智能网联汽车产业数据出境安全机制构建探析

作者简介

邱诗韵

上海交通大学凯原法学院博士研究生在读，主要研究方向为数据立法、数据跨境流动、数据合规等。

林梓瀚

上海数据交易所研究员，中国信息化百人会研究员，主要研究方向为全球ICT、互联网、人工智能、数据立法与政策、数据安全合规等。

论文引用格式：

邱诗韵, 林梓瀚. 智能网联汽车产业数据出境安全机制构建探析[J]. 信息通信技术与政策, 2024, 50(8): 73-79.

智能网联汽车产业数据出境安全机制构建探析

邱诗韵¹ 林梓瀚²

（1.上海交通大学凯原法学院，上海 200030；

2.上海数据交易所，上海 201203）

摘要：网络安全和数据安全是总体国家安全观视角下非传统安全的重要组成部分。在推动大数据战略赋能传统产业发展过程中，智能网联汽车产业得以迅速发展，催生了数据出境的广泛需求，也由此对国家安全带来挑战。智能网联汽车产业数据出境需要统筹维护国家安全和促进产业健康发展的双重目标，在维护国家安全的前提下，构建权责清晰、操作便捷、多方协作的数据出境安全机制。

关键词：数据安全；数据出境；智能网联汽车

0 引言

近年来，随着信息技术、人工智能等产业的爆发式发展，传统汽车行业正在从新能源时代跨入智能化时代，智能网联汽车产业得到飞跃式发展，中国车企在全球汽车市场的份额也逐年上升^[1]，呈现出比较优势。智能网联汽车被普遍认为是汽车工业的未来^[2]，还可以有效解决交通拥堵和环境污染等问题。在百年未有之大变局的国际发展形势和国家发展战略背景战略下，有必要在总体国家安全观指导下认识和加强智能网联汽车数据安全^[3]。因此，需要深入研究汽车数据出境安全的概念，细化智能网联汽车数据出境中的安全审查标准研究机制，从而更好地培育与监管数字经济的发展，让政府与市场同向发力，从而实现国家安全利益、企业发展利益和企业运行效率三者的有机统一。

1 我国汽车数据出境的法律现状及现实难题

1.1 法律现状

目前，我国在数据安全方面出台了一系列法律法规、部门规章、一般规范性文件以及国家/行业标准等，维护国家数据安全的体系日趋完善。智能网联汽车产业作为科技含量较高的前沿产业，相关部门依据上位法，率先制定了一系列有关数据出境安全的规范性文件或规定，对保障智能网联汽车产业数据出境安全提供了重要依据。在立法的具体路径上，呈现出以下特点。

一是智能网联汽车产业数据出境安全制度框架基本形成。随着互联网的迅猛发展，我国在数据安全立法方面进展迅速，初步构建了数据出境安全的制度体系。在法律法规层面，相继出台了《中华人民共和国网络安全法》（简称《网络安全法》）、《中华人民共和国数据安全法》（简称《数据安全法》）、《中华人民共和国个人信息保护法》（简称《个人信息保护法》）、《数据出境安全评估办法》等法律法规，对数据出境安全涉及的相关概念定义、基本原则、制度机制等进行了明确；在促进数据跨境流动方面，2024年3月22日出台的《促进和规范数据跨境流动规定》明确了豁免场景，并提出在自由贸易试验区设立数据出境负面清单制度。

二是安全合规视角下汽车数据定义明确。数据安全法第三条规定了数据和数据安全的含义。当前不同文件对汽车数据有多种分类方法，如根据数据来源、功能等。但从安全合规视角看，2021年8月16日公布的《汽车数据安全管理若干规定（试行）》给出了较为适用探讨的定义，即汽车数据是指包括汽车设计、生产、销售、使用、运维等过程中涉及的个人信息数据和重要数据。

三是汽车数据出境的内涵逐步充实。在数据出境方面，相关法律法规显示，数据出境中的“数据”并非指向所有的电子数据，而是有一定的来源要求^[4]。对于数据出境的含义，虽然相关法律并未做出具体定义，但在一些部门规章或规范性文件中出现了相关表述，这对界定汽车数据出境的概念提供了依据。例如，《数据出境安全评估办法》《数据出境安全评估申报指南（第二版）》都有类似规定。

