“汽车数据安全新规”视角下智能网联汽车行业数据合规初探

编者按

本文荣获第八届

杭州律师论坛互联网信息分论坛三等奖

一概述

在汽车行业不断智能化、互联化的当下，传统工业产品与通信技术、互联科技、电子技术互相融合从而逐渐形成了车联网的新业态。新技术提升的是驾乘的体验感和操纵的便利性，但也由此为汽车行业在各方面的安全带来重大风险。比如车辆行驶安全、个人隐私泄露、网络安全甚至国家安全等种种问题都因车联网的技术革新而浮现在社会公众面前。

互联网行业一直信奉“数据为王”，而2021年初《民法典》的颁布实施使得数据安全、个人信息保护再一次成为社会关注的热点。此外，国家在近年连续出台数据安全的法律法规、政策和各类技术安全标准初步建立起了车联网产业标准体系。2021年7月发生的“滴滴赴美上市”事件引起国家网信办、公安部、国安部、等七个部门的联合调查，引发了舆论对于数据安全的激烈讨论。

对汽车相关企业而言，数据已经不仅仅是企业的重要资产，数据的管理不善如威胁到国家安全可能随时变身成为阻碍企业正常经营的“定时炸弹”。因此，智能网联汽车的数据安全合规是企业合规实务中的新课题。本文尝试以去年发布的新规为例对目前实务中的政策进行梳理，为智能汽车相关的企业合规提供新的思路和建议。

二智能网联汽车数据安全监管现状

2021年《数据安全法》与《个人信息保护法》的正式实施是在《国家安全法》、《网络安全法》的基础上单独将数据安全、个人信息以法律的形式进行保护，使得数据和个人信息保护有法可依。同年7月工业和信息化部发布《关于加强智能网联汽车生产企业及产品准入管理的意见》首先将数据安全、个人信息纳入智能汽车的产品准入标准。网信办发布的《汽车数据安全管理若干规定（试行）》（以下简称“《试行规定》”）专门针对汽车行业数据信息管理进行了具体规范，是目前具体指导市场主体进行数据管理的规范性文件。这说明在我国大数据管理的手段主要以行政监管为主。“行政监管不仅贯穿事前预防、事中监督和事后处理等个人信息保护的全过程，也可以综合运用包括风险管理、调查和处罚等多种手段，为个人信息提供多角度和全方位的保障”[ 邓辉，《我国个人信息保护行政监管的立法选择》，《交大法学》，2020年2期]。笔者总结我国目前对数据安全监管具有以下四个特点：

(一)主体广泛性

“在智能汽车的使用过程中，涉及数据从采集到传输再到处理使用，其全生命周期都存在数据安全风险隐患”[ 杨殿阁，《对当前智能汽车数据安全的 6 点看法》，汽车纵横，2021年第5期]，而数据从产生到使用的全过程根据《汽车数据安全管理若干规定（试行）》一般指汽车设计、生产、销售、使用、运维等过程，涉及到数据（处理）中的收集、存储、使用、加工、传输、提供、公开等等内容。在这个全周期中参与处理的各个组织（主要包括汽车制造商、零部件和软件供应商、经销商、维修机构以及出行服务企业等）都需受到管理规定的约束，保障数据的安全。软件等第三方技术供应商因为参与智能汽车所需要的全部感知系统、控制系统、通讯系统、执行系统的技术支持和运维不可避免地成为数据安全监管的重要对象之一。

(二)数据、信息的分类分级

“数据分类分级是数据安全制度的核心组成部分”[ 林森才，《智能汽车数据安全；有效保护与合法利用》，网络空间战略论坛，2021.07]，也是《数据安全法》首次提出的定义（第二十一条）。《试行规定》将数据信息分为：个人信息、个人敏感信息、重要数据，另根据《车联网信息服务数据安全技术要求YDT 3751-2020》将除个人信息外的数据分为一般数据、重要数据、敏感数据。《车联网信息服务个人信息保护要求YDT 3746-2020》根据敏感度不同将个人信息分为一般信息、敏感信息、重要信息。不同的级别体现的是保护措施的不同，也体现保护等级的差异。

（三）数据收集的基本原则和特殊要求

首先，《试行规定》就全部数据的安全使用提出四大基本原则：车内处理原则、默认不收集原则、精度范围适用原则、脱敏处理原则。但该原则针对的是全部数据包括个人信息，属于非强制的倡导性原则。基于智能汽车的特殊性需要，每项原则均有但书条款，可在特殊情形不予遵循。

