智能网联汽车行业数据安全合规白皮书

智能网联汽车数据安全合规白皮书 路特斯科技与普华永道联合发布 声明 •本白皮书由普华永道商务咨询（上海）有限公司和武汉路特斯科技科技有限公司（以下简称“路特斯科技”）分别撰写。普华永道系指普华永道网络及/或普华永道网络中各自独立的成员机构。详情请进入www.pwc.com/structure。普华永道商务咨询（上海）有限公司负责第一章、第二章和第四章内容，该部分内容从智能网联汽车行业角度出发，结合各国法律法规要求，阐述数据安全合规要求及行业展望；路特斯科技负责第三章内容，该部分从路特斯科技自身实践出发，阐述路特斯科技数据安全合规实践。文中所有文字、数据、图片、表格，均受中华人民共和国著作权法和其它法律法规保护。未经普华永道和路特斯科技书面许可，任何机构和个人不得基于任何商业目的使用本文中的信息（包含本文全部或部分内容）。如果任何机构和个人因非商业、非盈利、非广告的目的需要引用本文中内容，需要注明”转载自普华永道商务咨询（上海）有限公司和武汉路特斯科技有限公司联合发布的《智能网联汽车数据安全合规白皮书》“。 •本文的信息来源于本次白皮书撰写所收集的数据及公开的资料，对于信息的完整性、准确性和可靠性不做任何保证，在不同时期可能会得出与本文不一致的观点。 •本文仅供一般参考使用，不构成具体事项和咨询意见，普华永道商务咨询（上海）有限公司不对本文内容承担审慎责任，并且未就本白皮书内容做出任何明示或暗示保证。普华永道商务咨询（上海）有限公司不就本文内容向任何人士承担责任或义务，也不向任何人士承担因本白皮书引起的或与白皮书有关的任何责任或义务。读者不应依赖本文内容做出任何投资或其他商业决定。如需具体意见，请咨询专业顾问。 •本文中由路特斯科技负责撰写的内容陈述了路特斯科技在发布日期的服务及实践，该部分内容均依据路特斯科技现状提供，不包含任何明示或暗示的保证。该部分信息后续如有变化不会做另行通知，读者对于该部分信息及路特斯科技产品或服务应自己做出独立判断。本部分内容不构成路特斯科技与读者之间的任何协议组成部分，也不构成对任何协议的修改。 2 智能网联汽车数据安全合规白皮书 目录 第一章概述4 1.1智能网联汽车数据安全合规行业背景5 1.2各国法律法规和行业规范6 第二章智能网联汽车数据安全合规要求及建议9 2.1智能网联汽车数据分类分级10 2.2智能网联汽车数据生命周期合规要求分析12 2.3主要市场的数据跨境合规事项14 2.4智能网联汽车数据安全合规实践整体建议15 第三章路特斯科技数据安全合规实践17 3.1战略与愿景18 3.1.1数据安全与隐私保护战略愿景概述18 3.1.2面向用户的隐私保护承诺19 3.1.3已获得的第三方认证及说明20 3.2数据安全与隐私保护合规实践21 3.2.1数据安全与隐私保护治理框架21 3.2.2数据安全与隐私保护管理体系建设实践22 3.2.3数据分类分级实践24 3.2.4数据全生命周期安全管理实践26 3.2.5隐私保护影响评估实践28 3.2.6默认隐私设计（PbD)29 3.2.7用户数据主体权利（DSR）保障实践30 3.2.8路特斯科技全球化数据架构实践31 3.2.9路特斯科技数据跨境传输合规实践32 3.2.10智能网联汽车隐私保护实践33 3.2.11其他实践活动37 第四章未来发展趋势展望38 第一章 概述 本章围绕智能网联汽车的行业背景及监管体系，介绍了中国、欧盟、美国、英国及国际组织近年来发布的智能网联汽车行业相关的数据安全合规要求。 1.1智能网联汽车数据安全合规行业背景 随着车联网及人工智能技术的日益成熟及商业化，智能网联汽车（IntelligentConnectedVehicle,简称“ICV”）应运而生。智能网联汽车兼具智能与联网的特性，通过V2X（VehicletoEverything）通信技术实现了车辆与车辆、人、道路交通设施、云之间的成熟交互。