2026年1月30日，在国家数据安全工作协调机制统筹指导下，工业和信息化部、国家互联网信息办公室、国家发展改革委、国家数据局、公安部、自然资源部、交通运输部、市场监管总局制定了《汽车数据出境安全指引（2026版）》（简称“《指引》”）并发布实施。指引回应了产业界诸多汽车数据出境问题，为汽车数据处理者提供清晰、可操作的合规指引，在保障数据安全的前提下促进数据依法有序自由流动。本文旨在分析指引对于汽车行业数据出境管理呈现的精细化管理趋势，以及企业落地执行指引过程中应重点关注的核心合规环节与潜在挑战。

一、与《征求意见稿》比较的核心变化

《指引》与去年6月发布的2025版征求意见稿（简称“《征求意见稿》”）相比，主要进行了以下修改：

1. 援引法律和适用范围

前言中将《数据安全法》置于《网络安全法》之前，强调数据安全在跨境监管中的核心地位。明确将“个人”纳入“汽车数据处理者”范围，并新增其“自主决定处理目的和处理方式”的特征，强调实质控制角度。数据出境行为界定方面，在“数据存储在境内，境外主体访问”的情形中增加“可以”二字，明确该行为的权限属性，表述更严谨。

2.测绘地理信息整体前置审批

《指引》新增明确说明，包含测绘地理信息数据（如空间坐标、影像、点云等）出境的，在申报安全评估前须履行对外提供审批或地图审核程序，衔接了测绘领域法规的监管要求。

3.重要数据目录重点变化

• 敏感地理信息：定义中增加地图相关内容，与前置审批程序呼应，在定义中增加《公开地图内容表示规范》作为上位法依据，不止包括涉密信息；

• 强化电池管理：研发设计场景、生产制造场景、软件升级服务场景、联网运行场景均新增电池管理内容，与国际竞争态势吻合，衔接《中国禁止出口限制出口技术目录》及《两用物项出口管制清单》要求；

• 公共安全执法活动：新增社会公共安全执法活动规则的实例（大型活动安保等管控现场、交通事故等突发案事件警情）并增加人员描述，其他场景涉及此规则亦同；

• 删除“真实”数据限定词：在涉及道路流量等反映经济运行情况的规则中删除“真实”二字，使管控范围可能覆盖模拟或衍生数据；

• 影像数据阈值调整：增加研发设计-产品测试-标注场景数据中的视频标注数据项；在产品测试场景中增加真实环境2000小时以上原始影像、1000万张以上原始图片并基于此生成的判定规则，在驾驶自动化场景中，除保留该规则之外，额外删除了5000万公里和100万个以上原始影像的规则；

• 排除预置算法和产线灌装证书：驾驶自动化算法参数删除训练参数，强调权重系数（预置无法导出除外）；同样思路的还有数字证书部分，仅包含车云通信过程中所涉及的非产线灌装确定的根证书，删除其他数字证书类型。该调整以数据是否具备流动性和是否可能引发系统性安全后果为核心标准；

• 新增识别码：在联网运行场景-车辆数据-车联网卡标识码-具体数据项下新增车联网卡号码（MSISDN）；

• 排除近场通讯：除了之前就有软件升级服务场景中车辆远程控制功能不包含近场通讯方式实现的控制功能之外，在联网运行场景-车辆数据-控制指令这一数据类别下亦排除了近场通讯；

• 新增安全保障数据：车联网平台运营新增安全保障数据，数据项为威胁信息，与重要数据识别国标中的关键信息基础设施防护相关的内容相呼应。

4.防护技术要求

细化安全监测具体内容，强调安全告警日志、网络通信流量及其留存、审计要求，对操作行为日志细化操作结果和数据访问权限变更。

5.其他微调

增加近场通信定义；结合个人信息出境认证规定更新相关描述以及对应流程图；规范和统一表述[1]，删除重要数据的重复表述[2]，衔接安全评估和SCC实操规则并简化文本。

