汽車數據安全管理若干規定（試行）

隨着新一代信息技術與汽車產業加速融合，智能汽車產業、車聯網技術的快速發展，以自動輔助駕駛為代表的人工智能技術日益普及，汽車數據處理能力日益增強，暴露出的汽車數據安全問題和風險隱患日益突出。在汽車數據安全管理領域出台有針對性的規章制度，明確汽車數據處理者的責任和義務，規範汽車數據處理活動，是防範化解汽車數據安全風險、保障汽車數據依法合理有效利用的需要，也是維護國家安全利益、保護個人合法權益的需要。 ^[2] 

第一條 為了規範汽車數據處理活動，保護個人、組織的合法權益，維護國家安全和社會公共利益，促進汽車數據合理開發利用，根據《中華人民共和國網絡安全法》、《中華人民共和國數據安全法》等法律、行政法規，制定本規定。　　

第二條 在中華人民共和國境內開展汽車數據處理活動及其安全監管，應當遵守相關法律、行政法規和本規定的要求。　　

第三條 本規定所稱汽車數據，包括汽車設計、生產、銷售、使用、運維等過程中的涉及個人信息數據和重要數據。　　

汽車數據處理，包括汽車數據的收集、存儲、使用、加工、傳輸、提供、公開等。　　

汽車數據處理者，是指開展汽車數據處理活動的組織，包括汽車製造商、零部件和軟件供應商、經銷商、維修機構以及出行服務企業等。　　

個人信息，是指以電子或者其他方式記錄的與已識別或者可識別的車主、駕駛人、乘車人、車外人員等有關的各種信息，不包括匿名化處理後的信息。　　

敏感個人信息，是指一旦泄露或者非法使用，可能導致車主、駕駛人、乘車人、車外人員等受到歧視或者人身、財產安全受到嚴重危害的個人信息，包括車輛行蹤軌跡、音頻、視頻、圖像和生物識別特徵等信息。　　

重要數據是指一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，可能危害國家安全、公共利益或者個人、組織合法權益的數據，包括：　　

