《汽车数据安全管理若干规定（征求意见稿）》 | 向车外提供数据的规则
编者按
5月12日，国家互联网信息办公室会同有关部门起草了《汽车数据安全管理若干规定（征求意见稿）》（以下简称“若干规定”），并向社会公开征求意见。公号君将撰写系列文章对该若干规定做出分析，并尝试提出建议，在此分享供大家参考。本系列已经发表的文章如下：
本篇将从国内法和EDPB发布的《车联网个人数据保护指南》出发，分析“若干规定”中的核心关键要点——向车外提供的规则。关于EDPB的指南，见：
1、EDPB《车联网个人数据保护指南》全文翻译（DPO社群出品）
2、EDPB《车联网个人数据保护指南2.0》比较翻译（DPO社群出品）
“若干规则”中的“向车外提供数据”
“若干规定”中提出的“向车外提供”，延续了我国惯用的立法技术，例如《网络安全法》中的“对外提供个人信息”。但“提供”这个词一直以来，存在者很多模糊性：
“提供”本身是一个中性的动作而已，法律含义不明确：
提供的目的是什么？是目的不变更情况下的委托处理，还是目的变更下的共享或者转让，这是第一个维度。目的变更与否，在个人信息保护法方面的意义，非常重大。
第二个维度是，是向境内主体提供，还是向境外主体的提供？同样，数据在境内流转与数据向境外流转相比，存在着很重要的风险方面的区别，个人信息保护方面的意义同样重大。
如果将这两个维度做排列组合，各种可能性的数量一下子大大增加。但是很遗憾，我国现有的法律法规在这方面的细化规则相对稀薄。这也是为什么数据作为生产要素难以流动的原因之一。
具体到“若干规定”，提到对外提供有多次以及多种情形：
| 情形一：向车外提供 |
| 第六条（一）：车内处理原则，除非确有必要不向车外提供； |
| 第六条（二）：匿名化处理原则，确有必要向车外提供的，尽可能地进行匿名化和脱敏处理； |
第八条 运营者收集和向车外提供敏感个人信息，包括车辆位置、驾驶人或乘车人音视频等，以及可以用于判断违法违规驾驶的数据等，应当符合以下要求： （一）以直接服务于驾驶人或者乘车人为目的，包括增强行车安全、辅助驾驶、导航、娱乐等； （二）默认为不收集，每次都应当征得驾驶人同意授权，驾驶结束（驾驶人离开驾驶席）后本次授权自动失效； （三）通过车内显示面板或语音等方式告知驾驶人和乘车人正在收集敏感个人信息； （四）驾驶人能够随时、方便地终止收集； （五）允许车主方便查看、结构化查询被收集的敏感个人信息； （六）驾驶人要求运营者删除时，运营者应当在2周内删除。 |
| 第九条 运营者收集个人信息应当取得被收集人同意，法律法规规定不需取得个人同意的除外。实践上难以实现的（如通过摄像头收集车外音视频信息），且确需提供的，应当进行匿名化或脱敏处理，包括删除含有能够识别自然人的画面，或对这些画面中的人脸等进行局部轮廓化处理等。【笔者注：第九条相对难以理解，第一句规定的是收集个人信息的同意以及同意的例外，但第二句突然转到“确需提供”，在此笔者只能理解成——实践上难以实现同意的取得的，且确需对外提供时，应当进行匿名化或脱敏处理......】 |
| 情形二：向境外提供 |
第十二条 个人信息或者重要数据应当依法在境内存储，确需向境外提供的，应当通过国家网信部门组织的数据出境安全评估。 我国参与的或者与其他国家和地区、国际组织缔结的条约、协议等对向境外提供个人信息有明确规定的，适用其规定，我国声明保留的条款除外 |
| 第十三条 运营者向境外提供个人信息或者重要数据的，应当采取有效措施明确和监督接收者按照双方约定的目的、范围、方式使用数据，保证数据安全。 |
| 第十四条 运营者向境外提供个人信息或者重要数据的，应当接受和处理所涉及的用户投诉；造成用户合法权益或公共利益受到损害的，应当依法承担相应责任。 |