二、现有出境机制的衔接与创新

1.  基本机制与新增豁免情形

适用于汽车行业数据处理者的指引，重述了《网络数据安全管理条例》《促进和规范数据跨境流动规定》（简称“促进新规”）以及相关出境申报或备案指南中对于数据出境基本机制和豁免情况的规定。

指引在现有法规确定的豁免情形下新增了若干豁免场景，包括自贸区特例、安全漏洞修补、安全事件处置、基于消除产品缺陷的OTA升级召回等，这些新豁免场景贴近最新监管要求和行业规定，降低了企业在处理应急场景或履行法定义务情形下的合规负担，有机实现部门联动和程序惠商。

但是，指引关于特定生产制造数据涉及限制技术出口等情形，并无获得相关许可之后即可豁免出境义务的规定，考虑到发文监管机构并未包含商务部，故依然需要双轨递交。

2.  与测绘地理信息监管机制的衔接

本指引中在重要数据范围处衔接了自然资源部关于测绘数据、时空数据等规定中的强制性要求，主要涉及自然资源部关于《测绘地理信息管理工作国家秘密范围的规定》《自然资源部关于加强智能网联汽车有关测绘地理信息安全管理的通知》等文件，并且强调汽车数据包含空间坐标、影像、点云及其属性信息等测绘地理信息数据，此类数据需在申报数据出境安全评估前履行对外提供审批或地图审核程序；申报安全评估的出境数据中涉及位置轨迹、自动驾驶地图数据、构图类数据等含有空间位置坐标的地理信息数据的，均应为采用国家认定的地理信息保密处理技术完成处理后的数据，进一步衔接了国家秘密和重要数据的认定问题。

3.  汽车行业个人信息出境再审视

（1）“10万个人信息”的迷思

指引在引用上位规范时仅提及了主要的法律和行政法规，并未提及《汽车数据安全管理若干规定（试行）》（简称“《若干规定》”）这一多年来不停被解读和讨论的重要规范，但若干规定确立的基本原则和安全视角依然如影随形。其中“涉及个人信息主体超过10万人的个人信息”为汽车行业的重要数据的规定，导致不少车企申报时升格成为安全评估，在指引中该等要求已经被拆散入各业务场景中，同样的量级“10万”将以车辆台数而非个人信息主体人数统计，更加符合车辆研发、测试、运营过程中可能带来的国家安全以及公共利益风险问题。指引中关于重要数据描述中涉及人数的采用的是“100万人”以上的概念（例如VIN码、充电消费数据），与现行一般出境机制中个人信息达100万人以上需进行安全评估的要求拉齐，避免引发适用混淆。

历时多年，我们理解《指引》表达了一个较为明确的信号，与《若干规定》相比，监管的重点和对于汽车行业重要数据的认识有了显著的变化和进步。

此外，值得一提的是，若干规定描述的10万人个人信息这一重要数据与促进新规规定的累计出境个人信息数量的判断相关性仍未在本指引中进行细化，可待后续政策落地过程中通过实践进行讨论和总结。

（2）VIN码以及相关车辆数据

VIN码是否是个人信息的问题，是汽车行业多年讨论的焦点，同时实务中经常探讨去标识化或者脱敏VIN码（特别是VIN是多个系统唯一识别符）是否仍然构成个人信息的问题。指引对此并未明确回应，但在重要数据-车辆数据类目下说明，原始VIN、去标识化后可还原的VIN自当年1月1日起向境外提供与其他出境信息结合可识别累计100万人以上个人身份的属于重要数据，此处或提供了监管视角中关于个人信息认定在VIN码项下强调识别性的思路，而非泛化的关联性标准。特定场景和系统或可依赖此思路论证不落入申报范围。

三、基于特定场景的精细化重要数据判定规则

指引首次以行业规范性文件的形式，系统性地规定了汽车行业重要数据范围，共设定九大类重要数据判定规则（包含成果、地理信息、公共执法、出口管制、系统功能、累计时长、规模精度、车辆数量、个人信息），涵盖汽车行业研发设计、生产制造、驾驶自动化、软件升级服务、联网运行五大典型业务场景，每个场景下又细化为多个数据项及数据项说明。

