适用场景
从事汽车设计、制造、销售、软件/零部件供应、维修及出行服务的中国出海企业，在业务涉及处理车辆相关个人信息与重要数据时均需关注。
核心要点
1. 适用对象覆盖全产业链
规定适用于汽车全生命周期中的所有数据处理者，包括制造商、供应商、经销商、维修商及出行服务商。这意味着产业链上的任何环节，只要处理汽车数据，就必须遵守相关要求。
2. 明确汽车行业重要数据范围
规定首次清晰界定了汽车领域的重要数据，包括敏感区域地理信息、反映经济运行的车流物流数据、充电网数据、含人脸车牌的车外影像，以及涉及超10万人的个人信息等，为企业识别关键数据提供了明确指引。
3. 确立车内处理与数据出境原则
倡导数据在车内处理，非必要不向车外提供。重要数据原则上应存储在境内，出境需通过安全评估。个人信息出境则需满足安全评估、认证、标准合同等条件之一，并获个人单独同意。
4. 细化敏感个人信息处理要求
处理行踪轨迹、音视频、生物特征等敏感信息时，需有直接服务目的（如辅助驾驶），通过显著方式告知，取得个人单独同意并可设定同意期限，同时提供便捷的终止收集和删除渠道（要求10个工作日内删除）。
5. 建立数据安全年报与投诉机制
所有处理重要数据的企业须每年向省级网信等部门提交数据安全管理年报，内容涵盖数据处理情况、安全措施、出境详情、投诉处理等。同时，企业必须建立便捷的投诉举报渠道并及时处理。
实务建议
- 立即开展数据资产盘点，依据规定明确区分企业处理的个人信息、敏感个人信息及重要数据的具体种类与范围。
- 审查并优化数据收集流程，确保遵循‘默认不收集’、‘精度范围适用’和‘车内处理’原则，向车外提供数据前优先进行匿名化处理。
- 建立独立的敏感个人信息处理流程，确保在收集前通过车载界面、语音等多渠道获取用户单独同意，并设置用户可自主管理的同意期限。
- 评估数据出境需求，重要数据出境前务必完成安全评估；个人信息出境需规划并落实安全评估、认证或标准合同等合法路径。
- 设立数据安全负责人与用户权益联系人，建立内部数据安全年报编制机制与外部用户投诉举报响应流程，确保合规运营。
风险提示
- 切勿混淆‘匿名化’与‘去标识化’：匿名化数据可不受个人信息规则约束，而去标识化数据仍可能被复原，需持续保护。
- 避免认为‘默认不收集’原则可完全规避责任：即使默认关闭，一旦用户开启，后续所有处理活动仍需全程合规。
- 重要数据出境安全评估不是一次性任务：出境后需确保数据使用不超出评估范围，并配合监管部门可能的抽查核验。
- 不要忽视对车外人员数据的保护：因安全需要无法征得同意而收集的车外个人信息，必须进行有效的匿名化处理。
- 年报提交义务具有普遍性：只要处理重要数据，无论规模大小，都需履行年度报告义务，不可存有侥幸心理。