簡析汽車數據出境監管新規（中國大陸）

隨著中國智能網聯汽車全球市場份額的持續擴大，數據跨境流動的合規壓力陡增。2025年6月13日，工業和信息化部等八部門聯合發布了《汽車數據出境安全指引（2025版）（徵求意見稿）》（下稱“《指引》”）。這一文件的出臺標志著我國在汽車數據跨境流動監管領域邁入精細化治理新階段，爲快速發展的智能網聯汽車産業提供了明確的合規框架。

從法律層級來看，《指引》屬行政規範性文件，其主要功能在於支撑《中華人民共和國網絡安全法》《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》等上位法中關於重要數據保護和數據出境的具體要求，爲汽車行業提供實操性規則。《指引》的適用範圍較目前實施的《汽車數據安全管理若干規定（試行）》有明顯的擴張。在主體方面，除傳統的汽車製造商、零部件供應商、經銷商、維修機構外，首次明確將“電信運營企業、自動駕駛服務商、平臺運營企業”納入規制範圍。需提請相關企業注意的是，適用主體的核心判斷標準在於其處理的數據類型是否屬汽車數據，而非機械的形式判斷。

此外，在行爲認定方面，《指引》明確三類行爲構成數據出境：(1)將在境內運營中收集和産生的汽車數據傳輸至境外；(2)數據存儲在境內，但境外機構、組織或個人可查詢、調取、下載、導出；(3)在境外處理境內自然人個人信息。這一定義延續了我國數據出境管理的一貫思路。另就《指引》的重點內容歸納如下，以供相關企業參考。

一、明確合規路徑、創新豁免機制

《指引》構建了層次分明的數據出境合規框架，根據不同數據類型和風險等級設定差異化合規義務，形成了“安全評估爲底線、標準合同/認證爲中軸、豁免場景爲例外”的三級管理體系。

（一）强制安全評估情形

根據《指引》，汽車數據處理者在以下四種情形必須申報數據出境安全評估：（1）向境外提供重要數據；（2）自當年1月1日起累計向境外提供100萬人以上個人信息（不含敏感個人信息）；（3）自當年1月1日起累計向境外提供1萬人以上敏感個人信息；（4）關鍵信息基礎設施運營者向境外提供個人信息。值得注意的是，《指引》將個人信息出境的量化標準與《促進和規範數據跨境流動規定》（下稱“《322規定》”）保持一致，將廢止此前《汽車數據安全管理若干規定（試行）》中“10萬人個人信息即構成重要數據”的爭議性規定，解决了行業長期面臨的合規困境。這一調整顯著降低了非重要數據類個人信息出境的合規成本，體現了監管的精准化和科學化趨勢。

（二）標準合同與認證路徑

對於不涉及重要數據的個人信息出境，《指引》設置了彈性化合規路徑。符合以下情形之一的汽車數據處理者可選擇訂立標準合同或通過個人信息保護認證： (1)自當年1月1日起累計向境外提供10萬人以上、不滿100萬人個人信息（不含敏感個人信息）；(2)自當年1月1日起累計向境外提供不滿1萬人敏感個人信息。該路徑設計延續了《322規定》的基本框架，但特別明確“跨境購車、跨境寄遞、跨境注册賬戶”等場景屬“爲訂立、履行個人作爲一方當事人的合同確需向境外提供個人信息”的情形，爲企業高頻業務活動提供明確指引。

（三）創新豁免機制

《指引》最大的制度創新在於系統整合並擴展了豁免場景，形成九類免於申報數據出境安全評估、訂立標準合同或通過認證的情形：其中六類與《322規定》大致相符， 後三類（7-9項）是《指引》新增的汽車行業特殊豁免場景，這些豁免以前置行政程序（報告或備案）爲前提，避免了重複監管，降低了企業的合規成本。

二、重要數據的場景化識別創新

《指引》最重大的突破在於采用業務場景分類法重構了汽車重要數據的識別體系，將抽象的法定概念轉化爲具體行業場景下的可操作性規則，覆蓋研發設計、生産製造、駕駛自動化、軟件升級服務、聯網運行以及其他情形六大領域。以研發設計場景爲例，在傳統觀念中，研發數據因不直接涉及終端用戶常被忽視。《指引》基於國家安全與技術保護視角，將以下數據納入重要數據範疇：（1）産品研發數據：涉及國家重大專項、重點研發計劃的物料清單、研發設計文檔、産品技術開發源代碼；（2）産品測試數據：實際道路測試中收集的標注場景數據、仿真場景數據（特別是包含敏感區域地理信息的內容）。這一規定直接影響車企的全球協同研發模式，要求企業在跨境傳輸研發數據時進行嚴格篩查和風險評估。例如，某跨國車企中國研發中心向總部傳輸某型號自動駕駛汽車的測試視頻時，若視頻中包含軍事管理區周邊道路環境，即使已進行模糊化處理，仍需根據《指引》評估是否達到重要數據標準。

三、全流程合規義務體系

《指引》超越單純的數據分類要求，構建了覆蓋數據出境全流程合規義務體系，强調“技術+管理”雙軌並行的治理思路。

企業需建立自上而下的合規管理架構：明確數據出境安全負責人，對數據出境活動及保護措施進行監督並擔責；設立專門管理部門統籌協調數據出境合規工作；建立內部登記審批機制，設定審批權限和流程，對審批材料存檔備查。值得注意的是，《指引》鼓勵集團化申報模式：境內多家子公司如同屬一家集團公司且數據出境業務場景相似，可由集團公司作爲申報主體合並申報。這一規定顯著降低了跨國車企的合規成本，避免了多頭申報的繁瑣程序。

在防護技術層面，《指引》擬要求汽車數據處理者采用校驗技術、密碼技術、安全傳輸通道或協議，確保數據出境過程中的保密性和完整性，且對數據出境傳輸行爲進行實時監測，形成安全日志並留存。汽車數據出境相關系統需具備對境外接收方進行身份鑒權的能力，確保其身份真實性。《指引》設置了嚴格的日志管理規範，構建數據出境的可追溯體系。這些要求對企業IT系統提出了實質性改造需求，特別是“全量留存”與“抽樣留存”的雙軌制設計，兼顧了監管效率與企業負擔的平衡。

此外，《指引》要求企業建立汽車數據違規出境應急處置機制，發現异常行爲時及時處置，並按規定向行業監管部門報告。這一規定亦與《網絡産品安全漏洞管理規定》《網絡安全事件應急預案》等既有規範相互銜接。

毋庸置疑，《指引》的實施將對中國汽車産業全球化布局産生深遠的影響。建議相關企業認真研究《指引》內容，打破傳統的合規思維，從“被動響應”轉向“主動治理”，將數據出境合規的要求融入到産品設計、研發測試、生産製造和全球服務全鏈條中。