广东广悦律师事务所

前言

5月12日，国家互联网信息办公室（下称国家网信办）发布了《汽车数据安全管理若干规定（征求意见稿）》（下称意见稿或新规）。国家网信办表示，为加强个人信息和重要数据保护，规范汽车数据处理活动，根据《网络安全法》等法律法规，会同相关部门制定了意见稿，向社会公开征求意见，意见反馈截止时间为2021年6月11日。

意见稿不长，一共21条内容，但具有较强的前瞻性。中国智能汽车产业蓬勃发展，除了传统车厂，科技公司也在智能汽车赛道上摩拳擦掌。今年来，百度、小米、滴滴先后官宣变身整车制造商。在产业快速发展时期，对数据安全问题及时制定规则，让参与主体的数据处理活动有据可依，对个人信息保护和维护国家安全有重大意义。

整体而言，意见稿主要涉及运营者对个人信息和重要数据的收集、处理、存储、出境、删除。同时，对“运营者”、“个人信息”、“重要数据”的具体所指作了明确。本文对意见稿重点亮点解读如下。

一.

意见稿适用对象

基础不牢，地动山摇。数据安全领域虽然法律层级的效力文本不多，但包含法规、规章、国家标准在内的规范性文件众多。加之今年各部门、各行业针对个人信息保护新规频出，任何一个规范性文件，首先要厘清的，就是适用对象。

在智能汽车产业链中，上游包括元器件供应商、通信设备供应商、电子系统供应商等，下游则是整车厂商。在此之间，还包含大量汽车服务业角色，比如地图与数据提供商、通信服务商和车载软件提供商等。

意见稿第二条规定，其适用于在我国境内设计、生产、销售、运维、管理汽车的运营者。“运维”和“管理”意味着除了整车厂商，产业链中的上游角色，以及汽车服务企业相关主体，也受到意见稿规范和约束。对此，意见稿第三条进一步明确，“运营者”指汽车设计、制造、服务企业或者机构，包括汽车制造商、部件和软件提供者、经销商、维修机构、网约车企业、保险公司等。

二.

个人信息和重要数据的范围

个人信息和重要数据，是新规保护的两大核心。《个人信息保护法（草案）（二次审议稿）》规定，个人信息是以电子或其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

意见稿结合汽车数据安全管理的场景，将个人信息界定为包括车主、驾驶人、乘车人、行人等的个人信息，以及能够推断个人身份、描述个人行为等的各种信息。

有意思的是“行人”。传统汽车在行驶时，好似一座座信息孤岛。视线之外，谁也无法获知或传递道路交通实况信息。与此不同，行驶中的智能汽车，就像一台“数据吸尘器”，吸取的不止是车内的个人信息，车外行人也在此列。

除了个人信息，意见稿列举了重要数据的范围，包括军事管理区、国防科工等涉及国家秘密的单位、县级以上党政机关等重要敏感区域的人流车流数据，高于国家公开发布地图精度的测绘数据，汽车充电网的运行数据，道路上车辆类型、车辆流量等数据，包含人脸、声音、车牌等的车外音视频数据，以及其他可能影响国家安全、公共利益的数据。

三.

汽车数据处理原则

合法、正当和必要，是《网络安全法》明文确立的收集、使用个人信息的基本原则。意见稿和《网络安全法》一脉相承，核心原则一致。具体到汽车数据的业务场景，新规要求每次驾驶时默认不收集消费者数据，驾驶人的同意只对本次驾驶有效，驾驶结束（驾驶人离开驾驶席）后本次授权自动失效。数据原则上车内处理，确实有必要向车外提供的，应该尽可能匿名化和脱敏处理。

此外，关联着必要性原则，运营者应当根据所提供的功能服务对数据精度的要求确定摄像头、雷达等的覆盖范围、分辨率，并且根据所提供的功能服务分类型确定数据保存期限。

四.

汽车数据的收集和删除

在当前可落地的智能汽车量产成果中，“智能座舱”和“自动驾驶”是竞争的两条金线。无论哪条竞争线，都离不开对个人信息的收集。

充分告知+获取同意依旧是个人信息收集的基础性合规框架。运营者应当通过用户手册、车载显示面板等方式，告知用户收集数据的类型（比如车辆位置、生物特征、驾驶习惯、音视频）、目的、用途，收集数据的触发条件和停止收集的方法，数据保存的地点和期限。

对应个人信息“收集一瞬间，删除跑断腿”的痛点，意见稿规定运营者应当告知删除的方法步骤；驾驶人要能够随时方便地终止收集；当驾驶人要求删除时，运营者应当在2周内删除。

对于生物特征数据，新规在收集目的上作了一定限制。仅当为了方便用户使用、增加车辆电子和信息系统安全性等目的，方可收集驾驶人指纹、声纹、人脸、心律等生物特征数据。但“方便用户使用”是个父爱主义的判断标准，我们理解，如果后续没有更细化的操作规范，则诸多收集目的都可归因于为了“方便用户”。

五.

汽车数据的存储和出境

意见稿原则上要求个人信息或重要数据应境内存储。需向境外提供的，应当通过国家网信部门组织的数据出境安全评估。向境外提供数据时，不得超出安全评估时明确的目的、范围、方式和数据类型、规模等。

对于科研和商业合作需求查询利用的，运营者应主动采取措施保证数据安全。同时，意见稿严格限制对重要数据和敏感数据（车辆位置、生物特征、驾驶人或者乘车人音视频、可用于判断违法违规驾驶的数据）的查询利用。

六.

汽车数据安全管理年度报告

除了关注数据处理活动，新规为特定运营者设置了年度数据安全管理情况报告义务。处理个人信息涉及个人信息主体超过10万人或处理重要数据的运营者，应该向省网信部门和有关部门按年度报告。报告内容除了涉及数据处理，还包括数据安全事故、相关用户投诉和处理。若涉及数据出境，报告内容还包括国外接受者和数据境外存储使用等事项。

汽车越来越智能，人们期待出行生活越来越安全。一方面，是车联网平台下的道路交通安全和车辆安全；另一方面，则是车辆智能化中个人信息和数据安全。在这个意义上，我们期待看到规则的价值和力量。

附规定链接：

国家互联网信息办公室关于《汽车数据安全管理若干规定（征求意见稿）》公开征求意见的通知

声明

本微信文章仅为交流探讨之目的，不得视为广悦律师事务所或其律师出具的正式法律意见，任何仅依照本文的全部或部分内容而做出的行为及因此带来的后果均由行为人自行负责。