《数据法案》第二章系统确立了用户及其指定第三方访问和使用车辆数据的权利。根据访问的方式，可以分为直接访问和间接访问。

数据持有人可以依据第3条第1款，在“相关且技术可行”的情况下，为用户提供直接访问；根据《数据法案》第50条的过渡性安排，该项直接访问义务，仅对2026年9月12日起投放欧盟市场的联网产品及其相关服务具有强制性要求。不过欧盟委员会也补充道，这种直接访问方式仅在“相关且技术可行”的情况下才具有强制执行力，这也赋予了车辆制造商在设计方面有一定的自由裁量权。[3]

在直接访问机制不适用的情形下，企业仍需依据第4条第1款，在用户提出请求后，便捷、安全、免费地为用户提供数据间接访问。

同时，无论采取直接还是间接方式，数据持有人均需依据《数据法案》第5条第1款，在用户请求下向其指定的第三方提供数据。

在数据范围方面，《数据法案》及欧盟委员会发布的《车辆数据指南》对用户可获取数据作出了区分[4]：

• 原始数据和预处理数据（如传感器直接采集的数据及简单处理后的数据），属于用户可依法获取和共享的范围；
• 通过复杂算法推断或衍生形成的数据，如高级驾驶辅助系统（ADAS）数据，但不包括（激活）状态类数据[5]，以及驾驶行为评分等，则不在强制开放之列。

法案同时确立非歧视原则。向用户或第三方提供的数据，在质量、完整性和实时性方面，不得低于制造商自身使用的数据标准，也不得通过技术壁垒或不合理收费方式变相限制数据获取。

《数据法案》明确限制用户将所获取的数据提供给依据《数字市场法》（DMA）被认定为“守门人”（Gatekeepers）的大型平台企业。该规则旨在防止车辆数据在开放过程中进一步集中于少数大型平台企业，从而在数据开放的同时避免新的数据垄断。

所谓“守门人”，是指对欧盟内部市场具有显著影响[6]、提供核心平台服务并构成重要中介[7]、具有稳固且持久的市场地位[8]，并经欧盟委员会依照DMA正式指定的企业。

被指定为“守门人”后，相关企业即需在规定期限内，针对其被列明的核心平台服务，全面履行DMA所规定的一系列合规义务，包括但不限于数据使用、平台行为限制及公平竞争方面的特别要求。

自DMA实施以来，欧盟委员会已正式将谷歌母公司Alphabet、亚马逊、苹果、字节跳动、Meta、微软和 Booking指定为“守门人”。目前，上述守门人企业共计有23项核心平台服务处于守门人指定状态。[9]

除车辆数据访问规则外，《数据法案》还对云计算和边缘计算服务提出了可切换性要求。对于在车辆运行、数据存储或分析过程中依赖云服务的车企而言，相关服务应当支持用户在不同服务平台之间迁移其可导出的数据。服务合同中需明确用户在合理通知期后，有权将数据迁移至其他服务提供商或自有系统。迁移过程中，不得设置不合理的技术障碍或费用安排。根据《数据法案》的过渡安排，自2024年起，切换费用仅限于实际发生的成本；自2027年1月12日起，与数据迁移相关的切换费用原则上应予以取消。

《数据法案》对向第三国政府提供数据设置了额外限制，要求采取措施防止非欧盟政府通过云服务或技术手段非法获取欧盟境内产生的个人数据。

在企业间数据共享和合作场景中，《数据法案》禁止通过合同条款单方面限制数据访问、使用或共享权利，或将明显不公平的风险和责任转嫁给交易相对方。此外，《数据法案》允许在企业间数据共享场景下收取合理补偿，但该补偿应以成本为基础，不得借收费之名变相限制数据访问或共享。

欧盟关于数据领域的执法向来严厉，此前施行的GDPR、DMA已开出多张巨额罚单。《数据法案》整体延续前述方案的处罚力度，并根据违规行为是否涉及个人数据，采取了差异化的执法与处罚路径。

《数据法案》并未另行设定处罚标准，而是直接适用GDPR的处罚框架。根据欧盟适用的统一规则，违规企业最高可能面临2000万欧元或企业上一财政年度全球年度总营业额4%的罚款[10]，以较高者为准。

