汽车数据安全管理若干规定（征求意见稿）

前言
5月12日，国家互联网信息办公室（下称国家网信办）发布了《汽车数据安全管理若干规定（征求意见稿）》（下称意见稿或新规）。国家网信办表示，为加强个人信息和重要数据保护，规范汽车数据处理活动，根据《网络安全法》等法律法规，会同相关部门制定了意见稿，向社会公开征求意见，意见反馈截止时间为2021年6月11日。
意见稿不长，一共21条内容，但具有较强的前瞻性。中国智能汽车产业蓬勃发展，除了传统车厂，科技公司也在智能汽车赛道上摩拳擦掌。今年来，百度、小米、滴滴先后官宣变身整车制造商。在产业快速发展时期，对数据安全问题及时制定规则，让参与主体的数据处理活动有据可依，对个人信息保护和维护国家安全有重大意义。
整体而言，意见稿主要涉及运营者对个人信息和重要数据的收集、处理、存储、出境、删除。同时，对“运营者”、“个人信息”、“重要数据”的具体所指作了明确。本文对意见稿重点亮点解读如下。
一.意见稿适用对象
基础不牢，地动山摇。
数据安全领域虽然法律层级的效力文本不多，但包含法规、规章、国家标准在内的规范性文件众多。
加之今年各部门、各行业针对个人信息保护新规频出，任何一个规范性文件，首先要厘清的，就是适用对象。
在智能汽车产业链中，上游包括元器件供应商、通信设备供应商、电子系统供应商等，下游则是整车厂商。在此之间，还包含大量汽车服务业角色，比如地图与数据提供商、通信服务商和车载软件提供商等。
意见稿第二条规定，其适用于在我国境内设计、生产、销售、运维、管理汽车的运营者。“运维”和“管理”意味着除了整车厂商，产业链中的上游角色，以及汽车服务企业相关主体，也受到意见稿规范和约束。对此，意见稿第三条进一步明确，“运营者”指汽车设计、制造、服务企业或者机构，包括汽车制造商、部件和软件提供者、经销商、维修机构、网约车企业、保险公司等。
二.个人信息和重要数据的范围
个人信息和重要数据，是新规保护的两大核心。《个人信息保护法（草案）（二次审议稿）》规定，个人信息是以电子或其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
意见稿结合汽车数据安全管理的场景，将个人信息界定为包括车主、驾驶人、乘车人、行人等的个人信息，以及能够推断个人身份、描述个人行为等的各种信息。
有意思的是“行人”。传统汽车在行驶时，好似一座座信息孤岛。视线之外，谁也无法获知或传递道路交通实况信息。与此不同，行驶中的智能汽车，就像一台“数据吸尘器”，吸取的不止是车内的个人信息，车外行人也在此列。
除了个人信息，意见稿列举了重要数据的范围，包括军事管理区、国防科工等涉及国家秘密的单位、县级以上党政机关等重要敏感区域的人流车流数据，高于国家公开发布地图精度的测绘数据，汽车充电网的运行数据，道路上车辆类型、车辆流量等数据，包含人脸、声音、车牌等的车外音视频数据，以及其他可能影响国家安全、公共利益的数据。
三.汽车数据处理原则
合法、正当和必要，是《网络安全法》明文确立的收集、使用个人信息的基本原则。意见稿和《网络安全法》一脉相承，核心原则一致。具体到汽车数据的业务场景，新规要求每次驾驶时默认不收集消费者数据，驾驶人的同意只对本次驾驶有效，驾驶结束（驾驶人离开驾驶席）后本次授权自动失效。数据原则上车内处理，确实有必要向车外提供的，应该尽可能匿名化和脱敏处理。
此外，关联着必要性原则，运营者应当根据所提供的功能服务对数据精度的要求确定摄像头、雷达等的覆盖范围、分辨率，并且根据所提供的功能服务分类型确定数据保存期限。
四.汽车数据的收集和删除
在当前可落地的智能汽车量产成果中，“智能座舱”和“自动驾驶”是竞争的两条金线。无论哪条竞争线，都离不开对个人信息的收集。
充分告知+获取同意依旧是个人信息收集的基础性合规框架。运营者应当通过用户手册、车载显示面板等方式，告知用户收集数据的类型（比如车辆位置、生物特征、驾驶习惯、音视频）、目的、用途，收集数据的触发条件和停止收集的方法，数据保存的地点和期限。
对应个人信息“收集一瞬间，删除跑断腿”的痛点，意见稿规定运营者应当告知删除的方法步骤；驾驶人要能够随时方便地终止收集；当驾驶人要求删除时，运营者应当在2周内删除。
对于生物特征数据，新规在收集目的上作了一定限制。仅当为了方便用户使用、增加车辆电子和信息系统安全性等目的，方可收集驾驶人指纹、声纹、人脸、心律等生物特征数据。但“方便用户使用”是个父爱主义的判断标准，我们理解，如果后续没有更细化的操作规范，则诸多收集目的都可归因于为了“方便用户”。
