汽车行业正从传统的机械制造向高科技、数据驱动的生态系统转型。面对新挑战，奇瑞捷豹路虎汽车的董事会秘书兼法务总监程国川为车企开启数据合规的导航
今日的汽车已不仅是交通工具，更是移动的数据中心，收集和处理着海量的数据。这些数据不仅包括车辆的性能参数、用户的操作习惯，还涉及乘客的个人信息、环境信息等敏感内容。数据的广泛收集和应用，无疑给乘客与驾驶员提供了便利与舒适的体验，为汽车企业带来了前所未有的商业机遇，但与此同时，对车企的风控管理提出了不少新挑战。
数据合规不仅涉及到用户隐私的保护，还关系到企业声誉，甚至可能影响到国家安全和社会公共利益。如何确保数据的合规性成为车企不容回避的重要问题。
面对日益成熟、纷繁复杂的法律要求，车企有哪些迫切的注意要点？如何处理和保护不同类型的汽车数据？本文将深入探讨这些问题，并提出切实可行的建议和策略。
一、概览
近年来，中国逐步建立起了以《网络安全法》《数据安全法》《个人信息保护法》等法律为基础的数据保护监管体系，规范数据处理行为。汽车行业，伴随着各项前沿数据技术的普遍应用，自然也受到了监管部门的重视。
2021年8月16日，国家互联网信息办公室等五部门联合发布了《汽车数据安全管理若干规定(试行)》(下称“网信办规定”)，全面阐述了汽车数据处理活动的要求，并首次在部门规章中明确了汽车行业重要数据的范围。
工信部也随后陆续发布了《关于加强智能网联汽车生产企业及产品准入管理的意见》《关于开展汽车数据安全、网络安全等自查工作的通知》《关于加强车联网网络安全和数据安全工作的通知》等文件，强调智能网联汽车相关企业的数据安全要求。
此外，《信息安全技术汽车数据处理安全要求》(下称《安全要求》)《汽车采集数据处理安全指南》《网络安全标准实践指南—车外画面局部轮廓化处理效果验证》等标准进一步丰富了各项合规义务，给实践提供具体的指引。
面对上述规定，车企首先需要把握以下汽车数据处理的基本原则：
- 车内处理原则，除非确有必要不向车外的设备和系统提供数据；
- 默认不收集原则，除非驾驶人自主设定，每次驾驶时默认设定为不收集状态；
- 精度范围适用原则，根据所提供功能服务对数据精度的要求确定摄像头、雷达等的覆盖范围、分辨率；
- 脱敏处理原则，尽可能进行匿名化、去标识化等处理。车企若因保证行车安全需要，无法征得个人同意采集到车外个人信息且向车外提供的，则应当进行匿名化处理。
这四点原则是理解汽车数据处理要求的核心，贯穿了收集、存储、处理、传播和销毁的数据全生命周期。此外，特殊类型汽车可能涉及特殊的数据处理要求。
二、一般性合规要求
根据网信办规定第三条，汽车数据是指在汽车设计、生产、销售、使用、运维等过程中涉及的个人信息数据和重要数据。
1、个人信息
个人信息是指以电子或其他方式记录的与已识别或者可识别的自然人有关的各种信息。对车企而言，这主要涉及到驾驶员、车内乘客、车外行人以及销售中顾客的个人信息等，尤其需要关注个人信息收集时的告知和同意。
但是，在车内场景中，受限于车载显示屏的大小与一些特殊传感器的交互方式，难以像常规APP一样使用弹窗和勾选框来履行“告知-同意”义务，而法律又要求汽车数据处理者在取得个人信息主体同意时采用显著方式向个人告知。为平衡二者，车企可因地制宜，选择其他合适的方式，例如用户手册单独章条提示、语音播放、车载显示面板单独弹窗提示、汽车使用相关应用程序交互、汽车销售协议单独章条提示、维修服务协议单独章条提示或出行服务应用程序交互等。
在持续收集敏感个人信息时，《安全要求》建议处理者可以通过车载显示屏图标或信号装置指示灯的闪烁或长亮等方式提示收集状态，并根据信息类型的不同设置差异明显且清晰易懂的提示。例如，使用摄像图标闪烁或长亮提示正在收集车内视频数据，录音图标闪烁或长亮提示正在收集车内语音数据，斜向上三角图标的闪烁或长亮提示正在收集位置数据等。
在销售环节中，车企应加强经销商的管理，确保其提供的客户及潜客个人信息授权链完整且来源合法。在通过直营门店直接收集客户个人信息时，车企也需要严格遵守个人信息保护要求。曾有企业因在线下门店安装具有人脸识别功能的摄像设备，在未明示、告知消费者收集、使用目的，未取得消费者同意的情况下采集人脸信息并进行统计分析，最终被属地市场监督管理部门罚款10万元。
对此，车企可以参照2023年10月24日上海市消费者权益保护委员会和上海市汽车销售行业协会共同发布的《上海市汽车销售行业个人信息保护合规指引》，规范销售过程中的个人信息处理活动。
2、重要数据
