国内外汽车数据安全管理体系的对比分析及建议

莫佳雯，朱云尧，杨志成，鲍欢欢

1.中国汽车工程研究院股份有限公司，重庆，404100； 2.中汽院汽车技术有限公司，北京，100000

0 引言

汽车数据内涵和规模在快速跃升。汽车是国民经济支柱性产业，智能网联汽车已成为我国汽车产业转型升级、高质量发展的战略机遇。当前，智能网联汽车作为信息采集与数据交互的核心终端，其数据体系打破了传统汽车数据体系时间和空间维度的限制，使得智能网联汽车数据内涵和规模体量快速跃升[1]。

汽车数据安全管理是保障行业行稳致远的关键。全球汽车主流国家和地区已将汽车数据作为重点管理和保护对象，陆续颁布出台了一系列保障汽车数据安全的法律法规、管理政策和行动指南[2]，为我国开展汽车数据安全管理提供参考和借鉴。

汽车数据安全是国家安全的重要组成部分。智能网联汽车数据不仅包括车辆运行安全相关数据，还包括个人隐私、生物特征及涉及国家安全的地理信息等重要数据。个人信息和重要数据一旦遭到泄露或被非法利用，将对个人和国家安全产生严重的威胁。

1 国内外数据安全管理情况

汽车数据安全的管理以数据安全上位法为基础依据，充分考虑汽车数据的特殊性，制定具体的汽车数据安全管理法规、政策及指南等。目前，欧盟、美国、日本、中国均已颁布相对完善的数据安全法律法规，但汽车数据安全管理体系依然存在管理盲点和难点，各国正在积极推进完善。

1.1 汽车数据安全上位法情况

国外数据安全法律法规更多从个人隐私角度出发，保护隐私数据。美国以个人隐私保护为基础，建立数据安全政策体系，立法侧重于个人信息和隐私保护[3]。在汽车领域明确提出，汽车厂商需要制定详细的隐私防护方案和计划、保护用户隐私和数据等要求。欧盟数据安全政策体系建立在《通用数据保护条例》（下称“GDPR”）基础之上，同样侧重个人数据保护。智能网联汽车在运行期间涉及大量的数据收集与处理，相关产业链上的企业也必须符合GDPR要求[4]。日本建立了以《个人信息保护法》为法律基础的数据安全政策体系，也是侧重个人数据保护。在汽车领域将保障数据安全和网络安全作为自动驾驶车辆应用许可的要求之一[5]。

我国数据安全法律法规将个人隐私与国家安全并重，重视保护重要数据。目前，我国已初步形成以《网络安全法》《数据安全法》《个人信息保护法》为核心的数据安全法律体系。其中，2016年11月《网络安全法》首次在法律层面规范了个人信息保护；2021年6月《数据安全法》明确了“重要数据”和“国家核心数据”的有关规定，将数据安全上升到国家安全范畴；2021年8月《个人信息保护法》细化了个人信息处理规则，明确了“敏感个人信息”的有关规定。我国汽车数据安全政策体系建立在上述三大核心法律基础上，体现出将个人合法权益与国家安全并重的政策特点。

国内外数据安全法律法规相对完善，我国政策严苛程度适中。欧美日与中国均具备相对完善的数据安全法律法规体系，涵盖监管部门设置、监管依据等内容。从政策严苛程度看，整体最为严苛的是欧盟GDPR。我国《个人信息保护法》在借鉴GDPR的基础上将部分内容本土化，整体严苛程度比欧盟更为宽松一些，比美国《加利福尼亚州消费者隐私法案》《加利福尼亚州隐私法案》（以下统称“加州隐私法”）更为严格一些。

1.2 汽车数据安全管理现状

国内外汽车数据安全政策体系在不断更新完善，目前各有领先。我国格外注重汽车数据安全治理问题，接连出台《汽车数据安全管理若干规定（试行）》《数据出境安全评估办法（征求意见稿）》《车联网网络安全和数据安全标准体系指南》等规定办法，领先之处在于汽车数据安全政策体系更细更健全，例如对数据出境安全评估有明确要求。欧盟的领先之处在于明确了智能网联汽车相关数据主体、数据控制者、数据处理者、数据接收方的定义，以及数据在多个控制者和处理者间流转过程中各方的权责与义务。美国加州隐私法在民事诉讼方面具有领先之处，其从实体上和程序上大大限制了个人信息违法行为的可诉性，由此更倾向于由检察长行使监管职权，具有更高的执法效率。

2 国内外数据安全管理

本文从适用范围、影响评估、泄露应急处理、数据保护官、安全监管等方面进行比较，提出当前我国汽车数据跨境传输方面的相对优势与劣势。

2.1 国内外数据安全管理对比

中国、欧盟和日本数据安全相关法律适用范围相对广泛，美国适用范围相对集中。欧盟GDPR、日本个保法和我国个保法的域外效力基本一致，适用于在域外向域内自然人提供产品/服务或者分析评估域内自然人的活动，适用范围相对广泛。美国加州隐私法的适用范围相对集中，聚焦于达到一定条件的以盈利为目的开展数据处理活动的企业管理，且仅保护属于加州居民的自然人，不适用于企业商业行为各方面完全在加州境外的企业。

