《汽车数据安全管理若干规定（试行）》的合规要点，重要数据识别、车内处理原则与出境评估

一、适用对象与核心概念：汽车数据、汽车数据处理者与敏感个人信息

《汽车数据安全管理若干规定（试行）》由国家互联网信息办公室、国家发展改革委、工业和信息化部、公安部、交通运输部以第7号令公布，自2021年10月1日起施行，全文十九条。它是在《网络安全法》《数据安全法》框架下针对汽车行业制定的专门性部门规章，与《个人信息保护法》共同构成汽车数据处理活动的合规基础。

该规定第三条界定了四个核心概念。汽车数据，指汽车设计、生产、销售、使用、运维等过程中的涉及个人信息数据和重要数据。汽车数据处理者，指开展汽车数据处理活动的组织，包括汽车制造商、零部件和软件供应商、经销商、维修机构以及出行服务企业等。个人信息，指与已识别或者可识别的车主、驾驶人、乘车人、车外人员等有关的各种信息，不包括匿名化处理后的信息。敏感个人信息，指一旦泄露或者非法使用，可能导致上述人员受到歧视或者人身、财产安全受到严重危害的个人信息，包括车辆行踪轨迹、音频、视频、图像和生物识别特征等信息。

二、重要数据的识别：六类清单与10万人门槛

重要数据是汽车数据合规中门槛最高的概念。该规定第三条以列举方式明确了六类重要数据，其共同判断标准是：一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益或者个人、组织合法权益。

上述清单中有两项需要特别关注。第一，第五项确立了"10万人"的规模门槛，只要处理的个人信息涉及主体超过10万人，该批个人信息即构成重要数据，从而触发风险评估、境内存储、年度报送等加重义务。第二，第四项将包含人脸信息、车牌信息的车外视频、图像数据一律纳入重要数据，这意味着行车记录、辅助驾驶视觉数据的合规要求远高于一般个人信息。

三、四项倡导原则：车内处理、默认不收集、精度范围适用与脱敏处理

该规定第六条倡导汽车数据处理者在开展处理活动时坚持四项原则：车内处理原则，除非确有必要不向车外提供；默认不收集原则，除非驾驶人自主设定，每次驾驶时默认设定为不收集状态；精度范围适用原则，根据所提供功能服务对数据精度的要求确定摄像头、雷达等的覆盖范围与分辨率；脱敏处理原则，尽可能进行匿名化、去标识化等处理。

需要说明的是，第六条的用语为"倡导"，属于鼓励性规定；但与之衔接的第八条、第九条以及重要数据相关条款具有强制效力。因此，实践中不宜将四项原则简单理解为任意性指引，而应作为设计和评估数据处理方案的基本尺度。

四、处理个人信息的告知与同意要求

处理个人信息应当履行告知与同意两项义务。告知方面，该规定第七条要求通过用户手册、车载显示面板、语音、汽车使用相关应用程序等显著方式，告知下列事项：处理个人信息的种类，包括车辆行踪轨迹、驾驶习惯、音频、视频、图像和生物识别特征等；收集各类个人信息的具体情境以及停止收集的方式和途径；处理的目的、用途、方式；个人信息保存地点、保存期限或者确定保存地点、保存期限的规则；查阅、复制个人信息以及删除车内信息、请求删除已经提供给车外信息的方式和途径；用户权益事务联系人的姓名和联系方式；法律、行政法规规定的其他应当告知事项。

同意方面，第八条第一款要求处理个人信息应当取得个人同意或者符合法律、行政法规规定的其他情形。第八条第二款针对行车安全场景设置了匿名化例外：因保证行车安全需要，无法征得个人同意采集到车外个人信息且向车外提供的，应当进行匿名化处理，包括删除含有能够识别自然人的画面，或者对画面中的人脸信息等进行局部轮廓化处理等。

五、敏感个人信息与生物识别特征的强化规则

处理敏感个人信息的要求高于一般个人信息。依该规定第九条第一款，处理敏感个人信息应当符合下列要求，或者符合法律、行政法规和强制性国家标准等其他要求：具有直接服务于个人的目的，包括增强行车安全、智能驾驶、导航等；通过用户手册、车载显示面板、语音以及汽车使用相关应用程序等显著方式告知必要性以及对个人的影响；应当取得个人单独同意，个人可以自主设定同意期限；在保证行车安全的前提下，以适当方式提示收集状态，为个人终止收集提供便利；个人要求删除的，汽车数据处理者应当在十个工作日内删除。

