汽车数据安全管理若干规定（试行）
本文把汽车制造、零部件/软件、经销维修和出行服务中的数据要求转成车内优先、默认不收集、个人信息、重要数据、数据出境和年度报告等可验证控制。检查重点应落到真实车辆、真实固件、真实App和真实后端数据流，而不是只检查隐私政策。
法规概览
| 项目 | 内容 |
|---|---|
| 法规 | 《汽车数据安全管理若干规定（试行）》 |
| 生效日期 | 2021年10月1日 |
| 主要主体 | 汽车制造商、零部件和软件供应商、经销商、维修机构、出行服务企业等汽车数据处理者 |
| 核心问题 | 车内处理、默认不收集、最小精度、个人信息、敏感个人信息、重要数据、境内存储、出境评估、年度报告 |
| 关键时限 | 敏感个人信息删除请求原则上10个工作日；重要数据处理者每年12月15日前报送年度汽车数据安全管理情况 |
安全要求与实施
把车内处理、默认不收集和最小精度落实到产品默认值
法规要求｜第4—6条。 汽车数据处理应合法、正当、具体明确并与汽车业务直接相关；倡导车内处理、默认不收集、精度范围适用和脱敏处理。
落实与验收。
- 对摄像头、麦克风、位置、驾驶行为、车外图像等逐项判断是否可在车端完成计算。
- 新车/恢复出厂后的默认状态不主动开启非必要采集，用户主动选择后才改变。
- 传感器覆盖范围、分辨率和上传精度按功能最小化，避免“硬件能采多少就采多少”。
- 能匿名化、特征化或仅上传结果的，不默认上传原始音视频和轨迹。
验收证据。
- 将车辆恢复出厂设置，在用户不做任何授权的情况下抓取车端到云端流量，实际上传了什么？
- 关闭云端网络后，声称必须上传的数据是否其实仍能在车内实现功能？
- 检查摄像头原始分辨率与业务实际使用精度，是否存在明显过度采集？
让告知、同意和停止采集能力作用于真实车端
法规要求｜第7—9条。 处理个人信息应显著告知；敏感个人信息需满足更严格必要性、单独同意、状态提示和停止采集要求，删除请求原则上10个工作日内完成。
落实与验收。
- 用户手册、车机和App中的处理规则与真实传感器、SDK和云端处理一致。
- 敏感信息单独同意按具体目的和数据类型设计，不捆绑在总隐私协议中。
- 车机明确展示敏感数据采集状态，并提供易用的停止方式。
- 删除请求贯穿车端缓存、云端、备份和受托方，并跟踪到完成。
验收证据。
- 用户拒绝人脸/声纹/轨迹等敏感信息后，相关传感器和上传链路是否真的停止？
- 提交一次删除请求，10个工作日后从主库、缓存和第三方链路反查是否仍可找到数据？
- 对照隐私告知抓真实网络流量，是否存在未告知字段或用途？
识别重要数据并在处理前完成风险评估
法规要求｜第3、10条。 重要数据包括特定敏感区域地理/流量、经济运行相关车辆物流数据、充电网运行数据、含人脸/车牌的车外图像，以及涉及超过10万个人信息主体的数据等；开展重要数据处理活动应进行风险评估并按规定报送。
落实与验收。
- 建立汽车重要数据识别规则和目录，覆盖单车数据聚合后达到规模/敏感程度的情况。
- 重要数据处理项目在上线和重大变化前完成风险评估，记录种类、规模、范围、存储、第三方提供、风险和措施。
- 车外视频/图像、人流车流等数据重点评估聚合和区域属性，不能只按单张图片判断。
验收证据。
- 从云端车外图像库反查，是否包含人脸、车牌或敏感区域数据却未识别为重要数据？
- 当前个人信息主体规模是否已超过10万，达到阈值后何时触发重新分类和评估？
- 抽一项重要数据业务，风险评估时间是否早于实际处理？
对重要数据实施境内存储和严格出境控制
法规要求｜第11—12条。 重要数据应依法境内存储，确需向境外提供的应通过安全评估，实际出境不得超出评估明确的目的、范围、方式、种类和规模。
落实与验收。
- 建立车辆、云平台、研发工具、境外远程支持和SaaS的完整数据出境地图。
- 重要数据默认境内存储；远程查询、日志平台、模型训练和境外技术支持同样纳入出境识别。
- 出境批准参数与网络/API实际传输建立持续对账，超范围自动告警或阻断。
验收证据。
- 从境外IP流量和跨国账号反查，是否存在未登记的远程访问或日志同步？
- 随机抽一条获批出境链路，实际字段、规模和接收方是否与评估完全一致？
- 境外研发人员能否通过内部工具间接查询重要数据？
建立年度报告、投诉和事件事实闭环
