《汽车数据安全管理若干规定（征求意见稿）》 | “车内处理”与EDPB指南中“终端设备”

编者按

5月12日，国家互联网信息办公室会同有关部门起草了《汽车数据安全管理若干规定（征求意见稿）》（以下简称“若干规定”），并向社会公开征求意见。公号君将撰写系列文章对该若干规定做出分析，并尝试提出建议，在此分享供大家参考。本系列已经发表的文章如下：

本篇从EDPB发布的《车联网个人数据保护指南》出发，来进一步分析“若干规定”中的核心关键要点——车内处理原则。关于EDPB的指南，见：

什么是“车内处理原则”

“若干规定”的第六条提出：“车内处理原则，除非确有必要不向车外提供”。随后，在对个人信息和重要数据提出细化规范时，“若干规定”进一步落实了“车内处理原则”。【详见：《汽车数据安全管理若干规定（征求意见稿）》 | 个人信息和重要数据的细化规范】具体来说：

• 告知-同意

“若干规定”第七条和第九条一起，规定了运营者应告知——“数据保存地点、期限，或者确定保存地点、期限的规则”，并且“运营者收集个人信息应当取得被收集人同意，法律法规规定不需取得个人同意的除外”。这两条可以理解为：数据是否向车外传输，需要用户的同意。

• 目的限定

“若干规定”第八条规定了收集和向车外提供个人信息的目的限定条件。在此方面，“若干规定”主要对“敏感个人信息”和“生物特征信息”做出了区分对待：

	收集和向车外提供的目的限定条件
敏感个人信息 （定义为：包括车辆位置、驾驶人或乘车人音视频等，以及可以用于判断违法违规驾驶的数据等）	以直接服务于驾驶人或者乘车人为目的，包括增强行车安全、辅助驾驶、导航、娱乐等；
生物特征数据 （定义为：驾驶人指纹、声纹、人脸、心律等）	仅当为了方便用户使用、增加车辆电子和信息系统安全性等目的。

• 终止、查询、删除等持续控制性权利
  

“若干规定”第七条规定了用户可“请求删除已经提供给车外的个人信息”；同时，第八条提出了：

第八条 运营者收集和向车外提供敏感个人信息，包括车辆位置、驾驶人或乘车人音视频等，以及可以用于判断违法违规驾驶的数据等，应当符合以下要求：

（一）以直接服务于驾驶人或者乘车人为目的，包括增强行车安全、辅助驾驶、导航、娱乐等；

（二）默认为不收集，每次都应当征得驾驶人同意授权，驾驶结束（驾驶人离开驾驶席）后本次授权自动失效；

（三）通过车内显示面板或语音等方式告知驾驶人和乘车人正在收集敏感个人信息；

（四）驾驶人能够随时、方便地终止收集；

（五）允许车主方便查看、结构化查询被收集的敏感个人信息；

（六）驾驶人要求运营者删除时，运营者应当在2周内删除。

虽然第八条的（三）（四）（五）均只写明“收集”，并没有提及“向车外提供”，但公号君认为，（三）（四）（五）也适用于“向车外提供”的情形。例如（三）所要求的告知实时收集的敏感个人信息，那是否需要实时告知向车外提供敏感个人信息？但这一点需要网信办予以澄清。

但第八条（六）明确提出“驾驶人要求运营者删除时，运营者应当在2周内删除”。显然，第八条（六）和第七条形成呼应关系。

• 匿名化处理原则
  

“若干规定”的第六条还提出了“匿名化处理原则”——“确有必要向车外提供的，尽可能地进行匿名化和脱敏处理”。这一条也可认为是对车内处理原则的补充。

EDPB的“终端设备”概念

EDPB的指南实际上也提出了类似于“若干规定”的“车内处理”原则。最核心的表现，在公号君看来是EDPB提出的“终端设备”概念——EDPB直接提出，网联车辆是e-Privacy指令意义下的“终端设备”。

• EDPB指出，“电子隐私指令第5(3)条则是一项一般性规定。它不仅适用于电子通信服务的提供商，同时适用于每一个在终端设备上放置或从终端设备上读取信息的私营或公共实体，而不考虑所存储或访问的数据的性质”。

