奇瑞出海数据合规白皮书出海车企的数据合规：先排查，再建体系，跨境按场景管
1先做四项排查，再建制度、团队、流程三项机制（第6–7页）
280余份制度、100余名合规人员、10万余人次培训（第7页）
350余国调研、约70个跨境场景（第8页）
50余个奇瑞完成数据合规调研的国家奇瑞自述 p.8
约70个跨境传输场景库按各国业务场景组合去重 p.8
80+数据合规制度文件奇瑞自述 p.7
60日越南跨境影响评估备案时限向公安部报备副本 p.20
老板之问
- 出海车企的数据合规到底从哪里下手？
- 先排查四类风险：车型功能、海外IT系统、海外业务、数据跨境。 p.6
- 一家整车企业的合规班子要多大？
- 奇瑞自述有80余份制度、100余名合规人员、累计培训超10万人次。 p.7
- 数据跨境传输怎么管？
- 用七步法，并建约70个跨境场景库，按国家逐场景定措施。 p.13
- 没有白名单的国家，数据怎么合规出境？
- 报告建议优先用白名单和标准合同条款，“公共利益”类豁免标准模糊，不建议首选。 p.22
- 越南的跨境数据要办什么手续？
- 跨境前做影响评估，60日内向公安部报备副本，跨境后书面报告。 p.20
对德国、瑞士和欧洲的含义
欧盟以GDPR为核心，跨境三条路径：白名单（充分性认定，含日本、韩国、瑞士、英国，美国仅限通过数据隐私框架认证的公司，p17）、适当保障措施（SCC、BCRs等）、豁免。奇瑞把欧洲作为数据合规的“桥头堡”。报告没有单独写德国或瑞士，也没有罚款案例。
奇瑞自述：数据合规先排查后建体系，跨境按场景逐国管
核心观点
这是车企的自述，不是法规解读奇瑞与普华永道2024年联合发布。奇瑞自2023年起以欧洲为起点搭建体系，自述80余份制度、100余名合规人员（p7）。成效数字没有第三方审计。
做法分三步：排查、建体系、向全球推广先做四项风险排查（p6），再建制度、团队、流程融合三项机制（p7），最后推广到50余个国家的跨境策略和产业链（p8）。
跨境是最重的一块，用场景库加七步法管报告称数据跨境违规处罚在各类处罚中金额最高（p4）。奇瑞形成约70个跨境场景库（p8），坚持“无必要不跨境”（p13）。
对中小企业：思路能借，规模借不了判断奇瑞有专职条线和自研模型（p7，p15），中小企业可借“先排查、再定跨境机制”的顺序。费用和周期原文未给出。
1适用对象：卖智能网联车、收集车主或用户个人信息的出海企业
- 覆盖谁报告对象是出海车企，也写到车型功能、App、官网、小程序、座舱等触点（p10）。判断：卖带联网功能的设备、有用户账号的出口企业，同样会碰到这些要求。
- 覆盖哪些市场附录列出欧盟、英国、阿联酋、沙特、菲律宾、土耳其、新加坡、越南、巴西、墨西哥、澳大利亚、南非（p17–22）。德国和瑞士没有单列。
- 供应商也在范围内奇瑞要求反向检查供应商的数据处理协议和第三方的合规能力（p10）。自述与零部件供应商全部签署了数据合规文件（p6）。
这意味着这意味着：只要产品或服务收集个人信息并跨境传输，就在射程内；不联网的纯机械出口，暴露面小得多。
对你的生意先列出产品里哪些功能、系统、App会收集个人信息，再决定要不要建这套东西。
2具体要求：欧盟之外的国家大多照搬GDPR的三层路径
- 欧盟三层一是白名单（充分性认定），名单含日本、韩国、瑞士、英国，美国仅限通过数据隐私框架认证的公司（p17）。二是适当保障措施，主要是标准合同条款（SCC）和约束性公司规则。三是豁免，如数据主体同意（p17）。
- 英国与中东英国GDPR以欧盟为基础，保障措施包括英国版SCC，即《国际数据传输协议》（p18）。阿联酋和沙特目前没有官方白名单（p19）。
- 东南亚与其他菲律宾可用东盟标准合同条款，该条款非强制（p19）。巴西尚未发布充分性决定（p21）。墨西哥没有标准合同条款和白名单机制（p21）。
- 选哪条路报告建议优先考虑白名单和标准合同条款；“公共利益”等豁免因标准模糊，不建议作首选（p22）。
这意味着这意味着：一套以SCC为主的合同模板能覆盖多数国家，但墨西哥、越南等需要单独处理。
对你的生意先让律师备一份可复用的SCC类模板，再逐国确认当地是否另有备案或同意要求。
3流程、费用、时限：报告给了流程，没有给费用
- 奇瑞的跨境七步洞察法规、梳理传输、评估各国实质等同、明确合规机制、补充措施、程序步骤、持续监测（p13）。