法规要求｜第13—17条。 重要数据处理者应在每年12月15日前报送年度汽车数据安全管理情况；出境重要数据还需补充相关情况；应建立投诉举报渠道并配合安全评估。
落实与验收。
- 年度报告数据从资产、处理活动、第三方共享、事件和投诉系统自动汇总，避免年底临时统计。
- 报告中的种类、规模、存储地点、第三方和出境情况与生产事实一致。
- 用户投诉进入隐私/数据治理闭环，高频问题推动产品整改。
- 重大数据事件与网络安全事件统一研判并履行相应报告义务。
验收证据。
- 将上一年度报告中的数据规模和第三方清单与当前历史日志复算，是否一致？
- 随机抽一条用户投诉，是否能看到从受理到技术整改和反馈的完整记录？
- 年中新增重要数据业务后，年度报告数据源是否自动覆盖，还是依赖负责人记得补填？
法规原文
以下保留法规原文用于逐条核对。个人信息、重要数据和数据出境还应叠加现行专项法律法规和标准要求。
查看法规原文
- 第一条 为了规范汽车数据处理活动，保护个人、组织的合法权益，维护国家安全和社会公共利益，促进汽车数据合理开发利用，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》等法律、行政法规，制定本规定。
- 第二条 在中华人民共和国境内开展汽车数据处理活动及其安全监管，应当遵守相关法律、行政法规和本规定的要求。
- 第三条 本规定所称汽车数据，包括汽车设计、生产、销售、使用、运维等过程中的涉及个人信息数据和重要数据。
- 汽车数据处理，包括汽车数据的收集、存储、使用、加工、传输、提供、公开等。
- 汽车数据处理者，是指开展汽车数据处理活动的组织，包括汽车制造商、零部件和软件供应商、经销商、维修机构以及出行服务企业等。
- 个人信息，是指以电子或者其他方式记录的与已识别或者可识别的车主、驾驶人、乘车人、车外人员等有关的各种信息，不包括匿名化处理后的信息。
- 敏感个人信息，是指一旦泄露或者非法使用，可能导致车主、驾驶人、乘车人、车外人员等受到歧视或者人身、财产安全受到严重危害的个人信息，包括车辆行踪轨迹、音频、视频、图像和生物识别特征等信息。
- 重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益或者个人、组织合法权益的数据，包括：
- （一）军事管理区、国防科工单位以及县级以上党政机关等重要敏感区域的地理信息、人员流量、车辆流量等数据；
- （二）车辆流量、物流等反映经济运行情况的数据；
- （三）汽车充电网的运行数据；
- （四）包含人脸信息、车牌信息等的车外视频、图像数据；
- （五）涉及个人信息主体超过10万人的个人信息；
- （六）国家网信部门和国务院发展改革、工业和信息化、公安、交通运输等有关部门确定的其他可能危害国家安全、公共利益或者个人、组织合法权益的数据。
- 第四条 汽车数据处理者处理汽车数据应当合法、正当、具体、明确，与汽车的设计、生产、销售、使用、运维等直接相关。
- 第五条 利用互联网等信息网络开展汽车数据处理活动，应当落实网络安全等级保护等制度，加强汽车数据保护，依法履行数据安全义务。
- 第六条 国家鼓励汽车数据依法合理有效利用，倡导汽车数据处理者在开展汽车数据处理活动中坚持：
- （一）车内处理原则，除非确有必要不向车外提供；
- （二）默认不收集原则，除非驾驶人自主设定，每次驾驶时默认设定为不收集状态；
- （三）精度范围适用原则，根据所提供功能服务对数据精度的要求确定摄像头、雷达等的覆盖范围、分辨率；
- （四）脱敏处理原则，尽可能进行匿名化、去标识化等处理。
- 第七条 汽车数据处理者处理个人信息应当通过用户手册、车载显示面板、语音、汽车使用相关应用程序等显著方式，告知个人以下事项：
- （一）处理个人信息的种类，包括车辆行踪轨迹、驾驶习惯、音频、视频、图像和生物识别特征等；
- （二）收集各类个人信息的具体情境以及停止收集的方式和途径；
- （三）处理各类个人信息的目的、用途、方式；
- （四）个人信息保存地点、保存期限，或者确定保存地点、保存期限的规则；
- （五）查阅、复制其个人信息以及删除车内、请求删除已经提供给车外的个人信息的方式和途径；
- （六）用户权益事务联系人的姓名和联系方式；
- （七）法律、行政法规规定的应当告知的其他事项。