1.  关于判定规则的理解：风险定性和定量的紧密结合

指引的亮点在于判定规则的设计，融合了网数条例体现的重要数据认定核心思路[3]，体现了与特定行业与业务场景紧密结合的精细化治理特点。

来源：工业和信息化部官方微信号

下表为指引中的判定规则分类与场景、数据类型映射，以期直观展现监管关注重点：

点击可查看大图

整体而言，位置、规模、区域、是否可反映的科技发展、经济运行情况、对驾驶安全和公共安全的影响，结合推演分析的可能性，与敏感设施、敏感信息（测绘数据等）的结合程度，以及是否能反映其特性等内容，综合形成了上述判定规则。

2.  前置场景与国家战略对齐：研发设计、生产制造与驾驶自动化

以往在汽车数据管理的实践中，研发设计、产品测试和生产制造场景的数据较少被认定为“重要数据”，因为这些数据一般并不直接涉及实体产品的运营，亦不涉及终端用户的敏感信息。然而，指引充分考虑到自动驾驶技术快速迭代的背景，以及智能网联汽车所具有的国家战略性意义，明确列举了该类场景下重要数据的判断范围。

例如，指引将涉及重要专项或成果、出口管制等的研发核心资料（物料清单、设计文档、源代码），符合特定标准的场景数据（标注、仿真、测试数据），以及生产环节的关键工艺与控制系统源代码，统一纳入重要数据范围。此外，在自动驾驶算法研发与测试场景中，由于训练和验证数据通常来自大规模真实世界的图像、影像和点云信息，这些数据反映真实道路环境，可能包含大量敏感区域、敏感目标信息，其潜在风险与敏感度显著提高，指引特别对此类数据做出了更细致的判定要求。

3.  贯穿场景聚焦核心风险：软件升级服务场景（OTA）

本次指引针对OTA数据未设定具体的规模和精度要求，而是将一般性的OTA升级数据范围更明确地限缩于涉及“安全驾驶功能”和“电池管理功能”的升级软件程序源代码。这一举措突出了监管对安全驾驶和电池管理功能两大高风险领域的针对性关注，防止恶意代码升级导致的重大或公共安全事件，从而精准控制数据出境安全风险，有效减轻企业的整体合规负担。

4.  运行场景数据分层治理：联网运行场景

联网运行场景历来是汽车数据跨境监管的重中之重，指引在该场景中延续精细化管理导向，构建清晰的分层治理体系：

点击可查看大图

总体来看，尽管指引中的部分指标和数据项（如涉及科技安全和产业竞争力影响的具体判定、社会公共安全行政执法活动和人员的推算标准、高危漏洞和重大网络及数据安全事件认定标准等）仍存在一定模糊空间，但相较于《若干规定》以及其他已发布的重要数据标准/识别指南，此次指引在精细化程度、技术要求明确性和数据判定的量化细致性上，均表现出显著进步，更贴合了汽车产业技术快速迭代及国际化竞争的发展趋势。工信部就指引答记者问中，也明确了后续随着汽车行业新技术新业务发展，重要数据判定规则将结合行业发展形势及时调整。下一步的指引核心落地工作包含相关企业准确识别重要数据并备案。

我们理解，以下汽车行业常见跨境实践可能会因此受到影响：

点击可查看大图

四、强调技术实证的全流程闭环监管要求

在继承现行数据出境管理机制的基础上，指引突出强调了“技术管控”与“实证合规”的双重要求，体现出监管由制度导向向技术验证导向转型的趋势。相较于一般性出境规定和指南，该指引不仅设定了详细的数据分类分级标准，还要求企业在数据识别、处理、传输及事中事后管理各环节落实管理措施和技术安全措施。

