车联网合规提纲

 

  

  一、法律法规及行业规范要求

  (一)、国际

  1、汽车信息安全领域首个具有约束力的国际统一技术规范《WP29汽车信息安全和信息安全管理系统》(UN/WP.29 R155)于2021年1月1日生效;

  2、3月,欧洲数据保护委员会通过《车联网个人数据保护指南》,阐释了车联网不同场景下的隐私保护、数据风险及应对措施;

  3、8月,汽车信息安全领域首个国际标准ISO/SAE 21434“Road vehicles—Cybersecurity engineering(道路车辆 信息安全工程)”发布

  (二)、国内

  1、《数据安全法》《个人信息保护法》

  2、2021年8月《关于加强智能网联汽车生产企业及产品准入管理的意见》(以下简称《意见》)

  提出“加强数据和网络安全管理”,明确数据分类分级、重要数据境内存储、健全网络安全保障技术等多项要求

  3、《汽车数据安全管理若干规定(试行)》(以下简称《若干规定》)2021年10月1日起施行

  《若干规定》首次清晰界定了“汽车数据处理者”和“重要数据”类型等内容,提出4项推荐数据处理原则,明确数据处理者义务,并制定跨境数据传输规则。

  《规定》还落实了年度报告制度,要求汽车数据处理者按时主动报送年度汽车数据安全管理情况

  4、2022年3月7日工信部印发了《车联网网络安全标准体系建设指南》

  将智能网联汽车的安全标准建设体系化。智能网联汽车的标准过去以碎片化的形式,零散地对TBox、网关、车机、充电桩等做出规定,《建设指南》将已有的和未来的标准分为基础设施、通信、数据、终端等门类归纳入一个标准体系中,树立了整体目标。

  二、车联网数据的几个要素

  (一)车联网数据的分布范围,可以分为汽车产业链的四层 [3]:基础设施、硬件层、平台层和应用层。

  1. 基础设施

  基础设施包括无线网络、智能充电桩、加油站、停车场等。2020年4月,中华人民共和国国家发展和改革委员会(“ 发改委”)在新闻发布会上,明确了智能交通基础设施属于新型基础设施的一种。

  2. 硬件层

  车辆、车载智能设备及芯片、手机等均属于硬件层,为车内数据采集和车内储存提供了硬件基础。

  3. 平台层

  车辆操作系统更是产业链中的“兵家必争之地”,系统平台是汽车数据分析和风险控制的核心。

  4. 应用层

  应用层又可以分为两类:车辆服务应用,例如高精地图、停车引导等应用;生态应用,例如车上广播、音乐、游戏等。应用层集中了用户信息采集入口,这是汽车数据收集的重要来源之一。

  (三)车联网数据范围

  

图片1

  (四)、车联网数据处理者

  《若干规定》中的汽车数据处理者包括汽车制造商、零部件和软件供应商、经销商、维修机构以及出行服务企业等,涵盖了所有车联网信息服务提供者。

  三、车联网数据合规要点

  (一)、数据的分类分级

  将车联网信息服务数据分为六大类和若干细分类别,这些类别将依据车联网信息服务数据的安全目标、重要性以及在发生安全事故时可能造成的影响范围与严重程度,划分为三个敏感等级:一般数据、重要数据 [6]和敏感数据。

  分级保护的基本原理是,在不同的处理环节,处理任何敏感等级数据都必须满足基本级安全保护要求;重要数据和敏感数据的处理则均需额外满足增强级安全保护要求。

  (二)、汽车数据的处理原则

  1. 车内处理原则

  《若干规定》要求汽车数据除非确有必要不向车外提供。该规定契合汽车产业的真实场景,区分了车内和车外场景。当然,真正要实现汽车数据最大程度的车内处理,还需要边缘计算、车载芯片计算能力和车辆本地数据储存能力等软硬件支持。

