《汽车数据安全管理若干规定（征求意见稿）》 | 规范对象和基本原则
编者按
5月12日，国家互联网信息办公室会同有关部门起草了《汽车数据安全管理若干规定（征求意见稿）》（以下简称“若干规定”），并向社会公开征求意见。公号君将撰写系列文章对该若干规定做出分析，并尝试提出建议，在此分享供大家参考。
以数据为中心的立法
“若干规定”的第一条开宗明义。立法目的就是“加强个人信息和重要数据保护”。因此，理解“若干规定”应该围绕着数据这条主线。
问题一：什么场景下产生的数据？
“若干规定”中的“汽车数据”是首次提出，并没有先例。如何理解“汽车数据”？应当从汽车运营活动入手。因此“汽车数据”实际上是汽车在承担交通、运输这项业务功能（也可以叫“汽车交通运输活动”）的过程中，所收集和产生的各类数据。
目前的联网、智能、ICT等方面的技术条件下，汽车承担交通、运输功能时，有多个参与主体，这些参与主体都在收集、使用汽车数据。因此就有了“若干规定”中的第三条：“本规定所称运营者指汽车设计、制造、服务企业或者机构，包括汽车制造商、部件和软件提供者、经销商、维修机构、网约车企业、保险公司等”。
因此，凡是参与了汽车的“交通运输活动”的各项主体，通过在汽车上安装传感器直接收集使用汽车数据，或者从已经掌握了汽车数据的主体处间接获得汽车数据，均是本“若干规定”的规范的主体范围。
于此同时，“若干规定”进一步缩限，具体规范的是“汽车数据”中的个人信息和重要数据。非个人信息和重要数据的“汽车数据”，并不在“若干规定”的规范范围之中（关于个人信息和重要数据的理解见下文）。
在此总结下，首先，“汽车交通运输活动”应做广泛理解，包括汽车行驶、汽车静止停滞、汽车维修等环节。因此，“汽车数据”应相应地做广泛理解。
其次，运营者应做广泛理解，即参与“汽车交通运输活动”且能够收集使用“汽车数据”的各个主体。
再次，“若干规定”将规范对象限缩在“汽车数据”中的个人信息和重要数据。这点需要高度重视。因此，即便参与了“汽车交通运输活动”的主体，确实也收集使用了数据，无论是直接收集还是间接收集，但只要不涉及个人信息和重要数据，就不在“若干规定”的规范范围之中。
问题二：什么是“若干规定”中的个人信息和重要数据？
“若干规定”对个人信息的规定见第三条：“本规定所称个人信息包括车主、驾驶人、乘车人、行人等的个人信息，以及能够推断个人身份、描述个人行为等的各种信息”。
先从主体看，个人是以主动或被动方式、且直接参与“汽车交通运输活动”中的行驶、静止停滞环节的个人。其次，个人信息采取了识别说+关联说的路径。【具体见：“个人信息”定义 | 民法典与GDPR】
“若干规定”的重要数据非常有特点，第三条中本规定所称重要数据包括：
（一）军事管理区、国防科工等涉及国家秘密的单位、县级以上党政机关等重要敏感区域的人流车流数据；
（二）高于国家公开发布地图精度的测绘数据；
（三）汽车充电网的运行数据；
（四）道路上车辆类型、车辆流量等数据；
（五）包含人脸、声音、车牌等的车外音视频数据；
（六）国家网信部门和国务院有关部门明确的其他可能影响国家安全、公共利益的数据。
仔细揣摩重要数据的这条规定，浮现出了两个具体的类型：第一个类型是“汽车交通运输活动”本身所依赖的基础设施的情况——高于国家公开发布地图精度的测绘数据、汽车充电网的运行数据；
第二个类型是“汽车交通运输活动”所处周围环境的情况——军事管理区、国防科工等涉及国家秘密的单位、县级以上党政机关等重要敏感区域的人流车流数据；道路上车辆类型、车辆流量等数据；包含人脸、声音、车牌等的车外音视频数据；
