适用场景
从事智能网联汽车研发、生产、销售、服务及提供相关技术解决方案的中国出海企业，在涉及车辆数据（包括个人信息和重要数据）处理活动时均需关注。
核心要点
1. 监管范围覆盖全产业链
汽车数据安全监管不仅针对整车厂，还延伸至产业链上下游，包括零部件供应商、自动驾驶方案商、车载软件/设备提供商、金融服务商等所有处理汽车数据的企业。相关企业需履行年度数据安全管理报告等合规义务。
2. 个人信息与敏感个人信息处理要求
处理车辆驾驶人、乘车人及车外行人等个人信息时，需通过用户手册、车载屏幕等多种显著方式告知。处理行踪轨迹、音视频、生物识别等敏感个人信息，需满足直接服务于个人的目的（如行车安全），并获取单独同意。车外行人信息在无法征得同意时，应进行匿名化处理。
3. 重要数据的识别与特殊义务
汽车重要数据包括敏感区域地理人流信息、反映经济运行的车流物流数据、充电网运行数据、含人脸车牌的车外视频图像，以及涉及超10万人的个人信息等。处理重要数据需履行风险评估报送和年度报告义务。
4. 四大倡导性处理原则
倡导遵循“车内处理”（非必要不外传）、“默认不收集”（需驾驶人主动设定）、“精度范围适用”（传感器精度匹配功能所需）和“脱敏处理”原则。这些原则虽为倡导性，但指明了监管趋势和最佳实践方向。
5. 严格的数据出境管理制度
重要数据原则上应存储在境内。确需出境的，必须通过国家网信部门组织的安全评估，并接受抽查核验。向境外提供重要数据还需在年度报告中补充接收方、数据种类、境外保存情况等信息。
实务建议
- 立即开展数据资产盘点：识别业务中处理的汽车数据，特别是个人信息、敏感个人信息及重要数据的种类、规模、流向和存储地点。
- 建立并落实告知与同意机制：针对车内、车外不同场景，设计符合法规要求的告知方式（如车载显示、APP通知）和用户同意流程，特别是敏感信息的单独同意。
- 评估并管控数据出境风险：遵循“非必要不出境”原则，对确需出境的数据（尤其是重要数据）提前规划并准备安全评估申报材料。
- 调整产品设计与硬件配置：确保车载传感器（如摄像头、雷达）的覆盖范围和分辨率与所提供的功能服务相匹配，避免过度采集。
- 完善内部合规制度：设立数据安全负责人和用户权益联系人，建立重要数据处理的风险评估机制和年度报告制度。
风险提示
- 切勿忽视对车外行人个人信息的保护：即使因安全需要无法征得同意，也需进行有效的匿名化处理（如局部轮廓化），避免直接使用或提供可识别信息。
- 避免将“默认不收集”原则流于形式：确保每次驾驶时的默认状态为不收集，且开启授权的选项清晰、独立，不与单次服务授权捆绑。
- 重要数据与个人信息交叉区的“双重合规”风险：涉及超过10万人个人信息的数据同时受《个人信息保护法》和《数据安全法》约束，义务叠加，需格外重视。
- 数据出境切勿心存侥幸：未经安全评估或超出评估范围向境外提供重要数据将面临严重处罚，应提前规划数据本地化存储方案。
- 警惕技术可行性与合规要求的矛盾：如“车内处理”原则可能与自动驾驶数据训练需求冲突，需在技术方案设计初期就融入合规考量，寻求平衡。