  2. 默认不收集原则

  《若干规定》要求除非驾驶人自主设定,每次驾驶时默认设定为不收集状态。在实现过程中,这要求驾驶系统设计中提供自主设定和默认设定的选项。

  3. 精度范围适用原则

  根据所提供功能服务对数据精度的要求确定摄像头、雷达等的覆盖范围、分辨率。这也是数据采集范围最小化原则的体现。

  4. 脱敏处理原则

  《若干规定》要求对于汽车数据尽可能进行匿名化、去标识化等处理。

  (三)个人信息保护

  随着车联网和网联汽车的深度应用,汽车数据处理过程中涵盖的个人信息的范围和数量都在高速增长,车主、驾驶人、乘车人、车外人员等有关的各种信息都涵盖其中。根据《若干规定》的分类,汽车数据包括个人信息数据和重要数据;并且有针对性地规定了涉及个人信息数据的处理要求,这些要求在一般个人信息保护要求的基础上,进一步契合车联网和网联汽车的应用场景。

  1. 告知同意原则

  与其他数据处理者一样,汽车数据处理者处理个人信息应遵循告知同意原则。但是,出于保证行车安全的需要可以有所例外,该等例外必须满足几个条件:采集的个人信息范围为车外个人信息,传输方向是向车外传输,以及个人信息应当匿名化处理。

  《若干规定》要求汽车数据处理者处理个人信息应当以显著方式告知个人,显著方式包括:用户手册、车载显示面板、语音、汽车使用相关应用程序等显著方式,并在第七条 [7]对于应告知个人的事项范围也予以了细化。

  2. 敏感个人信息

  《若干规定》对第九条对敏感个人信息予以特殊保护,也体现了《数据安全法》规定的分类分级保护原则。

  处理敏感个人信息的特殊要求体现在:处理目的直接服务于个人目的,包括增强行车安全、智能驾驶、导航等;要求取得个人的单独同意;赋予个人自主设定同意期限的权利;提示收集状态;在个人删除权方面量化规定了十个工作日内删除的时限。

  3. 行业标准

  《3746标准》(YD/T 3746-2020【现行】车联网信息服务 用户个人信息保护要求)

  将个人信息分为三大类:用户身份证明类信息、车联网信息服务内容类用户数据信息、用户服务相关信息。进一步地,三大类中的各细分小类将根据车联网信息服务中用户个人信息的敏感程度和在发生用户个人信息泄露或滥用等事件后对用户人身和财产等方面的危害程度,划分为三个敏感性分级:个人一般信息、个人重要信息和个人敏感信息,安全保护要求也逐级递增。

  (四)数据的跨境传输

  某平台“数据门”事件余波未平,警醒了大家重新审视跨境数据合规的重要性。无论是资本还是技术原因,数据的跨境传输已经成为不可回避的问题。除遵守一般的跨境数据传输规定外,车联网背景下汽车数据的跨境处理需要注意如下要点:

  1. 境内储存

  《若干规定》项下的重要数据和个人信息数据均涉及境内储存问题。

  (1)重要数据

  《若干规定》第十一条规定了重要数据应当在境内存储,因业务需要确需向境外提供的,应当通过国家网信部门会同国务院有关部门组织的安全评估。

  (2)个人信息数据

  《个人信息保护法》和《数据安全法》均规定关键信息基础设施应当将在中华人民共和国境内收集和产生的个人信息存储在境内。汽车产业企业,尤其是车联网产业企业由于涉及交通等重要行业和领域,不排除被认定为关键信息基础设施运营者的可能。

  汽车数据处理者应尽可能在境内存储《若干规定》项下个人信息数据。

  2. 对境外提供汽车数据中的重要数据的要求

  对境外提供汽车数据中的重要数据,需要满足以下几个要求:

  (1)提供必要范围内的重要数据,且不得超出出境安全评估时明确的目的、范围、方式和数据种类、规模等;

  (2)通过国家网信部门会同国务院有关部门组织的安全评估;

  (3)除履行一般报告义务外,还需履行额外报告义务 [9]。



整理:李萍律师团队

返回顶部

咨询电话 15900441234
联系邮箱 15900441234@163.com
联系我们联系律师
cache
Processed in 0.006911 Second.