一、法案极简速览
1. 《通用数据保护条例》（GDPR）
生效时间：2018 年 5 月实施，欧盟数据隐私保护的基础性立法。
核心目标：以自然人权利为核心，构建个人数据全生命周期保护框架。
关键要点：仅规制可识别自然人的 “个人数据”；赋予数据主体访问、删除、更正等权利；违规最高罚全球营业额 4% 或 2000 万欧元。
2. 《数据法案》（Data Act）
生效时间：2024 年 1 月生效，2025 年 9 月全面适用，欧盟激活数据经济的核心工具。
核心目标：规范数据访问与共享规则，打破垄断，释放数据要素价值。
关键要点：覆盖非个人数据与个人数据（需兼容 GDPR）；赋予用户数据访问、云迁移等权利；禁止不公平数据条款。
二、从定位到执行的体系差异
维度
GDPR
Data Act
立法定位
权利保障型：确立个人隐私保护底线
市场规制型：构建数据流通规则体系
数据范围
仅限个人数据（需满足“可识别自然人” 标准）
全类型覆盖：核心为非个人数据，个人数据需让位于 GDPR
权利主体
仅自然人（数据主体）
自然人 + 法人（互联产品 / 服务用户）
权利性质
防御性权利：对抗数据滥用（如删除权）
主动性权利：促进数据利用（如云迁移权）
合规核心
数据处理合法性： consent 管理、加密、泄露通知
流通公平性：接口标准化、禁止垄断、迁移保障
监管主体
欧盟数据保护委员会（EDPB）协调成员国 DPA 执法
成员国指定主管机构（如竞争管理局），个人数据问题仍由 DPA 管辖
三、互补协同的底层逻辑
1. 法律适用：GDPR 绝对优先
根据《数据法案》第 1 (5) 条及欧盟委员会 FAQ 明确规定，当两者涉及个人数据处理时，GDPR 全面适用且具有优先效力。例如：
•智能汽车厂商依《数据法案》向用户开放行驶数据时，若数据包含个人位置信息，必须先满足 GDPR 的 “明确同意” 要求；
•企业不得以《数据法案》中的商业秘密豁免为由，拒绝数据主体依 GDPR 提出的删除权请求。
2. 权利体系：Data Act 延伸 GDPR 功能边界
两者在数据可携权上形成明确互补：
•GDPR 第 20 条仅覆盖用户 “主动提供” 的个人数据，且未强制实时传输；
•《数据法案》将可携权扩展至互联产品“被动生成” 的全类型数据），并要求实现实时、连续访问，同时明确数据需以机器可读格式提供。
3. 执法协同：监管权限无缝衔接
•个人数据相关争议：无论是否涉及《数据法案》场景，均由 GDPR 指定的数据保护机构（DPA）管辖，避免用户需对接多个监管主体；
•非个人数据争议：由成员国指定的主管机构处理，若案件涉及个人数据，需同步征求 DPA 意见；
•处罚标准统一：两者最高罚款均为全球营业额 4% 或 2000 万欧元，确保执法力度协同。
四、核心总结
GDPR 与《数据法案》在数据获取共享、迁移、紧急调取等场景中，围绕数据主体权益、处理规范及效率形成协同。GDPR 核心聚焦数据主体权益与安全，要求操作前验证用户身份、履行通知义务，处理个人数据需采取加密、匿名化等安全措施，避免泄露或识别自然人。《数据法案》侧重流通标准化与效率，明确数据提供、迁移需遵循标准化接口和行业格式，限定数据迁移、紧急调取的完成时限，同时禁止收取不合理费用、限制用户授权第三方访问。
GDPR 与《数据法案》构成欧盟 “隐私保护 - 价值释放” 的二元治理体系：前者以 “权利优先” 守住数据使用的底线，后者以 “流通公平” 打开数据价值的天花板。两者并非替代关系，而是通过 “GDPR 优先、场景互补、执法协同” 的规则设计，既防范数据滥用风险，又破除数据流通壁垒。
···
探索 · 专注 · 领先工匠精神 从始至终 探索之途 一往无前