其次，对于个人信息的收集在《民法典》、《网络安全法》、《个人信息保护法》中已确立了告知同意原则。但对于汽车运行场景中无法做到事前同意的情形，《试行规定》要求进行删除自然人画面或对局部轮廓化处理等措施进行匿名化。此外，对于敏感的个人信息的收集提出了更严格的要求，比如告知方式的显著性、使用目的的直接性、提示收集状态、设定同意期限、十日内删除等。

（四）重要数据的风险评估和跨境传输

作为重要数据的特别处理方式之一，早在《网络安全法》中就已作如下规定：“境内产生的信息数据应当在境内存储，确需向境外提供的，应当按照规定进行安全评估”。一般意义上的数据跨境传输有境内主动向外转移和境外直接远程访问两种形式。《试行规定》在此基础上强调数据处理者向境外提供重要数据，不得超出出境安全评估时明确的目的、范围、方式和数据种类、规模等。数据处理者还必须接受有关部门的核验，并在每年十二月十五日前报送年度汽车数据安全管理情况时，需另行补充报告境外接收者的基本情况、出境汽车数据的种类、规模、目的和必要性等等。2021年作为年报制度实施的第一年，在各地的数据处理单位都各自向当地监管部门进行了申报。但由于新政策的实施尚处于“试行阶段”，并未形成细化的审查标准，导致各地报送要求存在一定差异。

三智能网联汽车数据合规的困境分析

目前的立法基本构建起的汽车行业数据合规体系中主要包括：数据分类分级、数据安全风险评估、数据跨境传输管理、个人信息保护（隐私政策）等等模块。但较多行业标准和政策规定并未正式出台，实务中面临的若干问题使得企业合规难以深入开展。

（一）分级分类的标准不清晰

《试行办法》就个人信息、个人敏感信息、重要数据的概念进行了阐述，并且将“涉及个人信息主体超过10万人的个人信息”纳入重要数据的范畴。由此一般认为，数据的广义解释包含了个人信息，由于个人数据具备识别自然人身份的特征处理方式应有别于车辆本身的其他数据。

问题在于分级分类的标准尚不清晰。如果将不包含个人信息的数据进行分级只能划分为重要数据和其他普通数据两类，意味着大部分数据只需遵守四大基本原则即可符合现有规定。同时，个人信息和个人敏感信息之间的界限在车联网领域依然比较模糊，二者在构成重要数据的条件上是否有区别也不明确。若以“是否可能导致人身财产受到危害”为标准，即使是最简单的个人信息，只要具备间接可识别性都能构成“敏感”级，特别是收集未成年人的个人信息其危害性显然高于其他人群从而更应构成敏感级。若通过脱敏或匿名化处理后可降低其敏感级别，实现级别的上下浮动，那么分级则会变得更不可测。参考已发布的《车联网信息服务数据安全技术要求YDT 3751-2020》对于数据较为详细的分类分级标准，但与《试行办法》的规定还存在差异，无法直接适用。从合规角度而言分级标准应该层层递进才能引导运营者进行后续的授权设定和风险评估。

（二）知情同意规则的适用障碍

该规则在手机等日常电子产品使用过程中虽然已经屡见不鲜，但在汽车领域却始终是值得进一步研讨的问题。《试行规定》在征求意见阶段的原文是：“驾驶人的同意授权只对本次驾驶有效”；“每次都应当征求驾驶人同意授权，驾驶结束后本次授权自动失效”。而在正式实施的版本中分别表述为：“除非驾驶人自主设定，每次驾驶时默认设定为不收集状态”；对于个人敏感信息才“应当取得个人单独同意，个人可以自主设定同意期限”。正式版本中“驾驶人自行设定是否默认收集”、“自行设定同意期限”的规定更加符合日常使用的习惯，但是也留下了问题。

首先，“自主设定”的定义不明确导致授权不合法。虽然《网络安全法》及《个人信息保护法》均要求收集的数据信息应遵循最小必要性原则，要与实现产品或服务的业务功能有直接关联，没有该信息的参与，产品或服务的功能无法实现。实务当中，车企会通过设定隐私政策告知个人信息处理的规则，但隐私政策内容再完善也只能作为初次使用车辆或某一功能前的告知程序，不能将“同意隐私政策”其视为同意或授权对个人信息的各项处理。在目前汽车高度智能化的当下，较多功能或服务的设定都与初次启动相关联。假设新车第一次启动就通过中控屏幕将需要主动设定（默认收集或设定同意期限）的选项放在与普通告知项同一并连贯的授权界面中（俗称“批量授权”、“捆绑授权”），似乎无法达到“自主设定”要求的“自主性”或“单独性”。

