点击蓝字

关注我们

01

引言

随着科技的不断发展，信息，或者说数据，作为现实世界与虚拟世界沟通的桥梁发挥着越来越重要的作用，人们对信息数据的利用也越来越频繁，这变相推动了个人信息保护以及数据保护领域的立法。而汽车，作为现今人工智能技术应用的一环和人们最常使用的交通工具，在被人们使用的过程中不可避免地收集了诸多数据，规模庞大，其内的安全问题和风险隐患日益突出，因此需要相关法律法规进行规制。此外，随着《网络安全法》、《数据安全法》对数据安全、个人信息保护等作出了基本规定，也需要在汽车数据安全领域建立更有针对性的规章制度，更有利于上述法律的落实。

2021年5月，《汽车数据安全管理若干规定（征求意见稿）》便是在这样的背景下被推出。现在，《汽车数据安全管理若干规定（试行）》（下称“《若干规定》”）也已正式颁布，相比于征求意见稿，正式稿的规定更为细致和明确，有不小改进。本文即对《若干规定》中的重要内容进行解读和分析。

纵观《若干规定》的全部条文，其规范体系本身是以汽车数据处理者为核心搭建的，并在第四条至第十四条以及第十七、十八条中明确规定了汽车数据处理者应当遵守和建议的规范。

No.1  一般性规定

《若干规定》第四至六条对于汽车数据处理者处理数据的行为进行了一般性的规范。

首先，数据处理必须合法、正当、具体、明确，同时需要注意的是，这种数据处理行为必须具有相关性，即第四条规定的“与汽车的设计、生产、销售、使用、运维等直接相关”，若处理行为不具有此种相关性，汽车数据处理者的处理行为即可能被认定为不正当行为，从而面临一定法律风险。

其次，如果汽车数据处理者是通过互联网等信息网络开展处理活动，那么就应当严格遵守《网络安全法》和《数据安全法》的规定，建立网络安全等级保护等制度，依法履行数据安全义务。

最后，《若干规定》明确了汽车数据处理的四项原则，即车内处理原则、默认不收集原则、精度范围适用原则和脱敏处理原则。车内处理原则以形象的车内车外划分，将车内收集的车主、驾驶员、乘客的信息与车外收集的行人、道路等等信息区分开来，对于隐私属性更强的车内信息赋予更强的保护，除非确有必要否则不能向车外提供，此后的许多规定都体现了车内处理原则。默认不收集原则明确了在一般情况下对驾驶时不进行汽车数据的收集，除非驾驶人员自主设定开启。而精度范围使用原则则要求处理者根据服务的类型对数据精度采取不同的标准，以确保收集的数据是合理有效的。最后的脱敏处理原则，则是出于保护个人信息的考虑，由于经脱敏处理后的信息和数据不再具有个人的特征，不再属于个人信息的范畴，因而对它的使用能够更加安全，也不会有侵犯他人个人信息的风险。

No.2        不同类别信息的处理规范

《若干规定》针对个人信息和重要数据确立了不同的处理规范，引导汽车数据处理者根据所处理数据的类型建立不同的制度，采取不同的措施进行合理、正当的数据处理活动。

1、个人信息处理规则

针对个人信息，汽车数据处理者首先要履行告知义务，根据《若干规定》第七条的规定，告知内容如下：“（一）处理个人信息的种类，包括车辆行踪轨迹、驾驶习惯、音频、视频、图像和生物识别特征等；（二）收集各类个人信息的具体情境以及停止收集的方式和途径；（三）处理各类个人信息的目的、用途、方式；（四）个人信息保存地点、保存期限，或者确定保存地点、保存期限的规则；（五）查阅、复制其个人信息以及删除车内、请求删除已经提供给车外的个人信息的方式和途径；（六）用户权益事务联系人的姓名和联系方式；（七）法律、行政法规规定的应当告知的其他事项。”

