最新监管措施之下，收集个人信息面临更多合规考量——国家网信办发布《汽车数据安全管理若干规定》征求意见稿

Original 薛熠杨壹凯中伦视界

作者：

薛熠杨壹凯

近日，某新能源汽车内的摄像头被质疑是否不必要搜集了驾驶员及车内乘客的个人信息，引发热议。事件的起因在于车主启动其全自动驾驶的测试版部分后，系统基于其“没有足够注意路况”，收回了他们的试用权限，而公司这一决策是源自对其安装车内的摄像头在监控车主驾驶过程中收集的数据进行的分析。该公司创始人在社交平台也对“车内摄像头会用来监控驾驶员”这一结论予以肯定。公司对此作出回应，表示所有中国市场上的用户车辆均未开启车内摄像头，也不涉及全自动驾驶系统的测试。

近年来，随着我国现代通信网络技术和智能网联技术的飞速发展，自动驾驶、网约车、网联汽车等，已经深深融入公众的日常生活中。伴随着我国日益加强对个人信息，尤其是敏感个人信息的保护，国家互联网信息办公室（以下简称“国家网信办”）于2021年5月12日再出重拳，就《汽车数据安全管理若干规定（征求意见稿）》，向社会公开征求意见，该征求意见稿提出了对个人信息收集方面，汽车领域企业在个人信息收集方面应当遵循的几大原则和要点。而就在半月前，4月28日，全国信息安全标准化技术委员会刚刚发布了《关于征求<信息安全技术网联汽车采集数据的安全要求>标准草案意见的通知》。据此，在智能网联汽车产业发展初具规模时，国家监管层面正式出击，既回应了社会上对个人信息收集的关切，又能够为汽车产业的进一步健康发展壮大提供强大的保障。

继我们讨论具有市场支配地位的平台经济领域经营者“强制收集非必要用户信息”，可能构成滥用市场支配地位，实施无正当理由附加不合理交易条件的垄断行为之后（点击阅读上期文章链接《个人信息保护与市场竞争的交集——从强制收集非必要用户信息行为的反垄断法风险说起》），本文旨在从《汽车数据安全管理若干规定》（征求意见稿）（以下简称“《若干规定》”）中提及的有关个人信息收集方面的内容出发，为居于车联网的企业提示监管机构有关个人信息保护方面的关注重点，加强车联网企业在个人信息收集方面的合规意识。

一、

《若干规定》倡导收集个人信息时坚持精度范围适用原则和默认不收集原则

首先，《若干规定》适用于汽车领域各个环节的经营者：汽车制造商、部件和软件提供者、经销商、维修机构、网约车企业、保险公司等（以下统称为“运营者”）汽车设计、制造、服务企业或机构，在境内设计、生产、销售、运维、管理汽车过程中，涉及到收集、分析、存储、传输、查阅、利用、删除以及向境外提供个人信息或重要数据的，均应当遵循若干规定的要求。

在此基础上，《若干规定》倡导汽车运营者在收集个人信息过程中坚持（1）精度范围适用原则，和（2）默认不收集原则。具体而言：

（1）精度范围适用原则：根据所提供功能服务对数据精度的要求确定摄像头、雷达等的覆盖范围、分辨率；

（2）默认不收集原则：除非确有必要，每次驾驶时默认为不收集状态，驾驶人的同意授权只对本次驾驶有效。

在回应我国目前针对个人信息收集所强调的知情同意原则和最小必要原则的基础上，《若干规定》更进一步的结合了汽车行业的特殊性和复杂性。鉴于很多车载传感器能够收集的数据具有多样性、数量也极具特殊性，尤其是车内摄像头、汽车座椅的传感器、车内录音设备等，都会采集到车内驾驶人、乘车人、行人等的个人信息，甚至能够据此推断个人身份、描述个人行为等的各种信息，国家网信办本次尝试了通过《若干规定》为车联网企业提出收集个人信息过程中倡导坚持的最小必要原则之具象性拓展，并强调单次驾驶单次授权的原则。

二、

《若干规定》明细了收集个人信息前的告知义务

《若干规定》在《网络安全法》《个人信息保护法（草案二次审议稿）》和《数据安全管理办法（征求意见稿）》的基础上，进一步明细了汽车运营者收集前的告知义务。从下表的总结可以看出，《若干规定》综合了《个人信息保护法（草案）》和《数据安全管理办法》两项征求意见稿的内容，明确了车联网企业：

