汽车数据安全合规④—如何实施“告知-同意”？

《汽车数据安全若干问题合规实践指南》（以下简称《指南》）是数据安全推进计划汽车工作组在2022年产出的成果之一。本指南依据国家法律法规和标准，同时参考行业最佳实践，针对汽车数据安全的重要合规内容，结合汽车行业特有场景，为汽车企业提供数据安全合规实践指引。

本系列将持续探讨汽车数据安全合规实践，希望增强汽车企业数据安全合规保障能力，提高汽车行业数据安全保护水平。

本文将聚焦“告知-同意”个人信息保护核心规则，解析合规要点，总结汽车行业典型场景，进而提出合规实践建议。

“告知-同意”

01

合规要点

《个人信息保护法》、《汽车数据安全管理若干规定（试行）》、《信息安全技术 个人信息安全规范》等个人信息保护相关法律法规、国家标准均要求个人信息处理就个人信息收集、处理的情况向用户进行充分地说明和披露，例如通过用户手册、车载显示面板、语音以及汽车使用相关应用程序等显著方式告知用户收集处理的数据种类、处理场景、存储地点和期限等内容。“告知-同意”是法律确立的个人信息保护核心规则，是保障个人对其个人信息处理知情权和决定权的重要手段。

02

典型场景

汽车企业适用“告知-同意”的典型场景包括但不限于：

• 汽车数据处理者在处理个人信息前应取得用户的同意；
• 处理敏感个人信息前应取得用户的单独同意；
• 涉及数据出境前应取得用户的单独同意；
• 处理不满十四周岁未成年人个人信息前应取得未成年人监护人的同意，并设置专门儿童个人信息处理规则；
• 汽车企业在销售、使用、售后服务等过程中向用户提供服务时，可能收集用户的身份信息、行程轨迹等个人信息，此时汽车企业依法需公开个人信息收集处理的规则。

03

合规实践建议

告知是透明度原则的体现，包括告知基本要求、告之例外、第三方产品服务或者管理。征得同意是合法性原则的体现，包括明示同意、授权同意、重新取得同意、撤回同意、单独同意。“告知-同意”的载体是个人信息保护政策（隐私政策）和用户协议。

告知用户的内容应遵循法律和国家标准的规定。

《个人信息保护法》已对告知个人信息主体的内容和方式做出规范，国家标准和行业标准等对告知内容的颗粒度进一步细化。例如，告知内容应当包括汽车数据的保存期限、地点（地级市）、用户权益事务联系人等。保存期限告知应具体明确（如确定的30天或1年等）[1]。汽车企业可参照《智能网联汽车道路测试与示范应用管理规范（试行）》、《汽车采集数据处理安全指南》等规范明确相关汽车数据的存储时间。

车载场景除了汽车企业基本情况、个人信息的收集和使用基本情况、存储情况以及个人信息主体的相关权利及实现方法基本情况等一般性告知内容，主机厂和零部件厂商的产品或服务需要特别注意确认是否存在两种场景：第一种，应确认车联网产品和服务是否存在个人信息对外向第三方提供，其中包括对外共享、转让、公开披露，如有，则应告知用户对第三方相关审核要求以及所承担的相应法律责任，并且在应用软件上要告知用户对外共享、转让、公开披露的第三方对应的基本信息。第二种，除了基本业务功能开启前的告知，应确认提供的产品或服务是否存在扩展功能，在扩展业务功能开启前，应向个人信息主体逐一告知提供所扩展业务功能及所必要收集的个人信息的基本情况。

告知同意可兼顾合规性和用户体验。

在满足个人信息特别是敏感个人信息告知同意基本要求的前提下，车载产品或者服务系统中应用软件的告知时机与频率应与用户体验感及舒适度相平衡，告知的时机需要考虑在下载安装前、首次使用前、信息收集前、信息变更前、信息对外共享、转让、披露前、应用软件卸载前、应用软件停止运营时、安全事件发生时、间接获取个人信息时和通过其他载体收集个人信息时。如果告知的时间点和收集个人信息的时间点相差很大，建议汽车企业在进一步收集个人信息之前再次告知，以便个人信息主体意识到告知与个人信息收集之间的关系。

汽车企业应当以适当的频率或时间间隔确认现有的同意或征得个人信息主体的新同意。应当避免告知的频率过低，导致告知的内容与时机情况不符；同时避免告知的频率过高对个人信息主体造成不必要的打扰[2]。因此车企和零部件厂商在车辆开发周期内应充分考虑和规划业务功能所需要收集的个人信息（特别是敏感个人信息）的必要性，非必要不收集，尽量避免车辆上市后由于个人信息收集的变化频繁更新隐私政策，给用户带来不好的体验感。如果有功能需要持续收集敏感个人信息，建议结合成本和用户体验综合考虑选择合适的明确标识或突出显示。

采取现实可行的多样性技术方案。

告知方式包括但不限于通过用户手册（单独章节提示）、车载显示面板弹窗提示、语音播放、汽车使用相关应用程序等显著方式告知车主收集处理个人信息的目的、种类和方式，强调车主停止收集和删除个人信息的方式和途径[3]。

汽车企业基于导航、GPS定位的需求收集车主的行程轨迹信息；基于身份验证、行车安全监测等需要收集车主的人脸信息，汽车企业可以通过用户对《隐私政策》、《用户协议》等文本的勾选，以及单独弹窗、单独语音提示或另行签署《车载单独同意函》的方式获得用户对其个人信息处理的同意。例如，智能车联网场景下可以对单次收集个人人脸、音视频信息取得车主“语音回复同意”；在传感器收集车内外信息时，语音提示用户正在收集个人信息和数据的范围、处理方式与目的等，如车端语音提示：“为保障您的行车安全，我们可能会收集您行驶过程中的心率并实时处理”。

保障个人信息权利主体撤回同意的权利。

当用户想撤回对其个人信息处理的同意时，可通过汽车智能终端、APP自助服务、客服热线等方式为用户提供变更或撤回同意的途径和受理用户汽车数据安全投诉，接到投诉后10个工作日内处理并记录处理过程及结果[4]。汽车用户若想改变授权，企业应当设立便捷的机制使个人信息主体能够变更其授权同意；如果用户无法变更同意，企业作为汽车数据处理者需要向用户解释造成这种情况的原因。

中国信息通信研究院推出数据安全治理能力评估汽车专项（简称：DSG-V评估），在DSG评估的基础上，融合汽车行业数据安全相关标准，以满足汽车业企业的特有评估需求。详情请了解“一图读懂DSG系列评估”。
DSG系列评估持续征集参评企业，欢迎广大企业垂询合作！联系人：刘雪花电话：[phone](微信同号)邮箱：[e-mail]

[1]参见：《信息安全技术 汽车数据处理安全要求》 4.1

[2]参见：《信息安全技术 个人信息告知同意指南（征求意见稿）》 8.4[3]参见：《信息安全技术 汽车数据处理安全要求》 4.1[4]参见：《信息安全技术 汽车数据处理安全要求》 7.4

往期推荐

1

2

3

4

5