智能网联汽车数据安全与跨境流动（上篇）

今年以来，国家层面陆续出台了许多与汽车数据相关的法律法规，近日五部委联合发布的《汽车数据安全管理若干规定（试行）》更是引起广泛关注。汽车数据处理者有必要了解智能网联汽车数据相应法律、法规，建立健全汽车数据安全合规制度，积极防范数据安全风险。

为此，企业首先要了解何为智能网联汽车数据？我国对于智能网联汽车数据有哪些管理规定和要求？企业应当如何防范数据安全法律风险？

汽车数据安全风险是全汽车产业链参与者应当共同关注、共同防范的问题。汽车数据处理者应当建立健全汽车数据安全合规制度，符合我国汽车数据安全的相关法规。

2021年8月20日，国家互联网信息办公室、国家发展和改革委员会、工业和信息化部、公安部、交通运输部五部委联合发布《汽车数据安全管理若干规定（试行）》（“汽车数据安全新规”），自2021年10月1日起施行。

其中汽车数据安全新规将《汽车数据安全管理若干规定（征求意见稿）》中的“网络运营者”的概念转化为“汽车数据处理者”，更贴近汽车行业实务中对数据的处理模式；对于重要数据，汽车数据安全新规以列举的方式加以明确；此外，汽车数据安全新规还明确了处理个人信息和重要数据的原则、个人敏感信息的处理要求、个人信息与重要数据跨境传输的相关要求、用户同意的特殊规定以及要求进行年度报告，加强数据安全管理的平台建设、建立投诉举报通道的规定。


ICMA智联出行研究院执行院长 何姍姍
（邮箱：sshe@autoailaw.com）

本文根据何姍姍近日在“中德汽车产业发展合作论坛暨中德汽车产业链CEO峰会”上发表的有关汽车数据安全的演讲内容，结合最新出台的《汽车数据安全管理若干规定（试行）》，对发言内容有所调整。

关于智能网联汽车数据的跨境流动内容请期待下一篇文章。

上篇：智能网联汽车数据安全

智能网联汽车数据安全与治理，是传统汽车行业在新技术和数字经济快速发展新形势下面临的新问题。智能网联汽车在行驶中可以收集到大量的周边环境信息、道路信息和个人信息等数据，一旦泄露或被滥用，对国家安全、社会安全和个人安全都是极大的隐患。



立法者和监管部门也意识到汽车数据安全的重要性，今年4月份以来，国家层面陆续出台了许多与汽车数据相关的法律法规，例如工信部发布《关于加强智能网联汽车生产企业及产品准入管理的意见》、网信办等五部门发布《汽车数据安全管理若干规定（试行）》，国家正在加强对汽车数据安全的规制和监管。

因此，汽车数据处理者有必要了解智能网联汽车数据相应法律、法规，建立健全汽车数据安全合规制度，积极防范数据安全风险。为此，企业首先要了解何为智能网联汽车数据？我国对于智能网联汽车数据有哪些管理规定和要求？企业应当如何防范数据安全法律风险？

一  智能网联汽车数据

从业务角度，智能网联汽车涉及的数据可大致划分为车辆的工况数据、车控类数据，环境感知类数据、地理信息数据、个人数据以及应用服务类数据等。

从法律法规的角度，智能网联汽车数据中需要重点关注的数据类型主要是个人信息、重要数据和测绘地理信息等，这几类数据存在交叉，在处理活动中面临比一般数据更为严格的管理制度。具体到《汽车数据安全管理若干规定（试行）》，汽车数据是指包括汽车设计、生产、销售、使用、运维等过程中的涉及个人信息数据和重要数据。

我国对数据实行分级分类保护制度，根据数据的风险程度对不同类型和级别的数据实施不同的管理制度，对企业来说，应该根据数据分级分类实施不同的内控制度。

1  智能网联汽车产生了哪些重要数据？

以往对重要数据只有定性的安排，但其具体范围一直不够明晰。《汽车数据安全管理若干规定（试行）》率先对汽车行业的重要数据进行列举，具体包括：

1. 军事管理区、国防科工单位以及县级以上党政机关等重要敏感区域的地理信息、人员流量、车辆流量等数据；

2. 车辆流量、物流等反映经济运行情况的数据；

3. 汽车充电网的运行数据；

4. 包含人脸信息、车牌信息等的车外视频、图像数据；

5. 涉及个人信息主体超过10万人的个人信息；

6. 有关部门确定的其他可能危害国家安全、公共利益或者个人、组织合法权益的数据。

这意味着大部分车企、零部件供应商等汽车产业链上的企业所运营的数据都被囊括进重要数据的范畴，相关企业应注意遵守风险评估报告、出境安全评估等重要数据处理义务。

2  智能网联汽车产生了哪些个人信息？

个人信息的范围较为广泛，根据《民法典》和《个人信息保护法》对个人信息的定义，由一辆车产生的大多数数据都可能构成个人信息。

个人信息可以分为直接可识别的个人信息和间接可识别的个人信息。

1. 直接可识别的个人信息：是指可以单独、直接识别出自然人的信息，例如驾驶员的姓名、身份证号等；

2. 间接可识别的个人信息：是指通过与其他资料相结合，从而识别出自然人的信息，例如通过与车辆识别号（VIN）相结合，一辆车行驶旅程的细节、车辆使用行为数据、技术数据、车辆状况数据等都可能会被认定为是个人信息。在实践中，间接可识别的个人信息容易被忽视，易引发合规风险。

