望衡汽车 | 中国智能汽车法律实务（数据和网络安全）

“智能网联汽车”的车本身，是由智能感知系统、智能决策系统和智能操控系统构成的新一代汽车。从数据处理角度，这三大系统实现了数据收集、数据运算和数据输出功能。同时，智能汽车的运行又高度依赖诸多外部环境和设施，诸如道路、云端和厂家的网络平台等。智能汽车与道路、云端和平台的互动，亦是通过数据的共享和交互实现的。在智能汽车运行过程中可能需要处理的数据包括个人信息（驾驶员和乘客的各类信息）、环境信息（道路、行人和周边环境等信息）、驾驶信息（驾驶员操作信息、远程平台指令、车辆运行数据等）等。

虽然高度自动驾驶尚未完全商业化，但智能网联汽车产业在目前发展阶段已揭示出众多数据安全和隐私相关的法律问题：特斯拉公布车主行车数据后，车主主张特斯拉侵犯其隐私权，滴滴赴美上市后引起监管机构对数据安全的担忧——在私权维护和公共利益保护两个方向上，产业发展引发的数据相关法律问题将集中呈现。 

本部分将从网络安全与数据安全、个人信息保护两个方面，介绍中国目前关于智能网联汽车的数据合规相关法律框架和基本制度。

传统汽车是信息孤岛，而智能网联汽车依赖于互联网和物联网方能运行，所以后者的硬件、软件能在正常网络环境下连续可靠地运行至关重要。网络安全又与数据安全密不可分：只有网络正常运行不发生中断，系统中的信息数据才有可能不遭受破坏和泄露；只有数据不被破坏和泄露，整个车联网的网络安全才有保障。

智能汽车作为一个接入网络的高速移动终端，一旦发生网络安全或数据安全事故，更容易引发影响民众生命和财产安全的公共事件。对网络安全和数据安全的高依赖和高要求，将使得智能汽车相关网络和平台的运营者，甚至整车以及关键部件生产商（哪怕在销售完成后），依然面临网络安全和数据安全方面的强监管。

近年来，我国加快了网络安全和数据安全相关立法进程。2016年颁布的《网络安全法》虽然并未针对智能汽车相关的网络安全做出针对性规定，但其所确立的保障网络安全的基本原则和规则普遍适用。2021年4月，《关键信息基础设施安全保护条例》颁布，细化了《网络安全法》项下关键信息基础设施的范围和安全保护规定，对智能汽车行业网络安全管理工作有重大影响。2021年6月颁布的《数据安全法》，及2021年7月颁布的《汽车数据安全管理规定（试行）》，则从概括到具体，为智能网联汽车相关数据合规工作提供了操作性渐强的规范。2021年7月颁布的《道路测试规范》明确了对测试示范主体的网络安全、数据安全方面的保障能力要求。

上述核心法律法规，构建了智能网联汽车适用的网络安全和数据安全基本法律制度框架。

《网络安全法》第二十一条规定，国家实行网络安全等级保护制度，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。这是我国首次以法律形式将网络安全等级保护制度确定为普适性的制度。

具体而言，全国范围内的信息系统(包括网络)，按照重要性和遭受损坏后的危害性分为五个安全保护等级，第一级最低，逐级递增，第五级最高。等级确定后，第二级(含)以上信息系统到公安机关备案，公安机关审核合格后颁发备案证明。备案单位根据信息系统安全等级，按照国家标准开展建设整改，建设安全设施、落实安全措施、落实安全责任、建立和落实安全管理制度，进行等级测评。公安机关对特定等级的信息系统开展指导监督工作。

2021年8月，工信部发布了《关于加强智能网联汽车生产企业及产品准入管理的意见》。其中关于网络安全保障部分，要求智能网联汽车生产企业应当建立汽车网络安全管理制度，依法落实网络安全等级保护制度和车联网卡实名登记管理要求，明确网络安全责任部门和负责人。具备保障汽车电子电气系统、组件和功能免受网络威胁的技术措施，具备汽车网络安全风险监测、网络安全缺陷和漏洞等发现和处置技术条件，确保车辆及其功能处于被保护的状态，保障车辆安全运行。依法依规落实网络安全事件报告和处置要求。

智能网联汽车所涉及的网络和信息系统一旦受到破坏，必然对社会秩序和公共利益造成损害，并且有可能危害国家安全。可以预期，智能网联汽车行业相关企业，包括生产企业和关键联网部件和服务的供应企业，将面临较高保护等级的监管要求，专门针对智能汽车行业网络安全的可操性强的具体标准和规则将会陆续发布。

