關于汽車數據處理4項安全要求檢測情況的通報
（第一批）
發(fā)布時間：2024-04-28 來源：中汽協會技術部
為規(guī)范汽車數據處理活動，保障用戶合法權益，鼓勵頭部汽車制造商發(fā)揮標桿作用，推動形成全社會共同維護汽車數據安全和促進汽車行業(yè)發(fā)展的良好環(huán)境，中國汽車工業(yè)協會、國家計算機網絡應急技術處理協調中心依據《汽車數據安全管理若干規(guī)定（試行）》、GB/T 41871-2022《信息安全技術 汽車數據處理安全要求》等法規(guī)標準有關規(guī)定，按照企業(yè)自愿送檢原則，2023年11月起組織對汽車制造商2022-2023年度新上市智能網聯汽車數據安全合規(guī)情況（車外人臉信息等匿名化處理、默認不收集座艙數據、座艙數據車內處理、處理個人信息顯著告知等4項合規(guī)要求）進行檢測，其中比亞迪、理想、路特斯、合眾新能源、特斯拉、蔚來等6家企業(yè)的76款車型符合汽車數據安全4項合規(guī)要求。具體汽車車型名單如下：
附件：檢測標準與方法
中國汽車工業(yè)協會
國家計算機網絡應急技術處理協調中心
2024 年 4 月 28 日
附件
檢測標準與方法
本次檢測根據《汽車數據安全管理若干規(guī)定（試行）》有關要求，按照 GB/T 41871-2022《信息安全技術 汽車數據處理安全要求》和 T/CAAMTB 77-2022《汽車傳輸視頻及圖像脫敏技術要求與方法》相關技術標準，并參考《汽車數據通用要求（報批稿）》附錄 C 組織實施。
一、檢測對象
截至 2023 年 11 月 15 日前，按照《關于開展汽車數據安全合規(guī)工作的通知》（中汽協函字【2023】243 號），汽車制造商自愿向中國汽車工業(yè)協會送檢的 2022-2023 年度新上市智能網聯汽車。
二、檢測標準
檢測采用相同的測試要求、測試環(huán)境、技術標準和測試流程，包括車外人臉信息等匿名化處理、默認不收集座艙數據、座艙數據車內處理以及處理個人信息顯著告知 4 項要求。
檢測標準如下：
1.車外人臉信息等匿名化處理要求
a.車外數據未完成匿名化處理前，不應向車外提供；
b.車端匿名化處理的視頻、圖像中的人臉目標和汽車號牌目標的匿名化檢出率均應大于等于 90%。
2.默認不收集座艙數據要求
a.除非駕駛人自主設定，汽車應默認設定為不收集座艙數據的狀態(tài)，當駕駛人通過實體按鍵或觸摸按鍵等方式主動選擇后才能開始收集，汽車可根據駕駛人設定，保持駕駛人選擇的狀態(tài)或恢復默認狀態(tài)；
b.應提供便利的終止收集座艙數據的方式；
c.應對每項敏感個人信息取得個人信息主體單獨同意；
d.處理敏感個人信息的同意期限不應設置為“始終允許”或“永久”。
3.座艙數據車內處理要求
除實現語音識別、遠程查看車內情況、云存儲功能以及依據相關規(guī)定向監(jiān)管或執(zhí)法機構傳輸數據的情形外，汽車不應向車外提供座艙數據；
4.處理個人信息的顯著告知要求
汽車數據處理者處理個人信息應當通過用戶手冊、車載顯示面板、語音、汽車使用相關應用程序等顯著方式，告知個人以下事項：
a.處理個人信息的種類；
b.收集各類個人信息的具體情境以及停止收集的方式和途徑；
c.處理各類個人信息的目的、用途、方式；
d.個人信息保存地點、保存期限，或者確定保存地點、保存期限的規(guī)則；
e.查閱、復制其個人信息以及刪除車內、請求刪除已經提供給車外的個人信息的方式和途徑；
f.用戶權益事務聯系人的姓名和聯系方式。
三、檢測方法
針對不同車型（區(qū)分年款）的各項數據處理功能，在相同的標準下進行 4 項合規(guī)要求的檢測，并根據相關功能的技術特點采取不同的檢測方法。具體包括：
1.車外人臉信息等匿名化處理的檢測方法：由技術人員從車端進行數據采樣，并進行匿名化效果分析和數據統計；
2.默認不收集座艙數據的檢測方法：在車內進行各項座艙數據收集功能的符合性確認；
3.座艙數據車內處理的檢測方法：在車端進行車輛對外通信數據的抓取和分析；
4.個人信息顯著告知的檢測方法：在企業(yè)官方網站、車載應用程序或移動通信終端應用程序上進行《用戶隱私協議》的符合性確認。