应当注意的是，告知义务的履行必须采取显著方式，第七条对此进行了列举如用户手册、车载显示面板、语音、汽车使用相关应用程序等，汽车数据处理者可以参照本条进行处理。此外，在告知内容中，第五项规定处理者需要告知“删除车内、请求删除已经提供给车外的个人信息的方式和途径”，结合车内处理原则可知，个人信息既然已经提供给车外，则说明处理者判断此时属于确有必要提供的情况，理论上个人并不能请求删除此时已经提供的信息。但处理者判断可能出现错误的情况，此时告知个人请求删除已经提供给车外的个人信息的方式和途径实际上是赋予了个人在此时质疑处理者判断的权利，由此确保车内处理原则能够被正确适用。

除去告知义务，《若干规定》第八条还要求汽车数据处理者处理个人信息时必须满足前提条件，即取得个人同意或符合法律、行政的其他情形。后者通常指的是合理使用制度，如《民法典》第1036条规定，“处理个人信息，有下列情形之一的，行为人不承担民事责任：（一）在该自然人或者其监护人同意的范围内合理实施的行为；（二）合理处理该自然人自行公开的或者其他已经合法公开的信息，但是该自然人明确拒绝或者处理该信息侵害其重大利益的除外；（三）为维护公共利益或者该自然人合法权益，合理实施的其他行为。”其中的后两项即是个人信息的合理适用，在这种情况下，是可以不经个人同意处理个人信息的。本条第二款规定“因保证行车安全需要，无法征得个人同意采集到车外个人信息且向车外提供的，应当进行匿名化处理”，因此，在符合上述条件的情况下，必须进行匿名化处理。但是如果该情况同时符合其他法律规定的合理使用个人信息的条件，那么由于《若干规定》的效力等级仅是部门规章，则应当认为其他法律规定优先适用，此时不必再进行匿名化处理。当然，实践中均做匿名化处理自然是不会有问题的。

《若干规定》第九条单独对个人信息中的敏感个人信息的处理规则进行规定，除非符合法律、行政法规或强制性国家标准等其他要求（此处仍包含法律规定的合理使用规则），否则处理敏感个人信息，必须同时符合五个要求，即（1）具有直接服务于个人的目的；（2）以显著方式告知个人必要性及影响；（3）应当取得个人同意（可设置期限）；（4）提示收集状态，便利个人中止收集；（5）个人有权随时要求删除。此外，对生物识别特征信息，还须具有增强行车安全的目的和充分的必要性。可见对于敏感个人数据的保护更为周全。

2、重要数据处理规则

针对重要数据，汽车数据处理者首先要履行的是风险评估义务，处理者需同时向省、自治区、直辖市网信部门和有关部门报送风险评估报告。汽车数据处理者还需履行汽车数据安全管理情况报告义务，在每年十二月十五日前向省、自治区、直辖市网信部门和有关部门报送第十三条规定的年度汽车数据安全管理情况。

此外，对于重要数据而言，最重要的是它的境外数据管理。这主要是由于重要数据一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益或者个人、组织合法权益，因此重要数据必须在境内存储。若要向境外提供，必须要进行安全评估，并且在提供时严格遵守安全评估的范围限制。同时在汽车数据安全管理情况报告义务，境外提供数据者还需要在第十三条要求的基础上，补充报告第十四条规定的相关内容。如此才能保证其向境外提供重要数据的行为合理合法。

3、其他规定

除去以上内容，《若干规定》第十五条对有关部门规定了进行数据安全评估的职责，同时赋予了参与安全评估的人员和机构保密义务，不得披露过程中获悉的商业秘密、未公开信息等。第十六条则要求国家加强智能（网联）汽车网络平台建设，以此帮助完善汽车数据处理的方方面面。第十七条则要求汽车数据处理者建立投诉举报渠道，以便利用户投诉举报，从一定程度上保障了用户的权利，起到了监督汽车数据处理者的作用。最后，第十八条对汽车数据处理者的法律责任进行了简要规定，其处罚措施由有关法律、行政法规的规定决定。

04

结语

通过对《若干规定》的解读，可以清楚地看到，《若干规定》就是一部围绕汽车数据处理者搭建的规范体系。因此，各汽车数据处理者，只要妥善使用《若干规定》并结合相关法律法规，就能够合法而正当地处理汽车数据，从而规避有关法律风险。相信在未来会有更多数据安全方面的立法，数据安全立法体系也会更加完善。

（大成律师事务所 肖飒）