世辉观点 || 《汽车数据安全管理若干规定（试行）》重点条文解读

2021年8月16日，国家发展和改革委员会、工业和信息化部、公安部、交通运输部联合发布了《汽车数据安全管理若干规定（试行）》（以下简称“《规定》”），对日益增长的智能网联汽车在数据的收集、传输、使用和管理方面提出了严格的监管要求。作为我国第一部针对汽车数据安全所制定的法规，《规定》将于今年10月1日施行。本文旨在梳理《规定》下的重点条文并与此前的征求意见稿进行对比，为汽车行业的从业者和关注此行业的读者提供参考。

作者：世辉律师事务所 | 王嘉瑛 | 刘晓霞

一、立法背景和目的

随着车联网、智能车、车路协同、V2X、自动驾驶等技术的发展，智能网联汽车将成为手机之后人们移动通信、联网世界的新载体。国家相继出台鼓励智能网联产业发展的相关政策，并将发展智能网联汽车提到了国家创新战略层面，但同时智能网联汽车平均每天高达10TB的数据收集量也引起了监管部门对于汽车网络安全和数据安全风险的担忧。2021年5月，网信部门根据《网络安全法》、《数据安全法》的规定发布了《汽车数据安全管理若干规定 （征求意见稿）》（以下简称“征求意见稿”），成为首个专门领域里的数据安全法规。《规定》的终稿与《个人信息保护法》于2021年8月20日同一天公布，《规定》终稿的法规架构与征求意见稿的法规架构基本一致（请详见附件我们对征求意见稿和终稿的逐条对比），但终稿中各项关键词的定义和条文均按照《数据安全法》、《个人信息保护法》中的定义和条文进行了调整。因此，我们理解《网络安全法》、《数据安全法》和《个人信息保护法》均构成《规定》的上位法。国家互联网信息办公室在今年8月的答记者问中也指出，《规定》的出台所聚焦的仍是汽车领域的个人信息和重要数据的安全风险，目的是为了明确汽车数据处理者在汽车数据处理活动中的责任与义务。

二、汽车数据所涵盖的范围

(一) 《规定》下汽车数据的含义

《规定》提出了一个新的监管对象，即“汽车数据”。如何理解什么是“汽车数据”？一般而言，一辆汽车的数据包含汽车基础属性数据，比如车辆型号、车架号、发动机号和内部各零部件之间运行驱动车辆的工况类数据，比如车辆油耗、轮胎胎压、发动机扭矩等；为实现汽车的驾驶性能、保障汽车自身及驾驶者的安全性而由各类传感器、摄像头、雷达或管理系统所收集到的汽车外部的信息，比如驾驶员、乘客或车外行人等个人信息以及车辆所处地理位置、地形地貌、建筑设施等外部环境感知类信息；以及车辆数字化娱乐应用、交通管控应用等收集或传输的数据。

然而并不是上述所有数据都构成“汽车数据”。《规定》第三条明确了其监管的汽车数据仅限于在汽车设计、生产、销售、使用和运维过程中涉及的个人信息和重要数据。因此，车辆基础属性数据以及机械类工况数据作为单独数据不在《规定》的监管范围之内，除非这些数据结合其他信息可以构成《规定》所定义的个人信息和重要数据。而驾驶员、乘客或车外行人等个人信息以及车辆所处地理位置、地形地貌、建筑设施等外部环境感知类信息，将可能构成《规定》下的汽车数据。

(二) 什么是汽车数据中的个人信息和重要数据

区别于上位法中的定义，《规定》为汽车领域的个人信息和重要数据提供了更具体的含义。根据《规定》第三条，“个人信息”指以电子或者其他方式记录的与已识别或者可识别车主、驾驶人、乘车人、车外人员等有关的信息；“个人敏感信息”指一旦泄露或者非法使用，可能导致车主、驾驶人、乘车人、车外人员等受到歧视或者人身、财产安全受到严重危害的个人信息，包括车辆行踪轨迹、音频、视频、图像和生物识别特征等信息。值得注意的是，汽车数据中的敏感个人信息在征求意见稿中是没有规定的，《规定》的第九条专门对处理敏感个人信息提出了具体要求，请见后续章节的分析。关于重要数据,《规定》则是创造性地第一次对特定行业中的重要数据作出了列举，具体包含了以下内容：

