加强个人信息和重要数据保护 汽车数据安全管理规定征求意见

5月12日，国家互联网信息办公室对外发布《汽车数据安全管理若干规定（征求意见稿）》（以下简称意见稿），加强个人信息和重要数据保护，规范汽车数据处理活动，维护国家安全和公共利益。

意见稿指出运营者应当落实网络安全等级保护制度，加强个人信息和重要数据保护，依法履行网络安全义务。处理个人信息和重要数据过程中坚持：

（一）车内处理原则，除非确有必要不向车外提供；

（二）匿名化处理原则，确有必要向车外提供的，尽可能地进行匿名化和脱敏处理；

（三）最小保存期限原则，根据所提供功能服务分类型确定数据保存期限；

（四）精度范围适用原则，根据所提供功能服务对数据精度的要求确定摄像头、雷达等的覆盖范围、分辨率；

（五）默认不收集原则，除非确有必要，每次驾驶时默认为不收集状态，驾驶人的同意授权只对本次驾驶有效。

运营者收集和向车外提供敏感个人信息，包括车辆位置、驾驶人或乘车人音视频等，以及可以用于判断违法违规驾驶的数据等，应当符合以下要求：

（一）以直接服务于驾驶人或者乘车人为目的，包括增强行车安全、辅助驾驶、导航、娱乐等；

（二）默认为不收集，每次都应当征得驾驶人同意授权，驾驶结束（驾驶人离开驾驶席）后本次授权自动失效；

（三）通过车内显示面板或语音等方式告知驾驶人和乘车人正在收集敏感个人信息；

（四）驾驶人能够随时、方便地终止收集；

（五）允许车主方便查看、结构化查询被收集的敏感个人信息；

（六）驾驶人要求运营者删除时，运营者应当在2周内删除。

运营者收集个人信息应当取得被收集人同意，法律法规规定不需取得个人同意的除外。实践上难以实现的（如通过摄像头收集车外音视频信息），且确需提供的，应当进行匿名化或脱敏处理，包括删除含有能够识别自然人的画面，或对这些画面中的人脸等进行局部轮廓化处理等。

意见稿要求仅当为了方便用户使用、增加车辆电子和信息系统安全性等目的，方可收集驾驶人指纹、声纹、人脸、心律等生物特征数据，同时应当提供生物特征的替代方式。

处理个人信息涉及个人信息主体超过10万人、或者处理重要数据的运营者，应当在每年十二月十五日前将年度数据安全管理情况报省级网信部门和有关部门，内容包括：

（一）数据安全负责人以及负责处理用户权益相关事务责任人的姓名和联系方式；

（二）处理数据的类型、规模、目的及必要性；

（三）数据的安全防护和管理措施，包括保存地点、期限等；

（四）与境内第三方共享数据情况；

（五）数据安全事故及处理情况；

（六）与个人信息和数据相关的用户投诉及处理情况；

（七）国家网信部门明确的其他数据安全情况。

如果存在向境外提供数据的情况，运营者应当在上述规定基础上，报告以下情况：

（一）接收者的名称和联系方式；

（二）出境数据的类型、数量及目的；

（三）数据在境外的存放地点、使用范围和方式；

（四）涉及向境外提供数据的用户投诉及处理情况；

（五）国家网信部门明确的向境外提供数据需要报告的其他情况。

附件：汽车数据安全管理若干规定（征求意见稿）