其次，“告知同意”可能存在无效的情形。“网络服务提供商的隐私权政策通常不会单独显示，而是以小字体的方式与同意选择一起出现，这很难引起信息主体足够的重视。何况这些协议、条款或政策通常十分抽象冗长，充斥着大量不重要的含糊其辞的规定，使当事人难以理解与掌握。相反，关于个人信息处理真正重要的内容则夹杂其中，并不显著”[ 翟相娟，《个人信息保护立法中“同意规则”之检视》，《科技与法律》，2019年3期]。在APP信息收集过程中告知的有效性问题意见显现，而汽车行业比其他电子制造业有更高的技术壁垒，车辆使用人与数据收集者之间存在更大的信息差，由此驾驶人作出的所谓知晓或同意的选择主观上更难代表其真实的意思。人们往往习惯于通过手机来阅读和获取相关告知信息，但并不习惯在启动汽车前或驾驶过程中仔细阅读车辆通过各种方式汇报的隐私条款。特别是第一次驾驶就可以直接设定默认收集或同意收集的操作，往往不被用户所关注，甚至可能将该操作交由销售人员代为处理。

（三）未成年人个人信息保护的问题

2019年国家发布的《儿童个人信息网络保护规定》明确对14周岁以下未成年人的个人信息保护要求进行规范。但互联网对未成年人信息的侵犯始终没有彻底解决。在汽车领域这个问题也普遍存在，虽然汽车的驾驶人一般而言是成年人，但未成年人时常作为同乘人员而在车内成为数据收集的对象。特别对于一些车内的娱乐系统、人机交互语音功能，其经常使用者也是未成年人。而未成年人作为乘客使用车机系统或者向智能系统发布命令都会以获取相关个人信息为前提。那么在有关功能开启并获得授权时，作为监护人的家长所作出的授权同意是否自动约束其他同车的乘客？大部分隐私政策都会强调“不会在明知的情况下收集未成年人个人信息”，但是并没有明确标准如何判断“明知”，也很难确定授权人与未成年人是否真实存在监护关系。

（四）数据安全年报与数据跨境的监管问题

首先，在年报与风险评估制度中，都涉及必要性的审查，但实际上对”必要性”的定义并不明确。特别对于数据出境而言，除在中国成立数据中心之外的企业之外，跨国企业普遍都试图从境外掌握本地数据，但按照最小必要性原则如不涉及产品或服务中某一功能的实现，则很难认定出境传输的必要性。

其次，根据《试行办法》第十三条规定，“为开展重要数据处理”的主体才需要报告。按照数据处理泛指：“收集、存储、使用、加工、传输、提供、公开”的定义，却无法有效落实真实的报告主体和主管单位。因为市场上与智能汽车产业相关的主体并非集中在一个或几个区域，大企业在各地都有分支机构，更不用说各类软硬件的供应商遍布全国。是否按照各主体或各分支的注册地址或实际经营地址去确定申报对象，亦或者只需要作为实际控制人的总部（或母公司）向其注册地进行申报？而且《试行办法》第十三、十四条关于报告和评估的内容虽然对监管赋予了较大的裁量和挑战空间，在细则出台前也加大了审核标准的模糊性和风险。

再次，我国部分车企已经在开展海外市场业务，从而导致数据不仅仅涉及出境，还有在境外数据的管控也时刻遇到欧盟GDPR、美国CCPA等地方政策法规的挑战。“为了弥补自身在技术研发上的相对劣势，各国争先通过严格的数据立法在数据治理的国际博弈中取得制度先机。特别为遏制中国互联网等高新技术产业的发展，设立了极其严格的合规标准以提高数据市场准入门槛，从而构建阻碍我国互联网企业扩大海外市场份额的贸易壁垒”[ 梅 傲、侯之帅，《互联网企业跨境数据合规的困境及中国应对》，中国行政管理，2021年第6期]。