关于重要数据,《规定》则是创造性地第一次对特定行业中的重要数据作出了列举，具体包含了以下内容：

1. 军事管理区、国防科工单位以及县级以上党政机关等重要敏感区域的地理信息、人员流量、车辆流量等数据；

2. 车辆流量、物流等反映经济运行情况的数据；

3. 汽车充电网的运行数据；

4. 包含人脸信息、车牌信息等的车外视频、图像数据；

5. 涉及个人信息主体超过10万人的个人信息；

6. 国家网信部门和国务院发展改革、工业和信息化、公安、交通运输等有关部门确定的其他可能危害国家安全、公共利益或者个人、组织合法权益的数据。

终稿的重要数据范围中去掉了征求意见稿中“高于国家公开发布地图精度的测绘数据”。在实践中，高精地图主要应用于自动驾驶领域，通过在数据采集车辆上设置大量的传感器如激光雷达、车载摄像头等实时进行道路采集，可精准识别交通标志、交通信号、地面标志、方向标识、车道线等数据。此类测绘数据的采集活动不仅受限于《数据安全法》，还受制于《测绘资质管理规定》、《测绘资质分级标准》、《导航电子地图安全处理技术基本要求》和《关于加强自动驾驶地图生产测试与应用管理的通知》等多个法律法规的监管，且目前仅能由具有导航电子地图测绘资质的单位进行[1]。我们理解由于汽车企业并不被允许采集和处理地图测绘数据，因此高精地图测绘数据未被纳入《规定》终稿重要数据的管辖范围。

三、汽车数据安全的责任主体和处理要求

(一) 责任主体

汽车数据安全的责任主体是汽车数据处理者。汽车数据处理者，是指开展汽车数据处理活动的组织，包括汽车制造商、零部件和软件供应商、经销商、维修机构以及出行服务企业等。根据《规定》第三条，汽车数据处理包括汽车数据的收集、存储、使用、加工、传输、提供、公开等行为。因此各汽车整车厂商、零部件制造商、各种汽车系统软件、娱乐软件、智能网联、自动驾驶相关软件的供应商、各级汽车经销商、维修机构和各类出行服务平台企业均应被纳入《规定》监管下的责任主体，需要尽快按照《规定》的要求开建立汽车数据安全管理体系，包括建立合规审计制度、责任制度、安全事件应急制度等。

此外，《规定》的第五条要求上述责任主体如果利用互联网等信息网络开展汽车数据处理活动的，还应当落实网络安全等级保护制度。数据安全分为数据安全保护和数据流转管控，网络安全在数据流转的管控方面有着至关重要的意义。进入等保2.0时代后，网络安全等级保护的对象已由原来的信息系统扩展至基础信息网络、信息系统（含采用移动互联技术的系统）、云计算平台/系统、大数据应用/平台/资源、物联网和工业控制系统等。为智能网联汽车提供网络服务的云平台、大数据应用系统、汽车网关、C-V2X车载通信系统等均成为等保对象，根据相关规定应实施网络安全等保定级和备案。[2]

(二) 处理原则

根据《规定》第六条，汽车数据处理者在开展汽车数据处理活动中坚持“车内处理”、“默认不收集”、“精度范围适用”、“脱敏处理”等原则，减少对汽车数据的无序收集和违规滥用：

1. 车内处理原则，除非确有必要不向车外提供。本条规定给自动驾驶车辆带来巨大的挑战，如果说自动驾驶车辆收集到的个人信可以息通过车内脱敏之后，可以被传送到车外，但是对于车牌信息、交通标识等的车外视频、图像数据的处理在当前技术能够达到的算力范围内，很难完全实现在车内处理。自动驾驶的核心是AI训练，AI的训练需要海量的数据，尤其是需要大量的路况数据，不然对于障碍物、线路、交通信号等识别准确率就不够。然而车载的计算机算力有限，只能提供少量的运算，所以很多数据不得不传送到云端，由后台大量的硬件资源，比如CPU/GPU/TPU等，来完成。云端完成运算后，再将控制指令通过无线网络传回汽车，完成对车辆的控制。显然，如果不允许向车外提供，这条控制链路就要被切断[3]。本条原则有一个例外情况，就是在“确有必要”的情况下可以向车外传输，目前实现自动驾驶有必要链接云端已经成为行业内共识，但这个情况是否属于本规定下“确有必要”的情况，有待监管部门给与进一步的解释。

