文/北京市集佳律師事務所 吳恙 楊玥珺

　　伴隨著國內(nèi)新能源智能汽車行業(yè)的蓬勃發(fā)展，新勢力車企紛紛開始推行國際化戰(zhàn)略，新能源汽車出口成為新的業(yè)務增長點，比亞迪，蔚來及小鵬等新能源智能汽車生產(chǎn)商正在以歐洲為跳板，積極布局開拓海外市場?！?】

　　同時，車輛智能化水平的飛速提升，使得汽車由單純的交通運輸工具逐步轉(zhuǎn)變?yōu)橹悄芤苿咏K端。在國家政策的扶持和指引下，以“電動化、智能化、網(wǎng)聯(lián)化、共享化”為核心的智能汽車網(wǎng)聯(lián)技術正在全面普及并快速迭代。

　　智能網(wǎng)聯(lián)汽車技術（V2X，Vehicle-to-Everything）融合現(xiàn)代通信與網(wǎng)絡技術，通過先進的車載傳感器、控制器、執(zhí)行器等裝置，在實現(xiàn)車與X（人、車、路、云端等）智能信息交換、共享的同時，還具備復雜環(huán)境感知、智能決策、協(xié)同控制等功能?！?】

　　智能網(wǎng)聯(lián)汽車作為集合聯(lián)網(wǎng)信息節(jié)點和數(shù)據(jù)樞紐功能的移動終端，在運行過程中深度收集、處理、傳輸和使用大量包括個人信息、車輛運行數(shù)據(jù)和環(huán)境數(shù)據(jù)等在內(nèi)的信息數(shù)據(jù)。而數(shù)據(jù)作為車聯(lián)網(wǎng)系統(tǒng)的核心要素，對于以網(wǎng)絡通信技術為基礎的智能網(wǎng)聯(lián)汽車而言相當于“人體的血液”。正因車聯(lián)網(wǎng)數(shù)據(jù)安全保護問題牽涉到行車安全、生命財產(chǎn)安全、個人信息安全乃至國家安全，對于相關企業(yè)數(shù)據(jù)安全的監(jiān)管合規(guī)就顯得尤為重要，尤其是涉及到個人信息數(shù)據(jù)跨境傳輸。

　　本文以歐盟與中國為例，試圖通過分析智能網(wǎng)聯(lián)汽車領域涉及到個人信息數(shù)據(jù)跨境傳輸?shù)臉I(yè)務場景，厘清個人信息出境的合規(guī)路徑，為我國車企出海業(yè)務提供規(guī)則指引。

　　一、智能網(wǎng)聯(lián)汽車涉及的個人數(shù)據(jù)類型

　　厘清車聯(lián)網(wǎng)個人信息跨境合規(guī)路徑，首先需要明確對應法域?qū)τ趥€人信息的定義，從而分析智能網(wǎng)聯(lián)汽車運行過程中可能涉及到的個人數(shù)據(jù)類型及其數(shù)據(jù)出境業(yè)務場景。

　　自歐盟推出《通用數(shù)據(jù)保護條例（GDPR）》以來，全球各法院相繼出臺相關領域的法律文件，我國以2017年頒布的《網(wǎng)絡安全法》為起始點，先后出臺了《數(shù)據(jù)安全法》及《個人信息保護法》。數(shù)字信息領域“三大基本法”及相關配套法律文件的頒布，標志著我國正在以“前進三”的速度開啟數(shù)據(jù)經(jīng)濟時代法治建設。其中，我國與歐盟關于個人信息的定義基本一致，均采取擴張主義進行原則性規(guī)范。

　　《通用數(shù)據(jù)保護條例》第4條明確了“個人數(shù)據(jù)（personal data）”的定義，即“個人數(shù)據(jù)”指的是任何已識別或可識別的自然人（“數(shù)據(jù)主體”）相關的信息。【3】而《個人信息保護法》對于個人信息的定義與之類似，“個人信息是以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息?！庇纱丝梢?，個人信息數(shù)據(jù)的外延較為寬泛，任何能夠識別定位到自然人的信息均在其語意范圍之內(nèi)。

