合作方有权访问数据，涉及个人数据时仍需确定处理的法律依据及各方角色。持有商业秘密的数据也需要识别秘密范围和约定保护措施，不能只靠笼统的保密条款处理全部交付问题。

三、云服务退出要分清通知、切换、取回和收费

附件Ⅵ至Ⅺ依次覆盖切换与退出、终止、安全与业务连续性、合同文件集中、责任及限制单方修改，附件Ⅻ提供共同定义。根据附件Ⅰ，这些模块可组合或分别并入数据处理服务主合同，涵盖符合《数据法》第2条第8项条件的IaaS、PaaS和SaaS。合同应区别更换供应商、迁回自有基础设施和并行使用多云。多云并行可以继续保留原服务，其费用与技术安排须分别核对。

表2 云服务切换的主要时限（根据欧盟《数据法》第25条整理）

上述时限应与主合同的终止、业务连续性和数据删除安排一并核对。第27条要求各方”cooperate in good faith”，即诚信合作。可操作的退出附件宜写清可导出数据和数字资产、目标环境、迁移联系人、验证方式以及何时确认切换完成。附件Ⅵ第1.2.4条还提供了试迁移机制，客户可要求供应商按约安排或协助测试可导出数据和数字资产，并共同分析发现的问题。

收费还要区分切换费、正常服务费、提前解约费及多云并行中的数据传出费。《数据法》第29条规定自2027年1月12日起不得收取切换费，此前允许的降低后切换费以直接相关成本为上限。第34条另行处理为并行使用而发生的数据传出费用。合同审查应核对费用的实际用途，而非只看账单名称。技术上，第30条对基础设施服务规定促进功能等同的措施，对其他数据处理服务则另设开放接口等要求。迁走数据、恢复业务和在新环境中复现功能，分别需要验收。

附件Ⅺ第1.1.3至1.1.7条提供限制单方修改的合同机制。通常由双方协商，供应商只有在符合约定条件时才可提出对客户有益的单方变更，例如确有安全需要的更新。一般须至少提前30个日历日通知，并说明变更内容、理由及影响。范本同时限制通过这一路径变更责任、保密和定价规则等核心事项，并对违规变更设置终止和赔偿安排。这是附件中的合同设计。采购方可以据此审查主合同中的网页更新权、通知渠道和赔偿上限是否相互冲突。

四、监管与产业实践分别关注个人数据角色和迁移细节

欧洲数据保护委员会（EDPB）于2025年7月8日通过第4/2025号声明，评议当年5月22日版数据共享草案，提醒缔约方不要把《数据法》中的用户与GDPR中的数据主体画等号。企业购买联网设备，设备记录可能涉及员工、乘客或其他自然人。即使用户本人也是数据主体，同一数据集也可能包含第三人的个人数据。最终建议附件Ⅲ第3.3条提示数据接收者核查处理依据及适用条件，附件Ⅰ另提醒云合同补足GDPR条款。实务中，设备访问、受托处理和向欧洲经济区以外传输是不同合规问题。数据法范本和GDPR标准合同条款应分别选择。EDPB这份声明针对草案阶段的数据共享条款，不能视为对最终云合同模块的背书。[1]

法国电子通信、邮政及印刷媒体分销监管局（Arcep）在云可携带性和互操作性建议中关注API、数据格式及文档，并另行跟踪切换费与多云数据传输费。Google Cloud公开的《数据法》实施说明则把法条逐项对应到服务条款，例如区分启动期与迁移期，并说明连续性及退出支持如何写入合同。前者是监管机构对实施条件的观察，后者是供应商对自家合同的说明。两者都表明，签约审查应当下沉到具体服务、接口和费用表。对中国企业而言，向欧盟市场提供联网产品或面向欧盟客户提供数据处理服务时，应先按《数据法》第1条和各章判断业务是否落入适用范围，再决定哪些范本适合写入主合同。这些材料并非对11月6日最终建议的公开表态，也不足以评估新范本实施后的市场效果。[2][3]

五、结语

这份建议的实务价值，在于提供可逐项核对的谈判底稿。联网产品合同可以先核对数据清单、接口、第三方接收和授权用途。云服务合同可以先核对迁移时钟、可导出资产、连续性、切换费用和单方变更。只要其中一项写得含糊，法律权利就可能要等到交易结束或争议发生时才有机会落实。对跨境设备销售、售后服务和云采购，最值得提前完成的工作是让法务、产品和工程共同确认，合同写明的内容能否在实际系统中按期交付。

参考来源

[1] 欧洲数据保护委员会第4/2025号声明，2025年7月8日通过。

[2] 法国 Arcep 云服务可携带性和互操作性建议，2025年9月25日。

[3] Google Cloud《欧盟数据法》合同条款对照，关于第25条的实施说明。

声明：本文来自清华大学智能法治研究院，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。