此外，根据个人信息的敏感程度不同，个人信息中还包括个人信息敏感信息、生物识别特征信息等保护要求更高的类型，在处理个人信息敏感信息、生物识别特征信息时应遵守更为严格的处理规定。

3  智能网联汽车产生了哪些测绘地理信息？

由于智能网联汽车搭载了摄像头、激光雷达等各种先进的传感器，其运行中可采集周围环境、建筑、道路等的形状、大小、空间位置和属性等信息，落入测绘地理信息的范畴，部分测绘地理信息还可能落入国家秘密的范畴，测绘地理信息的收集、加工、存储和表达等都受到测绘法律法规和保密法律法规的严格约束。

二  智能网联汽车数据法律体系

智能网联汽车数据共涉及六个方面的法律法规，分别为国家安全、网络安全、地理信息安全、核心数据和重要数据安全、个人信息安全、产品责任与事故责任。

其中，《网络安全法》《数据安全法》《个人信息保护法》构成了我国网络和数据安全保护、重要数据和核心数据安全、个人信息安全的基础。在此之上，我国也形成了一系列的配套法规和标准。《汽车数据安全管理若干规定（试行）》属于汽车行业数据安全管理的特别规定。

以《测绘法》为基础的测绘法律法规本是一套成熟的法律体系，智能网联汽车涉及的测绘地理信息的收集、加工、存储和表达等都要受到测绘法律法规的约束。

此外，近期发生的一些智能网联汽车事故、维权等热点事件也表明，数据在智能网联汽车交通责任判定中愈发重要，事故数据如何记录、存储和调取等有待法律法规明晰，事故数据的规则体系如何与其他数据法律体系相协调也是值得进一步探讨的话题。

三  智能网联汽车数据安全涉及哪些合规义务主体？

智能网联汽车产业链长，参与方和利益相关方众多。相应地，汽车数据相关的处理活动中，从研发、生产到销售、售后环节的数据采集、传输、存储等处理活动中的参与方和利益相关方亦十分多样。



《汽车数据安全管理若干规定（试行）》明确规定，开展汽车数据处理活动的组织，包括汽车制造商、零部件和软件供应商、经销商、维修机构以及出行服务企业等都应遵守该规定和其他相关法律、法规的要求。

四  智能网联汽车数据的安全风险来源于哪里？

对于智能网联汽车来说，可能导致数据安全风险的环节非常多，包括车辆本身、汽车制造商以及其他汽车制造、流通和使用环节的参与方等。

随着智能化和网联化的发展，汽车的攻击面不断扩大，车机系统、车载零部件、车辆数据库、车载诊断系统等均易遭到攻击；汽车制造商自身的数据安全能力也至关重要，汽车制造商的系统后台、数据库、云存储平台等是另一大数据泄露环节；此外，供应商或合作方的数据安全管理不到位，也会导致车企以及消费者蒙受损失，例如汽车经销商系统后台及数据库、车企零部件及软件供应商数据库、租车或共享出行平台、第三方数据接收方系统等往往也是数据安全风险较高的环节。

因此，汽车数据安全风险是全汽车产业链应当共同关注、共同防范的问题。如前所述，产业链上中下游企业都应该根据《汽车数据安全管理若干规定（试行）》等有关规定落实数据安全保护义务。对单个企业来说，除自身数据安全建设以外，供应链数据安全风险问题也不容忽视，企业应当注意和加强对合作方/供应商的选择和评估。

五  新规之下，汽车个人信息和重要数据需要遵循哪些处理原则？

汽车数据安全新规提出了处理汽车数据的四项原则，分别是车内处理、默认不收集、精度范围适用、脱敏处理原则，这四项原则要求企业在处理汽车数据时应时刻保持克制：

1. 车内处理原则：除非确有必要不向车外提供。

原则上，汽车数据应坚持车内处理，这对车端的计算和存储能力提出了很高要求。但是，该原则并非一刀切地限制数据传到车外，实际业务中，确有必要的，应根据具体场景的需求进行必要性分析和风险评估，并做好脱敏处理等措施。

2. 默认不收集原则：除非驾驶人自主设定，每次驾驶时默认设定为不收集状态。

与此前的征求意见稿相比，默认不收集原则删除了“每次都应当征得驾驶人同意授权，驾驶结束（驾驶人离开驾驶席）后本次授权自动失效”的内容。在默认不收集的前提下，将选择权交给用户，操作更为灵活，也达到了保护用户个人信息的目的。

