编者按：
发展新能源汽车是我国从汽车大国迈向汽车强国的必由之路，在政策和市场的双重作用下，2023年上半年新能源汽车累计销量374.7万辆，渗透率达到 28.3%，同比增长44.1%，全年销量有望达到900万辆左右。数据是新能源汽车新的“燃料”。数据合规是自动驾驶的开端，其目的是让数据驱动智能驾驶的发展，如果说电动车的上半场比拼的是电池续航能力，那下半场比拼的一定是基于数据的智能化驱动，而这一切的前提是海量数据在合规的前提下驱动智能化的研发。本文根据张迪律师2023年9月5日直播讲稿整理，重点解读了新能源汽车数据合规政策趋势，首次全面梳理了新能源汽车数据合规业务场景，并深入探索了众多合规场景中的难点重点。
一、新能源汽车数据合规政策趋势
（一）概述
我国已经形成以《网络安全法》《数据安全法》《个人信息保护法》“三驾马车”为顶层设计的数据合规法律体系框架，2023年5月5日，工信部发布《汽车整车信息安全技术要求》和《智能网联汽车自动驾驶数据记录系统》两项智能网联汽车领域强制性国家标准，继《汽车软件升级通用技术要求》审查后，汽标委首批规划的3项强制国家标准均已进入发布前的最后阶段。自此，汽车行业已经形成“强制性国家标准+汽车企业与产品准入合规要求”的系统性前端合规要求，为后续汽车行业法律层面合规文件的出台奠定良好基础。
（二）国内立法政策趋势
当前国内有关新能源汽车行业合规立法表现为业务驱动，场景复杂且法规频出的特点，呈现出产业化、场景化、小切口的趋势：
产业化层面，如《汽车数据安全若干规定（试行）》首次提出汽车数据的概念，并针对汽车产业数据产量巨大等特点给予具体指导意见，为汽车数据合规工作的开展提供充分指导；
场景化方面，当前数据合规工作更侧重基于业务场景深度挖掘具体业务场景是否真正实现设计与制度层面的合规，并通过实践反复验证实操与制度是否相一致，汽车合规立法更呈现出该特点，立法过程中邀请行业代表性企业与相关专家学者、律师、监管部门参与，多维度研讨制定合规标准，如《汽车数据安全若干规定（试行）》契合汽车产业的真实场景，区分车内与车外场景，提出“座舱数据”和“车外数据”的概念；
另外，由于法律具备滞后性的局限性，无法涵盖所有实践性问题，汽车行业合规法规及标准针对实务中遇到的具体困惑给出了具体指导意见，同时更加关注小切口的具体实操问题，遇到问题解决问题，进而出台相关规定，在实施过程中再征求意见以实现不断完善。
二、新能源汽车数据合规业务场景
（一）基本概念
汽车数据，是指汽车设计、生产、销售、使用、运维等过程中涉及的个人信息数据和重要数据。
汽车个人信息是指以电子或其他方式记录的与已识别或可识别的车主、驾驶人、乘车人、车外人员等有关的各种信息，不包括匿名化处理后的信息。
汽车敏感个人信息，是指一旦泄露或者非法使用，可能导致车主，驾驶人，乘车人，车外人员等受到歧视或者人身、财产安全受到严重危害的个人信息。
汽车重要数据是指一旦遭到篡改、破坏，泄露或者非法获取，非法利用，可能危害国家安全、公共利益或者个人、组织合法权益的数据。
汽车车况数据，当前有关车况数据是否属于个人信息存在争议，有判决持否定观点。
（二）汽车重要数据
汽车重要数据主要包括六类：
①管制区域，是指军事管理区、国防科工单位以及县级以上党政机关等重要敏感区域的地理信息、人员流量、车辆流量等数据；
②经济情况，是指车辆流量、物流等反应经济运行情况的数据；
③充电网络，是指汽车充电网运行数据，足量的充电网运行数据模型能够反向分析出国家经济发展以及汽车产业发展与布局情况；
④车外数据，包含人脸信息、车牌信息等的车外视频、图像数据，足量车外数据将极大程度反应城市及国家综合发展状况，因此，车外数据需全部进行匿名化处理；
⑤大量个人信息，即涉及个人信息主体超过10万人的个人信息；
⑥监管确定，是指国家网信部门和国务院发展改革、工业和信息化、公安、交通运输等有关部门确定的其他可能危害国家安全、公共利益或者个人、组织合法权益的数据。
