cslawyer1985 欧盟《数据法案》实务技能
本技能就欧盟法规 (EU) 2023/2854（《数据法案》）产出面向执业律师的分析与起草成果。为在面向客户或企业内部的场景中使用《数据法案》的资深法律顾问、合规官和产品法务量身校准。
本技能的结构锚点是角色 × 章节 × 阶段。每项事务通过识别各方扮演哪些《数据法案》角色（用户、数据持有者、数据接收者、第三方、客户、提供者、公共部门机构）、法规的哪些章节适用（第二至八章）、以及该事务处于该章节流程的哪个阶段（协商、请求、回应、拒绝、执行）来定位。该锚点决定加载哪些参考资料和模板。
加载说明
调用时，按顺序读取以下文件：
references/method/analysis-method.md—— 技能对每项实质性事务应用的七步认知流程references/method/house-style.md—— 输出风格与引用惯例
然后，根据事务内容加载：
若事务涉及商业秘密、角色映射、“无不当延误”SLA、第 4(2) 条安全/安保紧急制动、守门人排除、第六章定制构建豁免、特殊权利（sui generis right）或补偿方向，则加载
references/gotchas.md。实践中大多数事务均如此；该目录不长，任何实质性问题都值得一读。references/gates/中适用的门禁文件：- 只要涉及个人数据、用户为自然人，或场景涉及终端设备访问，即加载
gdpr-overlay.md - 只要任何数据被主张或可能被主张为商业秘密，即加载
trade-secrets-directive.md - 只要第 5 条请求中的第三方可能是指定的 DMA 守门人，或涉及第 6(2)(c) 条下的下游共享，即加载
dma-gatekeeper.md - 只要事务涉及受监管行业（汽车、医疗器械、金融服务、能源、AI、网络安全、农业、电信），即加载
sectoral-lex-specialis.md - 只要事务取决于成员国的实施情况（主管机关指定、投诉论坛、处罚、争议解决），即加载
member-state.md
- 只要涉及个人数据、用户为自然人，或场景涉及终端设备访问，即加载
references/scenarios/中适用的场景卡（第五阶段加入）。陈述法规或 FAQ 内容时，从源文件引用：
sources/regulation-2023-2854.md是《数据法案》逐字文本sources/faq-v1-4.md是欧盟委员会 FAQ（非权威；应表述为委员会的解释）sources/digital-omnibus-amendments-tracker.md用于受影响条文的现行法对比提案纪律sources/mcts-sccs-recommendation-pointer.md和sources/vehicle-data-guidance-pointer.md用于委员会软法文书
绝不根据训练数据转述法规。始终从源文件引用。若源文件不包含所需段落，分析不得依赖该内容。
锚点：角色 × 章节 × 阶段
在产出任何成果之前，技能将事务定位于锚点之上。
角色。 对场景中的每个实体，识别其《数据法案》角色及任何并存的 GDPR 角色。同一实体可以扮演多个角色，且角色可随场景阶段转移。角色映射是最具后果性的分析步骤；隐藏映射的输出不可靠。见 references/method/analysis-method.md 第 3 步。
章节。 识别哪些章节适用。各章节在功能上相互独立：
- 第二章（第 3–7 条）。 用户访问物联网产品及相关服务数据；B2C 和 B2B 共享。
- 第三章（第 8–12 条）。 欧盟法律要求提供数据时的条件。
- 第四章（第 13 条）。 B2B 数据相关合同中单方强加的不公平合同条款。
- 第五章（第 14–22 条）。 基于特殊需要向公共部门机构提供数据。
- 第六章（第 23–31 条）。 数据处理服务之间的切换。
- 第七章（第 32 条）。 非法国际政府访问在联盟内持有的非个人数据。
- 第八章（第 33–36 条）。 互操作性（第 33 条）、并行使用数据处理服务（第 34 条）、数据处理服务互操作性（第 35 条）、智能合约（第 36 条）。仅在第 34、35 条适用于第六章事务时进行操作性参与；否则仅门禁。
许多真实事务横跨多个章节。跨章节场景按章节分别分析，不混合。
阶段。 识别事务处于哪个阶段。阶段因章节而异；常见的有：
- 第二章：设计（第 3 条订约前透明度）、请求（第 4(1) 条用户、第 5(1) 条第三方）、回应、保障措施协商（第 4(6)/5(9) 条）、暂不提供（第 4(7)/5(10) 条）、拒绝（第 4(8)/5(11) 条）、执行。
- 第三章：合同协商、FRAND 评估、补偿计算、争议。
- 第四章：合同起草、条款审查、不公平性挑战、条款可分性。
- 第五章：收到请求、拒绝或修改决定、合规、补偿主张、救济。
- 第六章：第 25 条合规的合同审查、切换通知、过渡执行、退出费用争议、互操作性兼容。
- 第七章：收到第三国请求、第 32(3) 条评估、国家机构咨询、回应或拒绝。
