通管局报审实务：网约车平台网络安全与数据合规要点

网约车平台既是交通运输服务提供者，也是典型的互联网信息服务平台，同时受到交通运输、通信管理、公安、网信等多部门监管。通信主管部门依法对平台的信息服务资质、网络安全与个人信息保护情况实施监管。本文依据《网络预约出租汽车经营服务管理暂行办法》及2025年以来数据安全、个人信息保护领域的最新制度，梳理网约车平台合规的硬性条件与实务要点。

一、网约车平台的多重监管框架

网约车平台的合规监管，核心依据为《网络预约出租汽车经营服务管理暂行办法》（2016年交通运输部、工业和信息化部等七部门令第60号发布，先后经2019年第46号令、2022年第42号令修订）。该办法明确了平台公司、车辆、驾驶员三方资质管理的基本框架：

平台公司取得《网络预约出租汽车经营许可证》（由企业注册地出租汽车行政主管部门核发）；

车辆取得《网络预约出租汽车运输证》（由服务所在地出租汽车行政主管部门核发）；

驾驶员取得《网络预约出租汽车驾驶员证》（由服务所在地设区的市级出租汽车行政主管部门核发）。

在此基础上，网约车平台作为互联网信息服务平台，还须满足《网络安全法》《数据安全法》《个人信息保护法》《网络数据安全管理条例》以及电信和互联网信息服务管理相关规定。其中，通信主管部门（各省通信管理局）的监管职责有明确的法律依据：对平台非法收集、存储、处理和利用个人信息，违反互联网信息服务有关规定，危害网络和信息安全等行为，依法进行查处，并配合出租汽车行政主管部门对违法违规平台依法处置。

二、平台经营许可的法定条件

按照《暂行办法》第六条，申请从事网约车经营的平台公司，应当同时具备以下法定条件：

第一，具有企业法人资格，明确法律责任主体。

第二，具备开展网约车经营的互联网平台，以及与拟开展业务相适应的信息数据交互及处理能力，确保平台技术架构能够支撑业务规模。

第三，具备供交通、通信、公安、税务、网信等相关监管部门依法调取查询相关网络数据信息的条件，须为监管部门预留数据接口与查询权限。

第四，网络服务平台数据库接入出租汽车行政主管部门监管平台，车辆、驾驶员、订单等营运信息应实时共享。

第五，服务器设置在中国内地，满足数据境内存储要求。

第六，有符合规定的网络安全管理制度和安全保护技术措施，网络安全防护体系须成体系、可验证。

第七，使用电子支付的，应与银行、非银行支付机构签订提供支付结算服务的协议，确保支付环节合规。

需要说明的是，网约车平台通过互联网提供信息服务，应依法完成互联网信息服务备案（ICP备案）。根据工业和信息化部相关复函，网约车平台仅从事网约车相关信息发布业务的，无需办理增值电信业务经营许可证；如平台从事第三方交易处理业务，则应按照《电信业务分类目录》中业务界定申请“在线数据处理与交易处理业务”的电信业务经营许可。平台承载的数据库、业务系统还应按国家网络安全要求落实网络安全等级保护和通信网络安全防护相关要求。

三、网络安全与数据合规的核心要求

（一）安全管理制度与技术措施成体系。平台应建立覆盖组织架构、人员管理、系统建设、运行维护、事件处置的网络安全管理制度，落实网络安全等级保护要求，对承载业务的网络单元按通信网络安全防护管理要求开展定级备案、符合性评测与安全风险评估，形成闭环管理。

（二）数据接入与共享规范。平台应将提供服务的车辆、驾驶员、车辆与驾驶员对应信息等营运信息实时共享至政府监管平台，确保数据真实、完整。监管平台数据质量直接关系平台考核评价，虚报、漏报、迟报数据属于典型违规行为。

（三）个人信息保护从严。网约车平台处理的位置信息、行程信息、支付信息均属于敏感度较高的个人信息。平台应遵循最小必要原则，向用户明示收集使用规则并取得同意，提供便捷的查询、更正、删除和注销渠道，不得超越网约车业务所需范围收集信息，不得非法向第三方提供用户信息。

