9月1日，小米集团董事长雷军发微博宣称，小米汽车正式注册。自今年3月官宣造车以来，小米开展了一系列的架构与布局动作。就目前来看，小米必将深度参与自动驾驶。

但是，近年来因自动驾驶而产生的事故不在少数，每起事故也都引起了社会的广泛关注。

8月12日下午，国内一知名年轻企业家在驾驶蔚来汽车启用自动驾驶功能(NOP领航状态)后，在沈海高速某段发生交通事故，不幸身亡。

启动蔚来汽车自动搭载的NIO Pilot自动辅助驾驶功能需要启动前向碰撞预警、自动紧急制动、盲点监控与变道预警、转向灯控制变道和道路标识识别，其中盲点监控与变道预警、转向灯控制变道和道路标识识别需要对周围环境加以监控，这就意味着蔚来汽车需要收集周遭的环境数据。

而从目前网络上公布的非官方数据来看，该汽车也收集了驾驶人在行驶中的一切信息。今年4月“特斯拉刹车失灵事件”官方公布的数据也显示出特斯拉对于驾驶人员信息的收集。

自动驾驶技术不仅关系着生命安全，也关系着信息安全，一旦数据泄露将对个人及社会产生极大影响。国家也出台了规定来加强对汽车行业的数据合规监管。今天，我们就来聊聊新规出台，对汽车行业的数据合规产生了哪些影响。

01 明确规定哪些数据是汽车数据

国家工业信息安全发展研究中心副总工程师兼信息政策所所长黄鹏在2021中国汽车论坛“智能网联汽车产业发展与安全分论坛”上表示，在调研过程中获知，一辆智能网联汽车每天至少收集10TB的数据。这些数据不仅包含驾乘人员的面部表情、动作、目光、声音数据，还包括车辆地理位置、车内及车外环境数据、车联网使用数据等。

互联网、智能网的持续深化应用，车辆早已不再是一个普通的代步工具，而是已经变成能够收集、识别、分析、处理个人信息以及衍生数据的智能终端。

随着汽车数据处理能力日益增强、汽车数据规模庞大，汽车数据安全问题和风险隐患日益突出的趋势下，出于化解汽车数据安全风险，保障汽车数据依法合理有效利用的目的，2021年8月16日，国家网信办、国家发改委、工信部、公安部、交通运输部联合发布了《汽车数据安全管理若干规定（试行）》（以下简称《规定》）。

该规定是目前根据《 中华人民共和国网络安全法》和《 中华人民共和国数据安全法》出台的第一部关于针对特定行业的数据安全法规。

《规定》在《网络安全法》、《数据安全法》、《个人信息保护法》等法律对数据安全、个人信息保护基本规定的基础上，结合行业特性明确了汽车数据、个人信息数据及重要数据，基本上涵盖了汽车数据处理的全生命周期。

《规定》第三条明确了汽车数据及其相关词语的定义，具体如下图所示：

如果在不明确的情况下，车辆行踪轨迹、音频、视频、图像和生物识别特征等这些非常敏感的个人信息与重要数据一旦被非法采集或泄露，则会对国家、社会和个人信息安全带来极大的风险和隐患。

02 “小米汽车”开展数据合规正当时

随着《规定》的出台，强化汽车数据安全管理领域的数据合规问题将开创汽车制造业开展数据合规治理的先河。结合《规定》、《网络安全法》、《数据安全法》、《个人信息保护法》等规定，汽车行业数据合规可从以下几个方面入手：

①建立网络安全等级保护

大家可能觉得不可思议，汽车也需要等级保护吗？2015年，Charlie Miller和Chris Valasek两名来自美国的黑客，利用克莱斯勒 Uconnect 车载系统的漏洞植入了带有病毒的固件，并向 CAN 总线发送指令控制了一台自由光，入侵事件发布之后，直接导致克拉斯勒公司宣布召回了140万辆相关车型。

从事云端安全方案的公司Upstream Security发布的2020年《汽车信息安全报告》显示，从2016年到2020年1月，汽车信息安全事件的数量增长了605%，仅2019年公开报道的针对智能网联汽车信息安全攻击的事件就达到了155起。

所以，汽车上的信息处理系统一旦被突破，汽车数据就可能遭受不法篡改、删除和破坏，车辆安全在日常行驶中就根本得不到保障。

②封闭处理汽车数据

《规定》明确，汽车数据处理者在开展汽车数据处理活动中坚持“车内处理”、“默认不收集”、“精度范围适用”、“脱敏处理”等原则，减少对汽车数据的无序收集和违规滥用。

除非在确有必要的情况下才能向车外输出汽车数据，而且在向外输出数据时，还必须进行脱敏、匿名化处理处理，其中包括对人脸进行轮廓化处理，确保个人信息数据的安全。

③数据收集遵循必要性

对于汽车处理者来说，应当在取得汽车使用人同意后方可处理个人信息，而且收集的个人信息，仅限于实现处理目的的最小范围，保存期限也应当控制在为实现处理目的所必要的最短时间内。

因此，对于汽车数据的收集处理最好由个人自主设定，同时根据所需要车辆提供功能服务对数据精度的要求决定摄像头、麦克风、雷达等的覆盖范围和分辨率。

④建立“五报告”制度

第一，向国家职能部门定期报告组织开展重要数据处理活动风险评估的相关情况。

第二，重要数据以境内存储为原则，如果确因业务需要确需向境外提供的，需向国家相关部门报告出境安全评估情况。

第三，对国家相关部门进行抽查核验后报告核验检查整改整改工作报告。

第四，每年定期报告年度汽车安全管理情况。

第五，向境外提供重要数据的汽车数据处理者应当向相关国家部门报告补充情况。

通过“五报告”制度，切实做到事前、事中、事后的全面跟踪和把握。

⑤创建特别条款保护隐私

汽车数据处理者通过手册、车载显示屏、语音等方式告知个人收集事项，只有具有增强行车安全的目的和充分的必要性时，方可收集指纹、声纹、人脸、心律等生物识别特征信息。如果汽车使用人要求删除信息的，汽车数据处理者还应当在十个工作日内予以删除。

03 写在最后

今年7月发布的《中国互联网发展报告（2021）》显示，2020年，我国智能网联汽车销量为303.2万辆，同比增长107%。预计到2022年，智能网联汽车预计会超过7800万辆。在如此庞大的社会体量下，汽车数据安全问题日益严峻。

作为汽车产业与人工智能、大数据、物联网等新一代信息技术深度融合的产物，智能网联汽车将成为汽车与交通出行领域智能化、网联化发展的主要方向。《规定》是汽车产业数据安全的重要法规。对于汽车数据合规而言，遵循《规定》相关规则并构建自身的合规体系是非常紧迫的现实需求。

随着《规定》的落地与生效，我国汽车产业数据安全领域的监管制度也将会逐渐完善和趋紧。从短期看，《规定》的逐步落实对汽车企业来说可能是一种阵痛。但是从长远来看，《规定》的实施将对加强国家、社会、个人数据安全管理，保障我国汽车产业安全、持续、健康发展都具有非常积极的作用和意义。