智能网联汽车不仅能进行数据交互和信息共享，优化驾驶路径并降低交通事故发生的风险，还能实现通过传感设备进行自动驾驶等功能，提供个性化的用户体验，引发对未来驾驶方式的展望。 近年来，汽车企业和互联网企业蓬勃发展，加速了车联网、自动驾驶、互联网地图、智能交通技术的升级与革新，世界各国家地区政府对智能网联汽车的大力支持和消费者对出行方式的需求转变，推动了智能网联汽车的研发、生产与普及，商用场景正在不断增加。 为提供更好的用户体验，智能网联汽车及其后台支持系统每时每刻都在处理海量数 据，包括车辆运行数据、路况信息、位置信息、车载应用操作信息等。 对于这些数据信息，如果没有严格的数据安全合规管控措施，处理这些数据极易造成安全合规隐患，对国家、公共安全、企业经营、个人隐私等产生影响。 因此，智能网联汽车的数据安全合规在数据生命周期中至关重要，数据安全合规也 成为智能网联汽车产业健康发展的重要基础。 随着监管与消费者对数据安全和隐私保护关注程度的提升，全球各国家与地区对于数据安全的法律法规相继出台，针对智能网联汽车的行业规范也在逐步完善。 1.2各国法律法规和行业规范 2021年10月1日 《汽车数据安全管理若干规定 （试行）》生效 •提出了对智能网联汽车数据应进行分类分级的要求，需要区分个人信息、座舱数据、车外数据、位置轨迹数据等数据类型，并应相应地配置安全保护措施 •提出了每年应进行风险评估和数据安全管理情况的常态化报送，形成数据安全保障体系 2020年10月1日 YD/T3746—2020《车联网信息服务用户个人信息保护要求》、YD/T3751-2020《车联网信息服务数据安全技术要求》、 YD/T3752-2020《车联网信息服务平台安全防护技术要求》生效 •发挥了国家标准在智能网联汽车产业生态环境构建中的引领作用，完善了行业数据安全标准规范 •从数据传输的保密性、数据加密、数据访问规则、动态脱敏、数据销毁等方面，提出层层保护用户数据，保护用户的知情权和选择权，保障智能网联汽车加快创新和安全应用的要求 中国出台了各项法律法规标准要求，建立数据安全法律保障体系屏障，针对智能网联汽车的数据安全行业规范也在不断完善与深化。 2017年6月1日《网络安全法》生效 2021年8月24日《智能网联汽车数据通用要求（征求意见稿）》发布 2021年9月1日《数据安全法》生效2021年11月1日《个人信息保护法》生效•确立了“告知-知情-同意”的个人信息处理规则•对处理敏感个人信息进行了要求•强调了掌握海量用户数据后，互联网平台的“守门人”责任 2022年9月1日《数据出境安全评估办法》生效 •要求企业在开展数据出境活动前申报 并通过数据出境安全评估 •对数据出境数量的判断情形作了明确的定义 2023年5月1日 GB/T41871-2022《信息安全技术汽车数据处理安全要求》生效 2022年9月1日 《数据出境安全评估申报指南 （第一版）》生效 图1-中国智能网联汽车数据安全相关重点法律法规和行业规范 放眼全球，为强化智能网联汽车数据安全，保障数据安全和用户隐私，世界各国家 2013年（2022年更新）ISO/IEC27001信息安全管理体系发布 与地区也同时在不断强化数据安全合规管理相应的法律法规和行业规范要求。 2014年（2019年更新） ISO/IEC27018公有云个人可识别信 息保护认证发布 2017年8月6日 《联网和自动驾驶车辆网络安全重要原则》发布 •提出保障数据存储和传输安全可控等在内的八大原则 •强调数据安全问题应纳入汽车生命周期 2017年9月7日 H.R.3388《自动驾驶法案》提出 •自动驾驶车辆厂商制定网络安全政策 •要求车辆厂商建立监控、测试和保护关键控制系统的安全机制 2018年5月23日 《2018数据保护法案》颁布 •采用了大量GDPR的核心理念 •提出故意或过失识别出已去识别化的个人数据会构成新的刑事犯罪 2019年8月 