可以这么理解：“汽车交通运输活动”过程中汽车自身情况+基础设施情况+周围环境情况，针对后两者的数据收集使用行为，往往具有风险的负面外溢性【具体见：理解《数据安全法》《个人信息保护法》二审稿的实质性修改内容（一）】，因此需要强制运营者提供额外保护，所以将其纳入重要数据的范畴。而且重要数据兜底条款中“国家网信部门和国务院有关部门明确的其他可能影响国家安全、公共利益的数据”，同样落脚点在于风险的负面外溢性。可以认为，这将是未来界定重要数据的关键。
问题三：个人信息和重要数据处理的基本原则是什么？
原则之一：目的限定。“若干规定”第四条：“运营者处理个人信息或重要数据的目的应当合法、具体、明确，与汽车的设计、制造、服务直接相关”。换句话说，目的不得变更，直接圈定在“与汽车的设计、制造、服务直接相关”。直接相关如何理解？参见《个人信息安全规范》中“直接关联是指没有上述个人信息的参与，产品或服务的功能无法实现”。
原则之二：主体责任。“若干规定”第五条：“运营者应当落实网络安全等级保护制度，加强个人信息和重要数据保护，依法履行网络安全义务”。这也是所谓的“谁收集谁负责”、“谁使用谁负责”、“谁持有谁负责”的主体责任。
原则之三：车内处理。“若干规定”第六条第一款：倡导运营者处理个人信息和重要数据过程中坚持：“车内处理原则，除非确有必要不向车外提供”。换句话说，尽量不联网，数据不外传，除非直接相关。
原则之四：匿名化处理。“若干规定”第六条第二款：“匿名化处理原则，确有必要向车外提供的，尽可能地进行匿名化和脱敏处理”。也就是说，如果联网外传为业务所必需，则应将风险最小化。匿名化对应的是个人信息；脱敏处理对应的是重要数据。
原则之五：最小保存期限。“若干规定”第六条第三款：“最小保存期限原则，根据所提供功能服务分类型确定数据保存期限”。无论是在汽车内部本身，还是联网外传了，如果业务目的完成了，就应当删除。
原则之六：精度范围适用。“若干规定”第六条第四款：“精度范围适用原则，根据所提供功能服务对数据精度的要求确定摄像头、雷达等的覆盖范围、分辨率”。该条原则说的是数据质量、精度够用就行，杀鸡不用牛刀。
原则之七：默认不收集。“若干规定”第六条第五款：“默认不收集原则，除非确有必要，每次驾驶时默认为不收集状态，驾驶人的同意授权只对本次驾驶有效”。这是privacy by design和security by design的基本表达。
总的来说，前两个原则是强制性的。后五个原则是倡导性的；其中原则三和四表达了风险最小化、影响最小化的诉求；原则五、六、七，其实是数据最小化（data minimization）的具体表现。上述原则其实在《个人信息保护法（二审稿）》中也均有体现。
好了，第一篇就解析到这。且看下回分解。各位见笑了。
域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：
DPO线下沙龙的实录见：
美国电信行业涉及外国参与的安全审查系列文
美国电信行业涉及外国参与的安全审查（一）：基本制度介绍
美国电信行业涉及外国参与的安全审查（二）：国际性的第214节授权
美国电信行业涉及外国参与的安全审查（三）：建立外国参与安全审查的行政令
美国电信行业涉及外国参与的安全审查（四）：FCC对中国企业的陈述理由令
中国的网络安全审查系列文章：
自动驾驶系列文章：
数据安全法系列文章：
个人数据与域外国家安全审查系列文章
围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：
第29条工作组/EDPB关于GDPR的指导意见的翻译：
关于美国出口管制制度，本公号发表过系列文章：
供应链安全文章：
数据跨境流动政策、法律、实践的系列文章：
传染病疫情防控与个人信息保护系列文章
人脸识别系列文章：
关于欧盟技术主权相关举措的翻译和分析：
关于数据与竞争政策的翻译和分析：
关于人工智能监管指导文件的翻译：
数据安全法系列文件：
中国个人信息保护立法系列文章：