3. 精度范围适用原则：根据所提供功能服务对数据精度的要求确定摄像头、雷达等的覆盖范围及分辨率。

该原则主要是基于地理信息安全考虑，确定传感器的最小覆盖范围及分辨率，即“够用即可”；但地理信息安全除精度外，表达内容、表达形式也是需考虑的因素，因此，该原则在具体落地过程中需要与现有的地理信息相关法规做好衔接。

4. 脱敏处理原则：尽可能匿名化、去标识化处理。

该原则规定数据处理应“尽可能”匿名化与去标识化。《规定》第8条也提到“因保证行车安全需要，无法征得个人同意采集到车外个人信息且向车外提供的，应当进行匿名化处理”。

此外，关于保存期限，汽车数据安全新规删除“最小保存期限原则”，避免了一刀切的安排，实践中更具灵活性。

六  新规之下，汽车数据安全合规义务有哪些？

汽车行业的企业在落实数据安全合规义务时应注意以下三点：一是，智能网联汽车全产业链的企业都应当遵守数据安全、数据跨境流动的监管规则；二是，法律对于不同角色的主体规定了不同的义务，并且不同的数据类型对应的风险不同，企业内部对数据应进行分级分类管理；第三，企业应当重视对供应链数据安全风险的管控。



我们根据《数据安全法》《汽车数据安全管理若干规定（试行）》等法律法规的要求，也为企业开展汽车数据处理活动总结出以下应当履行的义务：

1  应遵循哪些一般性义务？

1. 落实网络安全等级保护等制度，加强汽车数据保护，依法履行数据安全义务；

2. 用户权益保护义务：建立投诉举报渠道，设置边界的投诉举报入口，及时处理用户的投诉举报；

3. 建立全流程数据安全管理制度；

4. 加强风险监测、补救、数据安全事件处置和报告义务；

5. 采取合法、正当的方式获取数据；

6. 配合公安、国家安全机关因维护国家安全或侦察犯罪调取数据的要求；

7. 收到境外数据调取请求时需国家主管机关批准等。

2  汽车重要数据处理者需要遵循哪些特殊义务？

汽车数据处理者在开展重要数据处理活动时，应遵守以下义务：

风险评估报告义务：定期开展风险评估，并向省、自治区、直辖市网信部门和有关部门报送风险评估报告；

重要数据境内存储和出境安全评估义务：重要数据出境应当通过国家网信部门会同国务院有关部门组织的安全评估；

配合抽查核验义务：国家网信部门会同国务院有关部门将对重要数据出境情况进行抽查核验，重要数据处理者应予以配合；

年度报告义务：每年12月15日前向省、自治区、直辖市网信部门和有关部门报送年度汽车数据安全管理情况；

明确企业内部负责机制：确定数据安全负责人和内部管理机制（《数据安全法》第27条）等；

配合数据安全评估的义务：国家网信部门和国务院有关部门有权依职责进行数据安全评估，重要数据处理者应当予以配合。

3  个人信息处理者需要遵循哪些义务？

《民法典》、《个人信息保护法》等提出了适用于各个行业的通用个人信息保护要求，汽车数据处理者也应遵守。在此之外，《汽车数据安全管理若干规定（试行）》特别强调了汽车数据处理者在开展个人信息处理活动时，应遵守以下义务：

告知义务：应当以显著方式告知处理个人信息种类、收集情境、停止收集方式途径等相关信息；

征得同意：应当取得个人同意或者符合法律、行政法规规定的其他情形；

匿名化处理：对于无法取得同意且向车外提供的的个人信息，应当进行匿名化处理；

处理敏感个人信息的特殊要求：满足限定处理目的、提示收集状态、为个人终止收集提供便利等；

处理个人生物识别特征信息的特别要求：汽车数据处理者具有增强行车安全的目的和充分的必要性方可收集。

七  企业如何防范数据安全法律风险？

首先，所有的汽车数据处理者，应当尽早自行组织或者委托专业机构对本企业数据处理活动的合规性开展自查，识别风险，并进行合规差距分析。

第二，建议企业针对供应链开展全链条风险管理工作，包括针对研发、生产、销售、售后、车联网服务、供应商管理、经销商管理、其他第三方管理等环节的数据风险排查。

第三，企业应建立符合监管要求的数据分级分类体系。开展数据盘点工作，识别个人信息、重要数据、测绘地理信息等受到严格监管的数据类型，建立符合监管要求的数据分级分类体系。

第四，建议企业建立健全数据安全管理制度。从组织机构搭建、制度流程建设、系统完善、意识增强等方面建立和健全数据安全管理制度，落实数据安全保护义务。
以上是企业应对未来法规监管需要提前做好的准备工作，我们建议企业面对监管要保持开放和建设性的心态，早做应对。