第十五条 运营者不得超出出境安全评估时明确的目的、范围、方式和数据类型、规模等，向境外提供个人信息或重要数据。 国家网信部门会同国务院有关部门以抽查方式核验向境外提供个人信息或重要数据的类型、范围等，运营者应当以明文、可读方式予以展示。 |
| 情形三：向运营者之外的合作伙伴的数据提供 |
| 第十六条 科研和商业合作伙伴需要查询利用境内存储的个人信息和重要数据的，运营者应当采取有效措施保证数据安全，防止流失；严格限制对重要数据以及车辆位置、生物特征、驾驶人或者乘车人音视频，以及可以用于判断违法违规驾驶的数据等敏感数据的查询利用。【笔者注：第十六条同样较难理解：查询利用，虽然是从合作伙伴的角度主动为之，但是客观上也需要运营者“对外提供”，因此第十六条事实上也是与对外提供这个动作相关的条款；且境内存储这个词，可以指的是在车内存储的数据，也可以指数据从车内已经到了相关运营者处，这时候合作伙伴提出查询利用的需求。如果这个理解也成立，那该条也是对向车外提供这个动作。】 |
大家可以看到，这三个情形实际上还会交织在一起，同时，如果加上目的是否变更的维度（即委托处理、共享和转让），各种可能的情况就会非常多且非常复杂。每个具体的情况要遵守的合规动作也会非常复杂。
但是笔者还是要说，虽然规则比较稀薄，因此合规非常复杂，但是有一些情况是明确的，因此有必要专门澄清。
“若干规则”禁止了数据上云处理？
在最开始要强调的是，本节的澄清基于“若干规则”现有的文本规定，并不做拓展，而仅仅是释义论的角度。
“若干规则”实际上强调了三种“对外提供”，分别是：从车内流向车外、从境内流向境外，从运营者流向其合作伙伴。
第一种：从车内流向车外。和业界很多专家看法不同的是，笔者不认为“若干规定”禁止了数据上云处理。
只要确有必要——业务所必要，功能所必要，加上获得用户的同意，就可以向车外提供，即开展云上数据处理。只不过这个业务或功能，是相对限定的：
对于一般的个人信息，可以开展云上数据处理的业务或功能没有特别的缩限；【笔者注：“若干规定”第四条要求，运营者处理个人信息或重要数据的目的应当合法、具体、明确，与汽车的设计、制造、服务直接相关。处理显然包含了云上数据处理，因此业务或功能要限定在“与汽车的设计、制造、服务直接相关”，虽然做了限定，但实际上汽车的设计、制造、服务可以涵盖的范围非常广。】
对于敏感个人信息，可以开展云上数据处理的业务或功能就有了缩限；“若干规定”第八条规定：向车外提供敏感个人信息......以直接服务于驾驶人或者乘车人为目的，包括增强行车安全、辅助驾驶、导航、娱乐等。换句话说，业界专家经常提出的各种需要实时云上处理数据的场景，笔者认为都能为“增强行车安全、辅助驾驶、导航、娱乐”等涵盖，因此“若干规定”绝没有一概禁止了云上数据处理。
对于生物特征数据，“若干规定”第十条做了相对于敏感个人信息的进一步缩限——“仅当为了方便用户使用、增加车辆电子和信息系统安全性等目的，方可收集驾驶人指纹、声纹、人脸、心律等生物特征数据，同时应当提供生物特征的替代方式”。虽然这条规定从字面上看，仅仅是在说收集，但笔者认为也适用于本地收集后向云端传输的情况。也就是说，敏感个人信息提出的“增强行车安全”这个目的，在生物特征数据这块，进一步缩成了“诚联电子和信息系统安全性”。
个人信息或重要数据的实时境外云上处理，按照我国法律的要求，均是确有必要即可开展，只不过需要满足数据出境安全评估的要求。
对于科研和商业合作伙伴开展的从运营者处，实时查询利用境内存储的个人信息和重要数据，并做云上处理，从字面上理解“若干规定”实际上没有作为目的方面的缩限，仅仅是要求严格限制对敏感数据的查询利用。但笔者认为“严格限制”的理解，可以参考前述的对敏感个人信息和生物特征信息的目的限制。