• 具体来说，电子隐私指令第5(3)条：“成员国应确保，只有在根据第95/46/EC号指令向相关订阅者或用户提供明确且全面的信息，特别是关于处理目的的信息，并向其提供拒绝数据控制者进行此类处理的权利的情况下，才允许使用电子通信网络存储信息，或访问订阅者或用户终端设备中存储的信息。这并不妨碍任何技术存储或访问，其唯一目的是通过电子通信网络进行或促进通信的传输，或为提供订阅者或用户明确要求的信息社会服务所严格必要的。”
  

EDPB进而指出：

• 至于“终端设备”的概念，其定义规定在第2008/63/CE号指令中。第1（a）条定义终端设备为一个“直接或间接与一个公共通信网络的接口相连接，从而发送、处理或接收信息的设备；在任一情形下（直接或间接），连接可通过电线、光纤或电磁的形成完成；若设备被放置在终端和网络接口中间，则连接是间接的；（b）卫星地球站设备”。【Art. 1 (a) defines the terminal equipment as an “equipment directly or indirectly connected to the interface of a public telecommunications network to send, process or receive information; in either case (direct or indirect), the connection may be made by wire, optical fibre or electromagnetically; a connection is indirect if equipment is placed between the terminal and the interface of the network; (b) satellite earth station equipment”.】

• 因此，只要符合上述标准，联网车辆和与其相连的设备应被视为“终端设备”（就像电脑、智能手机或智能电视一样），并适用电子隐私指令第5(3)条的相关规定。【As a result, provided that the aforementioned criteria are met, the connected vehicle and device connected to it should be considered as a “terminal equipment” (just like a computer, a smartphone or a smart TV) and provisions of art. 5(3) ePrivacy directive apply where relevant.】

好，EDPB认为“联网车辆=终端设备”。如果这个等号成立，那么e-Privacy指令事实上提供了比GDPR更加高水平的保护要求。这一点具体表现：

• “正如EDPR在其《关于电子隐私指令与GDPR相互作用的意见，第5/2019号》中所概述的那样，电子隐私指令第5(3)条规定，作为一项规则，除下文第17段所述的例外情况外，在订阅者或用户的终端设备中存储信息或访问已存储的信息，均应当获取事先同意”。

• 第17段所述的例外情况即电子隐私指令第5(3)条的豁免情形：(a)仅为通过电子通信网络进行或促进通信的传输；或(b)为提供订阅者或用户明确要求的信息社会服务所严格必要的。

公号君在此进一步解释一下EDPB的意思：

• 在终端设备中存储信息，或访问在终端设备中已存储的信息，无论是否是个人信息，都需要用户的同意。

• 如果存储和访问的信息是个人信息，电子隐私指令第5(3)条规定要优先于GDPR第六条的规定（即个人信息处理的合法性基础）。换句话说，GDPR第六条所列明的诸多合法性基础，并不适用于在终端设备存储和访问信息的情形。

• 电子隐私指令第5(3)条明确要求同意，例外情形只有两个，如前所述。

即便是例外情形，EDPB仍然坚持：

• “在这种情况下（公号君注：即两个例外情形），对个人数据的处理，包括通过访问终端设备中的信息获得的个人数据，是基于GDPR第6条规定的法律依据之一。例如，当数据处理对于提供数据主体所要求的GPS导航服务是必要的，且这种服务可被定性为信息社会服务时，则无需征得同意。”

公号君在此进一步解释一下EDPB的意思：GDPR第六条提出的正当利益，绝不可用于在终端设备中存储信息，以及不可用于从终端设备中读取信息。这样的处理行为，只能取得用户的同意。

从这一点，能明确看出来欧盟法中，隐私保护比个人数据保护更加严格之处。换言之，EDPB认为，联网车辆应当适用隐私保护。反过来，这也就确认了车内处理原则的欧盟数据保护机构式表达——个人对在终端设备中存储信息，以及从终端设备中读取信息的行为，拥有近乎绝对的控制权利。

EDPB指南中关于“车内处理”原则的其他表达

在指南中，EDPB明确提出了“本地处理”的原则（local processing）:

