【律师视点】史蕾、江智茹：驾驶碰撞数据监管的花火丨《汽车数据安全管理若干规定（征求意见稿）》亮点速览

史蕾江智茹德衡律师集团

2024-08-25

史蕾

德衡律师集团合伙人

江智茹

北京德和衡（深圳）律师事务所

律师助理

车辆数据安全是智能网联车新型监管的重点之一。2021年5月12日，国家互联网信息办公室发布国内首部汽车行业数据安全管理规定——《汽车数据安全管理若干规定（征求意见稿）》（以下简称“《规定》”），并向社会公开征求意见。《规定》旨在加强个人信息和重要数据保护，规范汽车数据处理活动，维护国家安全和公共利益。

本文对《规定》在行业的突破和指导性亮点条款进行了整理，主要如下↓↓↓

适用范围

聚焦个人信息或重要数据的整个数据生命周期（处理过程）

《规定》与《民法典》及《数据安全法（草案二次审议稿）》、《个人信息保护法（草案二次审议稿）》等相关上位法规定相衔接，其管辖范围在聚焦于个人信息和重要数据的同时，覆盖了整个汽车数据生命周期管理的流程，并统一了数据“处理”的定义，即运营者在中华人民共和国境内设计、生产、销售、运维、管理汽车过程中，收集、分析、存储、传输、查询、利用、删除以及向境外提供（统称“处理”）个人信息或重要数据，均应遵从相关法律法规和《规定》的要求。

监管对象囊括汽车产业链从业者

不同于此前《智能网联汽车生产企业及产品准入管理指南（试行）》（征求意见稿）中将数据安全的重点监管对象限定为智能网联汽车生产企业；《规定》明确，运营者指汽车设计、制造、服务企业或机构，即其监管对象涵盖汽车产业链的全部从业者，除汽车制造商外，还包括汽车部件和软件提供者、经销商、网约车企业维修机构、保险公司等。

汽车数据重要定义的界定

个人信息

随着个人信息保护规定的逐渐完善，对于个人信息的界定不再仅局限于以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，而是随着《民法典》、《个人信息保护法（草案二次审议稿）》等相关规定的发布，将个人信息的定义扩大至已识别或者可识别的自然人有关的各种信息。

《规定》对于个人信息的界定在衔接了《民法典》、《个人信息保护法（草案二次审议稿）》等相关法律法规的同时，也体现了汽车行业本身的特点，其第三条第二款明确“个人信息包括车主、驾驶人、乘车人、行人等的个人信息，以及能够推断个人身份、描述个人行为等的各种信息。”

重要数据

重要数据的划定与各行业（领域）的特点及发展变化密不可分，早在2017年发布的《信息安全技术数据出境安全评估指南（征求意见稿）》附录A“重要数据识别指南”中就指出，“各行业（领域）主管部门应结合实际，明确本行业（领域）重要数据定义、范围或判定依据；并根据行业（领域）发展变化，及时更新或替换本指南中相关内容。”

《规定》本次即针对汽车行业的特点和发展变化，列举界定了汽车行业的重要数据范围，并将部分个人信息如人脸等车外音视频数据也列为重要数据，具体如下：

敏感数据

《规定》特别提出行业敏感数据的概念，包括重要数据、车辆位置、生物特征、驾驶人或者乘车人音视频，以及可以用于判断违法违规驾驶的数据等敏感数据。该等数据的收集、查询利用和车外提供都有更严格的限制（具体见下文介绍）。

《欧盟指南》中也规定了类似的特别关注数据，包括：位置数据、生物识别数据、可能显示刑事犯罪或交通违规的数据。

车内外处理原则

《规定》明确规定了车内外数据处理的基本原则：

最小必要原则

➢直接相关性

《规定》中对于数据处理的“最小必要原则”在多处进行体现，包括：

(1)对数据处理目的的限制及其与产品/服务的直接相关性，《规定》针对汽车行业再次明确强调对于个人信息或重要数据的处理目的应合法、具体、明确，并与汽车的设计、制造、服务直接相关。

(2)运营者收集和向车外提供敏感个人信息，以直接服务于驾驶人或者乘车人为目的，包括增强行车安全、辅助驾驶、导航、娱乐等

(3)仅当为了方便用户使用、增加车辆电子和信息系统安全性等目的，方可收集驾驶人指纹、声纹、人脸、心律等生物特征数据，同时应当提供生物特征的替代方式。

“最小必要原则”是目前数据收集使用的最严监管范畴之一，除《规定》外，从业者还应该关注其他相关标准和要求。例如，对于网联汽车的数据处理目的限制表现为网联汽车所采集的数据及经其处理得到的数据不得用于开展与车辆管理、行驶安全无关的数据处理活动（《信息安全技术网联汽车采集数据的安全要求（草案）》）；对于车联网信息服务用户个人信息的保护一般应按照GB/T35273-2020中的要求，遵从最少够用等原则，只处理满足个人信息主体授权同意的目的所需的最少个人信息类型和数量，目的达成后应及时删除个人信息（YD/T 3746-2020《车联网信息服务用户个人信息保护要求》）；而对于网络约车、二手车买卖、共享汽车、租赁汽车等服务直接相关的个人信息范围判定也可进一步参考《常见类型移动互联网应用程序（App）必要个人信息范围（征求意见稿）》的规定，具体如下：