四是汽车数据出境的操作模式更加细化。《数据安全法》第二十一条规定，我国对数据安全实施分类分级保护制度，该原则延伸到各个细分领域同样适用。对于智能网联汽车产业数据出境安全，我国主要采取分层监管和分类分级监管相结合的方式。《汽车数据安全管理若干规定（试行）》规定，国家鼓励汽车数据依法合理有效利用，但对开展汽车数据处理活动规定了4项原则，即车内处理原则、默认不收集原则、精度范围适用原则和脱敏处理原则，以最大限度保护个人信息数据安全和重要数据安全。同时，重要数据应当依法在境内存储，因业务需要确需向境外提供的，应当通过国家网信部门会同国务院有关部门组织的安全评估。

综上所述，汽车数据出境应通过3种方式确保数据安全，即安全评估、个人信息保护认证和标准合同。虽然《个人信息保护法》要求个人信息处理者任选其一方式确保数据出境安全，但在实际应用中，相关企业在选择顺序上优先考虑是否需要申报出境安全评估，如果不需要适用安全评估时，再考虑采用出境标准合同或认证方式进行数据跨境传输。

1.2 现实难题

1.2.1 公私交融：汽车数据现有监管体系的不协调

随着超高清摄像头、激光雷达、人工智能芯片、智能算法等先进设备和技术的广泛应用，智能网联汽车产业产生了多种类型和级别的海量数据，包括个人信息数据、行为数据、地理数据、环境数据等。自动驾驶汽车数据包括因“知情—同意”而获取的个人数据和因自动驾驶功能实现而获取的行为数据。前者数据处理中的“企业—用户”纵向关系风险，可以依据传统权利模式来规范。然而，在汽车产业链全球化和国际贸易互通的背景下，基于自动驾驶功能的不断优化需求，行为数据出境不可避免。为避免行为数据出境产生有损我国公共利益和平等正义的社会价值，以公权力的方式规制行为数据出境安全风险十分必要^[5]。

依托全球产业链的汽车数据具有场景复杂和功能多元的特点，存储和传输方案主要由整车厂商、车联网服务商设计实现^[6]，因而智能汽车数据出境带来的风险主要包括数据安全风险、隐私泄露风险和跨境监管风险。数据安全风险：智能汽车依赖先进的自动驾驶技术，这些技术涉及大量复杂的算法和数据处理，一旦遭到黑客攻击或数据泄露，可能导致车辆失控、交通事故甚至威胁生命安全。隐私泄露风险：智能汽车收集了大量用户数据，包括个人信息、行车轨迹、敏感地区车流量等敏感信息，这些信息一旦被非法获取或滥用，将对国家安全、社会公共利益、个人隐私构成威胁。跨境监管风险：智能汽车数据的跨境传输涉及不同国家和地区的法律法规和监管要求，如果企业不遵守当地法律法规，可能面临被处罚或禁止在当地运营的风险。

综上所述，汽车数据的本质决定了其公私交融的属性^[7]，现有监管体系难以保证出境安全。“滴滴”事件之后，数据安全与国家安全、社会公共利益、公民合法权益的关系愈加紧密。数据安全风险越发显得重要，正逐渐从小数据安全风险走向大数据安全风险、静态安全风险走向动态安全风险、个体安全风险走向总体安全风险。因此，智能汽车行业数据出境的安全审核制度与国家安全、国家数据战略紧密相连，应积极响应相应部门的号召，在其收集、处理、分析和使用用户数据的过程中，与互联网企业、第三方服务机构、金融机构等依据现有的法律法规体系（总体规定和行业规定）持续细化行业监管与企业自律。

