《汽车数据安全管理若干规定（征求意见稿）》 | “汽车数据”与EDPB指南中的联网车辆

编者按

5月12日，国家互联网信息办公室会同有关部门起草了《汽车数据安全管理若干规定（征求意见稿）》（以下简称“若干规定”），并向社会公开征求意见。公号君将撰写系列文章对该若干规定做出分析，并尝试提出建议，在此分享供大家参考。本系列已经发表的文章如下：

本篇从EDPB发布的《车联网个人数据保护指南》出发，来进一步分析“若干规定”中的核心关键要点——汽车数据。关于EDPB的指南，见：

什么是“汽车数据”

显然，“若干规定”中“汽车数据”是整个文本中的核心概念，但“若干规定”并没有给出定义。定义决定范围。范围决定了“若干规定”是否适用。因此，“汽车数据”的定义或范围非常关键。

如何理解“汽车数据”？公号君在第一篇文章中提出从活动入手——汽车运营活动，或者汽车的“交通运输活动”。具体来说，这个活动主要包括了汽车的行使过程、汽车静止停滞、汽车维修等环节或情形。

活动过程中产生和收集的数据，就是“汽车数据”。因此“汽车数据”实际上是汽车在承担交通、运输这项业务功能（也可以叫“汽车交通运输活动”）的过程中，所收集和产生的各类数据。

那么收集和产生汽车数据的主体有哪些？还是从活动出发——任何参与了汽车的“交通运输活动”的主体都覆盖。具体来说——通过在汽车上安装传感器直接收集使用汽车数据的主体，或者从已经掌握了汽车数据的主体处间接获得汽车数据的主体。“若干规定”中的第三条规定：“本规定所称运营者指汽车设计、制造、服务企业或者机构，包括汽车制造商、部件和软件提供者、经销商、维修机构、网约车企业、保险公司等”

当然，“若干规定”并不规范全部的“汽车数据”，而是仅仅规范“汽车数据”中的个人信息和重要数据。具体见本系列文章的第一篇。

EDPB从“联网车辆”入手

在指南中，EDPB提出一个重要澄清——“在本文件中，联网车辆的定义应当按照一个广义的概念来理解”（The connected vehicle definition has to be understood as a broad concept in this document）。

EDPB进一步分析：“它可以被定义为一辆装配有许多电子控制单元（ECU）的车辆，这些电子控制单元通过车内网络以及网联设施连接在一起，网联设施使其能够与车内和车外的其他设备分享信息。如此，数据可以在汽车和与之相连的个人设备间进行交换，比如允许手机应用镜像到汽车的仪表盘信息和娱乐单元。同样的，独立的手机应用的开发，即在协助驾驶员时是独立于车辆的（例如，依赖于智能手机的唯一使用），也被包括在本文件的范围内，因为它们也帮助提高了车联的网联能力，即使它们可能不能有效地依赖于与车辆自身的数据传输”。【It can be defined as a vehicle equipped with many electronic control units (ECU) that are linked together via an in-vehicle network as well as connectivity facilities allowing it to share
information with other devices both inside and outside the vehicle. As such, data can be exchanged between the vehicle and personal devices connected to it, for instance allowingthe mirroring of mobile applications to the car’s in-dash information and entertainment unit. Also, the development of standalone mobile applications, meaning independent of the vehicle (for example, relying on the sole use of the smart phone) to assist drivers is included）in the scope of this document since they contribute to the vehicle’s connectivity capacities even though they may not effectively rely on the transmission of data with the vehicle per se.】

要非常仔细地揣摩这个解释。细分起来有两个部分：

1. 车辆本身（包括组成车辆的各个元件）以及车辆本身具备的网联设施。【红字部分】

2. 协助驾驶员的应用，即便这个应用并不与车辆本身有具体的数据传输。【蓝字部分】

第一点容易理解。但第二点也纳入“联网汽车”的定义本身，是否过于牵强？对此，EDPB进一步澄清：“联网车辆的应用多种多样，可能包括：

出行管理：使得驾驶员可以迅速、经济高效地到达目的地的功能，通过提供及时的GPS导航、潜在危险环境情况（如道路结冰）、交通拥堵或道路施工、停车场或车库辅助、优化的油耗或道路收费相关的信息。