　　而智能網(wǎng)聯(lián)汽車在運行過程中通過視頻音頻設備、人體傳感器、智能車機系統(tǒng)等硬件設備，實時收集用戶的行為習慣和個人隱私等信息，包括車主和乘客信息、消費與生活習慣信息、用戶部分生理數(shù)據(jù)、乘車人圖像及語音數(shù)據(jù)，以及駕駛活動數(shù)據(jù)，如駕駛員習慣、車輛靜態(tài)信息（如車牌號、車輛識別碼）、車輛動態(tài)信息（如位置信息、行駛軌跡）等?！?】

　　智能網(wǎng)聯(lián)汽車收集個人信息數(shù)據(jù)的應用場景主要在于提升用戶駕駛體驗的信息服務應用以及增進車輛駕駛協(xié)同系統(tǒng)?！?】為方便管理相關信息以及提供相應的保護，以數(shù)據(jù)內(nèi)容及用途劃分可以將車輛網(wǎng)相關數(shù)據(jù)分為用戶身份數(shù)據(jù)，車聯(lián)網(wǎng)信息服務用戶數(shù)據(jù)和服務內(nèi)容信息，以及用戶服務數(shù)據(jù)。

　　用戶身份數(shù)據(jù)指車聯(lián)網(wǎng)信息服務活動過程中與用戶自然人身份和標識信息、用戶虛擬身份和鑒權信息密切相關的用戶個人信息。車聯(lián)網(wǎng)信息服務用戶數(shù)據(jù)和服務內(nèi)容信息主要指車聯(lián)網(wǎng)信息服務過程中用戶服務內(nèi)容信息和用戶資料信息。用戶服務相關信息指車聯(lián)網(wǎng)信息服務過程中用戶服務使用信息、用戶車輛基本標識信息和用戶設備、系統(tǒng)和平臺信息。

　　基于用戶個人信息的敏感程度和發(fā)生風險事件后危害程度的敏感性等級劃分，對于個人信息跨境傳輸更具有實踐性意義。由國家網(wǎng)信辦發(fā)布的《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》以及工信部發(fā)布的《車聯(lián)網(wǎng)信息服務用戶個人信息保護要求》均以敏感等級為標準，將個人信息劃分為個人敏感信息、個人重要信息以及個人一般信息。個人信息的敏感等級主要以發(fā)生個人信息泄漏等安全事件后對于個人所造成的影響為基礎進行劃分，價值考量因素包括人身財產(chǎn)、個人名譽、身心健康以及歧視性待遇等。

　　二、歐盟與中國個人信息跨境傳輸法律機制

　　《通用數(shù)據(jù)保護條例》為歐盟確立了一系列較為成熟的個人信息跨境傳輸機制，我國2022年7月頒布的《數(shù)據(jù)出境安全評估辦法》所進一步明確的個人信息出境路徑與之亦有共通之處。同時，基于目前我國車企出海戰(zhàn)略目標也以歐盟地區(qū)為主要支撐點，下文主要介紹歐盟與中國的個人信息跨境傳輸法律機制。

　　（一）以“適當性評估”為核心的歐盟個人數(shù)據(jù)跨境流通的混合模式

　　歐洲個人數(shù)據(jù)跨境流動之法律規(guī)制經(jīng)歷了較長的探索期，直至《通用數(shù)據(jù)保護條例》才構建起以“充分平等保護（Adequate Level of Protection）”為原則，以“適當性評估（Adequacy Decision）”為核心，以“適當性保護措施”、“特殊情形”以及“國際雙邊/多邊協(xié)議”為補充的個人數(shù)據(jù)跨境流通的混合模式。

