自2021年《中华人民共和国数据安全法》与《中华人民共和国个人信息保护法》相继生效后，我国在网络安全法、数据安全法、个人信息保护法三大上位法的基础上，陆续推出了一系列关于数据安全和个人信息保护的标准、指南、规则，我国数据安全和个人信息保护的基本法律框架已然形成。汽车数据安全与个人信息保护已成为汽车企业不可或缺的系统性合规项目。

为进一步规范汽车数据出境活动，工业和信息化部等八部门于2025年6月13日发布了《汽车数据出境安全指引（2025版）（征求意见稿）》（下称“《指引》”），标志着汽车行业将在2021年10月1日实施的《汽车数据安全管理若干规定（试行）》（下称“《规定》”）后迎来另一针对汽车行业数据合规的重要政策文件。

汽车的研发制造依赖于全球汽车供应链协作，汽车的销售则依赖于全球化的汽车经销体系。随着近年来中国汽车企业在海外市场的高歌猛进以及跨国智能汽车企业在中国的运营，汽车行业的数据跨境流动的规模和复杂性日益增加。《指引》这一关乎汽车行业数据跨境流动领域的重要政策文件的推出，将推动建立高效规范的汽车数据跨境流动机制。

《指引》明确了汽车数据处理者向境外提供汽车数据的三种路径。

（一）申报数据出境安全评估。包括向境外提供重要数据、累计向境外提供100万人以上个人信息等5类情形。

（二）订立个人信息出境标准合同或通过认证。包括累计向境外提供10万至不满100万人个人信息以及累计向境外提供不满1万人敏感个人信息这2类情形。

（三）免予申报的情形。包括境外收集的数据在境内处理后出境、跨境购车及支付、跨境人力资源管理等9类情形。其中尤为需要关注（7）（8）（9）这三类相较于《促进和规范数据跨境流动规范》新增的豁免情形。

（7）因修补安全漏洞需要，汽车数据处理者按照《网络产品安全漏洞管理规定》有关要求，已向工业和信息化部报告的安全漏洞数据；

（8）因处置安全事件需要，汽车数据处理者按照行业网络安全、数据安全事件相关应急预案，已向工业和信息化部及相关行业监管部门报告的汽车产品、车联网平台及相关系统的安全事件数据；

（9）因消除汽车产品缺陷、实施召回需要，汽车数据处理者按照《缺陷汽车产品召回管理条例》已向国家市场监督管理总局备案的OTA升级软件包对应的源代码。

上述三种情形涉及的汽车数据大概率构成《指引》定义的重要数据，但因修补安全漏洞、处置安全事件以及消除汽车缺陷、实施召回都属于紧急事态，因此对上述情形的汽车数据跨境，只要汽车数据处理者已经履行过相应的备案或报告程序，就不需要再就相关数据的出境进行重复申报。这三种新增的汽车数据出境豁免情形明显是考虑了汽车行业的实践。

上图为《指引》中发布的数据出境实施流程图，强调了企业在选择具体的合规路径前，企业还需要进行重要数据目录备案、数据识别及路径判定等数据出境活动。

《指引》基于涉及汽车数据跨境流动的六大业务场景，列明了重要数据的具体类型及详细判定标准。相关汽车数据处理者在向境外提供符合《指引》定义的“重要数据”前，需要进行申报数据出境安全评估的合规活动。

《指引》列出的六大场景分别为研发设计、生产制造、驾驶自动化、软件升级服务、联网运行以及其他情形，其下又分为众多具体场景。

可以看出，《指引》判断相关汽车数据是否属于“重要数据”大致有这几种判断逻辑：

（1）涉密、敏感信息。如涉及或经汇聚、分析后能推算出军事管理区等重要敏感区域的信息，涉密、敏感地理信息等。

（2）重要科技成果。如被列入国家重大专项、国家重点研发计划的，涉及车联网网络与数据安全、驾驶自动化功能相关成果获得省部级及以上奖励的。

（3）禁止/限制出口。如符合《中国禁止出口限制出口技术目录》中相关技术控制要点的。

（4）涉及一定数量车辆的数据收集。如涉及在境内运行的10万台以上车辆收集的。

（5）涉及一定规模或精度的数据收集。如车外真实人脸边界框最小边长为32像素以上的，涉及采集真实环境中5000万公里以上或2000小时以上的原始图片或原始影像的。

（6）公共安全。如涉及车辆启动行驶、动力丢失、紧急制动、巡航控制、车道保持功能的境内运行车辆的远程控制功能升级。

需注意，汽车重要数据的识别需要企业综合多重因素进行综合判断。目前汽车智能领域仍在高速发展，在《指引》列出的数据类型之外，企业也可在实践中参考上述判定逻辑，主动判断新类型数据是否属于重要数据。

《指引》还从管理、技术、日志以及应急处置要求四个方面，向汽车企业提出了汽车数据出境安全保护要求。

（1）管理方面，企业需明确企业内部汽车数据出境管理部门，明确汽车数据出境安全负责人，明确网络安全、数据安全、个人信息保护等方面的制度并建立汽车数据出境内部登记审批机制。

（2）技术方面，企业需要采用各类技术措施保障数据出境传输安全、对数据出境行为进行安全监测。此外，《指引》也要求汽车数据出境相关系统具备数据出境安全检查技术支持能力，留存原始流量以支持检查。

（3）日志方面，企业需要进行日志记录、留存及审计，其中网络流量、操作行为等日志的留存时间不少于3年。

（4）应急处置要求方面，企业需要建立汽车数据违规出境的处置能力，发现异常行为时应及时处置，并按有关要求向本地区行业监管部门报告