ARTICLES
专业文章
车联网行 数据先行——车联网背景下汽车产业的数据安全合规
车联网行 数据先行——车联网背景下汽车产业的数据安全合规
工业和信息化部（"工信部"）于2018年12月发布的《车联网（智能网联汽车）产业发展行动计划》（下称"《行动计划》"）指出，我国车联网产业进入快车道，技术创新日益活跃，新型应用蓬勃发展，产业规模不断扩大。而2020年，5G技术的全面商用化更是为网联汽车产业发展提供了加速器。
在车联网和智能网联汽车（下称"网联汽车"）产业中，"数据"扮演了重要的角色。《数据安全法》[1]的落地将中国的数据安全管理推向了新高度；2021年7月至今，中国监管机关连续发布了多项关于汽车数据、车联网数据、网联汽车数据的管理规定。至此，中国网联汽车产业的数据安全管理框架雏形已现。
一.
车联网与汽车产业
如今，无论是奔驰在道路上的汽车，还是生产、维修、停靠中的汽车，大部分都并非孤立主体，而是车联网中的有机组成部分。
（一）车联网的含义
工信部对"车联网"的定义，是新一代网络通信技术与汽车、电子、道路交通运输等领域深度融合的新兴产业形态[2]。车联网产业链涉及的主体包括但不限于汽车用户个人、整车厂和汽车零配件制造商、互联网企业，以及相关基础设施的建造和运营商。
（二）车联网产业链
车联网几乎覆盖汽车相关的全产业链，可以分为四层[3]：基础设施、硬件层、平台层和应用层。
1. 基础设施
基础设施包括无线网络、智能充电桩、加油站、停车场等。2020年4月，中华人民共和国国家发展和改革委员会（"发改委"）在新闻发布会上，明确了智能交通基础设施属于新型基础设施的一种。
2. 硬件层
车辆、车载智能设备及芯片、手机等均属于硬件层，为车内数据采集和车内储存提供了硬件基础。
3. 平台层
车辆操作系统更是产业链中的"兵家必争之地"，系统平台是汽车数据分析和风险控制的核心。
4. 应用层
应用层又可以分为两类：车辆服务应用，例如高精地图、停车引导等应用；生态应用，例如车上广播、音乐、游戏等。应用层集中了用户信息采集入口，这是汽车数据收集的重要来源之一。
（三）车联网与网联汽车的关系
工信部对于"智能网联汽车"的定义是，搭载先进的车载传感器、控制器、执行器等装置，并融合现代通信与网络技术，实现车与车、路、人、云端等智能信息交换、共享，具备复杂环境感知、智能决策、协同控制等功能，可实现"安全、高效、舒适、节能"行驶的新一代汽车[4]。
网联汽车作为车联网的核心要素，是车联网信息服务终端客户最直接、最直观的接触对象。
二.
数据范围
当讨论车联网背景下汽车的数据安全合规，到底在讨论哪些数据呢？
（一）车联网信息服务数据
工信部于2020年8月31日发布的通信行业标准《车联网信息服务 数据安全技术要求》（YD/T 3751-2020）（下称"3751标准"），已于2020年10月1日起实施。3751标准将车联网信息服务数据基于其属性或特征，分为六大类，并在六大类中细分若干小类。六大类数据包括：基础属性类数据、车辆工控类数据、环境感知类数据、车控类数据、应用服务类数据和用户个人信息。
（二）汽车数据
3751标准为推荐性标准，不具有强制执行力。2021年8月6日，发改委、工信部等五部委发布了《汽车数据安全管理若干规定（试行）》（下称"《若干规定》"），该规定已于2021年10月1日生效。《若干规定》以部门规章的形式，根据《数据安全法》进一步完善汽车数据安全管理，并为汽车数据安全管理提供了一定的法律依据。
在数据范围上，相较3751标准针对的车联网信息服务数据，《若干规定》规范的范围扩展到汽车数据。根据《若干规定》第三条[5]，"汽车数据"的定义为"包括汽车设计、生产、销售、使用、运维等过程中的涉及个人信息数据和重要数据"，并定义了"个人信息"、"敏感个人信息"和"重要数据"。
（点击图片查看大图）
因此，《若干规定》中的汽车数据处理者包括汽车制造商、零部件和软件供应商、经销商、维修机构以及出行服务企业等，涵盖了所有车联网信息服务提供者。自《若干规定》施行后，中国对于汽车产业的数据安全管理，将更为完善和严格。
三.