五.汽车数据的存储和出境
意见稿原则上要求个人信息或重要数据应境内存储。
需向境外提供的，应当通过国家网信部门组织的数据出境安全评估。
向境外提供数据时，不得超出安全评估时明确的目的、范围、方式和数据类型、规模等。
对于科研和商业合作需求查询利用的，运营者应主动采取措施保证数据安全。同时，意见稿严格限制对重要数据和敏感数据（车辆位置、生物特征、驾驶人或者乘车人音视频、可用于判断违法违规驾驶的数据）的查询利用。
六.汽车数据安全管理年度报告
除了关注数据处理活动，新规为特定运营者设置了年度数据安全管理情况报告义务。处理个人信息涉及个人信息主体超过10万人或处理重要数据的运营者，应该向省网信部门和有关部门按年度报告。报告内容除了涉及数据处理，还包括数据安全事故、相关用户投诉和处理。若涉及数据出境，报告内容还包括国外接受者和数据境外存储使用等事项。
汽车越来越智能，人们期待出行生活越来越安全。一方面，是车联网平台下的道路交通安全和车辆安全；另一方面，则是车辆智能化中个人信息和数据安全。在这个意义上，我们期待看到规则的价值和力量。
附规定链接：
国家互联网信息办公室关于《汽车数据安全管理若干规定（征求意见稿）》公开征求意见的通知
为加强个人信息和重要数据保护，规范汽车数据处理活动，根据《中华人民共和国网络安全法》等法律法规，国家互联网信息办公室会同有关部门起草了《汽车数据安全管理若干规定（征求意见稿）》，现向社会公开征求意见。公众可通过以下途径和方式提出反馈意见：
1.登录中华人民共和国司法部 中国政府法制信息网（www.moj.gov.cn、www.chinalaw.gov.cn），进入首页主菜单的“立法意见征集”栏目提出意见。
2.通过电子邮件方式发送至：zqyj@cac.gov.cn。
3.通过信函方式将意见寄至：北京市西城区车公庄大街11号国家互联网信息办公室，邮编100044，并在信封上注明“汽车数据安全管理若干规定征求意见”。
意见反馈截止时间为2021年6月11日。
附件：汽车数据安全管理若干规定（征求意见稿）
国家互联网信息办公室
2021年5月12日
汽车数据安全管理若干规定
（征求意见稿）
第一条为了加强个人信息和重要数据保护，规范汽车数据处理活动，维护国家安全和公共利益，根据《中华人民共和国网络安全法》等法律法规，制定本规定。
第二条运营者在中华人民共和国境内设计、生产、销售、运维、管理汽车过程中，收集、分析、存储、传输、查询、利用、删除以及向境外提供（以下统称处理）个人信息或重要数据，应当遵守相关法律法规和本规定的要求。
第三条本规定所称运营者指汽车设计、制造、服务企业或者机构，包括汽车制造商、部件和软件提供者、经销商、维修机构、网约车企业、保险公司等。
本规定所称个人信息包括车主、驾驶人、乘车人、行人等的个人信息，以及能够推断个人身份、描述个人行为等的各种信息。
本规定所称重要数据包括：
（一）军事管理区、国防科工等涉及国家秘密的单位、县级以上党政机关等重要敏感区域的人流车流数据；
（二）高于国家公开发布地图精度的测绘数据；
（三）汽车充电网的运行数据；
（四）道路上车辆类型、车辆流量等数据；
（五）包含人脸、声音、车牌等的车外音视频数据；
（六）国家网信部门和国务院有关部门明确的其他可能影响国家安全、公共利益的数据。
第四条运营者处理个人信息或重要数据的目的应当合法、具体、明确，与汽车的设计、制造、服务直接相关。
第五条运营者应当落实网络安全等级保护制度，加强个人信息和重要数据保护，依法履行网络安全义务。
第六条倡导运营者处理个人信息和重要数据过程中坚持：
（一）车内处理原则，除非确有必要不向车外提供；
（二）匿名化处理原则，确有必要向车外提供的，尽可能地进行匿名化和脱敏处理；
（三）最小保存期限原则，根据所提供功能服务分类型确定数据保存期限；
（四）精度范围适用原则，根据所提供功能服务对数据精度的要求确定摄像头、雷达等的覆盖范围、分辨率；
（五）默认不收集原则，除非确有必要，每次驾驶时默认为不收集状态，驾驶人的同意授权只对本次驾驶有效。
第七条运营者处理个人信息应当通过用户手册、车载显示面板或其他适当方式，告知负责处理用户权益责任人的有效联系方式，以及收集数据的类型，包括车辆位置、生物特征、驾驶习惯、音视频等，并提供以下信息：