四智能网联汽车数据合规要点分析

在汽车行业的数据合规中体现的是如何在符合数据合规要求的情况下进一步保障用户的个人隐私安全、完善和增强用户的驾乘、用车体验。更重要的是，随着数据合规的诸多规范不断地出台并处于持续更新的状态，数据合规并非一蹴而就的项目，而是需要长期持续动态规范的大工程。笔者认为，本文作为汽车行业的数据合规的初步探讨，根据汽车行业的不同场景，需要合规人员对行业内各类主体的数据处理规则进行升级完善：

（一）试乘试驾阶段的数据管理和个人信息保护

试乘试驾阶段所要考虑的信息安全问题与日常租用、使用并不相同，但因为体验的短暂性和间断性在合规层面往往会被忽视。试驾车辆一般由销售方所有并免费向潜在购买者提供驾驶服务，所以开启、关闭车辆所需要的账号信息以及车辆因驾驶产生的数据并不在本文讨论范围内。但因为试驾的全过程会经由销售人员全程展示各类智能功能（比如语音互动功能或行车记录仪功能），极可能将若干试乘试驾人员在车内声音、影像资料进行收集处理，从而忽视个人信息保护所要求的知情同意和匿名化处理等问题。

在提供试驾服务前就通过书面协议或电子方式约定权利义务并告知试驾过程中的隐私政策，在取得驾驶者及同乘人员同意的情况下方可充分保障用户的权益。此外对于可能构成敏感信息的声音、影像等信息，还需要在试驾结束后主动提供明确的删除选项由用户选择是否删除有关已收集的数据。当然，技术层面可以实现的防控方式不止于此，而直接是在试驾车辆的智能系统中就设定试驾模式，在车内大屏直接展开告知同意，并在试驾结束后由试驾模式直接删除相关个人信息。

（二）日常使用时隐私政策告知及授权同意的设定

如前所述，向用户索取一次性的批量授权在合规角度不符合“自主设定”、“单独同意”的要求而存在违规风险，为此在汽车日常使用中就必须区分智能汽车的日常驾驶功能和其他为了增加用户体验而衍生出的辅助功能。目的是为了针对不同的功能和数据类型设置不同的授权时机。参照《APP收集个人信息基本要求》的表述就是：“在用户未使用相关功能时，不应提前申请与当前业务功能无关的权限”。

笔者认为，汽车使用的最基础领域在启动关闭、安全驾驶和事故维修三方面。智能汽车实现车机互联使得这些基本功能更加便捷和高效，为此而不可避免地进行数据的收集和处理。这些数据可能包含APP绑定的个人信息、车辆信息、电池状态信息、维修保养信息，对于具备远程遥控启动的车辆还可能涉及车辆定位行驶记录等。因为与驾驶车辆直接关联，根据最小必要性原则，无论是一次性永久授权还是单独多次授权均可在驾驶车辆前通过车内屏幕进行收集事项的告知和授权同意。

在实际操作层面，由销售方人员代为操作授权不符合个人信息保护的要求，因此对于初次使用的车辆应尽可能设置在销售后到交付前仅车主本人可进行初次授权同意的系统设定。

但是智能互联汽车还可能具备辅助驾驶、智能导航、碰撞预警、语音交互、代驾、泊车、组队出行、购物支付等功能。这些功能与车辆能否正常启动和驾驶可能没有直接关联，是为了更好的用户体验和进一步增强驾驶安全性便利性的需要而成为智能车辆不可或缺的部件。这类功能收集的数据和个人信息极可能构成敏感信息，应由用户在清楚需要这些功能时主动开启并进行授权同意，或者在系统识别到可提供这些功能时询问用户是否开启经同意后开始进行规则告知和授权同意程序。

此外，对于未成年人的监护人使用车辆的，还需要为他们提供单独的处理规则，对同意收集车上未成年人个人信息数据进行单独选择。

（三）数据分享、传输的合规要点

数据的共享是智能互联车辆能够完成正常驾驶、运行的前提条件，但是这又涉及第三方参与数据信息保护的问题。除了技术层面保证传输过程安全，还需要考虑传输本身是否可能侵犯个人信息。对于数据处理者与其关联方传输数据问题，虽然目前没有明确的规定，但以APP的处理规则为例，属于同一企业集团，遵守同一套管理制度、统一进行安全和运维管理的实体不视为第三方，如此是允许进行数据流动的，无需另行制定处理规则或获得新的授权。