第九条第二款进一步规定，汽车数据处理者具有增强行车安全的目的和充分的必要性，方可收集指纹、声纹、人脸、心律等生物识别特征信息。这一表述确立了生物识别特征信息的双重门槛：目的正当，即增强行车安全；必要性充分。二者缺一不可。

六、重要数据的风险评估、境内存储、出境安全评估与年度报送

开展重要数据处理活动，汽车数据处理者应当按规定开展风险评估，并向省、自治区、直辖市网信部门和有关部门报送风险评估报告，见第十条第一款。风险评估报告应当包括处理的重要数据的种类、数量、范围、保存地点与期限、使用方式，开展数据处理活动情况以及是否向第三方提供，面临的数据安全风险及其应对措施等，见第十条第二款。

跨境方面，重要数据应当依法在境内存储；因业务需要确需向境外提供的，应当通过国家网信部门会同国务院有关部门组织的安全评估，见第十一条第一款。向境外提供重要数据，不得超出出境安全评估时明确的目的、范围、方式和数据种类、规模等；国家网信部门会同国务院有关部门以抽查等方式核验，处理者应当配合并以可读等便利方式予以展示，见第十二条。

报送方面，开展重要数据处理活动的，应当在每年12月15日前向省级网信部门和有关部门报送年度汽车数据安全管理情况，内容包括安全管理负责人与用户权益事务联系人信息、处理数据的种类规模目的与必要性、安全防护和管理措施、向境内第三方提供数据情况、安全事件与处置情况、用户投诉与处理情况等，见第十三条。向境外提供重要数据的，还应在第十三条基础上补充报告接收者基本情况、出境数据的种类规模目的与必要性、境外保存地点期限范围方式、涉及出境数据的用户投诉与处理情况等，见第十四条。

此外，违反本规定的，由省级以上网信、工业和信息化、公安、交通运输等有关部门依照《网络安全法》《数据安全法》等法律、行政法规的规定进行处罚；构成犯罪的，依法追究刑事责任，见第十八条。汽车数据处理者还应当建立投诉举报渠道，设置便捷的投诉举报入口，及时处理用户投诉举报，见第十七条第一款。

七、常见问题（FAQ）

问题一：处理个人信息主体不到10万人，是否就不涉及重要数据？
不能仅凭人数判断。10万人只是第三条第（五）项的一项标准，若数据属于重要敏感区域地理信息、车外视频图像（含人脸、车牌）、汽车充电网运行数据等，即使未达10万人也可能构成重要数据。

问题二：为行车安全必须采集车外图像，无法逐一取得同意，是否违法？
第八条第二款为此设置了匿名化处理路径：因保证行车安全需要，无法征得个人同意采集到车外个人信息且向车外提供的，应当进行匿名化处理，例如删除可识别自然人的画面，或对人脸信息作局部轮廓化处理。

问题三：重要数据能否存储于境外服务器？
原则上应当依法在境内存储。因业务需要确需向境外提供的，必须通过国家网信部门会同国务院有关部门组织的安全评估，且不得超出评估时明确的目的、范围、方式和数据种类、规模。

问题四：年度报送的时间节点是什么？
开展重要数据处理活动的汽车数据处理者，应当在每年12月15日前向省、自治区、直辖市网信部门和有关部门报送年度汽车数据安全管理情况；涉及向境外提供重要数据的，还需补充报告第十四条所列事项。

八、法条与依据核验

本文所引条文，出自《汽车数据安全管理若干规定（试行）》（国家互联网信息办公室、国家发展改革委、工业和信息化部、公安部、交通运输部令第7号），2021年8月16日公布，自2021年10月1日起施行，现行有效，涉及第三条（概念界定与重要数据六类清单）、第四条至第五条（处理的正当性要求与网络安全等级保护义务）、第六条（四项倡导原则）、第七条（告知事项）、第八条（同意与匿名化例外）、第九条（敏感个人信息与生物识别特征）、第十条至第十一条（风险评估与境内存储、出境安全评估）、第十二条（出境范围限制与抽查核验）、第十三条至第十四条（年度报送与补充报告）、第十五条（数据安全评估配合）、第十七条（投诉举报与责任）、第十八条（处罚）。

需要注意其与上位法及后续规则的衔接：其一，该规定为部门规章，效力位阶低于《个人信息保护法》《数据安全法》，二者不一致时应以上位法为准；其二，个人信息出境的安全管理，除本规定外还需适用《个人信息保护法》及国家网信部门关于数据出境安全评估、标准合同、保护认证的相关规定；其三，本规定自2021年施行至今未作修订，具体适用请以国家互联网信息办公室公布文本及后续配套规则为准。