1.2.2 多头监管：汽车企业合规成本高

汽车企业在追求全球市场带来的经济效益的同时，必将付出相应的精力、时间等合规成本。典型的汽车数据出境的场景有汽车数据出境、运营者赴外国上市、执法数据跨境调取^[8]。在数据类型、数量、级别、识别传输场景、评估境外接收方等环节都是车企难以准确评估的内容。以滴滴汽车企业赴美上市为例，作为一种特殊场景下的数据出境，满足条件的我国汽车企业赴国外上市前应按规定申报网络安全审查。汽车数据发生出境行为时，除了需要应对一般个人数据处理的法律风险，还需要特别关注个人生物识别数据、重要数据、国家核心数据的出境风险，尤其是以下3种情况。第一，车企数据出境涉及的个人数据主体超过10万人；第二，出境的数据包括可以识别自然人的个人生物识别数据，例如人脸、车牌等车外音视频数据，或个人行踪信息等敏感个人信息；第三，出境的数据包括某些类型的地理信息数据，例如车载摄像头拍摄到的重要敏感区域的地理信息，这有可能属于重要数据甚至核心数据。如果相关地理信息涉及国家安全，那么这些数据还有可能需要进行数据出境安全评估和网络安全审查。从数据监管资源的角度，在网络安全审查中，将会“吸收”数据出境安全评估的环节。但是，以国外上市为目的的网络安全审查属于“一次性”管理活动，数据出境安全评估则为持续性和常态化行为，具体协调仍有待相关典型案例验证。

此外，由于汽车数据在特地条件下可能成为商业秘密，虽然目前商业秘密保护机制是保护数据持有人的重要制度，但汽车领域的数据监管涉及较多的数据参与者，随着处理环节的增加，将提高商业秘密的泄露风险与不确定性，对商业秘密的保护带来新的挑战。如果商业秘密泄露后，又难以确定数据保护责任主体，难以使数据主体的权利得到真正救济。正如欧盟在《数据治理法》（Data Governance Act，DGA）提案颁布后指出的“如果缺乏强有力的数据保护保障，数字经济将面临无法持续的风险”的问题。

1.2.3 管辖突破：汽车数据出境安全国际协调不完善

智能网联汽车产业已成为大国竞争的战略性产业，颠覆性的技术变革正在重塑全球竞争格局^[9]。汽车数据的价值在于流动，只有流动的数据才能充分释放新质生产力的经济活力，推动全球数字经济的发展和创新。其多重法理基础包括数据主权、数据人权和数据自由市场^[10]。

目前，跨境数据流动的保护与规制体系高度分散，各国及地区基于数字经济、信息技术、地缘政治因素等多重考量，关于数据监管等事项的规范存在较大差异。全球数据跨境流动法律规制，面临国家间缺乏共识、科技水平存在差距导致执法困难等突出问题。同时，数据监管往往突破原有的属地管辖已成为国际趋势，以欧盟、美国为代表的国家或地区不断适用“长臂管辖”原则，扩张本国或本地区立法的域外效力。

2 国际比较视野下汽车数据出境的法律规制

2.1 欧美与我国的相关规定

数据治理水平已成为衡量一个国家综合实力的重要参考标准，也是未来大国战略博弈的要点之一。然而，如何规范跨境数据流动在全球层面并未达成共识^[11]，甚至由于汽车行业的产业政策与立法倾向已经成为各国及地区战略目标的新焦点，所以各国及地区监管立法变化频繁，都在基于自身条件出发寻找安全和自由的平衡，其政策目标与监管路径也差异较大^[12]。汽车数据跨境的立法监管的价值导向问题主要是指一国采用的监管方式是宽松还是紧缩。监管价值导向的选择主要是根据本地国情做出的选择和判断^[13]。

各国或经济体基本上都采用有限的自由流动政策，即对于个人信息进行严格保护，对于重要数据或关键数据，则采用限制流动政策，只有符合特定条件时才允许跨境流动。

具体而言，欧盟以维护个人基本权利为重点，在立法层面处于全球领先^[14]。《欧盟通用数据保护条例》（General Data Protection Regulation，GDPR）第45条所规定的“充分性认定”是指在认定特定国家的个人信息保护水平达到欧盟标准的前提下允许欧盟国家公民的个人数据在欧盟和该国家之间自由流动；“标准化合同条款”（GDPR第46条）或“有约束力的公司规则”（GDPR第47条）则针对特定企业，其目的在于使主体在处理欧盟国家公民个人数据时受到监管。同时，欧盟致力于促进欧盟单一市场中的数据流动，制定一体化数据治理制度框架为抓手，进而扩大国际话语权^[15]。

