中国车企出海欧盟的数据合规落地与实践——以车机系统为例

2024 年11月5日至11月6日，第三届汽车海外车联网高峰论坛在上海盛大开幕。本次论坛汇聚了来自全球汽车行业、车联网领域的精英人士、专家学者以及相关企业代表，共同探讨汽车海外车联网发展的新趋势、新机遇与新挑战。
垦丁广州律师事务所创始合伙人王捷律师受邀参加本次会议，并为与会者带来一场题为“中国车企出海欧盟的数据合规落地与实践——以车机系统为例”的专题讲座。讲座共分成四个部分，分别包括欧洲数据合规框架、中国车企出海欧盟的挑战、本地合规与跨境传输实践、车机系统的数据合规实践。

欧盟数据合规框架概览
首先，王捷律师介绍了欧盟数据合规监管框架。除了耳熟能详的GDPR，欧盟数据合规相关的法律法规大概如下：
1. 通用数据保护条例（GDPR）
2. 数字服务法案（DSA)
3. 数字市场法（DMA)
4. 电子隐私指令（ePrivacy)
5. 网络和信息安全指令 (NIS2)
6. 数据法案 (Data Act)
7. 网络弹性法案 (CRA)

中国车企出海欧盟的挑战
第二部分，王律师列举了目前中国车企出海欧盟面临多重挑战。主要是分为事实上挑战和法律上的挑战。
从事实层面来说，由于车机具备广泛的数据收集和处理能力。车机系统不仅能够采集大量与车辆运行状态、地理位置、驾驶行为等相关的数据，还可以处理这些数据以提供导航、娱乐、安全预警等多种服务。由于车机系统涉及的数据种类繁多，处理关系复杂，涉及主体多样，从数据的采集、传输、存储到分析应用，形成了一条长而复杂的数据处理链条，在事实和证据的认定上都给出海带来一定挑战。
从法律法规层面来说，法律法规的抽象性、评估要求的多面性、履行的困难、执法风险和法律动态变化的不确定性都给车企出海带来挑战。

本地合规与跨境传输
王捷律师在第三部分分享到，车企出海过程中，数据合规风险主要关注两大领域，本地合规与数据跨境传输。首先是本地合规，王捷律师列举出了15项合规细节。欧盟数据保护委员会（EDPB）曾就联网汽车发布《关于在联网车辆和移动相关应用中处理个人数据的第01/2020号指南》并指出，企业在非必要时不进行地理位置数据的收集，且需要遵守相应的原则，包括：
（1）在与处理目的相匹配的访问频率和详细程度之下收集地理位置数据，例如，即使得到数据主体的同意，车机系统的天气应用程序也不应每秒访问汽车的地理位置
（2）提供有关处理目的的准确数据
（3）在车机系统前端等位置获得具体、单独的同意
（4）不默认激活地理定位，
（5）通知用户地理定位已被激活（可通过车机系统前端屏幕上的图标等方式显示）
（6）给予随时停用地理位置的选项
（7）规定有限的存储期限

在跨境传输方面，王捷律师介绍了GDPR下个人信息跨境传输机制，同时也指出，GDPR规定：依赖第46条进行跨境传输的企业，有义务进行数据传输影响评估（TIA）。王捷律师以法国数据保护监管机构CNIL发布的数据跨境传输指南为例，讲解了实操过程中，机构在进行个人信息跨境传输时需要遵循以下几个步骤：
1. 了解并记录跨境传输情况
2. 评估传输目的地的做法，及机制的有效性
3. 识别并采取补充措施
4. 定期评估和监控潜在法规变化
关于上述3点补充措施，可能包括合同措施、技术措施、组织错的等等，需要根据个案分析，此处无法穷尽列举。

数据合规实践：以车机系统为例
第四部分中，王捷律师强调，应对事实上和法律是双重挑战的最好做法是数据映射。数据映射也是厘清数据生命周期将法律规定转化成技术要求的最好方式之一。我们不仅可以通过填写表单来展现数据映射，还可以通过泳道图、实体联系模型等各种图示方式让多方达成一致共识。
我们可以根据实际情况，构建车机系统的数据映射流程图，从而展现不同数据主体之间数据传输的具体流程。

通过数据映射，我们可以厘清处理数据的类型、目的、场景、内容和主体，从而与相应的法规相对应，将外部规则转化为技术标准、内容制度以及流程卡点，完善公司内部的合规制度。
由于车机领域具有行业特殊性，在适用数据合规法律的同时，还应兼顾一些行业标准和规范。比如说，应当在告知和同意方式上进行调整，考虑是否会导致驾驶员分散注意力，兼顾驾驶安全和知情同意权之间的平衡。
王捷律师还指出，践行隐私设计、坚持评估前置、将隐私合规融入产品开发与运营过程是目前应对车机领域“法律上的挑战”的基本要求。在隐私合规领域当中，评估、保护、响应、维持这四重机制发挥着关键的作用。评估机制能够对隐私合规的现状进行全面而深入的分析，为后续的行动提供准确的依据；保护机制是确保企业合规的执行机制；响应机制则要求面对权利请求和政府问询时能够迅速做出恰当的反应，及时处理各类事件；维持机制则通过持续的监测及良好的沟通，确保隐私合规的状态得以长久保持。
结语
垦丁W&W国际法律团队致力于帮助各类出海企业，解决企业在逐鹿海内外路上遇到的各类疑难法律问题，已为超过60+头部与知名互联网公司、500强企业、大中型外资企业、独角兽企业提供专业的法律合规服务和落地解决方案，为多个产品及业务线落地互联网综合合规、国内外数据合规及出海合规法律项目，致力于成为企业“出海灯塔”，让客户在全球业务上，可以无惧艰难，乘风破浪，让出海成为第二增长曲线。