（一）收集每种类型数据的触发条件以及停止收集的方法；
（二）收集各类型数据的目的、用途；
（三）数据保存地点、期限，或者确定保存地点、期限的规则；
（四）删除车内、请求删除已经提供给车外的个人信息的方法步骤。
第八条运营者收集和向车外提供敏感个人信息，包括车辆位置、驾驶人或乘车人音视频等，以及可以用于判断违法违规驾驶的数据等，应当符合以下要求：
（一）以直接服务于驾驶人或者乘车人为目的，包括增强行车安全、辅助驾驶、导航、娱乐等；
（二）默认为不收集，每次都应当征得驾驶人同意授权，驾驶结束（驾驶人离开驾驶席）后本次授权自动失效；
（三）通过车内显示面板或语音等方式告知驾驶人和乘车人正在收集敏感个人信息；
（四）驾驶人能够随时、方便地终止收集；
（五）允许车主方便查看、结构化查询被收集的敏感个人信息；
（六）驾驶人要求运营者删除时，运营者应当在2周内删除。
第九条运营者收集个人信息应当取得被收集人同意，法律法规规定不需取得个人同意的除外。实践上难以实现的（如通过摄像头收集车外音视频信息），且确需提供的，应当进行匿名化或脱敏处理，包括删除含有能够识别自然人的画面，或对这些画面中的人脸等进行局部轮廓化处理等。
第十条仅当为了方便用户使用、增加车辆电子和信息系统安全性等目的，方可收集驾驶人指纹、声纹、人脸、心律等生物特征数据，同时应当提供生物特征的替代方式。
第十一条运营者处理重要数据，应当提前向省级网信部门和有关部门报告数据类型、规模、范围、保存地点与时限、使用方式，以及是否向第三方提供等。
第十二条个人信息或者重要数据应当依法在境内存储，确需向境外提供的，应当通过国家网信部门组织的数据出境安全评估。
我国参与的或者与其他国家和地区、国际组织缔结的条约、协议等对向境外提供个人信息有明确规定的，适用其规定，我国声明保留的条款除外。
第十三条运营者向境外提供个人信息或者重要数据的，应当采取有效措施明确和监督接收者按照双方约定的目的、范围、方式使用数据，保证数据安全。
第十四条运营者向境外提供个人信息或者重要数据的，应当接受和处理所涉及的用户投诉；造成用户合法权益或公共利益受到损害的，应当依法承担相应责任。
第十五条运营者不得超出出境安全评估时明确的目的、范围、方式和数据类型、规模等，向境外提供个人信息或重要数据。
国家网信部门会同国务院有关部门以抽查方式核验向境外提供个人信息或重要数据的类型、范围等，运营者应当以明文、可读方式予以展示。
第十六条科研和商业合作伙伴需要查询利用境内存储的个人信息和重要数据的，运营者应当采取有效措施保证数据安全，防止流失；严格限制对重要数据以及车辆位置、生物特征、驾驶人或者乘车人音视频，以及可以用于判断违法违规驾驶的数据等敏感数据的查询利用。
第十七条处理个人信息涉及个人信息主体超过10万人、或者处理重要数据的运营者，应当在每年十二月十五日前将年度数据安全管理情况报省级网信部门和有关部门，内容包括：
（一）数据安全负责人以及负责处理用户权益相关事务责任人的姓名和联系方式；
（二）处理数据的类型、规模、目的及必要性；
（三）数据的安全防护和管理措施，包括保存地点、期限等；
（四）与境内第三方共享数据情况；
（五）数据安全事故及处理情况；
（六）与个人信息和数据相关的用户投诉及处理情况；
（七）国家网信部门明确的其他数据安全情况。
第十八条如果存在向境外提供数据的情况，运营者应当在本规定第十七条基础上，报告以下情况：
（一）接收者的名称和联系方式；
（二）出境数据的类型、数量及目的；
（三）数据在境外的存放地点、使用范围和方式；
（四）涉及向境外提供数据的用户投诉及处理情况；
（五）国家网信部门明确的向境外提供数据需要报告的其他情况。
第十九条国家网信部门会同国务院有关部门根据处理数据情况对运营者进行数据安全评估，运营者应当予以配合。
参与安全评估的机构和人员不得披露评估中获悉的运营者商业秘密、未公开信息，不得将评估中获悉的信息用于评估以外目的。
第二十条运营者违反本规定的，由省级以上网信部门和有关部门依照《中华人民共和国网络安全法》等法律法规的有关规定进行处罚。构成犯罪的，依法追究刑事责任。
第二十一条本规定自2021年 月 日起施行。
声明
本微信文章仅为交流探讨之目的，不得视为广悦律师事务所或其律师出具的正式法律意见，任何仅依照本文的全部或部分内容而做出的行为及因此带来的后果均由行为人自行负责。