2. 默认不收集原则，除非驾驶人自主设定，每次驾驶时默认设定为不收集状态。本条原则相比征求意见稿变化之处在于，终稿删除了征求意见稿中“除非确有必要，……驾驶人的同意授权只对本次驾驶有效”，增加了“除非驾驶员自主设定，每次驾驶时默认设定为不收集状态”，即将是否收集的决定权交给了驾驶人，而不是由汽车数据处理者决定是否必要。但驾驶人是否可以通过自主设定修改默认不收集的状态，终稿的规定并未明确。

3. 精度范围适用原则，根据所提供功能服务对数据精度的要求确定摄像头、雷达等的覆盖范围、分辨率。由于智能网联车辆的摄像头、雷达覆盖范围可以达到车辆周边360度，摄像头的分辨率已经可以达到800万像素，周围的行人、建筑物、车辆甚至建筑物和车辆内部的人或者物都可以轻易地被扫描、收集、识别或者分析。因此约束汽车感知数据的覆盖范围和精度对防止过度收集个人信息或车外数据有重要意义。

4. 脱敏处理原则，尽可能进行匿名化、去标识化等处理。由于智能网联汽车对外会自动的收集、分析和使用其所经过的街道路况、导航距离以及环境景象，对内也会对驾驶人或乘客的车内活动信息进行处理，如果不进行脱敏处理，一旦泄露、被违法使用或被黑客恶意入侵都会造成不可挽回的损失，尤其是重要数据的泄露可能会造成国家利益的损失。监管部门对出行服务公司掌握的敏感地理信息、出行数据、各种交通流量等数据是否已脱敏、如何储存、如何流动的监管和执法力度未来一定会加大。

(三) 个人信息的处理

1. 个人同意原则

   《规定》第八条要求汽车数据处理者处理个人信息应当以取得个人同意为原则，法律、行政法规规定的其他情形为例外。《个人信息保护法》第十三条规定的下述例外情况同样适用汽车数据处理中的个人信息，即：

   （1）为订立、履行个人作为一方当事人的合同所必需，比如驾驶员可以通过汽车作为智能终端而进行线上购物、娱乐消费等需要签订合同，合同相对方为履行购物或消费合同要求驾驶员提供的收货地址、手机号码等信息；

   （2）为履行法定职责或者法定义务所必需，如驾驶员在违反交通规则或发生交通事故时根据警方的要求提供车内监控资料；

   （3）为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需，比如在驾驶员遇到紧急情况时，车辆救援平台可以获取其车辆所在位置信息；

   （4）依照《个人信息保护法》规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息。

   智能网联汽车收集个人信息获得授权的一个重大技术难题，是对车外人员影像或声音的收集无法获得个人授权，比如大多数智能网联车辆在道路测试或自动驾驶时不可避免地需要收集的道路上行人的信息，以及驻车时使用“哨兵模式”将会收集到靠近汽车一定距离的行人的信息。对于这些信息的收集《规定》没有给与例外，而是要求在因保证行车安全需要无法征得个人同意采集到车外个人信息且向车外提供的，应当进行匿名化处理，包括删除含有能够识别自然人的画面，或者对画面中的人脸信息等进行局部轮廓化处理等。根据《个人信息保护法》，匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程。经匿名化处理后的信息不再视为个人信息，但实时匿名化无疑对汽车数据处理者提出了较高的技术要求。