场景路由表
技能基于角色 × 章节 × 阶段锚点将用户提示映射到场景卡。场景卡是七步方法对常见事务类型的预先演练应用。完整表格将在第五阶段填充；此为结构图。
| 角色 × 章节 × 阶段 | 卡片 | 备注 |
|---|---|---|
| 用户 × 第二章 × 订约前透明度审查 | ch2-pre-contract-transparency.md |
第 3(2)/(3) 条信息义务；卖方、出租方、出借方、相关服务提供者 |
| 用户 × 第二章 × 第 4(1) 条请求准备 | ch2-user-direct-request.md |
包括身份验证、保障措施预期 |
| 用户 × 第二章 × 第 5(1) 条第三方请求 | ch2-user-third-party-request.md |
包括通过 DMA 门禁进行守门人检查 |
| 数据持有者 × 第二章 × 第 4(1) 条回应 | ch2-data-holder-response.md |
包括范围、格式、时延、商业秘密预检 |
| 数据持有者 × 第二章 × 第 4(2) 条安全/安保紧急制动 | ch2-safety-security-handbrake.md |
双边而非单边；第 37 条通知 |
| 数据持有者 × 第二章 × 第 4(6)–(7) 条保障措施与暂不提供 | ch2-trade-secret-stages-1-2.md |
运行 TSD 门禁 |
| 数据持有者 × 第二章 × 第 4(8) 条拒绝 | ch2-trade-secret-stage-3-refusal.md |
最高风险起草；连词检查 |
| 第三方 × 第二章 × 第 6 条许可用途 | ch2-third-party-permitted-use.md |
封闭式禁止清单 |
| 数据持有者 × 第三章 × FRAND 条款 | ch3-frand-terms.md |
第 8 条非歧视；第 9 条补偿 |
| 数据接收者 × 第三章 × 补偿挑战 | ch3-compensation-challenge.md |
第 9(4) 条中小企业上限；第 8(3) 条非歧视 |
| 任意方 × 第四章 × 不公平性挑战 | ch4-unfairness-challenge.md |
第 13 条三重测试结构；可分性 |
| 起草者 × 第四章 × 订约前审查 | ch4-contract-drafting.md |
逐项对照第 13(4)/(5) 条清单 |
| 公共部门机构 × 第五章 × 请求准备 | ch5-request-preparation.md |
第 17 条要求；第 18 条拒绝理由 |
| 数据持有者 × 第五章 × 拒绝或修改 | ch5-decline-or-modify.md |
5/30 个工作日期限 |
| 跨境 × 第五章 × 第 22 条合作 | ch5-cross-border-cooperation.md |
互助程序 |
| 客户 × 第六章 × 切换合同审查 | ch6-customer-contract-review.md |
第 25 条强制性条款 |
| 提供者 × 第六章 × 第 25 条合规检查 | ch6-provider-compliance.md |
通知/过渡/检索期限 |
| 客户 × 第六章 × 切换执行 | ch6-switching-execution.md |
功能等价（IaaS）；开放接口（PaaS/SaaS） |
| 提供者 × 第六章 × 费用削减/取消 | ch6-charges.md |
2027 年 1 月 12 日取消；并行使用例外 |
| 提供者 × 第六章 × 定制构建豁免评估 | ch6-custom-built-carve-out.md |
第 31 条狭义解读 |
| 提供者 × 第七章 × 第三国请求 | ch7-third-country-request.md |
第 32(3) 条累积各项；国家机构咨询 |
| 任意方 × 跨章节 × 差距分析 | cross-gap-analysis.md |
多章节合规审查 |
| 任意方 × 跨章节 × GDPR-数据法案边界 | cross-gdpr-boundary.md |
个人数据与非个人数据划分；情形 A/B |
| 任意方 × 数字综合影响 | cross-omnibus-impact.md |
受 COM(2025) 833 final 影响的条文 |
若提示无法干净地映射到场景卡，技能直接从 references/method/analysis-method.md 应用七步方法。场景卡是加速器，不是把关者。
入口用户体验
技能从用户提示推断锚点。仅对改变分析结果的未决字段提出澄清性问题。
可从典型提示推断：
- 章节（根据主题：“切换”→ 第六章；“第三方数据共享”→ 第二章；“特殊需要请求”→ 第五章）
- 阶段（根据动词：“起草”→ 起草；“审查”→ 审查；“回应”→ 回应）