（一）軍事管理區、國防科工單位以及縣級以上黨政機關等重要敏感區域的地理信息、人員流量、車輛流量等數據；　　

（二）車輛流量、物流等反映經濟運行情況的數據；　　

（三）汽車充電網的運行數據；　　

（四）包含人臉信息、車牌信息等的車外視頻、圖像數據；　　

（五）涉及個人信息主體超過10萬人的個人信息；　　

（六）國家網信部門和國務院發展改革、工業和信息化、公安、交通運輸等有關部門確定的其他可能危害國家安全、公共利益或者個人、組織合法權益的數據。　　

第四條 汽車數據處理者處理汽車數據應當合法、正當、具體、明確，與汽車的設計、生產、銷售、使用、運維等直接相關。　　

第五條 利用互聯網等信息網絡開展汽車數據處理活動，應當落實網絡安全等級保護等制度，加強汽車數據保護，依法履行數據安全義務。　　

第六條 國家鼓勵汽車數據依法合理有效利用，倡導汽車數據處理者在開展汽車數據處理活動中堅持：　　

（一）車內處理原則，除非確有必要不向車外提供；　　

（二）默認不收集原則，除非駕駛人自主設定，每次駕駛時默認設定為不收集狀態；　　

（三）精度範圍適用原則，根據所提供功能服務對數據精度的要求確定攝像頭、雷達等的覆蓋範圍、分辨率

（四）脱敏處理原則，儘可能進行匿名化、去標識化等處理。　　

第七條 汽車數據處理者處理個人信息應當通過用户手冊、車載顯示面板、語音、汽車使用相關應用程序等顯著方式，告知個人以下事項：　　

（一）處理個人信息的種類，包括車輛行蹤軌跡、駕駛習慣、音頻、視頻、圖像和生物識別特徵等； 　　

（二）收集各類個人信息的具體情境以及停止收集的方式和途徑；　　

（三）處理各類個人信息的目的、用途、方式；　　

（四）個人信息保存地點、保存期限，或者確定保存地點、保存期限的規則；　　

（五）查閲、複製其個人信息以及刪除車內、請求刪除已經提供給車外的個人信息的方式和途徑；　　

（六）用户權益事務聯繫人的姓名和聯繫方式；　　

（七）法律、行政法規規定的應當告知的其他事項。　　

第八條 汽車數據處理者處理個人信息應當取得個人同意或者符合法律、行政法規規定的其他情形。　　

因保證行車安全需要，無法徵得個人同意採集到車外個人信息且向車外提供的，應當進行匿名化處理，包括刪除含有能夠識別自然人的畫面，或者對畫面中的人臉信息等進行局部輪廓化處理等。　　

第九條 汽車數據處理者處理敏感個人信息，應當符合以下要求或者符合法律、行政法規和強制性國家標準等其他要求：　　

（一）具有直接服務於個人的目的，包括增強行車安全、智能駕駛、導航等；　　

（二）通過用户手冊、車載顯示面板、語音以及汽車使用相關應用程序等顯著方式告知必要性以及對個人的影響；　　

（三）應當取得個人單獨同意，個人可以自主設定同意期限；　　

（四）在保證行車安全的前提下，以適當方式提示收集狀態，為個人終止收集提供便利；　　

（五）個人要求刪除的，汽車數據處理者應當在十個工作日內刪除。　　

汽車數據處理者具有增強行車安全的目的和充分的必要性，方可收集指紋、聲紋、人臉、心律等生物識別特徵信息。　　

第十條 汽車數據處理者開展重要數據處理活動，應當按照規定開展風險評估，並向省、自治區、直轄市網信部門和有關部門報送風險評估報告。　　風險評估報告應當包括處理的重要數據的種類、數量、範圍、保存地點與期限、使用方式，開展數據處理活動情況以及是否向第三方提供，面臨的數據安全風險及其應對措施等。　　

第十一條 重要數據應當依法在境內存儲，因業務需要確需向境外提供的，應當通過國家網信部門會同國務院有關部門組織的安全評估。未列入重要數據的涉及個人信息數據的出境安全管理，適用法律、行政法規的有關規定。　　

我國締結或者參加的國際條約、協定有不同規定的，適用該國際條約、協定，但我國聲明保留的條款除外。　　

第十二條 汽車數據處理者向境外提供重要數據，不得超出出境安全評估時明確的目的、範圍、方式和數據種類、規模等。　　

國家網信部門會同國務院有關部門以抽查等方式核驗前款規定事項，汽車數據處理者應當予以配合，並以可讀等便利方式予以展示。　　

第十三條 汽車數據處理者開展重要數據處理活動，應當在每年十二月十五日前向省、自治區、直轄市網信部門和有關部門報送以下年度汽車數據安全管理情況：　　

（一）汽車數據安全管理負責人、用户權益事務聯繫人的姓名和聯繫方式；　　

（二）處理汽車數據的種類、規模、目的和必要性；　　

（三）汽車數據的安全防護和管理措施，包括保存地點、期限等；　　

（四）向境內第三方提供汽車數據情況；　　

（五）汽車數據安全事件和處置情況；　　

（六）汽車數據相關的用户投訴和處理情況；　　

（七）國家網信部門會同國務院工業和信息化、公安、交通運輸等有關部門明確的其他汽車數據安全管理情況。　　

第十四條 向境外提供重要數據的汽車數據處理者應當在本規定第十三條要求的基礎上，補充報告以下情況：　　

（一）接收者的基本情況；　　

（二）出境汽車數據的種類、規模、目的和必要性；　　

（三）汽車數據在境外的保存地點、期限、範圍和方式；　　

（四）涉及向境外提供汽車數據的用户投訴和處理情況；　　

（五）國家網信部門會同國務院工業和信息化、公安、交通運輸等有關部門明確的向境外提供汽車數據需要報告的其他情況。　

第十五條 國家網信部門和國務院發展改革、工業和信息化、公安、交通運輸等有關部門依據職責，根據處理數據情況對汽車數據處理者進行數據安全評估，汽車數據處理者應當予以配合。　　