美国因其互联网公司占据的全球领导地位，造成了社会权力附带集中的先发优势，因此在跨境数据流动方面采取了较为宽松的分散立法与行业自律相结合的模式。美国是较早开始建设数据主权战略的国家，至今已形成《澄清域外合法使用数据法案》（Clarify Lawful Overseas Use of Data Act， CLOUD）、《电子通信隐私法案》（Electronic Communications Privacy Act，ECPA）、《金融服务现代化法案》（Gramm-Leach-Bliley Act，GLB）等不同行业、不同领域的130多部相关的法案制度。2018年签署的《美国出口管制改革法案》（Export Control Reform Act，ECRA）特别规定，出口管制不仅限于“硬件出口”，还包括“软件”，如数据跨境必须获得商务部产业与安全局出口许可，而美国商务部于2024年2月29日发布的拟议规则制定的预通知（Advance Notice of Proposed Rulemaking，ANPRM）强调智能汽车为实现“联网”功能，内嵌了很多对其运行至关重要的信息通信技术，出于维护“数据安全”之目的，美国政府将对“嵌入了受关注的国家的信息通信技术或服务的联网汽车”启动安全审查。近期，美国频繁出台法案及行政令，例如《受关注国家获取美国人大量敏感个人数据和美国政府相关数据规则》（简称《行政命令》），使得中美企业间汽车行业的数据流动蒙上一层“阴影”。智能网联汽车领域的企业的产品和服务面向大量用户，不可避免地涉及较大数量级的敏感个人数据的收集与处理活动，例如面部图像、声纹、虹膜等生物特征识别信息以及可以确定个人或设备实际位置的数据，因此存在落入《行政命令》的规制范围的风险。虽然《行政命令》本身并未施加任何法律义务和责任，且相关的配套法规也可能需要数月之后才能出台生效，但可以预见《行政命令》及后续细化法规将在客观上对美国企业与中国企业进行交易的商业决策产生一定影响。

ANPRM阐释了一个假设性推论，认为“美国网联汽车领域存在巨大的、潜在的国家安全风险，而这样的风险来源于中国”，其中还确定了网联汽车存在的数据收集（如驾驶员行为、车辆状态、地理位置）和数据交互（网联汽车可以与外部通信）方面的数据安全风险，认为这两个环节收集大量数据，且数据敏感程度高，对美国国家安全和美国主体的安全都构成严重威胁。在汽车走向智能化、网联化发展的今天，美国却旨在削弱汽车领域合作的可能性，这未必符合汽车产业发展的规律，也不应是解决问题的最优解。

我国关于跨境数据流动的法律规制模式是有别于欧美之外的第三种模式。在坚持维护国家安全与主权的原则下，我国创造性地吸纳了对标高水平经贸实践的有关标准^[16]。《促进和规范数据跨境流动规定》规定了我国数据跨境流动的基本规范，对汽车企业数据跨境流动的监管集中在“数据出境”的环节，以个人信息和重要数据为两类监管对象。一般而言，智能网联汽车企业用户数量普遍在几十万级别，而新的数据流动监管框架也在客观上反映出，在数据领域，发展与安全其实是同等重要的。

2.2 比较法上的相关经验总结

2.2.1 控制层面：欧美的域外适用效力强化趋势

由于数字经济发展较早，欧美在数据流通和安全的规则制定方面比较领先，相关的经验也值得我国进一步参考借鉴。例如，欧盟GDPR第3条不再以“营业机构所在地”作为地域管辖的依据，而是以“数据”是否为欧盟境内产生作为管辖权的重要依据，从数据处理行为的效果入手^[17]，将适用范围扩展至“未在欧盟境内设立营业地但向欧盟提供商品或服务”涉及个人数据处理的机构。2018年美国签署同样适用长臂管辖原则的CLOUD，以“自我赋权”的方式延展美国数据主权辖域，解决美国政府如何合法获取境外数据及外国政府如何合法获取美国境内数据的问题。该法案主要内容包括两点。第一，确立“数据控制者”标准。美国政府可以调查取证为目的，不需要告知数据存储国政府的前提下，要求位于境外的美国云计算服务企业向美国司法部门提供所掌握的数据。第二，确立适格外国政府标准。美国信任的外国政府经过美国政府签批行政协议后可调取存储于美国境内的数据，但需最小化涉及美国公民信息。