• “一般而言，车辆和设备制造商、服务提供商和其他数据控制者应当尽可能地使用不涉及个人数据或不涉及将个人数据传输到车辆之外的流程（即数据在内部处理）”......“这种方案的优点在于保证用户对其个人数据的唯一和完全控制，因此，该方案“通过设计”实现了较少的隐私风险，特别是禁止利益相关者在数据主体不知情的情况下进行任何数据处理。这也使得敏感数据，如生物识别数据或与刑事犯罪或其他违法行为有关的数据，以及详细的位置数据得以处理，否则这些处理活动将受到更严格的规定约束（见下文）。同样，这也会带来更小的网络安全风险，涉及的延迟也较少，使其更为适合自动驾驶辅助功能”。

进一步，如果数据传输至车外不可避免，或者业务设计是如此的，EDPB提出了如下的要求：

• “虽然不是每一用例都可诉诸于本地数据处理，但通常可以采取“混合处理”的方式。例如，在基于驾驶行为的保险中，关于驾驶行为的个人数据（例如，施加在制动踏板上的力度、行驶的里程数等）既可以在车辆内部处理，也可以由车载信息系统服务提供商（telematics serviceprovider）代表保险公司（数据控制者）进行处理，并生成分数，将这些分数按一个确定的周期（例如按月）传输给保险公司。这样一来，保险公司无法访问原始的行为数据，而只能访问作为处理结果的总分。这可以确保数据最小化的原则从设计着手得到满足。这也意味着，当数据由其他方存储时，用户应当具有行使其权利的能力，例如，用户应具有删除存储在汽车维修店或经销商系统中的数据的能力”。

• “如果计划将个人数据传输至车外，应当考虑在传输前将其匿名化。在进行匿名化处理时，控制者应考虑到所有可能导致数据的重新识别处理，例如，本地匿名数据传输。EDPB提示，数据保护原则不适用于匿名数据，即无法关联到已识别或可识别的自然人的数据，或使数据主体不能或无法再被识别的匿名化的个人数据。一旦数据集真正被匿名化，个人无法再被识别，则不再适用欧洲数据保护法。因此，在特定的情况下采取匿名化可能是维持联网车辆的益处和降低风险的好策略”。
  

比较分析

从上述分析中应该可以得出这么一个观察——“若干规定”和EDPB指南在“车内处理”方面的观点基本一致。

首先，“若干规定”采取了“告知-同意”框架，EDPB则用终端设备概念引入了电子隐私指令的保护框架。由于电子隐私指令的要求比GDPR的高，因此实际上EDPB对车内处理的要求比“若干规定”的“告知-同意”+法定例外的要求高。但是由于“若干规定”引入了向车外传输的目的限定的要求，因此总的来说，在向车外提供数据的合法情形来说，“若干规定”和EDPB指南的强度基本持平。

再次，终止、查询、删除等持续控制性权利，以及匿名化原则方面，“若干规定”和EDPB指南的强度同样是基本持平。

综上可以看出，对于“车内处理”原则的观点，“若干规定”和EDPB指南基本一致。（完）

数据保护官（DPO）社群主要成员是个人信息保护和数据安全一线工作者。他们主要来自于国内头部的互联网公司、安全公司、律所、会计师事务所、高校、研究机构等。在从事本职工作的同时，DPO社群成员还放眼全球思考数据安全和隐私保护的最新动态、进展、趋势。2018年5月，DPO社群举行了第一次线下沙龙。沙龙每月一期，集中讨论不同的议题。目前DPO社群已超过300人。关于DPO社群和沙龙更多的情况如下：

域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：

DPO线下沙龙的实录见：

美国电信行业涉及外国参与的安全审查系列文

中国的网络安全审查系列文章：

自动驾驶系列文章：

数据安全法系列文章：

个人数据与域外国家安全审查系列文章

围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：

第29条工作组/EDPB关于GDPR的指导意见的翻译：

关于美国出口管制制度，本公号发表过系列文章：

供应链安全文章：

数据跨境流动政策、法律、实践的系列文章：

传染病疫情防控与个人信息保护系列文章

人脸识别系列文章：

关于欧盟技术主权相关举措的翻译和分析：

关于数据与竞争政策的翻译和分析：

关于人工智能监管指导文件的翻译：

数据安全法系列文件：

中国个人信息保护立法系列文章：