8月20日，国家互联网信息办公室、国家发展和改革委员会、工业和信息化部、公安部、交通运输部联合发布《汽车数据安全管理若干规定（试行）》（以下简称《规定》），自2021年10月1日起施行。国家互联网信息办公室有关负责人表示，出台《规定》主要基于防范化解汽车数据安全风险的实践需要和保障汽车数据依法合理有效利用的客观需要。

据了解，汽车数据已成为智能汽车用户关心的焦点。此前，南都记者针对购买或使用过具有自动驾驶辅助功能汽车的消费者群体在使用感知度等方面的情况，结合数据及分析形成《智能汽车消费者使用感知度报告》。报告显示，有高达40%的用户担心车内隐私数据泄露风险。

处理个人信息需征得个人同意

相比于5月份发布的《汽车数据安全管理若干规定（征求意见稿）》（以下简称《征求意见稿》），《规定》对汽车数据涉及的相关环节与参与者进行了详细的划分，分为：汽车数据、汽车数据处理、汽车数据处理者、个人信息、敏感个人信息以及重要信息。

其中，汽车数据处理者为开展汽车数据处理活动的组织，包括汽车制造商、零部件和软件供应商、经销商、维修机构以及出行服务企业等。

《规定》第八条指出，汽车数据处理者处理个人信息应当取得个人同意或者符合法律、行政法规规定的其他情形。因保证行车安全需要，无法征得个人同意采集到车外个人信息且向车外提供的，应当进行匿名化处理，包括删除含有能够识别自然人的画面，或者对画面中的人脸信息等进行局部轮廓化处理等。

同时，《规定》第七条也要求，汽车数据处理者处理个人信息应当通过用户手册、车载显示面板、语音、汽车使用相关应用程序等显著方式，告知个人以下事项：处理个人信息的种类；收集各类个人信息的具体情境以及停止收集的方式和途径；处理各类个人信息的目的、用途、方式；个人信息保存地点、保存期限，或者确定保存地点、保存期限的规则；查阅、复制其个人信息以及删除车内、请求删除已经提供给车外的个人信息的方式和途径；用户权益事务联系人的姓名和联系方式；法律、行政法规规定的应当告知的其他事项。

《规定》倡导，汽车数据处理者在开展汽车数据处理活动中坚持“车内处理”、“默认不收集”、“精度范围适用”、“脱敏处理”等数据处理原则，减少对汽车数据的无序收集和违规滥用。

对于车主普遍关心的运营者收集和向车外提供敏感个人信息问题，《规定》第九条指出，汽车数据处理者处理敏感个人信息，应当符合以下要求或者符合法律、行政法规和强制性国家标准等其他要求：

（一）具有直接服务于个人的目的，包括增强行车安全、智能驾驶、导航等；　　

（二）通过用户手册、车载显示面板、语音以及汽车使用相关应用程序等显著方式告知必要性以及对个人的影响；　　

（三）应当取得个人单独同意，个人可以自主设定同意期限；　　

（四）在保证行车安全的前提下，以适当方式提示收集状态，为个人终止收集提供便利；　　

（五）个人要求删除的，汽车数据处理者应当在十个工作日内删除。　　

同时，汽车数据处理者具有增强行车安全的目的和充分的必要性，方可收集指纹、声纹、人脸、心律等生物识别特征信息。

此外，在汽车数据存储、管理方面，《规定》也作出了较为详细的要求。《规定》强调，汽车数据处理者开展重要数据处理活动，应当遵守依法在境内存储的规定，加强重要数据安全保护；落实风险评估报告制度要求，积极防范数据安全风险；落实年度报告制度要求，按时主动报送年度汽车数据安全管理情况。因业务需要确需向境外提供重要数据的，汽车数据处理者应当落实数据出境安全评估制度要求，不得超出出境安全评估结论违规向境外提供重要数据，并在年度报告中补充报告相关情况。

新增智能汽车网络平台建设、建设投诉渠道部分

值得注意的是，相比于《意见征求稿》，《规定》还补充了智能（网联）汽车网络平台建设、建立投诉举报渠道两部分。

第十六条规定，国家加强智能（网联）汽车网络平台建设，开展智能（网联）汽车入网运行和安全保障服务等，协同汽车数据处理者加强智能（网联）汽车网络和汽车数据安全防护；汽车数据处理者开展汽车数据处理活动，应当建立投诉举报渠道，设置便捷的投诉举报入口，及时处理用户投诉举报。

第十七条规定，汽车数据处理者开展汽车数据处理活动，应当建立投诉举报渠道，设置便捷的投诉举报入口，及时处理用户投诉举报。开展汽车数据处理活动造成用户合法权益或者公共利益受到损害的，汽车数据处理者应当依法承担相应责任。

此外，《规定》还对相关执行部门进行细化，将由省级以上网信、工业和信息化、公安、交通运输等有关部门依照《中华人民共和国网络安全法》、《中华人民共和国数据安全法》等法律、行政法规的规定，对违反本规定的汽车数据处理者进行处罚；构成犯罪的，依法追究刑事责任。

编辑：任先博

本文作者

任先博

4128W

南方都市报记者