（四）数据出境合规。服务器设置在中国内地是法定条件。平台收集的境内用户个人信息和重要数据原则上应在境内存储，确需向境外提供的，须依法完成安全评估、认证或标准合同等合规路径。

（五）应急处置与事件报告。平台应制定网络安全事件应急预案，定期演练；发生网络安全事件或数据泄露时，按规定及时向有关部门报告，并采取补救措施。

四、通信主管部门视角下的监管事项

对网约车平台而言，通信管理局的监管集中在三个方面：

第一，信息服务资质监管。核查平台互联网信息服务备案完成情况、是否涉及应许可的电信业务等。未按规定完成备案或未取得相应许可的，依法查处。

第二，网络与信息安全监管。检查平台网络安全管理制度、技术防护措施、数据安全保护落实情况，重点关注非法收集使用个人信息、数据安全风险隐患等问题。

第三，跨部门协同处置。根据《暂行办法》确立的职责分工，通信主管部门与公安、网信部门按各自职责开展检查，并配合出租汽车行政主管部门对违规平台依法处置。平台在任何一个部门的检查中被认定违规，都可能引发多部门联动监管。

五、2026年实务要点

（一）数据安全制度全面落地。《网络数据安全管理条例》（国务院令第790号）自2025年1月1日起施行。平台作为处理大量个人信息和业务数据的主体，须按要求落实数据分类分级、风险评估、安全审计等义务。《网络数据安全风险评估办法》（国家网信办、工业和信息化部、公安部令第24号）自2026年8月20日起施行。处理重要数据的平台应按规定开展年度风险评估并报送报告。

（二）个人信息保护合规审计。根据《个人信息保护合规审计管理办法》（国家互联网信息办公室令第18号），处理超过1000万人个人信息的处理者，每两年至少开展一次个人信息保护合规审计。头部网约车平台用户规模普遍超此门槛，应尽早建立审计机制。

（三）聚合平台规范管理。2023年，交通运输部办公厅、工业和信息化部办公厅、公安部办公厅、国家市场监督管理总局办公厅联合印发《关于切实做好网约车聚合平台规范管理有关工作的通知》，对聚合平台与合作平台之间的责任边界、信息核验、安全保障义务提出了明确要求。聚合平台经营者同样需关注通信与数据安全合规要求。

（四）监管平台数据质量。各地出租汽车行政主管部门普遍依托监管平台开展服务质量测评和考核，数据接入的及时性、完整性、准确性直接影响平台经营评价，应纳入日常运营管理。

六、实务常见问题辨析

问：网约车平台合规是否只办理交通运输部门的经营许可即可？
答：不是。除交通运输部门的经营许可外，平台还须完成互联网信息服务备案、落实网络安全等级保护和通信网络安全防护要求、履行数据安全和个人信息保护义务等，涉及多个监管部门，应统筹办理、一体合规。

问：平台服务器必须放在境内吗？
答：是。《暂行办法》第六条明确要求“服务器设置在中国内地”，这是平台取得经营许可的法定条件，也是数据安全管理的基本要求。

问：用户位置和行程数据可以给关联公司使用吗？
答：需要审慎处理。向第三方提供个人信息应取得用户单独同意并符合法律规定；关联公司之间的数据共享同样受个人信息保护规则约束，不得以集团内部共享为由规避合规义务。

问：聚合平台需要承担什么安全责任？
答：根据《关于切实做好网约车聚合平台规范管理有关工作的通知》，聚合平台应依法核验接入合作平台的经营资质，建立健全安全管理制度和投诉处理机制，并对聚合服务中的信息发布、交易安全承担相应管理责任。

网约车平台合规横跨交通运输、通信管理、公安、网信多个监管条线，且数据安全、个人信息保护要求逐年加码，企业需要建立跨领域的合规能力。极创信息团队核心成员在国产化适配与信息安全领域拥有多年深厚技术积累，可为企业提供网络与信息安全管理制度建设、等保与通保合规咨询、数据安全风险评估咨询、个人信息保护合规审计等专业技术咨询服务，助力平台企业构建与业务规模相匹配的合规底座。