（三）新能源汽车数据合规业务场景
新能源汽车数据合规业务场景主要分为企业场景与汽车产品场景两大类。
1.企业场景
新能源汽车收集相关数据信息，本质上仍是由车企从事实际数据的收集、处理与管理工作，同时新能源汽车相关研发功能合作协议与责任协议的签订工作也以车企为主体，因此车企在新能源汽车数据合规场景中充当了重要角色，需重视企业内部部门职责划分以及风险源的监测与预防、应对工作。
2.汽车产品场景
数据合规涵盖汽车产品全链条，包括研发、生产、销售、使用、处置、合作、运营。
①产品研发端需充分结合数据合规要求，避免踩红线产品的产生，降低企业合规成本，包括产品设计、技术研发以及跨境联合研发三个具体场景：
首先，在产品设计过程中，涉及个人信息场景时需履行“告知+同意”义务，确保充分满足授权要求并获取用户单独同意；同时应遵循以“车内处理”为原则，尽量降低向车外提供数据的功能需求并考虑是否存在车内处理的替代方案；对于座舱数据应坚持“默认不收集”的原则，只有在驾驶人主动选择后方可收集，但可设定同意期限。
其次，在技术研发过程中，需遵循合规思路展开研发工作，如人机交互功能存在的必要性，自动驾驶仿真测试数据处理问题，以及研发使用数据匿名化问题；
最后，在跨境联合研发过程中，需根据不同国家数据合规要求展开研发活动。
②生产端需保障采购环节数据合规，加大对供应商及其产品合规能力的审核力度；
③销售端作为数据合规重要环节，由于涉及众多销售主体与大量个人信息，需企业加大合规管理投入力度。
第一，在店员询问登记信息场景以及问卷调查基本信息下涉及收集个人基本信息，需遵循最小必要原则，并告知用户信息用途并获取其同意，若通过线上渠道进一步收集个人信息，需告知用户并获取其同意，并就信息共享机制展开管理。
第二，门店摄像头收集人脸信息涉及敏感个人信息相关问题，若使用热红外成像技术则不属于个人信息；
第三，在试坐与试驾阶段，车企需对于使用过车中涉及到的相关数据信息进行匿名化处理。
④使用端需保障汽车名义使用人与实际使用人等相关主体信息受到保护，同时重点关注车外摄像头数据合规问题，一方面在辅助自动驾驶场景中会涉及车外数据采集，包括人脸信息与重要数据，同时地面移动测量也会涉及测绘资质问题；另一方面在远程监控时，车外数据采集会涉及人脸信息等敏感个人信息以及地理信息、人员流量与车辆流量等重要数据而不符合最小必要原则，所以并非业务必要功能，通过APP向车外传输不符合车内处理原则，可能会威胁到车辆数据安全以及车外行人隐私安全，目前多家车企已经关闭该功能。
⑤处置端需确保在车辆处分时能够强制删除处理车辆所已经搜集到的数据信息，主要包括二手车交易与报废环节。一方面，二手车交易场景下，需要明确是否将原车辆信息共享给第三方，此时需获取原车主同意并限制使用目的；同时在新车主身份认定方面将涉及个人基本信息收集问题，同时应确保删除原车主个人信息且不可恢复。另一方面，在报废环节，应确保原车主个人信息予以删除并不可恢复。
⑥合作、运营端需提升各环节数据保护力度。
三、新能源汽车数据合规重点难点
（一）新能源汽车数据合规重点
1.数据分类分级保护制度
数据分类分级保护制度存在不同划分维度。在数据分类方面，以保护法益为标准，可以分为企业数据、个人数据（进一步区分为一般个人信息与敏感个人信息）、重要数据乃至“国家核心数据”；以数据来源为标准，可分为用户数据、车辆技术数据和交通环境数据；以实例为标准，则可分为个人数据、车辆数据、行业数据、充电网数据以及交通路网数据。
数据分级方面，通常划分为一般数据、重要数据与敏感数据，此外也存在基本级与增强级保护数据的划分，以实例为标准，则可分为一般数据（1-4级）、重要数据以及核心数据。
在重要数据识别方面，需结合企业具体业务场景进行识别。此外，涉及到数据收集，需视企业自身业务特点与发展情况确定场景颗粒度。
2.年度汽车数据安全管理报告制度