參與安全評估的機構和人員不得披露評估中獲悉的汽車數據處理者商業秘密、未公開信息，不得將評估中獲悉的信息用於評估以外目的。　　

第十六條 國家加強智能（網聯）汽車網絡平台建設，開展智能（網聯）汽車入網運行和安全保障服務等，協同汽車數據處理者加強智能（網聯）汽車網絡和汽車數據安全防護。　　

第十七條 汽車數據處理者開展汽車數據處理活動，應當建立投訴舉報渠道，設置便捷的投訴舉報入口，及時處理用户投訴舉報。　　

開展汽車數據處理活動造成用户合法權益或者公共利益受到損害的，汽車數據處理者應當依法承擔相應責任。　　

第十八條 汽車數據處理者違反本規定的，由省級以上網信、工業和信息化、公安、交通運輸等有關部門依照《中華人民共和國網絡安全法》、《中華人民共和國數據安全法》等法律、行政法規的規定進行處罰；構成犯罪的，依法追究刑事責任。　　

第十九條 本規定自2021年10月1日起施行。 ^[1] 

《規定》倡導，汽車數據處理者在開展汽車數據處理活動中堅持“車內處理”、“默認不收集”、“精度範圍適用”、“脱敏處理”等數據處理原則，減少對汽車數據的無序收集和違規濫用。

《規定》明確，汽車數據處理者應當履行個人信息保護責任，充分保護個人信息安全和合法權益。開展個人信息處理活動，汽車數據處理者應當通過顯著方式告知個人相關信息，取得個人同意或者符合法律、行政法規規定的其他情形。處理敏感個人信息，汽車數據處理者還應當取得個人單獨同意，滿足限定處理目的、提示收集狀態、終止收集等具體要求或者符合法律、行政法規和強制性國家標準等其他要求。汽車數據處理者具有增強行車安全的目的和充分的必要性，方可收集指紋、聲紋、人臉、心律等生物識別特徵信息。

《規定》強調，汽車數據處理者開展重要數據處理活動，應當遵守依法在境內存儲的規定，加強重要數據安全保護；落實風險評估報告制度要求，積極防範數據安全風險；落實年度報告制度要求，按時主動報送年度汽車數據安全管理情況。因業務需要確需向境外提供重要數據的，汽車數據處理者應當落實數據出境安全評估制度要求，不得超出出境安全評估結論違規向境外提供重要數據，並在年度報告中補充報告相關情況。

《規定》提出，國家有關部門依據各自職責做好汽車數據安全管理和保障工作，包括開展數據安全評估、數據出境事項抽查核驗、智能（網聯）汽車網絡平台建設等工作。對於違反本規定的汽車數據處理者，有關部門將依照《中華人民共和國網絡安全法》、《中華人民共和國數據安全法》等法律、行政法規的規定進行處罰。

國家互聯網信息辦公室有關負責人指出，汽車數據安全管理需要政府、汽車數據處理者、個人等多方主體共同參與。省級以上網信、發展改革、工業和信息化、公安、交通運輸等有關部門在汽車數據安全管理過程中，將加強協調和數據共享，形成工作合力。 ^{[2]  [4]} 

答：出台《規定》主要基於以下兩方面的考慮：一是防範化解汽車數據安全風險的實踐需要。汽車產業涉及國家經濟、裝備製造、金融、交通運輸、生產生活等諸多領域，汽車數據處理能力日益增強、汽車數據規模龐大，同時暴露出的汽車數據安全問題和風險隱患也日益突出。比如，汽車數據處理者超越實際需要，過度收集重要數據；未經用户同意，違規處理個人信息，特別是敏感個人信息；未經安全評估，違規出境重要數據等。因此，亟需加強汽車數據安全管理，防範化解上述安全問題和風險隱患。二是保障汽車數據依法合理有效利用的客觀需要。《網絡安全法》、《數據安全法》對數據安全、個人信息保護作了基本規定。在汽車數據安全管理領域出台有針對性的規章制度，明確汽車數據處理者的責任和義務，規範汽車數據處理活動，有利於促進汽車數據依法合理有效利用和汽車行業健康有序發展。