重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益或者个人、组织合法权益的数据。网信办规定明确了汽车领域的重要数据具体包括以下六类数据：
（1）军事管理区、国防科工单位以及县级以上党政机关等重要敏感区域的地理信息、人员流量、车辆流量等数据；
（2）车辆流量、物流等反映经济运行情况的数据；
（3）汽车充电网的运行数据；
（4）包含人脸信息、车牌信息等的车外视频、图像数据；
（5）涉及个人信息主体超过10万人的个人信息；
（6）国家网信部门和国务院发展改革、工业和信息化、公安、交通运输等有关部门确定的其他可能危害国家安全、公共利益或者个人、组织合法权益的数据。
3、识别重要数据的范围能有效帮助企业判断自己是否属于重要数据处理者。处理重要数据的汽车数据处理者需要额外承担如下特殊的合规义务：
（1）年度报告。需要每年12月15日前向省、自治区、直辖市网信部门和有关部门报送年度汽车数据安全管理情况。
（2）风险评估。需按照规定开展风险评估，并向属地网信部门报送风险评估报告。实践中，根据属地网信部门的要求，风险评估报告通常会合并在汽车数据安全管理情况的年度报送工作中。
（3）出境安全评估。汽车数据处理者应当在境内存储重要数据，若因业务需要确需向境外提供的，则需要向国家网信办申报数据出境安全评估。
三、特殊数据合规要求
此外，还有两类汽车数据因其敏感性而被规章与标准进一步规定了特殊的处理要求。
1、车外数据
车外数据是指通过摄像头、雷达等传感器从汽车外部环境采集的道路、建筑、地形、交通参与者等数据，以及对其进行加工后产生的数据，可能包含人脸、车牌以及车辆流量、物流等。例如，一些智能网联汽车会安装“哨兵模式”，可以通过车身装载的摄像头监控周围环境，采集视频数据。对于车外数据，汽车企业需要：
严格遵循车内处理原则。未经个人信息主体单独同意，汽车不应通过网络向位于车外的设备和系统传输包含其个人信息的车外数据，已匿名化处理的视频、图像数据除外。匿名化过程中，除分析确定包含人脸以及车牌等个人信息的区域，以及对这些区域进行删除或局部轮廓化处理外，车企不应进行人脸比对、步态分析以及语音识别等其他处理。匿名化处理完成后，过程数据应立即删除，不应向车外提供。
《安全要求》还对匿名化的方式与效果提出了要求。匿名化处理应确保无法利用处理过的数据复原和关联识别个人信息主体，这包括两种实现方式：第一种是完整删除，即删除包含人脸以及车牌等个人信息的图像或视频帧；第二种是局部轮廓化处理，即将视频或图像中包涵上述信息的区域彻底擦除，或将其替代为无法关联个人信息主体且不可复原的其他图像。
局部轮廓化处理的效果要求还可以参考《网络安全标准实践指南—车外画面局部轮廓化处理效果验证》中提出的验证方法。
车企应谨慎提供或公开车外数据。此前有车企在其品牌汽车发生交通事故后，选择在社交平台公开行车记录仪视频等行车数据，引发了舆论争议。市面上的行车记录仪会记录汽车行驶过程中的视频图像和声音，有些还会通过车内摄像头和麦克风收集车内的图像与声音，因此往往包含车外数据和车内座舱数据，而这两类数据都有严格的车内处理的要求。此类行车数据与车主或驾驶员本人相关联，因而也构成个人信息。车企在公开或向第三方提供时也需要事先取得个人信息主体的同意或具备其他个人信息处理的合法性基础。
存储不超过法定时限要求。车外数据在远程信息服务平台等车外位置中保存时间均不应超过14天，下列特殊情况除外：
- 为优化行驶安全功能而存储的特定场景数据，但每车每天不应超过三个连续时间的数据片段，每个片段不应超过两分钟；
- 符合汽车可以通过网络向外传输座舱数据的情况，用户传输到远程信息服务平台的数据；
- 由采集训练数据的专用采集车辆或在特定区域行驶的专用测试车辆采集的数据，但车辆外部应有“测试车辆”或“数据采集车辆”及所属单位的显著标识，且驾驶人员为具备授权的特定人员；
- 新能源汽车、道路运输车辆、网络预约出租汽车依据相关行政管理要求进行存储的数据；及
- 用于生产经营的汽车产生的、生产经营者可控的位置轨迹数据。
2、座舱数据
座舱数据是指通过摄像头、红外传感器、指纹传感器或传声器等从汽车内部座舱采集的可能包含个人信息的数据，以及对其进行加工后产生的数据。例如，不少汽车会配备车内摄像头，用来监测驾驶员是否疲劳驾驶，或是支持辅助驾驶功能。对于座舱数据，车企需要：
（1）默认设定为不收集数据的状态。根据《安全要求》第六条，除非驾驶人自主设定，汽车应默认设定为不收集座舱数据的状态，包括不打开车内摄像头、传声器、红外传感器和指纹传感器等部件。当驾驶人通过实体按键或触摸按键等方式主动选择后，汽车才能开始收集信息，并可根据驾驶人设定，保持驾驶人选择的状态或恢复默认状态。
