市消保委与市汽销协联合推出上海市汽车销售行业个人信息保护合规指引
上海市各汽车销售企业：
为引导本市汽车销售行业加强保护消费者个人信息，维护汽车销售企业和消费者双方的合法权益，在上海市互联网信息办公室、上海市商务委员会和上海市市场监督管理局的支持下，上海市消费者权益保护委员会和上海市汽车销售行业协会共同制定并印发《上海市汽车销售行业个人信息保护合规指引》。请认真组织学习和落实，以促进上海汽车销售行业的健康有序发展。
上海市消费者权益保护委员会 上海市汽车销售行业协会
2023 年 10 月 24 日
上海市汽车销售行业个人信息保护合规指引
第一条 总则
为强化本市汽车销售领域的个人信息保护，切实维护广大汽 车消费者的个人信息安全，在上海市互联网信息办公室、上海市 商务委员会和上海市市场监督管理局的支持下，上海市消费者权 益保护委员会会同上海市汽车销售行业协会依据《中华人民共和 国个人信息保护法》《中华人民共和国消费者权益保护法》《中华 人民共和国数据安全法》《上海市消费者权益保护条例》《App 违 法违规收集使用个人信息行为认定方法》等法律法规，制定本指引。
第二条 一般规定
本指引适用于汽车供应商、汽车经销商、汽车售后服务商、汽车服务或信息平台、保险机构、银行、金融机构等经营者，在 提供汽车销售或服务过程中收集、使用、存储、加工、传输、提 供、公开、删除个人信息等活动时，应遵守本指引的规范和要求。
经营者应严格遵守国家法律法规和商业道德，牢固树立合 规经营理念，切实加强个人信息保护工作。
个人信息包括车主、购车人、驾驶人、乘车人、行人等以 电子或其他方式记录的能够推断识别汽车消费者个人身份、描述个人行为等各种信息。
收集和处理个人信息应当遵循合法、正当、必要的原则， 不得过度收集、处理，损害公共利益和消费者个人的合法权益。
第三条 收集和使用个人信息
收集个人信息的范围和方式应当合法、合理。通过书面形 式告知消费者收集、使用个人信息的目的、方式和范围的，应当 以醒目的方式、清晰易懂的语言明示具体规则，并征得消费者的 书面同意。通过 APP 等线上渠道使用格式条款获取消费者个人信 息授权的，应当在消费者首次使用时主动弹窗提示消费者个人阅 读隐私政策，并征得消费者个人的明确同意，不得默认勾选同意 隐私政策或仅提供同意选项。
收集个人信息应当与汽车消费咨询、试乘试驾、订购、使 用、车险、金融和售后服务等消费场景密切相关，不得超出法律 法规和服务所必需的范围。消费者个人不同意的，不得因此拒绝 提供相关产品或服务。
收集、使用消费者生物识别特征、行踪轨迹、征信记录等 个人敏感信息的，应当同步告知消费者收集的目的性和必要性，并取得消费者的单独同意。
实际收集的个人信息要与声明规则保持一致，不得超出授 权范围。因服务需要变更收集个人信息范围的，应当再次告知变 更收集、使用个人信息的目的、方式和范围，并取得个人单独同意。
APP、微信公众号、微信小程序等使用微信、支付宝、金 融机构等一键登录获取头像、昵称或手机号码等信息，或需要获 取精准位置以提供附近门店服务的，应当征得个人明确同意。
第四条 处理个人信息
处理个人信息包括使用、加工、传输、提供、公开等，其 目的应当合法、具体、明确，与汽车消费、设计制造、驾驶安全、 智能服务等直接相关。
未经消费者个人同意或行车安全需要，不得对车辆行踪轨 迹、导航记录、驾驶记录、道路状况、浏览历史等信息进行个人 特征分析评估或自动决策；不得以电话、短信、弹窗等方式实施 商业推销或索取权限申请，干扰正常使用。
无法征得同意而通过车辆摄像头、雷达等方式采集到车外 个人信息且向车外提供的，应当进行匿名化处理，法律法规允许 或要求的除外。
未经消费者同意或请求，或消费者个人明确表示拒绝的， 不得将消费者个人信息交第三方处理。需经由第三方处理个人信 息的，应当征得消费者个人的同意，并于第三方合作协议中明确 规定个人信息的保护责任、保密义务、违约责任、突发处置措施 等条款。
第五条
存储个人信息
个人信息应当依法在境内存储，因业务需要确需向境外提 供的，应当通过相关部门组织的安全评估。
个人信息存储期限应当符合相关法律法规，并确定实现处 理目的的时限。
应当建立健全个人信息安全保护管理机制，采取相应的加 密、匿名化、去标识化等技术和其他安全措施，确保个人信息不 被泄露、滥用和丢失。
应当对收集的个人信息进行分类、分级管理，合理限定个 人信息访问、处理、传输等权限，企业主要负责人应为个人信息 保护的负责人。
应当加强内部管理和人员培训，制定完善的管理制度和操 作流程。从业人员不得超出自身职责和权限查询、下载、复制、 存储、买卖、篡改个人信息。
第六条 其它
不得以任何形式和理由强制、诱导消费者关注经营者微信 公众号、注册会员、索取非必要的个人信息和权限。
应当设立专门的个人信息安全管理部门或者人员，负责处 理消费者个人信息保护事务，并建立投诉监督机制，方便消费者 在其个人信息安全和隐私受到侵犯时进行投诉，并在规定时限内 得到反馈处理结果。
上海市消费者权益保护委员与上海市汽车销售行业协会 将不定期对汽车销售服务合规情况开展暗访抽查和社会监督。
本指引自印发之日起实施。