《汽车数据安全管理若干规定（征求意见稿）》 | 运营者概念
编者按
5月12日，国家互联网信息办公室会同有关部门起草了《汽车数据安全管理若干规定（征求意见稿）》（以下简称“若干规定”），并向社会公开征求意见。公号君将撰写系列文章对该若干规定做出分析，并尝试提出建议，在此分享供大家参考。本系列已经发表的文章如下：
此外，EDPB发布了《车联网个人数据保护指南》，见：
接下来，公号君将围绕着网联车辆（包括自动驾驶车辆）的安全问题不定期撰写分析文章，供大家参考和批评指正，已分享的文章包括：
本篇关注《汽车数据安全管理若干规定（征求意见稿）》中运营者这个概念。作者为刘海军。
在《汽车数据安全管理若干规定（征求意见稿）》（下文简称规定）中对于被规范的主体用了两条做了一个“运营者”的定义：
第二条运营者在中华人民共和国境内设计、生产、销售、运维、管理汽车过程中，收集、分析、存储、传输、查询、利用、删除以及向境外提供（以下统称处理）个人信息或重要数据，应当遵守相关法律法规和本规定的要求。
第三条本规定所称运营者指汽车设计、制造、服务企业或者机构，包括汽车制造商、部件和软件提供者、经销商、维修机构、网约车企业、保险公司等。
这两条组合下来，对于被规范的主体界定的还是比较清楚的，但其定义方式还是有值得探讨的地方。
首先，我们来对比一下不同法律法规中对于运营、数据处理相关角色的定义，如下图所示将他们放在一起，会发现《规定》用一个“运营者”概念将汽车价值链上的所有角色全部囊括进来，可能会带来一些问题:
图1 不同法律法规中角色的定义
1. 与网络安全法和ICT行业中运营者和设备提供者角色分离的惯例不一致
在网络安全法中、以及ICT行业的惯例，网络的运营者和设备提供商是两个不同的角色，在法律上的义务是不同的，例如在网络安全法中，网络运营者有履行等保的义务（第21条）， 网络产品提供者有遵守国家标准中强制要求的义务（第22条）领域，这实际对应了网络设备在运行态和开发制造态不同的实际情况。
而在《规定》中运营者概念包括了“部件和软件提供者”，这与网络安全法和ICT领域传统上设备和软件提供商角色与运营者概念分离的惯例不太一致。而汽车数据之所以变成一个必须规制的问题，原因还是ICT技术进入了汽车行业，根源一致，但对关键概念定义的不一致还是会造成一些概念理解上的困扰的。
例如，充电桩的设备制造商和运营商通常是不同的主体，如果受运营商委托，充电桩设备制造商在提供设备维护和技术支持过程中处理了部分充电桩的运行数据。按《规定》定义充电桩设备制造商是否就应该属于运营者？看起来是符合运营者的定义的。此场景下充电桩设备商和运营商同属于运营者，但两者所承担的义务显然差别还是非常大的。
2. 角色一对二关系在履行法律义务上的困扰
在个人信息保护法（草案）中，将数据处理者区分为“个人信息处理者”和“受托方”，这与欧盟GDPR的个人数据控制者和处理者类似。对于个人信息处理者和受托方的法律义务是不一样的，而《规定》中的运营者涵盖了个人信息处理的两个角色（一对二），在履行义务上可能会造成一些困扰。
举个例子，汽车制造商提供数据让刹车片制造商分析用户驾驶习惯和刹车片寿命的关系，假设数据中有VIN（车辆识别码），按个保法此场景下刹车片制造商属于受托方，但按《规定》，他就是运营者，而受托方和运营者的义务还是有很大不同的。
个人一点看法，《规定》虽然在第一条表明指定根据是网安法等，但在数据这一个维度上看，将来必然也要能对标数安法、个保法，对角色及其义务的规定上还是要尽量拉通来考虑一下，融合网安法里区分网络运营者、设备提供者以及个保法里区分个人信息处理者和委托方，是否将运营者角色拆分一下会更好一些？（完）
域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：
DPO线下沙龙的实录见：
美国电信行业涉及外国参与的安全审查系列文
美国电信行业涉及外国参与的安全审查（一）：基本制度介绍
美国电信行业涉及外国参与的安全审查（二）：国际性的第214节授权
美国电信行业涉及外国参与的安全审查（三）：建立外国参与安全审查的行政令
美国电信行业涉及外国参与的安全审查（四）：FCC对中国企业的陈述理由令
中国的网络安全审查系列文章：
自动驾驶系列文章：
数据安全法系列文章：
个人数据与域外国家安全审查系列文章
围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：
第29条工作组/EDPB关于GDPR的指导意见的翻译：
关于美国出口管制制度，本公号发表过系列文章：
供应链安全文章：
数据跨境流动政策、法律、实践的系列文章：
传染病疫情防控与个人信息保护系列文章
人脸识别系列文章：
关于欧盟技术主权相关举措的翻译和分析：
关于数据与竞争政策的翻译和分析：
关于人工智能监管指导文件的翻译：
数据安全法系列文件：
中国个人信息保护立法系列文章：
健康医疗大数据系列文章：