数据合规要点
（一）分类分级保护
《数据安全法》第二十一条规定了国家建立数据分类分级保护制度，并要求各地区、各部门确定相应的重要数据具体目录，对列入目录的数据进行重点保护。目前尚未出台专门针对汽车或车联网产业的重要数据目录。
在此情况下，3751标准中的分类分级标准是企业合规的参考依据。3751标准将车联网信息服务数据分为六大类和若干细分类别，这些类别将依据车联网信息服务数据的安全目标、重要性以及在发生安全事故时可能造成的影响范围与严重程度，划分为三个敏感等级：一般数据、重要数据[6]和敏感数据。
对不同敏感等级的数据实施分级保护，划分为基本级和增强级两个等级；对于敏感等级为一般的数据实施基本级保护；对于敏感等级为重要或敏感的数据实施增强级保护。分级保护的基本原理是，在不同的处理环节，处理任何敏感等级数据都必须满足基本级安全保护要求；重要数据和敏感数据的处理则均需额外满足增强级安全保护要求。
|
数据敏感等级 |
保护等级 |
|
一般数据 |
基本级 |
|
重要数据 |
增强级 |
|
敏感数据 |
（二）汽车数据的处理原则
《若干规定》明确了汽车数据处理者应当遵循的处理原则：
1. 车内处理原则
《若干规定》要求汽车数据除非确有必要不向车外提供。该规定契合汽车产业的真实场景，区分了车内和车外场景。当然，真正要实现汽车数据最大程度的车内处理，还需要边缘计算、车载芯片计算能力和车辆本地数据储存能力等软硬件支持。
2. 默认不收集原则
《若干规定》要求除非驾驶人自主设定，每次驾驶时默认设定为不收集状态。在实现过程中，这要求驾驶系统设计中提供自主设定和默认设定的选项。
3. 精度范围适用原则
根据所提供功能服务对数据精度的要求确定摄像头、雷达等的覆盖范围、分辨率。这也是数据采集范围最小化原则的体现。
4. 脱敏处理原则
《若干规定》要求对于汽车数据尽可能进行匿名化、去标识化等处理。
（三）个人信息保护
随着车联网和网联汽车的深度应用，汽车数据处理过程中涵盖的个人信息的范围和数量都在高速增长，车主、驾驶人、乘车人、车外人员等有关的各种信息都涵盖其中。根据《若干规定》的分类，汽车数据包括个人信息数据和重要数据；并且有针对性地规定了涉及个人信息数据的处理要求，这些要求在一般个人信息保护要求的基础上，进一步契合车联网和网联汽车的应用场景。
1. 告知同意原则
与其他数据处理者一样，汽车数据处理者处理个人信息应遵循告知同意原则。但是，出于保证行车安全的需要可以有所例外，该等例外必须满足几个条件：采集的个人信息范围为车外个人信息，传输方向是向车外传输，以及个人信息应当匿名化处理。
《若干规定》要求汽车数据处理者处理个人信息应当以显著方式告知个人，显著方式包括：用户手册、车载显示面板、语音、汽车使用相关应用程序等显著方式，并在第七条[7]对于应告知个人的事项范围也予以了细化。
2. 敏感个人信息
《若干规定》对第九条对敏感个人信息予以特殊保护，也体现了《数据安全法》规定的分类分级保护原则。
处理敏感个人信息的特殊要求体现在：处理目的直接服务于个人目的，包括增强行车安全、智能驾驶、导航等；要求取得个人的单独同意；赋予个人自主设定同意期限的权利；提示收集状态；在个人删除权方面量化规定了十个工作日内删除的时限。
3. 行业标准
工信部还发布了通信行业标准《车联网信息服务 用户个人信息保护要求》（YD/T 3746-2020）[8]（下称"3746标准"）。3746标准与3751标准的思路基本一致，规定了车联网信息服务中用户个人信息保护的信息内容分类、敏感性分级和分级保护要求，适用于汽车厂商、零部件和元器件供应商、软件提供商、数据内容提供商和服务提供商等在提供服务过程中的个人信息保护。
3746标准将个人信息分为三大类：用户身份证明类信息、车联网信息服务内容类用户数据信息、用户服务相关信息。进一步地，三大类中的各细分小类将根据车联网信息服务中用户个人信息的敏感程度和在发生用户个人信息泄露或滥用等事件后对用户人身和财产等方面的危害程度，划分为三个敏感性分级：个人一般信息、个人重要信息和个人敏感信息，安全保护要求也逐级递增。
（四）数据的跨境传输
某平台"数据门"事件余波未平，警醒了大家重新审视跨境数据合规的重要性。无论是资本还是技术原因，数据的跨境传输已经成为不可回避的问题。除遵守一般的跨境数据传输规定外，车联网背景下汽车数据的跨境处理需要注意如下要点：
1. 境内储存
《若干规定》项下的重要数据和个人信息数据均涉及境内储存问题。
（1）重要数据
《若干规定》第十一条规定了重要数据应当在境内存储，因业务需要确需向境外提供的，应当通过国家网信部门会同国务院有关部门组织的安全评估。
（2）个人信息数据
《个人信息保护法》和《数据安全法》均规定关键信息基础设施应当将在中华人民共和国境内收集和产生的个人信息存储在境内。汽车产业企业，尤其是车联网产业企业由于涉及交通等重要行业和领域，不排除被认定为关键信息基础设施运营者的可能。
汽车数据处理者应尽可能在境内存储《若干规定》项下个人信息数据。
2. 对境外提供汽车数据中的重要数据的要求
对境外提供汽车数据中的重要数据，需要满足以下几个要求：
*
（1）提供必要范围内的重要数据，且不得超出出境安全评估时明确的目的、范围、方式和数据种类、规模等；
*
（2）通过国家网信部门会同国务院有关部门组织的安全评估；
*
（3）除履行一般报告义务外，还需履行额外报告义务[9]。
结语
万物互联时代渐行渐近，网联汽车和车联网企业在蓬勃发展过程中，应当重视数据处理活动的管理及合规要求，加强人员培训和监察活动。汽车联网畅行，数据安全必须先行。
[注]
声明
本文旨在法规之一般性分析研究或信息分享，不构成对具体法律的分析研究和判断的任何成果，亦不作为对读者提供的任何建议或提供建议的任何基础。作者在此明确声明不对任何依据本文采取的任何作为或不作为承担责任。如需转载或引用本文的任何内容，请联系作者(fanxiaojuan@zhonglun.com); 未经作者同意，不得转载或引用本文的任何内容。