根据《数据法案》第四十条的规定，各成员国需指定主管机关，负责法案的监督和执行，并制定有效、相称且具威慑力的处罚规则。目前各国的立法进度不一，荷兰、芬兰、丹麦已通过实施法案；德国、波兰、捷克、斯洛伐克已公布实施法案草案，但尚未最终生效；意大利、西班牙、匈牙利等多个成员国仍暂无进展。[11]

随着智能网联技术的快速发展，汽车已从单纯的交通工具演变为持续生成和处理数据的移动终端。对于在欧盟市场销售或运营智能网联汽车的企业而言，无论是车辆本身，还是围绕车辆运行所提供的数字化服务，均可能在不同层面被纳入欧盟数据监管体系之中。

在《数据法案》核心条款全面适用之时，企业如仍沿用既有的数据管理安排，可能难以满足欧盟监管对数据可访问性、公平性和透明度的要求。基于此，有必要从实务角度出发，对企业在《数据法案》框架下应重点关注的合规事项进行系统梳理，并结合车辆产品和相关服务的实际运行情况，提前规划相应的应对路径。

应结合车型配置和配套数字服务，判断是否构成《数据法案》第2条第5款定义的“联网产品”或《数据法案》第2条第6款定义的“相关服务”。例如，对于大量出口欧盟市场的纯电动、插电式混合动力车型和混合动力车型，车辆通常配备车联网模块，在使用过程中持续生成并向外部系统传输车辆运行、能耗、充电及诊断等数据，并配套提供远程车辆管理、OTA 升级等数字化服务，基本都落入到“联网产品”和“相关服务”的范围中。

结合欧盟委员会《车辆数据指南》对车辆运行过程中产生的数据进行分类，明确哪些属于必须开放的原始或预处理数据，哪些属于可依法不开放的衍生数据。同时，对涉及商业秘密或安全风险的数据，提前设计保护和限制机制，以便在履行数据共享义务的同时控制风险。

根据《数据法案》第50条第3款的要求，对于2026年9月12日之后首次投放欧盟市场的联网产品及相关服务，车企应当在产品和服务设计阶段，按照第3条第1款的要求，使产品数据和相关服务数据在默认情况下可被用户以安全、免费、结构化和机器可读的方式访问（即直接访问方式）。

对存量车型或未设置直接访问机制的车型，企业应当自 2025年9月12日起建立起便捷的数据请求响应机制，确保在用户提出请求后，能够及时向用户或其指定的第三方提供数据。但仍需注意，不得向“守门人”平台提供车辆数据。

数据访问可以通过远程后台平台、车载访问，或数据中介服务等方式实现。无论采取何种技术路径，均应确保访问方式便捷、合理，不得将额外成本或技术负担转嫁给用户。例如通过车辆内部的专用OBD-II 接口向用户提供数据时，则不得要求用户自费购买专用设备或具备专业技术能力。[20]

根据《数据法案》第3条的规定，在车辆销售、租赁或提供基于车辆数据的相关服务前，销售方/服务提供方应当以清晰、易于理解的方式，向用户披露与车辆数据相关的关键信息，如车辆或相关服务大致会产生和使用哪些类型的数据，数据是在车端还是云端保存、保存多久，用户通过何种方式可以查看或获取这些数据等。这种披露义务在实务中往往容易被简化或合并处理，但从风险控制角度看，相关内容应当与一般隐私政策或服务条款区分开来，避免笼统授权。

企业需明确用户提出数据访问或第三方共享请求的渠道、审核流程和响应时限，确保数据以结构化、机器可读的方式提供，并与自身使用数据保持一致标准。同时，应提前准备第三方数据共享协议模板，明确用途限制和责任边界。

对于在车联网平台运行和车辆数据处理过程中使用自有或第三方云服务的车企，应结合现有技术架构，评估车辆数据及相关业务数据的可导出性和可迁移性。同时，在新签或续签与云服务提供商的服务合同时，应重点关注合同中关于数据迁移支持、切换条件及费用安排的约定，避免因技术或合同限制影响后续的数据迁移安排。

附表：车辆数据类型划分示例[21]