中国、欧盟和日本规定的需要进行数据影响评估的场景存在明显差异，美国无明确规定。目前我国已明确个人信息保护影响评估制度[6]、重要数据处理风险评估制度、重要数据出境安全评估制度，欧盟和日本也制定了数据影响评估相关规定。就个人信息而言，我国数据影响评估场景主要涉及敏感个人信息处理、自动化决策、委托处理/向其他处理者提供/公开信息、信息出境、个人权益等；欧盟的数据影响评估场景主要涉及个人因素评价、特定类型数据大规模处理、定罪与非法相关数据处理[7-8]；日本的数据影响评估场景主要涉及行政机关拟留存档案、特定文件的重要更改。

欧美日与中国对数据泄露事件采取应急措施的时限要求不同，中国时限要求最高。为加强对数据泄露的管理，各国通过在立法中确立“数据泄露通知制度”[9]，以便及时采取有效措施和控制损害范围来有效保障数据主体权益。总体来看，中国对数据泄露应急措施的时限要求最高，要求“立即”采取措施、“及时”告知用户并报告主管部门；欧盟要求“72小时内”报告监管机构可能产生较高风险的“立即”通知数据主体；美国要求在“最合适的时间内”进行通知；日本一般要求不得拖延。

中国与欧盟将特定场景下的数据保护官任命纳入法定要求，美日两国未明确任命场景。数据保护官是企业中承担数据安全保护职能的重要角色，在企业中开展数据合规工作。中国与欧盟均从法律层面规定了必须任命数据保护官的场景，国内《数据安全法》规定重要数据的处理者应当明确安全负责人和管理机构，《个人信息保护法》规定处理个人信息达到规定数量的处理者应当指定个人信息保护负责人，相比之下美国和日本对数据保护官任命场景未进行明确规定。

欧美日在数据安全领域均有单独的数据保护监管机构，中国则是多部门协调监管。其中，美国的数据保护监管机构是联邦贸易委员会（FTC），欧盟为欧洲数据保护监管局（EDPS）和欧洲数据保护委员会（EDPB），日本为个人信息保护委员会（PPC），机构独立有利于统一集中管理，而我国数据安全由网信办、工信部、公安部等多部门协调监管。

2.2 我国数据安全政策的相对优势与劣势

出于国家安全考虑，我国对于数据跨境传输要求严格，在多边数据跨境传输机制与欧美日存在一定差距。数据跨境传输方面，美国在数据流入方面主张“数据自由流动”，数据流出方面主张限制高科技、军民两用技术的数据出境；欧盟则采用“欧盟境内松，欧盟境外紧”的数据跨境管理模式[10]；我国对于数据跨境传输采用“严管”模式，要求个人信息、关键信息基础设施等相关重要数据实现数据本地化存储，数据出境的，需要通过安全评估。数据跨境流动规则方面，2019年日本与欧盟达成数据跨境流动决议，2022年欧盟与美国就个人数据跨大西洋传输达成第三版数据安全流动协议——《跨大西洋数据隐私框架》。2020年11月，我国签署RCEP（区域全面经济伙伴关系协定），首次在自贸协定中纳入数据流动、信息存储等规定，次年9月申请加入全面与进步跨太平洋伙伴关系协定（CPTTP），主动迎接更高水平的数据跨境传输挑战[11]。

2.3 小结

综上，欧美的数据安全政策法规制定领先全球，尤其是在数据跨境传输国际规则制定、长臂管辖权、数据安全政府监管等方面已有较多的实践经验，对我国具有借鉴和参考意义。因此，我国应当借鉴欧美数据安全监管“长处”，结合我国实际，积极推动完善汽车数据安全立法，提升汽车数据安全法规成熟度，妥善推进汽车数据安全监管、政策实施，积极参与国际规则制定合作，推动汽车数据跨境传输安全评估与落地。

3 我国汽车数据安全监管的难点、痛点问题

相较于欧美日，我国汽车数据安全立法与标准体系仍相对滞后，呈现多部门协同监管、实施细则不明确等特点，数据跨境传输国际规则参与度较低更是制约未来我国汽车数据安全产业参与国际竞争的关键因素。

3.1 政府监管方式与效率有待进一步提升

随着智能化、网联化发展，汽车承载数据量激增，对数据安全监管形成极大挑战。一是汽车数据安全监管部门涉及网信、工信和公安等主管部门，有效的联合监管工作机制有待建立[12]。二是以事中、事后监管为主，其中事中监控以数据处理者开展的风险自评估为主，约束性不强[13-14]。