企业开展重要数据处理活动或处理个人信息量达10万，需先行开展重要数据风险自评估并出具自评估报告，并向相关网信部门报送，涉及重要数据出境的，需提交重要数据出境补充报告，报送内容包括：
①汽车数据安全管理负责人、用户权益事务联系人的姓名和联系方式；
②处理汽车数据的种类、规模、目的和必要性；
③汽车数据的安全防护和管理措施，包括保存地点、期限等；
④向境内第三方提供汽车数据情况；
⑤汽车数据安全事件和处置情况；
⑥汽车数据相关的用户投诉和处理情况；
⑦国家网信部门会同国务院工业和信息化、公安、交通运输等有关部门明确的其他汽车数据安全管理情况。
3.汽车数据处理四项基本原则
契合汽车产业场景的最小必要原则具体表现为：
①车内处理原则，要求汽车数据处理者除非确有必要，否则不向车外提供；
②默认不收集原则，要求除非驾驶人自主设定，否则每次驾驶时默认设定为不收集状态；
③精度范围适用原则，要求汽车数据处理者根据所提供功能服务对数据精度的要求确定摄像头、雷达等的覆盖范围、分辨率；
④脱敏处理原则，要求汽车数据处理者尽可能进行匿名化、去标识化等处理。
4. 敏感个人信息
《汽车数据安全管理若干规定(试行)》第九条规定汽车数据处理者处理敏感个人信息时，应当符合以下要求或者符合法律、行政法规和强制性国家标准等其他要求：
①具有直接服务于个人的目的，包括增强行车安全、辅助驾驶、导航等；
②通过用户手册、车载显示面板、语音以及汽车使用相关应用程序等显著方式告知必要性及对个人的影响；
③应当取得个人单独同意，个人可以自主设定同意期限；
④在保证行车安全的前提下，以适当方式提示收集状态，为个人终止收集提供便利；
⑤个人要求删除时，汽车数据处理者应当在十个工作日内删除。
汽车数据处理者具有增强行车安全的目的和充分的必要性，方可收集指纹、声纹、人脸、心率等生物识别特征信息。
- 重要数据：事先自评估+补充报告+年报
重要数据处理活动自评估风险报告内容包括：处理重要数据种类、数量、范围、保存地点与期限、使用方式；开展数据处理活动情况，是否向第三方提供；数据安全风险及应对措施。
重要数据出境补充报告内容包括：接收者的基本情况；出境汽车数据的种类、规模、目的和必要性；汽车数据在境外的保存地点、期限、范围和方式；涉及向境外提供汽车数据的用户投诉和处理情况；国家网信部门会同国务院工业和信息化、公安、交通运输等有关部门明确的向境外提供汽车数据需要报告的其他情况。
汽车产业企业，尤其是车联网产业企业由于涉及交通重要行业和领域，不排除被认定为关键信息基础设施运营者的可能。
6. 数据出境
第一，车外数据、座舱数据、位置轨迹数据属于禁止出境数据；
第二，对于运行数据、重要数据，需进行评估后符合要求方可出境；
第三，非重要数据属于备案出境；
第四，符合要求的个人信息，则通过标准合同出境。
对于掌握超过100万用户个人信息的运营者赴国外上市的企业，如滴滴，则需申报网络安全审查。
重要数据向境外提供的法定条件为“因业务需要确需向境外提供”，其他理由，如跨国企业的全球运营管理等均不构成法定条件。
（二）新能源汽车合规难点
当前汽车数据合规难点主要包括以下几点：
①全球化数据合规要求。外企面临跨国管理，中企面临出海问题，全球化数据合规带来巨大挑战，合规成本大大增高；
②非结构化数据保护。区别于传统的结构化的文本数据，汽车数据存在大量语音、视频、图像等非结构化数据，其识别及保护存在一定难度；
③第三方数据合规管理。汽车产业链非常庞大和复杂，涉及大量的供应商，营销和服务端也涉及大量的合作方，企业通常通过协议进行约束；
④前沿技术与合规平衡。高清摄像头、自动驾驶、AIGC等前沿技术的发展，互联网思维与“车内处理”为原则的谨慎合规思维之间的平衡；
⑤数据权属与车企风控。发生自动驾驶/新能源汽车发生事故/质量问题时，汽车数据的权属应当归车企还是车主，一直为争论不休的问题；
⑥侵权责任和产品责任。随着自动驾驶的发展，交通事故责任也变得更加复杂，如何界定驾驶人和汽车/系统生产商之间的责任仍有待解决。