2. 处理个人信息告知形式和事项

   《规定》第七条明确规定了汽车数据处理者处理个人信息时，应当通过用户手册、车载显示面板、语音、汽车使用相关应用程序等显著方式，告知个人以下事项：

   （1）处理个人信息的种类，包括车辆行踪轨迹、驾驶习惯、音频、视频、图像和生物识别特征等；

   （2）收集各类个人信息的具体情境以及停止收集的方式和途径；

   （3）处理各类个人信息的目的、用途、方式；

   （4）个人信息保存地点、保存期限，或者确定保存地点、保存期限的规则；

   （5）查阅、复制其个人信息以及删除车内、请求删除已经提供给车外的个人信息的方式和途径；

   （6）用户权益事务联系人的姓名和联系方式；

   （7）法律、行政法规规定的应当告知的其他事项。

   在实践中，汽车制造商对上述事项的告知大部分是通过官方网站的隐私政策来实现的。我们看到在多数汽车厂商的隐私政策中，上述关于个人信息的收集种类和场景（包括以显著方式告知收集敏感信息的种类）、收集方式和途径、个人信息的使用目的和方式等事项基本可做到一次性告知和获得授权，但对于处理敏感信息时的告知同意，能够做到完全符合要求的仍是少数，我们将在下一小节进一步阐述。

   此外，终稿的《规定》中新增了告知事项应当包含用户权益事务联系人的姓名和联系方式。向不特定的人群公布用户权益事务联系人的姓名和联系方式对于该联系人本人的个人隐私和人身安全也是一项挑战。目前我们看到的隐私政策中，即使是在2021年8月《规定》终稿出台后更新隐私政策版本的厂商，几乎没有公布用户权益事务联系人姓名的，多数厂商仅公布了联系电话或不包含任何姓名的邮箱地址。

3. 处理敏感个人信息的特别要求

   《规定》第九条要求汽车数据处理者处理敏感个人信息应当符合以下要求或者符合法律、行政法规和强制性国家标准等其他要求：

   （1）具有直接服务于个人的目的，包括增强行车安全、智能驾驶、导航等；

   （2）通过用户手册、车载显示面板、语音以及汽车使用相关应用程序等显著方式告知必要性以及对个人的影响；

   （3）应当取得个人单独同意，个人可以自主设定同意期限；

   （4）在保证行车安全的前提下，以适当方式提示收集状态，为个人终止收集提供便利；

   （5）个人要求删除的，汽车数据处理者应当在十个工作日内删除；

   （6）汽车数据处理者具有增强行车安全的目的和充分的必要性，方可收集指纹、声纹、人脸、心律等生物识别特征信息。

首先，敏感个人信息的处理需要有直接服务于个人的目的。单纯为了推销产品或服务、数据处理者自身的大数据分析或广泛的人工智能训练等目的，不构成直接服务于个人目的， 因此不应收集驾驶人或乘车人员的行踪轨迹、车内音频视频等敏感个人信息。

其次，处理敏感个人信息要求取得个人单独同意。我们在隐私政策中经常会看到的类似于“您向我们提供个人信息或使用我们的产品或服务时，即表示您了解及同意我们收集您的敏感个人信息。”等默示许可的表述，而通过隐私政策所获得的默示许可并不能被视为已取得个人信息主体对收集其敏感个人信息的单独同意。汽车数据处理者通过汽车或相关产品收集敏感个人信息的，应当在开启收集或处理信息时通过车载显示屏或者语音告知敏感个人信息的收集目的和途径、使用方法、存储位置、对个人的影响以及提供可以设定授权时间的选择。按照此项要求，现在市场上大部分汽车厂商的隐私条款均应当进行相应修改且相关的控制程序也应当作出相应的设置调整。

再次，汽车数据处理者通过各种传感器、摄像头等收集驾驶员或乘客的指纹、声纹、人脸或心律等生物识别信息需要具备增强行车安全的充分必要性。充分必要性的审查是比较严格的，比如某些方向盘传感器可以监测驾驶员的心律和心电图，从逻辑角度上监测驾驶员的健康状态确实可以增强驾驶安全，但是监测驾驶员的心律和心跳是否是增强驾驶安全的必要条件就值得商榷了。

最后，个人要求删除已收集的敏感个人信息的，汽车数据处理者应当在十个工作日内删除。我们看到的大部分隐私政策的响应时间是15天到30天不等。为进一步合规的需要，建议汽车数据处理者可在内部设置一个专门的团队或机构处理个人信息相关事宜、建立快速的反应机制，以符合《规定》对响应时间的要求。