（2）不向车外提供。车企原则上不应向车外提供座舱数据，但《安全要求》提供了以下五种可以豁免车内处理原则的特殊情形：
- 为实现语音识别功能以实时判断汽车控制指令，在车外处理语音指令数据。这需要取得个人信息主体同意，功能实现后即时删除原始数据及处理结果；
- 为实现远程查看车内情况或云存储功能，向使用者提供数据。这需要取得个人信息主体同意，并采取安全措施，确保除使用者外的其他组织和个人不能访问；
- 在符合法律、法规的前提下，道路运输车辆可向所属运输企业监控平台、公共管理平台和监管机构传输数据；
- 在监管机构要求下，出租汽车和公共汽车等营运车辆可向监管机构传输数据；及
- 在执法部门要求下，道路交通事故发生后可按执法部门要求传输数据。
提供便利的终止收集数据的方式。汽车企业应允许驾驶人通过实体按键、语音控制、触摸按键以及汽车使用相关应用程序等方式便利地终止座舱数据的收集。在保证行车安全以及人身安全的情况下，驾驶人选择终止收集后，汽车应关闭车内传声器和摄像头等收集座舱数据的部件。
四、汽车数据出境
随着《促进和规范数据跨境流动规定》(下称《跨境规定》)的实施，中国的数据出境制度基本建成。根据《数据出境安全评估申报指南(第二版)》，数据出境行为具体包括三种情形：
1、数据处理者将在境内运营中收集和产生的数据传输至境外；
2、数据处理者收集和产生的数据存储在境内，境外的机构、组织或者个人可以查询、调取、下载、导出；
3、在境外处理境内自然人个人信息等其他数据处理活动。
实践中，车企出于集团人力资源管理需要向境外母公司传输员工个人信息，协助消费者订购境外进口车型，或是为提供维修服务向境外供应商传输相关汽车数据均可能构成数据出境活动。
根据公开披露的信息可知，北京现代、丰田中国、日产中国等车企已经通过了数据出境安全评估程序。中国(上海)自由贸易试验区临港新片区也在今年5月17日发布了智能网联汽车领域的一般数据清单，为区内登记注册或开展数据跨境活动的车企传输不包含个人信息的一般数据提供了指引。
根据《跨境规定》，车企可以通过以下工作来确定自己应履行的合规义务：
1、确认企业是否是关键信息基础设施运营者。如果被认定为是关键信息基础设施运营者，则无论出境个人信息或重要数据的数量多少，均需要申报数据出境安全评估。
2、盘点数据，识别和判断重要数据、个人信息和敏感个人信息。汽车行业的重要数据范围可以参考网信办规定的第三条，而敏感个人信息的识别可以参考《信息安全技术个人信息安全规范》的附录B。只要出境重要数据，无论数量多少，均需要申报数据出境安全评估。
3、梳理数据出境场景，判断是否符合豁免情形。如数据出境场景属于《跨境规定》第四条和第六条规定的六种豁免情形，则不需要参与个人信息出境数量的计算。
4、计算非豁免场景中出境的个人信息数量，选择相应的合规程序。根据《跨境规定》，出境100万人以上个人信息(不含敏感个人信息)或一万人以上敏感个人信息，需要申报数据出境安全评估；出境10万人以上、不满100万人个人信息(不含敏感个人信息)或者不满一万人敏感个人信息，则需要订立标准合同并备案或通过个人信息保护认证。
除上述常规程序外，实践中部分地区的通信管理局还会要求车企报备向境外提供重要数据的情况，报备信息包括数据出境的目的、方式、数据类型、数据规模、数据出境方情况、境外接收方情况等。
五、合规建议
数据已然成为了企业最宝贵的资产之一，但珍贵的数据资产也带来了前所未有的法律风险与挑战。对此，车企需要不断提升自身的合规能力，建全数据合规管理体系，采取有效的合规措施确保数据的安全、合法和合规使用，包括但不限于：
- 建立数据分类分级制度，梳理企业的数据资产，识别重要数据、个人信息以及其他特殊类型的汽车数据，并采取相应的保护措施；
- 建立个人信息安全影响评估制度，按照《个人信息保护法》要求评估并处置个人信息处理活动存在的安全风险；
- 建立个人信息审计制度，参考《个人信息保护合规审计管理办法(征求意见稿)》定期对内部政策、相关处理规程和安全措施的有效性进行合规审计；
- 建立网络安全和数据安全管理制度，明确负责人和管理机构，落实网络安全和数据安全保护责任；
- 重视员工的合规培训与教育，提高全员的数据安全意识。通过定期的培训和演练，使员工了解和掌握相关法律法规和公司内部的合规要求，将合规意识贯穿至企业的各个层面。
来源：商法CBLJ
作者：程国川，奇瑞捷豹路虎汽车董事会秘书兼法务总监