➢最小保存期限原则，根据所提供功能服务分类型确定数据保存期限；

从驾驶安全角度，数据存储是汽车行业的必要性要求之一。《深圳经济特区智能网联汽车管理条例（征求意见稿）》规定，智能网联汽车车载设备应当按规定连续记录和存储车辆运行状态、驾驶模式、车内外监控视频等数据。

另外一方面，存储也应该遵守最小必要原则。例如，对于网联汽车采集的车辆位置、轨迹相关数据在车内存储设备、远程信息服务平台（TSP）中保存的时间不得超过7天（《信息安全技术网联汽车采集数据的安全要求（草案）》）。

➢默认不收集原则，除非确有必要，每次驾驶时默认为不收集状态，驾驶人的同意授权只对本次驾驶有效。

车内处理原则，除非确有必要不向车外提供

车辆信息本地收集、处理和存储，并在适当时候有选择地上传是智能车设计的趋势。其中，对于网联汽车的数据车内处理要求在《信息安全技术网联汽车采集数据的安全要求（草案）》中规定的更为细化：

未经被收集者单独同意，网联汽车不得通过网络、物理接口向车外传输包含个人信息的数据。将清晰度转换为120万像素以下且已擦出可识别个人身份的人脸、车牌等信息的视频、图像数据除外。

网联汽车不得通过网络、物理接口向车外传输汽车座舱内采集的音频、视频、图像等是数据及经其处理得到的数据。

匿名化处理原则：确有必要向车外提供的，尽可能地进行匿名化和脱敏处理

为保障数据的安全，《规定》鼓励确有必要向车外提供数据时，尽可能进行匿名化和脱敏处理，暂未将匿名化和脱敏处理作为强制性要求。

但据公开报道，已有业内专家提议将匿名化和脱敏处理作为运营者“应当”而非“尽可能”履行的义务以切实保障车外数据处理的安全性和必要性问题。

向车外个人信息的删除要求

《规定》明确运营者应向用户提供请求删除已经提供给车外的个人信息的方法步骤；驾驶人要求运营者删除向车外提供的敏感个人信息时，运营者应当在2周内删除。

收集和向车外提供敏感个人信息的规定

《规定》衔接了《个人信息保护法（草案二次审议稿）》对敏感个人信息处理的特定目的和充分必要性的要求，从必要、同意及保障数据权利等方面对运营者收集和向车外提供敏感个人信息（包括车辆位置、驾驶人或乘车人音视频等，以及可以用于判断违法违规驾驶的数据等）明确了汽车个人敏感信息的处理规则：

➢特定目的

以直接服务于驾驶人或者乘车人为目的，包括增强行车安全、辅助驾驶、导航、娱乐等；

➢告知同意

✦默认为不收集，每次都应当征得驾驶人同意授权，驾驶结束（驾驶人离开驾驶席）后本次授权自动失效；

✦通过车内显示面板或语音等方式告知驾驶人和乘车人正在收集敏感个人信息。

➢主体权利保障

✦驾驶人能够随时、方便地终止收集；

✦允许车主方便查看、结构化查询被收集的敏感个人信息；

✦驾驶人要求运营者删除时，运营者应当在2周内删除。

生物特征数据处理规定

鉴于生物特征数据的唯一和不可替代的特点，生物特征识别数据的处理一直受到严格的法律规制。

《规定》也设置了专门条款对生物特征识别数据予以规制，并明确了对音视频信息中自然人人脸的处理：

➢目的限制并提供替代方式

《规定》明确“仅当为了方便用户使用、增加车辆电子和信息系统安全性等目的，方可收集驾驶人指纹、声纹、人脸、心律等生物特征数据，同时应当提供生物特征的替代方式。”

➢难以取得事先同意时，应进行匿名化或脱敏处理

《规定》指出，对于实践上难以事先取得被收集人同意（如通过摄像头收集车外音视频信息），且确需提供的，应当进行匿名化或脱敏处理，包括删除含有能够识别自然人的画面，或对这些画面中的人脸等进行局部轮廓化处理等。

➢严格限制科研和商业合作伙伴对境内存储的生物识别特征数据的查询利用

《规定》要求，严格限制科研和商业合作伙伴查询利用境内存储的重要数据以及车辆位置、生物特征、驾驶人或者乘车人音视频，以及可以用于判断违法违规驾驶的数据等敏感数据的查询利用。

重要数据

报告义务

鉴于重要数据与国家安全、经济发展，以及社会公共利益密切相关，《数据安全法（草案二次审议稿）》规定了对重要数据的风险评估报告的报送义务。

《规定》本次在衔接《数据安全法（草案二次审议稿）》的基础上，从事先报告、定期报告及数据出境报告等三方面进一步对重要数据的报告义务进行细化，具体如下：

➢事先报告

《规定》第十一条要求“运营者处理重要数据，应当提前向省级网信部门和有关部门报告数据类型、规模、范围、保存地点与时限、使用方式，以及是否向第三方提供等。”