具体而言，除了一般的管理要求（部门、人员、制度、审批），指引的特色为加强防护技术、安全监测、日志、应急处置环节，要求企业确保传输安全可信、处理路径可追踪、安全机制具备验证能力，强化安全事件响应机制，要求汽车数据处理者建立违规出境的处置能力，发现异常行为应及时处置并及时向本地区监管部门报告，确保监管链条闭环，这对于面临个人信息保护审计压力的企业而言，更增添了需要提供实证佐证的合规要求。

五、结论与建议

《汽车数据出境安全指引（2026版）》的发布，标志着我国汽车数据跨境监管正式进入以场景化、工程化和技术实证为核心特征的精细治理阶段。相较以往以抽象概念和通用门槛为主的数据出境制度，该指引围绕汽车产业完整业务链条，对研发设计、产品测试、生产制造、驾驶自动化、软件升级和联网运行等典型场景进行了系统拆解，在重要数据认定上实现了“定量指标与定性风险并行”“静态规则与动态推演结合”的监管升级，有效增强了制度的可操作性与风险指向性。

工信部在《八问+一图，读懂〈汽车数据出境安全指引（2026版）〉》中进一步明确，监管将持续推进重要数据识别和目录备案工作，要求相关企业准确识别重要数据、完成备案，并以此明确数据安全保护目标。这一表态清晰表明，指引的功能已不再局限于“是否出境”的合规判断，而是延伸至企业内部重要数据识别、分类分级和系统化管理的全过程，对企业数据治理体系建设具有基础性和前置性的指导意义。

在此背景下，企业的应对重点应在于通过前置工程化数据安全设计和架构级风险抑制措施（Data Security by Design），在进行内部盘点的基础上，系统运行中内嵌重要数据识别和风险控制要求；在确需形成重要数据的场景下，再坚持最小必要出境原则并依法开展安全评估：

• 企业应首先依据指引要求，系统开展汽车数据盘点与重要数据识别工作，结合业务场景和技术架构厘清数据类型、规模及流向，为后续工程化治理和出境管理奠定基础。

• 企业应以指引列明的判定条件为工程设计约束，在系统架构、数据域划分、权限管理和数据生命周期控制层面主动规避规模化汇聚、连续时序留存和可推演能力形成，从源头降低重要数据被触发的可能性。

• 若在特定业务场景下仍不可避免构成重要数据，则应坚持最小必要出境原则，通过数据留存境内、模型或结果出境、分布式或联邦学习等技术路径，压缩出境数据范围，并在此基础上依法开展出境安全评估，实现业务连续性与安全合规的平衡。

展望未来，汽车数据跨境监管呈现出三方面趋势：一是监管规则将持续向“分行业、分场景”细化，行业专属指引有望成为重要数据治理的主要形态；二是监管手段将更加依赖技术实证和系统闭环，推动企业建设可验证、可审计的数据合规能力；三是国家层面规则与地方试点政策将逐步衔接，在自贸区等区域探索便利化安排的同时，统筹国家安全和产业发展的平衡。

从更广泛的视角看，该指引亦为其他数据密集型行业（例如智能制造、工业互联网、智慧城市、交通、能源、AI与大模型产业、平台型企业等）提供了重要借鉴：即通过场景化规则替代抽象概念，通过工程化设计降低合规摩擦，通过技术能力实现“可控流动”，为我国在更大范围内推进数据跨境流动规则的精细化治理奠定了可复制的制度范式。

[注]

[1] 例如：将“数据出境路径”标题改为“数据出境活动管理方式”；将“个人信息保护认证”统一为“个人信息出境认证”，与《个人信息出境标准合同办法》等规定术语保持一致。

[2] 例如：新增统一说明，明确豁免情形中“向境外提供的个人信息，不包括重要数据”，解决了之前多项条款重复排除重要数据的冗余问题。删除了个人信息豁免条款中“和重要数据”的表述，逻辑更清晰。

[3] 《网络数据安全管理条例》第六十二条：重要数据，是指特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据。