ISO/IEC27701隐私信息管理体系发布 2020年1月1日 《加州消费者隐私法案》（CCPA） 生效 •强调加州消费者提供各种与个人信息相关的权利，包括访问权、删除权等 2022年6月21日 《美国数据隐私和保护法案》发布 •在隐私政策中要求披露收集的数据类型、处理目的、与第三方共享数据的情况 2018年5月25日 《通用数据保护条例》(GDPR)生效 •定义了个人数据和特殊类别的个人数据 •提出了个人数据处理需遵循的透明性、数据最小化、完整性与保密性等原则 2021年1月12日 《现代车辆安全性的网络安全最佳实践》发布 •从整个汽车行业的角度给出了45个 重要的原则 •对网络安全问题提供了解决方案和实践指南 2021年4月13日 2021年3月9日 《车联网个人数据保护指南v2.0》 生效 •将GDPR应用于联网车辆中涉及处理个人数据的场景 •设定了针对网联汽车数据的基本性保护规则 •对数据出境进行了规定 《自动与电动汽车法案》生效 •明确了充电点相关的数据传输等规则 2021年6月28日 《网络安全法案》生效 •规定个人信息保护要求 2021年8月31日 ISO/SAE21434:2021《道路车 辆-信息安全工程》发布 2022年7月6日 《网络安全管理系统》(UNR155) 《软件更新管理系统》(UNR156) 生效 •由联合国世界车辆法律协调论坛 （WP.29）发布的全球第一个汽车信息安全强制性法规 •R155要求汽车制造商在车辆生命周期的各阶段制定网络安全管理流程 •R156是关于软件更新和软件升级管 2023年1月1日 《加利福尼亚隐私权法案》 （CPRA,CCPA修正版）生效 理体系车辆审批的统一规定 •在欧盟汽车组提交的修订案中，UNR155和UNR156共同成为防护车辆网络攻击的技术法规 图2-海外各国家与地区智能网联汽车数据安全相关重点法律法规和行业规范 世界各地对智能网联汽车数据安全合规领域均提出了采取适当的技术和组织措施来保护数据的机密性、完整性和可用性，保护个人信息，以及在适当的情况下获得消费者同意的要求。但在不同的国家和地区，具体的要求内容存在差异： 个人信息分类： 欧盟强调个人数据的特殊类别，在GDPR中有明确的定义，而美国对敏感个人信息的定义因法律法规不同而有差异。 汽车数据安全： 中国出台行业规范，英美提出原则和最佳实践，欧盟重点关注该场景下的个人信息保护，后续可能在联合国世界车辆法规协调论坛（WP.29）对不同系统继续发布安全合规要求。 智能网联汽车生态伙伴需在满足行业通用标准的基础上，在各地区经营时，遵守当地相关法律法规和行业规范。 第二章 智能网联汽车数据安全合规要求及建议 本章依据行业规范及要求，梳理了智能网联汽车数据分类分级、数据生命周期的安全合规要求，并对智能网联汽车数据安全合规实践提出建议。 2.1智能网联汽车数据分类分级 数据是驱动智能网联汽车发展的重要资产，合理的数据分类分级是妥善管理数据的基础，也是海量数据处理的基础。为实现智能网联汽车数据在数据生命周期的安全治理，应根据科学合理、客观明确的原则对相关数据进行分类分级。本白皮书将依据已发布的行业规范要求，从个人信息和车辆数据角度对智能网联车数据的安全合规要求展开分析。 个人信息 •个人基本信息 •个人生物识别信息 •个人虚拟身份和鉴权信息 •个人位置信息 •交通出行信息 •车载应用浏览记录 •车载应用联系人信息 •个人常用设备信息 •订购注册注销信息 •个人终端、云存储资料数据 •车辆基本标识信息 •… 车辆数据 •车辆基础属性数据 •车辆网服务平台基础属性数据 •车辆静态工况类数据 •车辆运行工况类数据 •车联网移动终端应用软件基础属性数据 •驾驶员操作数据 •远程监测、操作数据 •系统决策数据 •预测规划数据 •车辆外部环境感知数据 •其他数据* *在智能网联车话题下，依据《智能网联汽车数据通用要求（征求意见稿）》和《车联网信息