近日，國家互聯網信息辦公室(以下簡稱“國家網信辦”)、公安部等五部門聯合發布《汽車數據安全管理若干規定(試行)》(以下簡稱《規定》)，自10月1日起施行。這是工信部正式發布《關于加強智能網聯汽車生產企業及產品準入管理的意見》一周后，相關部門出臺的又一加強汽車數據管理的政策文件。

減少無序收集與違規濫用

當前，汽車數據規模龐大，行業對其的處理能力日益增強，但同時由此暴露出的汽車數據安全問題和風險隱患也日益突出。北京中銀律師事務所汽車法律事務部主任楊陽表示，隨著智能汽車數據處理能力及范圍日益增強、擴大，汽車數據的安全問題和風險隱患成為了制約行業健康發展的痛點。《規定》的出臺既是《網絡安全法》、《數據安全法》及《個人信息保護法》在汽車行業的細化，又將對智能汽車的健康發展提供加速器作用，可有效彌補新技術帶來的立法空白。

《規定》倡導，汽車數據處理者在開展汽車數據處理活動中堅持“車內處理”、“默認不收集”、“精度范圍適用”、“脫敏處理”等數據處理原則，減少對汽車數據的無序收集和違規濫用。

《規定》明確提出，汽車數據處理者應當履行個人信息保護責任，充分保護個人信息安全和合法權益;開展個人信息處理活動，汽車數據處理者應當通過顯著方式告知個人相關信息，取得個人同意或符合法律、行政法規規定的其他情形;處理敏感個人信息，汽車數據處理者還應當取得個人單獨同意，滿足限定處理目的、提示收集狀態、終止收集等具體要求或符合法律、行政法規和強制性國家標準等其他要求。汽車數據處理者具有增強行車安全的目的和充分的必要性，方可收集指紋、聲紋、人臉、心律等生物識別特征信息。

《規定》強調，汽車數據處理者開展重要數據處理活動，應當遵守依法在境內存儲的規定，加強重要數據安全保護;落實風險評估報告制度要求，積極防范數據安全風險;落實年度報告制度要求，按時主動報送年度汽車數據安全管理情況。因業務需要確需向境外提供重要數據的，汽車數據處理者應當落實數據出境安全評估制度要求，不得超出出境安全評估結論違規向境外提供重要數據，并在年度報告中補充報告相關情況。

《規定》還提出，國家有關部門依據各自職責做好汽車數據安全管理和保障工作，包括開展數據安全評估、數據出境事項抽查核驗、智能(網聯)汽車網絡平臺建設等工作。

數據涉及廣泛隱私亟待保護

“我最在意的就是車輛是否在監控我，并把錄音錄像上傳至后臺分析。”北京豐臺的汽車用戶盧女士對《中國汽車報》記者說。

對車內個人隱私泄露有著同樣擔憂的不止盧女士一人。家住北京海淀的梁先生也表示，智能化技術興起以后，汽車接打電話等成為尋常的功能。“汽車很輕松地就獲取了我的手機通訊錄，而且如果它開啟錄音設備，也會知曉通話內容。而且，汽車恐怕最了解我常去的地方，每天還給我推送路況。智能汽車確實很便利，但我也有不想讓它知道的隱私。”他向記者說道。

北方工業大學汽車產業創新研究中心研究員、汽車分析師張翔認為，在沒有進行規范管理前，車內的攝像頭及錄音設備有可能未經車主同意就將錄音、錄像上傳至云端，車主的出行軌跡或許也被拿來進行分析。從這個意義上說，《規定》的出臺進一步加強了個人隱私保護。不過，目前智能汽車很多服務是免費的，背后就是數據的商業化應用。《規定》出臺以后，一些免費的服務有可能變為收費服務。

有業內人士指出，一輛智能網聯汽車每天至少收集10TB的數據，不僅數量極大，而且涉及駕乘人員的出行軌跡、習慣、語音、視頻等關鍵信息。

一家自動駕駛初創公司的相關負責人對記者表示，自從車輛可以聯網后，廠商就開始收集車輛的行駛數據，比如，車輛行駛速度、加速踏板和剎車踏板的開度、四門兩蓋開閉狀態、車輛GPS位置以及車上各種傳統傳感器的數據等，它們可以通過CAN總線獲取。而在智能化時代，汽車攝像頭、雷達不僅可以收集車外數據，還能觸發數據回傳，再對數據進行分析，從而提升自動駕駛的性能。這兩年開始應用的車內攝像頭，即駕駛員監控系統(DMS)或乘客監控系統(OMS)，則可以通過識別駕乘人員面部、手勢特征，在使車輛設置“千人千面”的同時，完善用戶畫像，幫助車企調整產品和市場策略。此外，還有方興未艾的指紋識別、靜脈識別，甚至心跳監控。“數據的應用具有廣闊的想象空間，但大肆濫用并不合法。”他強調。

據了解，大量行車數據被匯總至后臺，不止帶來個人用戶隱私泄露的隱患，也涉及國家經濟、裝備制造、金融、交通運輸、生產生活等諸多領域安全風險。國家互聯網信息辦公室有關負責人指出，在汽車數據安全管理領域出臺有針對性的規章制度，明確汽車數據處理者的責任和義務，規范汽車數據處理活動，有利于促進汽車數據依法合理有效利用和汽車行業健康有序發展。

產業鏈上下游要落實數據安全管理

事實上，近日出臺的《個人信息保護法》也明確規定，不得過度收集個人信息、大數據殺熟，對人臉信息等敏感個人信息的處理作出規制，完善個人信息保護投訴、舉報工作機制……這部專門法律為破解個人信息保護中的熱點難點問題提供了強有力的法律保障。

國家網信辦有關負責人表示，汽車數據安全管理需要政府、汽車數據處理者、個人等多方主體共同參與。省級以上網信辦、發展和改革、工信、公安、交通運輸等有關部委在汽車數據安全管理過程中，將加強協調和數據共享，形成工作合力。

楊陽認為，智能網聯汽車作為一種特殊的交通工具，涉及數據的內容分類、處理主體具有汽車特有的多樣性、復雜性，因此我國加快了對數據安全領域的立法工作。除了框架性的法律規定，在實際數據安全業務開展過程如何具體實施，還有賴于具體專門性的規定和國家強制性標準予以細化。如何既促進新興產業技術發展，又保護個人信息和國家安全，這需要立法者的智慧予以平衡。比如，深圳市已對數據安全進行探索，細化數據安全立法內容，《深圳經濟特區數據條例》于2021年6月29日通過，并將于2022年1月1日起施行。

在ICMA智聯出行研究院院長何姍姍看來，針對重要數據，《規定》有一個從定性到定量的安排，要求企業做年度申報，基本上涉及了每家車企。如果涉及數據出境，車企就一定要進行安全評估，需要建立一套數據安全風險管理體系。

新能源和智能網聯汽車產業研究員曹廣平表示，企業內部要進行《規定》的宣貫、學習與執行，要進行企業標準的相應修訂工作，各相關業務部門也要對照各自的業務進行整改，加強管理，規范優化相關數據活動。