趙玲玲
又一汽車數據安全重磅政策落地！
8月20日，國家網信辦、公安部等五部門聯合發布《汽車數據安全管理若干規定（試行）》（以下簡稱“《規定》”），自10月1日起施行。這是繼8月12日工業和信息化部正式發布《關于加強智能網聯汽車生產企業及產品準入管理的意見》之后，相關部門出臺的又一部對汽車數據管理的文件。
《規定》解答行業熱點關注
《規定》倡導，汽車數據處理者在開展汽車數據處理活動中堅持“車內處理”、“默認不收集”、“精度范圍適用”、“脫敏處理”等數據處理原則，減少對汽車數據的無序收集和違規濫用。
《規定》明確，汽車數據處理者應當履行個人信息保護責任，充分保護個人信息安全和合法權益。開展個人信息處理活動，汽車數據處理者應當通過顯著方式告知個人相關信息，取得個人同意或者符合法律、行政法規規定的其他情形。處理敏感個人信息，汽車數據處理者還應當取得個人單獨同意，滿足限定處理目的、提示收集狀態、終止收集等具體要求或者符合法律、行政法規和強制性國家標準等其他要求。汽車數據處理者具有增強行車安全的目的和充分的必要性，方可收集指紋、聲紋、人臉、心律等生物識別特征信息。
具體來看，針對個人信息，一是告知義務，汽車數據處理者處理個人信息應當告知處理個人信息種類、收集情境、停止收集方式途徑等相關信息。二是征得同意義務，汽車數據處理者處理個人信息應當取得個人同意或者符合法律、行政法規規定的其他情形。三是匿名化要求，因保證行車安全需要，無法征得個人同意采集到個人信息且向車外提供的，應當進行匿名化處理。
《規定》強調，汽車數據處理者開展重要數據處理活動，應當遵守依法在境內存儲的規定，加強重要數據安全保護；落實風險評估報告制度要求，積極防范數據安全風險；落實年度報告制度要求，按時主動報送年度汽車數據安全管理情況。因業務需要確需向境外提供重要數據的，汽車數據處理者應當落實數據出境安全評估制度要求，不得超出出境安全評估結論違規向境外提供重要數據，并在年度報告中補充報告相關情況。
《規定》提出，國家有關部門依據各自職責做好汽車數據安全管理和保障工作，包括開展數據安全評估、數據出境事項抽查核驗、智能（網聯）汽車網絡平臺建設等工作。
除了上述報告、評估、抽查核驗等監督管理措施以外，《規定》還明確國家網信部門和國務院發展改革、工業和信息化、公安、交通運輸等有關部門依據職責，可根據處理數據情況對汽車數據處理者進行數據安全評估；明確國家加強智能（網聯）汽車網絡平臺建設，開展智能（網聯）汽車入網運行和安全保障服務等，協同汽車數據處理者加強智能（網聯）汽車網絡和汽車數據安全防護。
對于《規定》出臺的背景，國家互聯網信息辦公室有關負責人介紹，出臺《規定》主要基于以下兩方面的考慮：一是防范化解汽車數據安全風險的實踐需要。汽車產業涉及諸多領域，汽車數據處理能力日益增強、汽車數據規模龐大，同時暴露出的汽車數據安全問題和風險隱患也日益突出。比如，汽車數據處理者超越實際需要，過度收集重要數據；未經用戶同意，違規處理個人信息，特別是敏感個人信息；未經安全評估，違規出境重要數據等。因此，亟需加強汽車數據安全管理，防范化解上述安全問題和風險隱患。二是保障汽車數據依法合理有效利用的客觀需要?！毒W絡安全法》、《數據安全法》對數據安全、個人信息保護作了基本規定。在汽車數據安全管理領域出臺有針對性的規章制度，明確汽車數據處理者的責任和義務，規范汽車數據處理活動，有利于促進汽車數據依法合理有效利用和汽車行業健康有序發展。
業內解讀：具里程碑式意義
北京中銀律師事務所汽車法律事務部主任楊陽表示，隨著智能汽車的數據處理能力及范圍日益增強，汽車數據的安全問題和風險隱患也成為制約智能汽車行業健康發展的痛點。為了解決這一痛點，《規定》的出臺既是對《網絡安全法》、《數據安全法》及《個人信息保護法》在汽車行業的細化，也是對智能汽車新技術健康發展提供加速器作用，有效彌補這種新技術帶來的立法空白。
ICMA智聯出行研究院院長何姍姍指出，《規定》將起到里程碑式的作用。汽車作為移動終端，所收集的數據不管從體量上還是風險性上，都要比手機大且高。針對汽車行業出臺數據安全的規定，也說明對于汽車行業，數據安全的重要性首當其沖。更重要的是，《規定》在指導汽車企業工作中有非常實際的意義，針對汽車新技術的發展，平衡了數據使用與安全管理。同時，《規定》的許多條款操作性很強，涉及各個汽車產業鏈中的各個環節，明確各方參與主體責任與義務，給出了非常清晰的流程。