(四) 重要数据的安全保护

《规定》为汽车数据处理中重要数据的保护提出了以下两类评估要求：

1. 开展安全风险评估，向省级监管部门报送风险评估报告

   《规定》第十条要求汽车数据处理者进行重要数据处理活动时，应当开展风险评估，并向省级网信部门和有关部门报送风险评估报告。风险评估报告应当包括处理的重要数据的种类、数量、范围、保存地点与期限、使用方式，开展数据处理活动情况以及是否向第三方提供、面临的数据安全风险及应对措施等。

2. 境内存储原则，跨境传输须经国家级监管部门的安全评估

   《规定》第十一条和第十二条明确要求重要数据应当依法在境内存储，因业务需要确需向境外提供的，应当通过国家网信部门会同国务院有关部门组织的安全评估，且将不定期接受前述部门的抽查。汽车数据处理者获准向境外提供重要数据的，不得超出出境安全评估时明确的目的、范围、方式和数据种类、规模等。

   自《网络安全法》实施以后，重要数据出境评估主要围绕着国家网信办于2017年4月11日公布的《个人信息和重要数据出境安全评估办法（征求意见稿）》以及2017年5月27日发布的《信息安全技术数据出境安全评估指南（草案）》（“评估指南”）的原则执行。《个人信息保护法》下也再次重申了向境外提供个人信息所需要满足的前提条件，个人信息处理者因业务确需向中国境外提供个人信息的，应通过国家网信部门组织的安全评估、或经专业进行个人信息保护认证、或与境外接收方签署国家网信部门制定的关于数据处理的标准合同。而《规定》下的信息出境安全评估是由国家网信部门会同国务院有关部门组织的安全评估，具体的评估标准和细则可能会比评估指南的标准更严格。

3. 重要数据安全管理年审制度

   《规定》第十三条要求汽车数据处理者开展重要数据处理活动，应当在每年12月15日前向省级网信部门和有关部门报送以下年度汽车数据安全管理情况：

   （1）汽车数据安全管理负责人、用户权益事务联系人的姓名和联系方式；

   （2）处理汽车数据的种类、规模、目的和必要性；

   （3）汽车数据的安全防护和管理措施，包括保存地点、期限等；

   （4）向境内第三方提供汽车数据情况；

   （5）汽车数据安全事件和处置情况；

   （6）汽车数据相关的用户投诉和处理情况；

   （7）国家网信部门会同国务院工业和信息化、公安、交通运输等有关部门明确的其他汽车数据安全管理情况。

4. 跨境传输汽车数据的报告要求

   除上述年度汇报外，向境外提供重要数据的汽车数据处理者应当在上述年度汇报要求的基础上，补充报告以下情况：

   （1）接收者的基本情况；

   （2）出境汽车数据的种类、规模、目的和必要性；

   （3）汽车数据在境外的保存地点、期限、范围和方9式；

   （4）涉及向境外提供汽车数据的用户投诉和处理情况；

   （5）国家网信部门会同国务院工业和信息化、公安、交通运输等有关部门明确的向境外提供汽车数据需要报告的其他情况。

上述两小节中的汽车数据安全管理年审制度和跨境传输的汇报制度为汽车数据合规管理的常规化提供了明确的指引。

四、汽车数据安全的监管和罚则

(一) 监管主体

《规定》第十五条明确了汽车数据的监管主体为国家网信部门和国务院发展改革委员会、工业和信息化部、公安部、交通运输部等有关部门。

上述监管机构可以依据各部门相应职责对汽车数据处理者进行主动监管，汽车数据处理者应当予以配合。监管部门同时也提出了允许举报汽车数据安全违规的渠道，要求汽车数据处理者建立投诉举报渠道，设置便捷的投诉举报入口及时处理用户投诉举报。一旦有汽车数据违规的情况无论侵害的是个人合法权益还是公共利益，汽车数据处理者均应依法承担责任。主动监管和被动监管结合起来构成了汽车数据安全的防护网。