- 第八条 汽车数据处理者处理个人信息应当取得个人同意或者符合法律、行政法规规定的其他情形。
- 因保证行车安全需要，无法征得个人同意采集到车外个人信息且向车外提供的，应当进行匿名化处理，包括删除含有能够识别自然人的画面，或者对画面中的人脸信息等进行局部轮廓化处理等。
- 第九条 汽车数据处理者处理敏感个人信息，应当符合以下要求或者符合法律、行政法规和强制性国家标准等其他要求：
- （一）具有直接服务于个人的目的，包括增强行车安全、智能驾驶、导航等；
- （二）通过用户手册、车载显示面板、语音以及汽车使用相关应用程序等显著方式告知必要性以及对个人的影响；
- （三）应当取得个人单独同意，个人可以自主设定同意期限；
- （四）在保证行车安全的前提下，以适当方式提示收集状态，为个人终止收集提供便利；
- （五）个人要求删除的，汽车数据处理者应当在十个工作日内删除。
- 汽车数据处理者具有增强行车安全的目的和充分的必要性，方可收集指纹、声纹、人脸、心律等生物识别特征信息。
- 第十条 汽车数据处理者开展重要数据处理活动，应当按照规定开展风险评估，并向省、自治区、直辖市网信部门和有关部门报送风险评估报告。
- 风险评估报告应当包括处理的重要数据的种类、数量、范围、保存地点与期限、使用方式，开展数据处理活动情况以及是否向第三方提供，面临的数据安全风险及其应对措施等。
- 第十一条 重要数据应当依法在境内存储，因业务需要确需向境外提供的，应当通过国家网信部门会同国务院有关部门组织的安全评估。未列入重要数据的涉及个人信息数据的出境安全管理，适用法律、行政法规的有关规定。
- 我国缔结或者参加的国际条约、协定有不同规定的，适用该国际条约、协定，但我国声明保留的条款除外。
- 第十二条 汽车数据处理者向境外提供重要数据，不得超出出境安全评估时明确的目的、范围、方式和数据种类、规模等。
- 国家网信部门会同国务院有关部门以抽查等方式核验前款规定事项，汽车数据处理者应当予以配合，并以可读等便利方式予以展示。
- 第十三条 汽车数据处理者开展重要数据处理活动，应当在每年十二月十五日前向省、自治区、直辖市网信部门和有关部门报送以下年度汽车数据安全管理情况：
- （一）汽车数据安全管理负责人、用户权益事务联系人的姓名和联系方式；
- （二）处理汽车数据的种类、规模、目的和必要性；
- （三）汽车数据的安全防护和管理措施，包括保存地点、期限等；
- （四）向境内第三方提供汽车数据情况；
- （五）汽车数据安全事件和处置情况；
- （六）汽车数据相关的用户投诉和处理情况；
- （七）国家网信部门会同国务院工业和信息化、公安、交通运输等有关部门明确的其他汽车数据安全管理情况。
- 第十四条 向境外提供重要数据的汽车数据处理者应当在本规定第十三条要求的基础上，补充报告以下情况：
- （一）接收者的基本情况；
- （二）出境汽车数据的种类、规模、目的和必要性；
- （三）汽车数据在境外的保存地点、期限、范围和方式；
- （四）涉及向境外提供汽车数据的用户投诉和处理情况；
- （五）国家网信部门会同国务院工业和信息化、公安、交通运输等有关部门明确的向境外提供汽车数据需要报告的其他情况。
- 第十五条 国家网信部门和国务院发展改革、工业和信息化、公安、交通运输等有关部门依据职责，根据处理数据情况对汽车数据处理者进行数据安全评估，汽车数据处理者应当予以配合。
- 参与安全评估的机构和人员不得披露评估中获悉的汽车数据处理者商业秘密、未公开信息，不得将评估中获悉的信息用于评估以外目的。
- 第十六条 国家加强智能（网联）汽车网络平台建设，开展智能（网联）汽车入网运行和安全保障服务等，协同汽车数据处理者加强智能（网联）汽车网络和汽车数据安全防护。
- 第十七条 汽车数据处理者开展汽车数据处理活动，应当建立投诉举报渠道，设置便捷的投诉举报入口，及时处理用户投诉举报。
- 开展汽车数据处理活动造成用户合法权益或者公共利益受到损害的，汽车数据处理者应当依法承担相应责任。
- 第十八条 汽车数据处理者违反本规定的，由省级以上网信、工业和信息化、公安、交通运输等有关部门依照《中华人民共和国网络安全法》、《中华人民共和国数据安全法》等法律、行政法规的规定进行处罚；构成犯罪的，依法追究刑事责任。
- 第十九条 本规定自2021年10月1日起施行。