《网络安全法》第三十一条规定，国家对公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护。

《关键信息基础设施安全保护条例》第六条规定，关键信息基础设施的运营者应在网络安全等级保护的基础上，采取技术保护措施和其他必要措施，应对网络安全事件，防范网络攻击和违法犯罪活动，保障关键信息基础设施安全稳定运行，维护数据的完整性、保密性和可用性。

《关键信息基础设施安全保护条例》第九条规定，关键信息基础设施认定的规则由保护部门结合行业和领域的特点制定，应考虑（一）网络设施、信息系统等对于本行业、本领域关键核心业务的重要程度；（二）网络设施、信息系统等一旦遭到破坏、丧失功能或者数据泄露可能带来的危害程度；（三）对其他行业和领域的关联性影响。

习近平总书记多次强调，金融、能源、电力、通信、交通等领域的关键信息基础设施是经济社会运行的神经中枢，是网络安全的重中之重，也是可能遭到重点攻击的目标。因为关涉交通安全，智能网联汽车生产企业和相关重要联网的部件和服务的供应企业被列为关键信息基础设施运营者的概率极高。

预计相关部门很快将出台智能网联汽车行业关键信息基础设施认定规则。

《数据安全法》第二十一条规定，国家建立数据分类分级保护制度，根据数据在经济社会发展中的重要程度，以及一旦遭到篡改、破坏、泄露或者非法获取、非法利用，对国家安全、公共利益或者个人、组织合法权益造成的危害程度，对数据实行分类分级保护。《数据安全法》进一步将数据分为一般数据、重要数据与核心数据三类，实施逐级递进更加严格的管理制度。

《汽车数据安全管理若干规定（试行）》（“《汽车数据规定》”）首次针对汽车行业细化和明确了重要数据的定义和范围，为智能网联汽车数据管理工作提供了重要的规范基础。根据该规定第三条的定义，汽车数据包括汽车设计、生产、销售、使用、运维等过程中的涉及个人信息数据和重要数据。也就是说，从数据安全角度，该规定重点关注重要数据所涉问题。

进一步，《汽车数据规定》明确，重要数据是指一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能危害国家安全、公共利益或者个人、组织合法权益的数据，包括：　　

（一）军事管理区、国防科工单位以及县级以上党政机关等重要敏感区域的地理信息、人员流量、车辆流量等数据；　　

（二）车辆流量、物流等反映经济运行情况的数据；　　

（三）汽车充电网的运行数据；　　

（四）包含人脸信息、车牌信息等的车外视频、图像数据；　　

（五）涉及个人信息主体超过10万人的个人信息；　　

（六）国家网信部门和国务院发展改革、工业和信息化、公安、交通运输等有关部门确定的其他可能危害国家安全、公共利益或者个人、组织合法权益的数据。　

针对重要数据的处理活动，《汽车数据规定》要求汽车数据处理者开展风险评估，并向有关部门报送风险评估报告，并每年向有关部门报送年度汽车数据安全管理情况年报。

2017年4月11日，国家网信办发布了《个人信息和重要数据出境安全评估办法（征求意见稿）》，但该评估办法一直未能形成最终稿。引起争论的是，重要数据和个人信息的特性存在较大差异，如果两者处理方式相同是否缺乏合理性。

2019 年6月13日，国家网信办又发布了《个人信息出境安全评估办法（征求意见稿）》。 虽然该征求意见稿亦未形成终稿，但该征求意见稿的公布，意味着重要数据出境很可能今后会与个人信息出境相区别，专门立法。

在重要数据出境规定尚暂缺位的情况下，《汽车数据规定》规定了汽车数据处理者确需向境外提供重要数据时所应遵守的基本原则，包括应当进行安全评估，以及提供时不得超越评估时明确的目的、范围、方式和数据种类、规模。

此外，《汽车数据规定》第十四条还规定了汽车数据处理者在向有关部门报送数据安全管理年报时，应包括年度汽车数据安全管理情况和向境外提供重要数据的情况，包括：　　

（一）接收者的基本情况；　　

（二）出境汽车数据的种类、规模、目的和必要性；　　

（三）汽车数据在境外的保存地点、期限、范围和方式；　　

（四）涉及向境外提供汽车数据的用户投诉和处理情况；　　

（五）国家网信部门会同国务院工业和信息化、公安、交通运输等有关部门明确的向境外提供汽车数据需要报告的其他情况。