总结起来，这五个情况中，“若干规则”并没有一刀切式地禁止了数据上云端处理，这一点希望业界在讨论中能够看到或重视。但笔者也确实认为：对外提供数据的合规方案会很复杂；规则的稀薄性会同时增加不确定性。
同时，重要数据的向车外提供（情形一），“若干规定”的相关规定更少。这一点也需要引起注意，笔者将在后面的文章中专门讨论。
EDPB如何规定向车外提供数据
第一种情况：从车内向车外传输。正如【《汽车数据安全管理若干规定（征求意见稿）》 | “车内处理”与EDPB指南中“终端设备”】中所分析的，和“若干规定”一样，EDPB提倡车内处理数据，目的是“在于保证用户对其个人数据的唯一和完全控制，因此，该方案“通过设计”实现了较少的隐私风险，特别是禁止利益相关者在数据主体不知情的情况下进行任何数据处理。”
但当业务需要时，数据同样可以传出车外，只不过应当从保护数据主体知情和完全控制的情况下，尽可能事先降低数据处理给数据主体权益带来的负面影响，例如EDPB指南中提出的，向车外传输可以采取只传输分析结果数据，或者只传输匿名化的数据。
另外一种情况：从运营者流向其合作伙伴。EDPB强调了以下三个方面：
“考虑到车辆使用行为数据（vehicle-usage data）的敏感性（例如，完成的旅程、驾驶风格），EDPB建议，在将数据主体的数据传输给作为数据控制者的商业伙伴之前，应按部就班地获得数据主体的同意（例如，通过在未打勾的方框上打勾，或者在技术上可行的情况下，通过人们可在车辆中使用的物理或逻辑设备）。反过来，商业伙伴对其接收的数据负责，并受GDPR所有规定的约束。
原则上，只有数据控制者和数据主体才能访问由联网车辆生成的数据。但是，数据控制者可能会将个人数据传输给商业伙伴（接收方），前提是这种传输是基于GDPR第6条所述的法律依据之一。
车辆制造商、服务提供商或其他数据控制者可以将个人数据传输给一个数据处理者（processor），该数据处理者被选择参与向数据主体提供服务，但前提是该数据处理者不得将这些数据用于其自身目的。数据控制者和数据处理者应起草合同或其他法律文件，明确各方的义务并约定GDPR第28条的规定的内容”。
第三种情况：从欧盟境内流向欧盟境外。EDPB重申了GDPR第五章的适用性：“当个人数据被传输到欧洲经济区之外时，应采取特殊的安全保障措施以确保保护措施随数据一起转移。因此，数据控制者只能在符合GDPR第五章的条件的范围内，将个人数据传输给接收方。”（完）
域外数据安全和个人信息保护领域的权威文件，DPO社群的全文翻译：
DPO线下沙龙的实录见：
美国电信行业涉及外国参与的安全审查系列文
美国电信行业涉及外国参与的安全审查（一）：基本制度介绍
美国电信行业涉及外国参与的安全审查（二）：国际性的第214节授权
美国电信行业涉及外国参与的安全审查（三）：建立外国参与安全审查的行政令
美国电信行业涉及外国参与的安全审查（四）：FCC对中国企业的陈述理由令
中国的网络安全审查系列文章：
自动驾驶系列文章：
数据安全法系列文章：
个人数据与域外国家安全审查系列文章
围绕着TIKTOK和WECHAT的总统令，本公号发表了以下文章：
第29条工作组/EDPB关于GDPR的指导意见的翻译：
关于美国出口管制制度，本公号发表过系列文章：
供应链安全文章：
数据跨境流动政策、法律、实践的系列文章：
传染病疫情防控与个人信息保护系列文章
人脸识别系列文章：
关于欧盟技术主权相关举措的翻译和分析：
关于数据与竞争政策的翻译和分析：
关于人工智能监管指导文件的翻译：
数据安全法系列文件：
中国个人信息保护立法系列文章：