此外，還要説明的是，《規定》定位於若干規範要求，聚焦汽車領域個人信息和重要數據的安全風險，就若干重點問題作出規定。

答：《規定》中所稱汽車數據，是指汽車設計、生產、銷售、使用、運維等過程中的涉及個人信息數據和重要數據；所稱汽車數據處理，包括汽車數據的收集、存儲、使用、加工、傳輸、提供、公開等，涉及汽車數據處理的全生命週期。《規定》還進一步明確了汽車數據中的個人信息、敏感個人信息、重要數據以及汽車數據處理者的含義和類型。

答：《規定》明確了汽車數據處理者開展汽車數據處理活動的一般要求。主要包括：一是處理汽車數據應當合法、正當、具體、明確，與汽車的設計、生產、銷售、使用、運維等直接相關。二是利用互聯網等信息網絡開展汽車數據處理活動，應當落實網絡安全等級保護等制度，加強汽車數據保護，依法履行數據安全義務。三是應當建立投訴舉報渠道，設置便捷的投訴舉報入口，及時處理用户投訴舉報。

答：《規定》制定過程中，堅持安全和發展並重，倡導汽車數據處理者在開展汽車數據處理活動中堅持“車內處理”、“默認不收集”、“精度範圍適用”、“脱敏處理”等原則，減少對汽車數據的無序收集和違規濫用，鼓勵汽車數據依法合理有效利用，促進汽車行業健康有序發展。

答：《規定》明確了處理個人信息、敏感個人信息的具體要求。針對個人信息，一是告知義務，汽車數據處理者處理個人信息應當告知處理個人信息種類、收集情境、停止收集方式途徑等相關信息。二是徵得同意義務，汽車數據處理者處理個人信息應當取得個人同意或者符合法律、行政法規規定的其他情形。三是匿名化要求，因保證行車安全需要，無法徵得個人同意採集到個人信息且向車外提供的，應當進行匿名化處理。針對敏感個人信息，在履行告知、徵得個人單獨同意等義務基礎上，汽車數據處理者處理敏感個人信息還應當滿足限定處理目的、提示收集狀態、為個人終止收集提供便利等具體要求。針對個人生物識別特徵信息，明確汽車數據處理者具有增強行車安全的目的和充分的必要性方可收集。

答：《規定》明確了處理重要數據的具體制度。一是風險評估報告制度，汽車數據處理者開展重要數據處理活動，應當按照規定開展風險評估，並向省、自治區、直轄市網信部門和有關部門報送風險評估報告。二是出境安全評估制度，重要數據應當依法在境內存儲，因業務需要確需向境外提供的，應當通過國家網信部門會同國務院有關部門組織的安全評估。三是抽查核驗制度，國家網信部門會同國務院有關部門以抽查等方式核驗汽車數據出境評估有關事項，汽車數據處理者應當予以配合。四是年度報告制度，汽車數據處理者應當在每年十二月十五日前向省、自治區、直轄市網信和有關部門報送年度汽車數據安全管理情況。五是年度補充報告制度，向境外提供重要數據的汽車數據處理者應當補充報告相關情況。

答：除了上述報告、評估、抽查核驗等監督管理措施以外，《規定》還明確國家網信部門和國務院發展改革、工業和信息化、公安、交通運輸等有關部門依據職責，可根據處理數據情況對汽車數據處理者進行數據安全評估；明確國家加強智能（網聯）汽車網絡平台建設，開展智能（網聯）汽車入網運行和安全保障服務等，協同汽車數據處理者加強智能（網聯）汽車網絡和汽車數據安全防護。

答：《規定》明確汽車數據處理者違反本規定的，由省級以上網信、工業和信息化、公安、交通運輸等有關部門依照《網絡安全法》、《數據安全法》等法律、行政法規的規定進行處罰；構成犯罪的，依法追究刑事責任。 ^[3]