2.2.2 安全层面：自由跨境为原则，限制跨境为例外

欧美对中国智能网联汽车企业在欧美的一般商业活动及其涉及的数据处理活动虽然尚未施加特别的禁止或限制，但欧美的相关立法都表现出对中国智能汽车行业的数据合规问题趋严的监管态势。根据《行政命令》，中国智能网联汽车企业来自“受关注的国家”；其与美国客户的商业活动所涉及的数据传输可能落入《行政命令》的监管范畴。随后，ANPRM指出将针对智能汽车涉及的中国信息通信技术的数据安全问题进行审查，其中强调，中国智能汽车为实现“联网”功能，内嵌了很多对其运行至关重要的信息通信技术，出于维护“数据安全”之目的，美国政府将对“嵌入了受关注的国家的信息通信技术或服务的联网汽车”启动安全审查。欧盟《关于公平访问和使用数据的统一规则的条例》也对智能汽车领域企业的数据处理活动的合规性提出了进一步要求。该法案关注欧盟市场内的互联产品制造商和相关服务提供商（如车联网智能产品生产企业）的数据跨境流动活动的合规性。

2.2.3 利用层面：注重汽车行业自律，持续细化标准

通过比较发现，欧美虽然没有针对智能网联汽车的综合性立法，但都立足自身的经济、政治、法律传统等因素出发，力求取得利益最佳平衡点。在高新技术领域，侧重以国会为主导的政府立法与标准引领型监管、行业协会和研究机构等社会组织多元参与型监管，以及企业以数字科技伦理嵌入公司治理的嵌入型自治模式的三重主导模式。对于智能网联汽车行业，我国在前瞻性和实质性的数据战略谋划方面略显不足，这有待于国家在综合比较法的经验基础上进一步统揽全局、制定顶层设计，还需要形成“政府—行业协议—车企”的多元治理模式。例如，“重要数据”“核心数据”等概念可以进一步通过标准与指南持续细化。

3 我国汽车数据出境的法律完善举措

3.1 建立健全智能网联汽车行业数据出境安全审核制度

首先，有必要建构和完善统一的自评估制度，加强企业的数据安全保护意识。第一，企业应建立完善的数据安全体系，对数据进行加密和备份，防止黑客攻击和数据泄露。同时，应定期对安全体系进行漏洞扫描和安全审计，及时发现和修复安全问题。第二，企业应建立合规的跨境数据传输机制，了解和遵守相关国家和地区的法律法规和监管要求，建立合规的跨境数据传输机制。同时，应与当地监管机构建立良好的沟通机制，及时了解监管动态并调整数据传输策略。第三，应加强国际合作与交流，企业应积极参与国际合作与交流，共同应对智能汽车数据出境带来的挑战。通过与国际同行建立合作机制、分享经验和最佳实践，共同推动智能汽车行业的健康发展。

其次，目前我国的数据出境监管基本模式是“国家网信部门统筹监管+各行业分业管理”。除少数领域的行业职能部门已经出台本领域的数据出境管理办法，如数据分类分级与重要数据识别等管理规则，绝大多数领域主要依赖网信办的规定对数据问题进行处理。而汽车行业数据出境监管中，虽有汽车行业组织以组织化的形式将同业企业组织起来，但并未形成汽车行业数据统一出境监管机构。由于不同产业的数据利用和跨境制度差异较大，较为理想的方式是由行业主管部门对本领域的数据跨境进行具体的规范。在汽车行业数据出境领域，应赋予汽车业主管部门相应的数据监管权，从而更好地促进汽车行业数据跨境的需要。