对于第三方软件服务商或嵌入式软件开发包（第三方SDK）可能参与汽车智能功能的运行，属于对外传输。如果数据处理方要实现由第三方独立承担相关义务与责任，需要在其隐私政策中充分告知存在第三方传输的事实，并披露第三方的基本信息，提示用户务必充分了解第三方的个人信息处理规则（隐私政策）。同时对第三方SDK进行安全检测和评估(重点关注其所收集的个人信息/权限是否为实现相关功能目的所必需)，与其签署相应的个人信息保护协议。主要条款应该包括（参照《APP收集个人信息基本要求》GB/T 41391-2022）：收集个人信息的目的、方式、范围；申请的系统权限和申请目的；收集个人信息的保存期限、停止嵌入后的个人信息处理方式；个人信息安全责任和保护措施；收集个人信息是否涉及向境外提供等。

（四）数据跨境合规治理思路

首先，依然需要在分级分类的基础上明确数据处理的客体属性，梳理日常经营当中涉及的跨境数据传输的全过程。沟通协调数据接收方有关数据安全的权责。

其次，面对国际市场上各个国家和地区不同规则下的合规要求，以精准识别各国对“重要数据”、“个人信息”的不同定义为基础，在跨境前就需要对目的地国家的管制进行合法性的评估并形成日常评估机制，重点筛查出其中的重要数据以应对国内监管的审查。

再次，对境外法规的变化进行及时跟踪和调研，参考其他跨国企业的做法在综合考量利弊后，可在适当的地区部署服务器，直接设立数据中心（特别是有数据本地化要求的国家）。

五结语

目前关于数据安全管理尚有多部规范性文件和技术标准正在制定当中，《车联网网络安全和数据安全标准体系建设指南》就提出：“到2025年要形成较为完善的车联网网络安全和数据安全标准体系，完成100项以上标准的研制，支撑车联网产业安全健康发展”。当然，规范化的条文与标准终究是手段而非企业经营的最终目的。“企业在利用数据实现经济效益的同时，应兼顾社会效益，承担相应的社会责任，积极开展数据合规”[ 李玉华，冯泳琦，《数据合规的基本问题》，青少年犯罪问题，2021, (3)]。企业合规的要点就在于经济效益与社会效益的良性互动，企业的经营与合规的要求高度一致，同时还必须符合企业的经营需求，实现最终取得经济效益。

参考文献

丁晓东：《个人信息私法保护的困境与出路》，《法学研究》，2018年第6期

刘新宇：《数据保护：合规指引与规则解析》，中国法制出版社，2020年版

王亚芬：《数据收集的合规路径研究》，载微信公众号“鲸云维度”，2020年6月2日

万方：《个人信息处理中的“同意”与“同意撤回”》，中国法学，2021年第1期

江帆,常宇豪：个人信息保护中“知情同意”适用的困境与出路，经济法论坛，2018，21(02)

张新宝：《个人信息收集：告知同意原则适用的限制》，比较法研究，2019(06)

娄鹤、陈国或：《中国企业个人数据跨境传输最佳法律实践探讨》，《信息安全与通信保密》，2019年第8期

作者简介

章吴睿

浙江智仁律师事务所

专职律师

教育背景：

浙江工商大学法学院法学硕士

专业方向：

企业法律风险管理、培训，知识产权维护、诉讼，公司治理结构、股权设计

执业格言：

作为一名律师，首要的及重要的职责是，将一切置于其委托当事人的利益之下

作者简介

周佳

浙江智仁律师事务所

专职律师

杭州市律师协会第九届企业法律顾问（公司法务）专业委员会的副秘书长、杭州市西湖区公司、国际投资与贸易专委会委员

擅长企业法律、劳动用工、婚姻家事类纠纷的处理，在非诉领域，协助团队为多家顾问单位设计、制定和建立公司规章制度、风控体系。在诉讼领域，尤其在处理公司诉讼、企业用工、婚姻家事等领域中积累了较为丰富的办案经验。

作者简介

郎希颖

浙江智仁律师事务所

专职律师

专业方向：

主要致力于企业法律风险防范，合同纠纷、婚姻家事纠纷、劳动争议、公司治理等。

担任职务：

浙江省律师协会企业法律顾问专业委员会秘书；浙江智仁律师事务所团支部副书记。

主要荣誉：

杭州市律师协会第五届杭州律师论坛分论坛优胜奖

浙江中小企业法治论坛征文优秀奖

著作文章：

《浅析有限公司股东分歧之解决策略--以适用公司法规定五之第五条为鉴》《话说假期之：病假怎么请？工资怎么发？》等等