北方工業大學汽車產業創新研究中心研究員、汽車分析師張翔比較關注車主個人隱私保護問題，他指出，原來車內的攝像頭以及錄音設備有可能未經車主同意就將錄音錄像上傳至云端，還有車主的出行軌跡也被拿來進行分析，《規定》的出臺進一步加強了個人隱私保護。不過，目前智能汽車很多服務是免費的，免費的背后就是數據的商業化應用?！兑幎ā烦雠_以后，一些免費的服務有可能變為收費服務。
輕舟智航市場總監洪澤鑫認為，《規定》的出臺可以保障汽車數據依法合理有效利用，讓智能汽車行業更好更快地發展。他指出，是否能在合法合規的前提下對智能汽車的數據進行有效利用，對于自動駕駛技術的高效迭代至關重要。這意味著相關企業需要擁有應對PB級海量數據的能力，以一整套自動駕駛數據流水線來作為支撐，這是智能汽車高效快速落地的根基。
有汽車高精地圖專業人士注意到，《規定》在重要數據中關于測繪數據的表述已經刪除。他分析可能的原因在于，自動駕駛并非當前最緊迫要解決的問題，刪除是為了讓規定更加具備可操作性，更能解決當前保障隱私和國家安全等方面面臨的挑戰。
新能源和智能網聯汽車產業研究員曹廣平表示，《規定》在“汽車數據國門、汽車數據處理者責任和義務、個人信息安全和合法權益”這三個層面，明確了管理原則、管理制度和管理內容，起到了對相關各方汽車數據活動的規范和指導作用。
曹廣平進一步分析表示，第一，重要數據依法國內存儲的規定，實際上是首次進行了“汽車數據國門”的原則性規定和具體體現，并且這方面的細則以后應該會越來越加強；第二，汽車數據處理者年報制度及相關規定內容，實際上開啟了我國車企及車輛相關機構系統化管理的先河，并且以此為契機會越來越完善，指明了管理方向；第三，個人信息安全和合法權益方面，在各條規定中都得到了相當程度的原則性體現，比如對個人信息、敏感個人信息的定義，實際上隱含了個人對這些信息的所有權，在數據處理活動中按照幾個原則也進行了具體的維護體現。
未來應該如何做？
國家互聯網信息辦公室有關負責人指出，汽車數據安全管理需要政府、汽車數據處理者、個人等多方主體共同參與。省級以上網信、發展改革、工業和信息化、公安、交通運輸等有關部門在汽車數據安全管理過程中，將加強協調和數據共享，形成工作合力。
楊陽認為，汽車數據處理者應當嚴格執行包括《規定》在內的我國目前已經公布的網絡安全、數據安全、個人信息等方面的法律規定，并對個人信息、重要數據相關規定、內容分類進行梳理，制定汽車數據安全保護的清單及執行方案。同時，汽車數據處理者應當設立專門數據安全部門，構建數據安全保護制度及體系，適時跟進國家發布的法律、政策及行業標準，提前預防汽車數據安全相關的民事糾紛、行政處罰或刑事責任風險。
何姍姍表示，針對重要數據，《規定》有一個從定性到定量的安排，要求企業做年度申報，基本上涉及了每個車企。所以對于車企來說，如果涉及數據出境，就一定要進行安全評估，需要建立一套數據安全風險管理體系。
張翔指出，新一代的智能網聯汽車電氣化程度不斷提高，增加了大量傳感器，也帶來了數據安全的風險。從這個角度看，《規定》不僅提高了對個人隱私的保護，也進一步維護了國家安全利益。之前汽車數據管理較為粗放，也無具體政策約束?！兑幎ā烦雠_以后，數據服務與互聯網供應商有條例可依，可根據具體內容進行進一步整改。
曹廣平表示，企業的產品開發、運營與售后服務等經營活動都應遵守此規定。那么接下來，企業內部要進行《規定》的宣貫、學習與執行，要進行企業標準的相應修訂工作，各相關業務部門也要對照各自的業務進行整改，加強管理，規范與優化相關數據活動。
前述汽車高精地圖專業人士建議，自動駕駛企業和車企要繼續在取得資質或者具備資質的地圖供應商方面做一些儲備。在這個過程中，不僅要熟悉國家關于測繪數據的相關法律，還要熟悉測繪行業與其他產業的關系，更為重要的是熟悉測繪管制與國家安全之間的明確聯系點，以規避實際工作中因為細則并不明確而存在的相應風險。
他同時建議，在這樣一個加強數據安全管理的歷史契機，網絡安全服務商，甚至是電信運營商，更應該敏銳抓住市場機遇，從網絡鏈路(移動專用網絡)、專用受控安全域等方面著手，在當前法規已經有相應安全等級規定的方面著手，聯絡相關單位逐步明確管理模式和細則，保障自動駕駛、數字座艙運營等的應用發展。
值得關注的是，就在今天，個人信息安全也有了專門法律保護！十三屆全國人大常委會第三十次會議20日表決通過《中華人民共和國個人信息保護法》，自2021年11月1日起施行?！吨腥A人民共和國個人信息保護法》明確不得過度收集個人信息、大數據殺熟，對人臉信息等敏感個人信息的處理作出規制，完善個人信息保護投訴、舉報工作機制……這部專門法律充分回應了社會關切，為破解個人信息保護中的熱點難點問題提供了強有力的法律保障。
據悉，近期還將有多項相關的國家標準將實施，智能網聯汽車標準進入密集的制訂期，并有望集中發布。