（1）告知的途径——用户手册、车载显示面板或其他适当方式；

（2）告知信息处理责任人的联系方式必须有效；

（3）告知收集数据的具体类型；

（4）使得被收集人明晰收集的触发条件、停止方法、删除车内及车外个人信息的步骤，等等。

具体而言：

《若干规定》	《个人信息保护法（草案二次审议稿）》	《数据安全管理办法（征求意见稿）》
运营者处理个人信息应当通过用户手册、车载显示面板或其他适当方式，告知负责处理用户权益责任人的有效联系方式，以及收集数据的类型，包括车辆位置、生物特征、驾驶习惯、音视频等，并提供以下信息：（一）收集每种类型数据的触发条件以及停止收集的方法；（二）收集各类型数据的目的、用途；（三）数据保存地点、期限，或者确定保存地点、期限的规则；（四）删除车内、请求删除已经提供给车外的个人信息的方法步骤。	个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言向个人告知下列事项：（一）个人信息处理者的身份和联系方式；（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；（三）个人行使本法规定权利的方式和程序；（四）法律、行政法规规定应当告知的其他事项。前款规定事项发生变更的，应当将变更部分告知个人。个人信息处理者通过制定个人信息处理规则的方式告知第一款规定事项的，处理规则应当公开，并且便于查阅和保存。	收集使用规则应当明确具体、简单通俗、易于访问，突出以下内容：（一）网络运营者基本信息；（二）网络运营者主要负责人、数据安全责任人的姓名及联系方式；（三）收集使用个人信息的目的、种类、数量、频度、方式、范围等；（四）个人信息保存地点、期限及到期后的处理方式；（五）向他人提供个人信息的规则，如果向他人提供的；（六）个人信息安全保护策略等相关信息；（七）个人信息主体撤销同意，以及查询、更正、删除个人信息的途径和方法；（八）投诉、举报渠道和方法等；（九）法律、行政法规规定的其他内容。

三、

《若干规定》明确了收集敏感个人信息时的特殊要求

《个人信息保护法（草案二次审议稿）》中对敏感个人信息有一般性的规定，即：一旦泄露或者非法使用，可能导致个人受到歧视或者人身、财产安全受到严重危害的个人信息，包括种族、民族、宗教信仰、个人生物特征、医疗健康、金融账户、个人行踪等信息。《若干规定》首次详细明确了在汽车行业的“敏感个人信息”的范围，包括：车辆位置、驾驶人或乘车人音视频等，以及可以用于判断违法违规驾驶的数据等。

《若干规定》在响应《个人信息保护法（草案二次审议稿）》中所述——处理敏感个人信息应当具有特定的目的和充分的必要性，且应当向个人告知其必要性以及对个人的影响——的基础上，进一步明确了何类“特定的目的”、何种“充分的必要性”，以及“如何告知”，具体而言：

特定目的：以直接服务于驾驶人或者乘车人为目的，包括增强行车安全、辅助驾驶、导航、娱乐等；
默认不收集且单次驾驶单次授权：默认为不收集，每次都应当征得驾驶人同意授权，驾驶结束（驾驶人离开驾驶席）后本次授权自动失效；
告知方式：通过车内显示面板或语音等方式告知驾驶人和乘车人正在收集敏感个人信息；
终止应主动且便利：驾驶人能够随时、方便地终止收集；
允许查看查询：允许车主方便查看、结构化查询被收集的敏感个人信息；
要求限时删除：驾驶人要求运营者删除时，运营者应当在2周内删除。

四、

《若干规定》限定了可收集生物特征数据的情形

《若干规定》除了对个人信息和收集敏感个人信息时规定了上述的内容，还特别就驾驶人指纹、声纹、人脸、心律等生物特征数据，限定了可收集的情形，且要求汽车运营者提供替代方案，即：仅当为了方便用户使用、增加车辆电子和信息系统安全性等目的，方可收集，且应当同时提供生物特征的替代方案。

★结语★

《若干规定》征求意见稿的发布，无疑是对车联网企业在进行个人信息收集时提出了更细致、明确的要求。在《网络安全法》《个人信息保护法（草案二次审议稿）》和《数据安全管理办法（征求意见稿）》的基础上，具象化汽车领域的应用场景和适用情形，更加强化了驾驶人、乘车人、车主等对个人信息的控制权。但不可否认的是，如《若干规定》最终出台，在实践中如何落实该等要求，例如，如何实现单次驾驶单次授权、如何确认每一种类型的数据的触发条件和停止方法、如何在车载显示面板上兼顾用户便利性（如删除请求、查看查询请求）、如何在便利的情形下遇删除和查看查询请求时验证请求人身份、如何隔离和确保查看查询时不引发个人信息的“二次危机”等等，上述细节问题，想必在《若干规定》向公众征求意见期间，可能会被涉及。那么，该等实操问题必然还需要车联网企业与监管部门共同努力和探索，也有待监管部门的进一步指引，我们也会对此密切跟进，以期为车联网企业提供更全面的专业法律服务。

The End

作者简介