车辆管理：帮助驾驶员减少运行成本、提升简便操作的功能，例如车辆状况通知和服务提醒、使用行为数据的传输（比如为车辆修理服务之目的）、定制化的现驾现付型（PayAs/How You Drive）保险、远程操作（例如供暖系统）或概要配置（例如座椅位置）。

道路安全：提醒驾驶员外部危险和内部响应的功能，例如碰撞保护、危险警告、车道偏离警告、驾驶员疲劳检测，紧急呼叫（eCall）或交通事故调查“黑匣子”（事件数据记录器）。

娱乐：为驾驶员和乘客提供信息和娱乐的功能，例如智能手机界面（脱手电话、语音生成文本消息）、WLAN热点、音乐、视频、互联网、社交媒体、移动办公或“智能家居”服务。

驾驶员辅助：部分或全部自动驾驶的功能，例如交通拥挤、泊车或高速场景下的运行协助或自动辅助驾驶。

健康：监测驾驶员驾驶舒适度、能力和健康状况的功能，例如疲劳检测或医疗救助

因此，车辆本身可能是联网或非联网的，个人数据可以通过若干方式收集，包括：（1）车辆传感器，（2）车载T-BOX（telematics box），或者（3）手机应用（例如通过属于驾驶员的设备来收集）。如落入本文件范围，手机应用需与驾驶环境相关。例如，GPS导航应用程序在本指南范围之内。但是，那些仅仅只为驾驶员推荐感兴趣点（餐厅、历史遗迹等）的应用程序便不在本指南的范围之内。【Hence, vehicles can be natively connected or not and personal data can be collected through several means, including: (i) vehicle sensors, (ii) telematics boxes or (iii) mobile applications (e.g. accessed from a device belonging to a driver). In order to fall within the scope of this document, mobile applications need to be related to the environment of driving. For example, GPS navigation applications are in-scope. Applications whose functionalities only suggest places of interest (restaurants, historic monument, etc.) to drivers fall, however, outside the scope of these guidelines”】。

好，至此，我们可以比较确信地认为EDPB确实是对“联网车辆”这个概念做了扩大的解释。而且进一步分析可以得出一个结论：实际上EDPB本身也是采取了公号君在本文第一部分提出的“活动”这个路径。

即便车内驾驶员使用手机上的APP开展导航活动，哪怕该导航APP并不与车辆建立数据或信息连接，但是只要是导航APP参与了车辆的“交通运输活动”活动（用EDPB的话说，“与驾驶环境相关”），在EDPB看来，该导航APP也是“联网汽车”（connected vehicle）的一部分。

出现的问题

通过比较“若干规定”和EDPB的指南，产生了一个问题——中国的“汽车数据”的范围，是否像EDPB指引中的“联网车辆”所收集和产生的数据一般如此宽泛？

换句话说，即便两个文本都用围绕着“活动”构建了自己的规范范围，但是对活动的参与强度和关联度的认识，是否相同？

EDPB判断是否参与车辆的“交通运输活动”的标准——不在于是否和车辆本身有数据交互或建立通信信道，而在于实质性地参与了车辆的“交通运输活动”本身。

而“若干规定”判断是否参与车辆的“交通运输活动”的标准是怎么样的？目前还未澄清。“若干规定”中的第三条规定：“本规定所称运营者指汽车设计、制造、服务企业或者机构，包括汽车制造商、部件和软件提供者、经销商、维修机构、网约车企业、保险公司等”。追问这个问题最直接的意义在于澄清，“若干规定”中的软件提供者，是否包括本身不和车辆本身有数据交互或建立通信信道的导航APP？

下一篇文章将分析EDPB指引中的隐私概念和“若干规定”中的“车内处理”原则，敬请期待。（完）

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

美国电信行业涉及外国参与的安全审查系列文

中国的网络安全审查系列文章：

自动驾驶系列文章：

数据安全法系列文章：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

数据跨境流动政策、法律、实践的系列文章：

传染病疫情防控与个人信息保护系列文章

人脸识别系列文章：

关于欧盟技术主权相关举措的翻译和分析：

关于数据与竞争政策的翻译和分析：

关于人工智能监管指导文件的翻译：

数据安全法系列文件：

中国个人信息保护立法系列文章：