(二) 违法处罚

《规定》下并未专章规定违反《规定》的法律责任和后果，但提到了汽车数据的违规责任将依照《网络安全法》、《数据安全法》等法律、行政法规进行处罚。参考《数据安全法》关于法律责任章节的相关规定，对于如未能建立健全数据安全管理制度和流程、未落实网络安全等级保护、发现数据安全缺陷等风险时未立即采取补救措施，以及未对数据处理活动定期开展风险评估并报送风险评估报告的数据处理者，将可能会受到最高达200万元的罚款，严重情况下将有可能被要求暂停相关业务、停业整顿、吊销相关业务许可证或者吊销营业执照，直接负责的主管人员将可能受到20万元以下的罚款。关于违反个人信息保护制度的处罚，虽然《规定》下并未提及，但我们理解主要依据将会是《个人信息保护法》，对于违反规定处理个人信息或未履行法律规定的个人信息保护义务的汽车数据处理者，最高将可能面临5000万元以下或上一年度营业额5%以下的罚款，直接负责人员将可能面临最高100万的罚款。

此外，《数据安全法》对违反国家核心数据管理制度的、违法向境外提供重要数据的、从事数据交易中介服务的违法行为以及拒不配合数据调查取证等行为也规定了严格的处罚措施。据悉，国家有关部门已经在重点区域就数据安全制度的建立和负责人进行问卷调查，因此，汽车数据处理相关企业应按照《规定》及其各上位法的有关规定，尽快落实各项汽车数据处理原则、完成安全评估，并建立一整套汽车数据安全管理体系和保障制度。

附件

《汽车数据安全管理若干规定（试行）》征求意见稿与终稿逐条对比

---

[1] 《关于加强自动驾驶地图生产测试与应用管理的通知》2016年2月3日发布并生效

[2] 《信息安全技术 网络安全等级保护基本要求GB/T 22239-2019》

[3]《五部门发布新规，剑指特斯拉、蔚来们》文/刘兴亮（新京智库特约撰稿人，DCCI互联网研究院院长、互联网专家）https://new.qq.com/omn/20210821/20210821A01Y8L00.html

版权与免责

本文章仅供业内人士参考，不应被视为任何意义上的法律意见。未经世辉律师事务所书面同意，本文章不得被用于其他目的。如需转载，请注明来源。如您对本文章的内容有任何问题，可联系本文作者王嘉瑛律师、刘晓霞律师或您熟悉的其他世辉律师。

王嘉瑛 合伙人

[e-mail]

王嘉瑛律师为世辉律师事务所常驻上海的合伙人，其执业范围专注于兼并与收购、私募股权投融资、外商直接投资、网络安全和数据合规。

在并购和私募股权投融资领域，王律师曾代表多家知名投资机构和跨国集团公司完成了各类境内外投资并购交易，涉及包括医药和医疗健康、TMT、制造业、汽车及新能源、化工、房地产、商业零售、银行与金融在内的诸多领域。

在数据合规领域，王律师长期为多家跨国公司提供网络安全合规法律服务，协助跨国公司进行数据安全合规自查和评估、建立数据安全合规制度。

刘晓霞 律师

[e-mail]

刘晓霞律师的主要执业领域为公司兼并收购、企业合规、外商直接投资、股权投融资及网络和数据安全等。刘律师曾供职于多家律师事务所和跨国公司，并曾担任德尔福科技集团亚太区法务总监和地区合规官，负责德尔福科技在中国、韩国、新加坡、日本、印度和澳大利亚等国家和地区的法务和合规事务。在汽车行业商事运营、数据安全、技术许可、公司治理和合规制度建设方面有许多代表性案件。刘律师曾代表公司成功应对多个国家和地区监管机关对公司合规事宜的调查，并成功代表公司在韩国最高法院就韩国公平贸易委员会对公司违反反垄断相关法规的处罚进行上诉且完全推翻了前述处罚决定。

往期推荐

投融资系列

• 跨境投融资系列 II 新《外商投资法》要点简析

资本市场

 
投资基金

• 辉说基金 II 从实操视角解读新出台的“便利管理人登记的通知”

并购期权

辉说医疗

辉说仲裁

辉说反垄断

其它

• 世辉观点 || 投融资项目中涉及高校教师持股及任职情况的尽调核查要点