3.2 积极探索汽车数据的评估和利用机制

首先，可将汽车行业数据出境风险自评估和个人信息保护影响评估合并为“数据出境自评估”制度，对于重叠部分，适用《个人信息保护法》的规定，与标准合同、个人信息保护认证的评估统一；对于差异部分，即对境外接收方数据安全保护责任义务的评估，可以依照安全评估有效期的规定，当有效期届满后，数据处理者对该事项重新开展评估后再申请出境安全评估，以减少重复评估，减轻企业的合规压力。

其次，数据驱动型汽车企业应当重点关注汽车数据的量级、质量与流动性，丰富、高质的数据来源与充分流动的才能带来充满活力的数据市场。对于我国来说，仅有大量的数据内容是不够的，还需要能建立起合理的数据利用机制，从而推动数字经济发展。我国智能网联汽车企业并不缺乏数据量，但尚未能充分挖掘和释放自身巨大的数据潜力。因此，需要明确数据中介的法律地位及其权利义务，在顶层规划下共创共建汽车数据要素市场。

3.3 有效加强国内数据规范与国际数据治理的协调

虽然《数据安全法》《网络安全法》等法律法规已经相对完善地规定了我国的数据安全法律制度，但与《数字经济伙伴关系协定》（Digital Economy Partnership Agreement，DEPA）等高标准国际经贸规则所确定的内容相比仍有不少差距。随着全球数字经济不断紧密的联系和日益加剧的挑战，在跨境数据监管领域，我国应当尽快适应国际经贸规则中有关数据跨境流动的制度设计。这意味着我国在汽车数据出境领域的治理模式需要及时创新，以此应对新兴的数字经济环境。

虽然安全是数据跨境流动的基础，但是数据跨境流动本质是为了促进数字经济、数字贸易的发展。“数据二十条”明确了供应链管理、服务外包等典型应用场景进行先行先试。《促进和规范数据跨境流动规定》对跨境购物等在实践中必须向境外机构提供个人信息的场景，豁免数据出境安全评估，此外还允许自贸区出台数据出境负面名单，鼓励自贸区内企业进行跨境数据流通。上海为打造改革开放的门户枢纽，颁布出台了《上海市促进人工智能产业发展条例》《上海市数据条例》两部与数据监管相关的地方法规。《上海市数据条例》提出应制定“数据目录”，针对不同安全等级的信息，分别采取自由传输、有条件自由传输、限制传输和禁止传输等不同的监管措施。上海自贸试验区临港新片区作为数据跨境数据流动试点，为全国跨境数据管理提供了一定程度上的参考，智能网联汽车行业被确定为对出境数据传输监管较高的行业，采用基于分类和分级的管理方法，为我国数字经济应对全球化挑战和健康发展提供了规则框架。

4 结束语

未来，智能网联汽车将会成为较快促进数据跨境流动的领域，探索基于典型应用场景的数据跨境流动，成为我国发展新质生产力的新引擎。我国应以“数据二十条”等顶层设计为基础，以《全球数据安全倡议》为抓手，构筑中国特色的数据跨境流动之监管框架与制度体系，统筹推动国际国内数据跨境流动规则的优化。

Exploration of the construction of data outbound transfer security mechanism for intelligent connected vehicle industry

QIU Shiyun¹, LIN Zihan²

(1. KoGuan School of Law, Shanghai Jiao Tong University, Shanghai 200030, China；

2. Shanghai Data Exchange, Shanghai 201203, China)

Abstract: Cybersecurity and data security are important components of non-traditional security under the overall national security concept. In the process of promoting the big data strategy to empower the development of traditional industries, the intelligent connected vehicle (ICV) industry has developed rapidly. It has given rise to a widespread demand for data outbound transfer, which also poses a challenge to national security. The data outbound transfer of the ICV industry needs to integrate the dual objectives of maintaining national security and promoting the healthy development of the industry. It also needs to build a data outbound transfer security mechanism with clear rights and responsibilities, convenient operation and multi-party collaboration under the premise of maintaining national security.

Keywords: data security; data outbound transfer; ICV

本文刊于《信息通信技术与政策》2024年 第8期

声明：本文来自信息通信技术与政策，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。