➢定期报告

《规定》第十七条明确，处理重要数据的运营者，应当在每年十二月十五日前将年度数据安全管理情况报省级网信部门和有关部门，内容包括：

✦数据安全负责人以及负责处理用户权益相关事务责任人的姓名和联系方式；

✦处理数据的类型、规模、目的及必要性；

✦数据的安全防护和管理措施，包括保存地点、期限等；

✦与境内第三方共享数据情况；

✦数据安全事故及处理情况；

✦与个人信息和数据相关的用户投诉及处理情况；

✦国家网信部门明确的其他数据安全情况。

➢数据出境报告

《规定》第十八条规定，如果存在向境外提供数据的情况，运营者应当在本规定第十七条基础上，报告以下情况：

✦接收者的名称和联系方式；

✦出境数据的类型、数量及目的；

✦数据在境外的存放地点、使用范围和方式；

✦涉及向境外提供数据的用户投诉及处理情况；

✦国家网信部门明确的向境外提供数据需要报告的其他情况。

数据出境规定

除数据出境报告外，《规定》还明确了重要数据的本地化存储要求及运营商的相关法定义务，具体如下：

➢本地化存储要求

与《网络安全法》、《数据安全法（草案二次审议稿）》等相关法律法规的规定一致，《规定》明确，重要数据应当依法在境内存储，确需向境外提供的，应当通过国家网信部门组织的数据出境安全评估。

同时，应注意，对于相关法律法规严格规定未经批准不得擅自对外提供或禁止出境的数据，一律不得向境外提供。例如，涉密地理信息数据（《国家测绘局关于加强涉密地理信息数据应用安全监管的通知》）；网联汽车通过摄像头、雷达等传感器从车外环境采集的道路、建筑、地形、交通参与者等数据以及车辆位置、轨迹相关数据（《信息安全技术网联汽车采集数据的安全要求（草案）》）等。

此外，《信息安全技术网联汽车采集数据的安全要求（草案）》要求，网联汽车行驶状态参数、异常告警信息等数据如需出境，也应当符合国家关于数据出境的相关规定。

➢运营商的法定义务和责任

✦采取有效措施保证数据安全

《规定》第十三条规定，运营者向境外提供个人信息或者重要数据的，应当采取有效措施明确和监督接收者按照双方约定的目的、范围、方式使用数据，保证数据安全。

✦运营者的法定责任

《规定》第十四条规定，运营者向境外提供个人信息或者重要数据的，应当接受和处理所涉及的用户投诉；造成用户合法权益或公共利益受到损害的，应当依法承担相应责任。

✦严格按照出境安全评估时明确的目的、范围、方式和数据类型等向境外提供重要数据，并履行协助执法义务

《规定》第十五条规定，运营者不得超出出境安全评估时明确的目的、范围、方式和数据类型、规模等，向境外提供个人信息或重要数据。国家网信部门会同国务院有关部门以抽查方式核验向境外提供个人信息或重要数据的类型、范围等，运营者应当以明文、可读方式予以展示。

其中，对于网联汽车而言，《信息安全技术网联汽车采集数据的安全要求（草案）》还进一步规定，对于通过加密方式跨境传输数据的网联汽车，当监管部门开展抽查验证时，相关运营者应提供传输的数据格式、加密方式等信息，并按要求明文提供数据内容。该等规定亦适用于网联汽车通过加密方式跨境传输重要数据的情形。

✦限制科研和商业合作伙伴对境内存储的重要数据的查询利用

《规定》第十六条规定，科研和商业合作伙伴需要查询利用境内存储的个人信息和重要数据的，运营者应当采取有效措施保证数据安全，防止流失；严格限制对重要数据以及车辆位置、生物特征、驾驶人或者乘车人音视频，以及可以用于判断违法违规驾驶的数据等敏感数据的查询利用。

小结

对于数据安全的法律规制一直也是保障国家安全、社会公共利益和个人合法利益及促进产业发展之间的平衡课题。当然，法律规制从不是为了一刀切式的禁止，而是为了更好的促进产业在合规框架内的良性发展。

《规定》以“加强个人信息和重要数据保护，规范汽车数据处理活动，维护国家安全和公共利益”为目的，在衔接《网络安全法》、《数据安全法（草案二次审议稿）》和《个人信息保护法（草案二次审议稿）》等相关法律法规的基础上，针对汽车行业出台了更具针对性、更为细化及更具实操性的合规要求，其聚焦于个人信息和重要数据，将汽车全产业链纳入监管范畴，让整个汽车产业在开展数据处理活动时都有法可依，并基于最小必要等原则针对车内外环境的不同分别明确了车内外数据处理的规则，对生物识别特征等敏感个人信息和重要数据也提出了更为严格的管控要求，在对汽车产业的数据处理进行规制的同时，也对促进各类汽车企业在数据处理活动中的合规发展有着重要的意义。