3.2 政策落地性与指导性有待进一步加强

现阶段，汽车数据保护政策体系对车企指导性还不够。一是数据处理者责任划分不够明确，其一般由主机厂负主责，但对主机厂辐射范围外的出行服务企业等责任划分不明确。二是数据分类分级标准不明确，零部件企业以主机厂的分类分级标准为准，而各主机厂分类分级标准亦不同，对监管统一性和量裁标准造成困难。

3.3 跨境传输的国际规则制定与管理细则缺位

汽车产品、数据双跨境将成为未来常态，但当前我国汽车领域数据跨境传输仍存在以下问题，一是欧美积极构建全球数据跨境流动圈，抢占数据跨境传输规则高地，中国被“排除在外”。二是汽车领域仍未建立起专门的数据跨境流动规则，《数据出境安全评估办法（征求意见稿）》对于主体众多、数据量庞大的汽车领域来说，难免会有不适用的情况[15]。

4 关于加强汽车数据安全监管工作的建议

4.1 强化汽车数据安全顶层设计

强化顶层设计，健全重要数据和个人信息保护、数据审查与出口、共享和交易、评估与防护制度体系。一是倡导数据默认不收集和精度范围适用原则，合理把控数据收集种类和规模，加快出台数据分类分级有关标准及重要数据目录。二是成立由整车企业、检测机构、高校、国家管理部门等组成的汽车行业专家委员会，基于《数据出境安全评估办法（征求意见稿）》等框架制定汽车数据出境安全评估准则。三是建议脱敏数据所有权归属数据处理者，保留用户使用权，同时推进地方性数据交易平台建设，明确交易格式、内容、交易对手要求，促进数据共享和交易。四是明确基于数据泄露影响评估视角以及汽车数据保护要求细则，清晰界定数据保护边界，从技术、管理多角度出发制定分级防护制度。

4.2 细化数据安全管理实施细则

当前，我国已基本建立起个人信息、数据的法律法规体系，现阶段应当注重监管政策的落地实施。一是贯彻落实《国家车联网产业标准体系建设指南（智能网联汽车）》，强化多视角多层次国家与行业标准制定，推动分类分级、数据跨境、个人信息保护等团标、行标先行。二是严格执行《汽车数据安全管理若干规定（试行）》要求，建议尽快推出数据安全管理实施细则，包括但不限于统一汽车数据安全年度报告模板，并推动建立涵盖“数据处理者+监管平台+检测机构”的国家级数据安全管理试点示范区，总结我国汽车数据安全最佳实践，提出改善汽车行业数据安全的非约束性指导建议，推动优秀案例示范应用。

4.3 建立健全政府监督管理机制

一是建立多部门协同联动机制，明确政府监管部门责任划分与任务分工，鼓励行业自律与政府外部监管间的协同管理模式。二是打造“主动发现、风险预警、依法处置、监管追责、应急处置”的全流程闭环治理体系，首先强化事前预防、事中监控的数字化手段，推动基于区块链技术[15]的国家级智慧监控预警平台建设，集成数据质量检测、安全预警、精准溯源等模块化功能，地方级监管平台应按需建立，同时健全地方与国家监管平台联动机制；强化汽车安全事件溯源分析，定期完善汽车数据安全事件应急预案，建立起极端情况下的保障数据安全备份预案。

4.4 强化车企数据安全防护管理

一是引导车企加大汽车数据安全投入，重点突破产业的功能安全、网络安全和数据安全的核心技术研发，支持安全防护、漏洞挖掘、入侵检测和态势感知等系列安全产品的研发。二是鼓励权威第三方机构建立汽车数据安全通用性防护技术体系，推出数据安全防护实施指南，建议由主机厂、数据运营商承担起主要责任，从制度建设、技术发展等方面强化与其上下游企业间的协同管理义务。三是推动汽车数据安全全生命周期防护能力评价体系建设，尤其是针对重要数据、个人隐私数据的处理，数据跨境传输等重点环节评估，通过综合评价辅助完善车企数据安全防护。

4.5 推动汽车数据跨境有序流动

参考欧美、欧日等数据跨境传输协议，在保障国家安全的基础上，推动上海临港新片区等试点区域的建设，选择智能座舱等非重要数据领域，与自贸协定国家共同探索低风险跨境流动数据目录，以合作共赢为目的建立多边合作的数据流通协议，推动数据边界互认，降低数据安全双重合规难度。

5 结论

综上所述，国内外汽车数据安全法律法规均较为完善，我国基于个人隐私与国家安全并重的角度形成了以《网络安全法》《数据安全法》《个人信息保护法》《汽车数据安全若干管理规定（试行）》为主的法律法规体系。与国外相比，我国汽车数据安全立法与标准体系仍相对滞后，呈现多部门协同监管、实施细则不明确等特点，存在数据跨境传输国际规则参与度较低等制约因素，因此本文提出汽车数据安全顶层设计、实施细则、政府监管、车企防护以及数据跨境等针对性建议，旨在助推我国汽车产业健康、安全发展。