　　適當性評估模式是歐盟數(shù)據(jù)跨境流通的基本模式，即只有當?shù)谌龂膫€人數(shù)據(jù)保護滿足充分保護水平的要求時，成員國才能將個人數(shù)據(jù)跨境轉(zhuǎn)移到第三國。由歐盟委員會基于多種因素考量第三國是否能夠滿足適當保護水平的要求，包括法治、人權以及基本自由，數(shù)據(jù)保護相關立法及實施，司法救濟途徑，公共機構訪問個人數(shù)據(jù)的規(guī)則等?！?】

　　適當性評估模式相當于經(jīng)過歐盟認證的“白名單”，但是認證的過程繁瑣復雜，可操作性較差，實施至今僅12個國家或地區(qū)通過認證，中國并未在其中之列?！?】而適當性保護措施作為適當性評估模式的重要補充手段則具有較強的靈活性，標準合同條款（SCC）以及約束性企業(yè)規(guī)則（BCRs）對于企業(yè)等法人主體的可實施性更高。

　　數(shù)據(jù)保護標準合同條款（SCC）是從歐洲經(jīng)濟區(qū)（EEA）向區(qū)域外未達到“充分保護水平”的第三國或組織跨境傳輸數(shù)據(jù)時使用的標準合同文本，通過合約的形式約束數(shù)據(jù)輸出者和數(shù)據(jù)輸入者以確保個人數(shù)據(jù)獲得充分的保護。歐盟委員會負責制定條款內(nèi)容，主要包括數(shù)據(jù)輸出者和數(shù)據(jù)輸入者的義務，第三方受益人權利條款，以及責任分擔條款?！?】

　　SCC模式擴大了指令的適用范圍，讓數(shù)據(jù)輸入者在未達到“充分保護水平”的第三國也需要遵守GDPR的要求來保護個人數(shù)據(jù)。但SCC要求每一次個人信息傳輸均需成立合同，因此難以適用于大量的數(shù)據(jù)傳輸。海量而重復的文件給合同主體造成了較重合規(guī)負擔，而約束性企業(yè)規(guī)則（BCRs）對于集團內(nèi)部而言，則可很好地彌補這一缺陷。

　　約束性企業(yè)規(guī)則（BCRs）是適當性評估模式的重要補充，其本質(zhì)是企業(yè)按照歐盟要求制定的，適用于跨國企業(yè)內(nèi)部的有關個人數(shù)據(jù)跨境流動的自律性規(guī)則。跨國公司、集團公司如果具備歐盟成員國數(shù)據(jù)管理機構認可的約束性企業(yè)規(guī)則，則可以直接進行集團內(nèi)部的數(shù)據(jù)跨境傳輸，無需另行批準。

　　約束性企業(yè)規(guī)則可以簡單地理解為適用于跨國企業(yè)的“白名單”，當歐盟行政機關對整個企業(yè)內(nèi)部的數(shù)據(jù)跨境流通合規(guī)框架審查合格之后，企業(yè)內(nèi)部的數(shù)據(jù)流通將不再受限。應當注意的是，這些個人數(shù)據(jù)跨境流通僅限于經(jīng)過審查的企業(yè)內(nèi)部的數(shù)據(jù)傳輸，該公司將個人數(shù)據(jù)傳輸至其他主體時不得適用BCRs模式，即便是同樣經(jīng)過BCRs審查的獨立主體之間也不得適用此條款。

　　需要強調(diào)的是，《通用數(shù)據(jù)保護條例》并未對跨境傳輸?shù)膫€人數(shù)據(jù)劃分類別從而區(qū)分對待，因此任何類型的個人數(shù)據(jù)跨境傳輸時均需遵循上述合規(guī)路徑之一。現(xiàn)階段，因中國與歐盟適當性評估標準不一致以及國際雙邊協(xié)約的缺失，對于我國出海車企而言，標準合同條款以及約束性企業(yè)規(guī)則是企業(yè)將歐盟境內(nèi)的個人數(shù)據(jù)傳輸至中國或第三國的合規(guī)路徑。企業(yè)可以根據(jù)自身業(yè)務需求，合理選擇相適應的傳輸方式。

　　（二）中國個人信息跨境傳輸?shù)摹叭舐窂健?/strong>