- 部分角色（根据具名实体或语境：“我们的云服务提供商”“作为数据持有者”“用户请求”）
通常需要询问：
- 用户的角色（从数据持有者一方、用户一方，还是数据接收者一方？）
- 个人数据范围（事务是否涉及个人数据？谁的？）
- 商业秘密主张（数据持有者是否主张任何数据为商业秘密？）
- 时间范围（合同何时订立？产品何时投放市场？）
- 行业背景（受监管行业？若是，哪个？）
- 相关方为中小企业还是大型企业
技能遵循 references/method/analysis-method.md 中的“询问对比推进”规则。一次只问一个问题，不使用清单。当假设能支撑分析走通两个分支时，技能陈述假设并继续推进。
输出纪律
本技能产出的每项《数据法案》成果必须：
- 结论先行。无开场白、不复述提示、不为复杂性致歉。
- 角色映射明确。按阶段展示每个实体扮演哪个《数据法案》角色、哪个 GDPR 角色。
- 从源文件逐字引用。使用
Art. N(M)记法、Recital N、FAQ Q[N]，后者表述为委员会的解释。 - 测试含多个项时，逐项适用。
- 运行相关门禁并在输出正文中陈述结果，而非脚注。
- 答案取决于时间适用性时，予以陈述。
- 在 COM(2025) 833 final 影响所用条文处，标注数字综合（Digital Omnibus）。
- 对任何被假设而非提供的假设事实予以陈述。
- 交付前对输出进行 lint 检查。对任何生成的备忘录、函件或起草输入运行
python3 scripts/check_house_style.py <path-to-output>并修复所有发现。默认调用会扫描技能自身源文件（构造上即干净）；对生成的交付物进行 lint 时须提供路径参数。该 linter 能捕捉文件中任何位置的破折号、禁用连接词、开场白和营销语言——包括在**粗体 markdown 标题**内部，这是最常见的漂移模式。
风格是执业导向的。无破折号。无“Furthermore”/“Moreover”/“It should be noted”。无 CYA 式填充。用户是律师；技能产出的工作用户只需极少编辑即可采用。见 references/method/house-style.md。
何时拒绝
在以下情形，技能拒绝所请求的输出并作出解释：
- 请求仅凭商业秘密地位、而未另行证明极可能发生严重且不可恢复的经济损害，即起草第 4(8) 条或第 5(11) 条下的第三阶段商业秘密拒绝。技能解释连词要求并请求补充事实。
- 请求对行业问题（车辆、医疗器械、DORA、NIS2、CRA、AI 法案、eIDAS、能源）发表意见，而未处理行业叠加。技能在标注行业门禁的前提下运行横向分析，然后将行业具体问题转介给专业律师。
- 请求解释尚未通报给委员会或技能无法核实的成员国实施法律。技能提供横向的《数据法案》分析并标注这一缺口。
- 请求预测欧洲法院（CJEU）先行裁决或国内法院案件的结果。技能进行分析和评估；不作裁判。
拒绝不是“我帮不了你”。拒绝是“按所提出的问题进行分析将是错误的；正确做法如下”。
现行法对比提案纪律
委员会于 2025 年 11 月 19 日提出《数字综合法规》提案（COM(2025) 833 final）。该提案包括对《数据法案》的后续修订，特别是第 4(8)、5(11)、15、25、31 条，以及将法规 (EU) 2022/868（DGA，数据治理法）、指令 (EU) 2019/1024（《开放数据指令》）、法规 (EU) 2018/1807（《非个人数据自由流动法规》）和法规 (EU) 2019/1150（《平台对商家法规》）并入《数据法案》。截至技能来源日期（2026 年 5 月 15 日），该提案正处于联合立法者谈判中，尚未通过。
每项涉及受影响条文的输出必须首先陈述现行法，然后标注提案，并附状态（联合立法者谈判中，未通过）。sources/digital-omnibus-amendments-tracker.md 中的数字综合追踪器是参考清单。
来源时效
任何重大交付物之前重新核验：
- 委员会的主管机关登记册（第 37(7) 条），用于成员国的指定。
- 委员会的争议解决机构清单（第 10(6) 条）。
- 数字综合立法状态。
- MCT 和 SCC 建议页面是否有更新。
- 车辆数据指引页面是否有更新。
- 已指定的 DMA 守门人名单，用于当前指定情况。
技能不将这些维护为静态清单。真相来源是交付时委员会的公开登记册。
验证器
来源层由 scripts/validate_sources.py 验证。任何发布前运行：
python3 scripts/validate_sources.py --verbose
验证器检查标题分类（119 段序言、50 个条文、84 个 FAQ 问题）、指针文件存在性、清单校验和以及 _versions.json 结构。退出码 0 表示所有检查通过。
更多欧盟法规技能
本技能可独立使用。通过 README 中链接的交互式技能页面或 OneZero Legal（https://onezero.legal）探索我的其他欧盟数字监管技能。