- 场景库怎么建记录存储位置、传输对象、目的、数据类型、数据量、跨境原因和境外接收方（p13）。奇瑞已调研50余个国家，形成约70个场景（p8）。
- 越南的硬时限跨境前做影响评估，60日内向公安部报备副本，跨境后书面报告传输详情（p20）。
- 费用与周期报告只说奇瑞“过去两年”完成从无到有（p6）。预算、人员成本、外部律所费用原文未给出。
这意味着这意味着：流程可以抄，成本只能自己估；原文没有可对标的价格。
对你的生意先做一张表，列出每个出海国家、传哪些数据、传给谁、依据哪条路径，这是后面一切动作的底稿。
4罚则和执法：只有概述，没有案例和金额
- 处罚形式营业额百分比和高额固定金额是最常见的罚款形式（p4）。处罚覆盖透明度、用户权利、数据跨境等方向。
- 欧盟累计报告称仅欧盟已累计处罚超53亿欧元，数据跨境违规处罚金额最高（p4）。该数字原文未注明出处和截止时间。
- 违规类型欧盟已有因违规跨境传输被高额处罚的先例，违规内容包括未签署SCC、未尽数据安全责任（p17）。
- 越南的叫停跨境数据被用于损害越南国家利益、评估档案未更新、公民数据泄露或丢失，三种情形下公安部可要求停止跨境（p20）。
这意味着这意味着：最直接的罚点是没签SCC和没做评估，这两项成本低、能先补。
对你的生意先查已有的海外客户、经销商、云服务商是否都签了数据处理协议和SCC。
5企业该怎么做：按奇瑞的顺序，分五步
- 1 先排查四类风险出海车型功能、海外IT系统、海外业务流程、数据跨境场景（p6）。排查中要动员从一线到后台的业务方（p6）。
- 2 定制度和人依据ISO27701和ISO9000建集团制度，成立合规委员会和专职条线（p7）。
- 3 把合规嵌进流程在车型、IT、业务流程里设“控制点”“过阀点”，并建监督检查（p7）。
- 4 管好供应链对上游靠培训和协议，对下游靠研讨和案例共享（p8）。
- 5 车辆侧技术手段推广“数据不出车”“动态数据权限管控”“动态脱敏”（p8）。
这意味着这意味着：顺序是先摸清再建制度，不是先买工具；奇瑞自己的顺序也是先排查后建设。
对你的生意先做第1步，把结果交给律师，再决定第2–5步做到什么程度。
6分企业类型的建议
- 年出口额数千万元、产品带App或联网功能、卖往欧盟或英国的中小硬件企业1）盘点产品收集哪些个人信息，列清楚App、官网、云服务、售后系统（p10）；2）列出传给哪些境外接收方，建一张简化的跨境场景表（p13）；3）找欧盟律师确认SCC和告知义务，与云服务商、经销商补签数据处理协议（p22）；4）做一次跨境影响评估（p22）。
- 投入与周期
- 原文未给出，向2–3家律所询价
- 做成的信号
- 每个跨境场景都有对应路径、协议和告知文本；用户查询或删除请求能在期限内响应。
- 该止损的信号
- 收到监管问询而没有场景表和协议；或合规成本超过该市场利润时，评估暂缓该市场。
- 有海外子公司、数据量较大的中型企业仿奇瑞设数据合规负责人和各业务接口人，制度参考ISO27701（p7）；按国家排队，先欧盟、英国，再中东和东南亚（p17–19）。
- 投入与周期
- 奇瑞核心团队10余人、集团条线90余人（p7），中型企业需缩减；金额原文未给出
- 做成的信号
- 主要市场的场景库和措施库建成，新增国家可套用。
- 该止损的信号
- 制度写完但业务流程没有控制点时，说明只是文件合规，需重做。
- 在越南有业务或计划进入的企业跨境前做影响评估，60日内向越南公安部报备（p20）；跨境后书面报告（p20）；档案要补充更新（p20）。
- 投入与周期
- 原文未给出
- 做成的信号
- 公安部未要求停止跨境。
- 该止损的信号
- 出现数据泄露或丢失事件，先停止相关跨境并找当地律师。
7风险与应对
| 风险 | 触发条件 | 影响 | 应对 | 提前能看到的信号 |
|---|---|---|---|---|
| 跨境传输无合法路径 | 未签SCC，或对接国无白名单也无替代机制 | 高 | 补签SCC或合同保障，做跨境影响评估（p22）。 | 监管问询；客户索要数据处理协议。 |
| 供应商或合作方数据外泄 | 第三方协议不全或能力不足 | 高 | 反向检查数据处理协议和合规能力（p10）。 | 供应商无法提供协议或审计材料。 |
| 规则变更导致旧方案失效 | 巴西等国正式发布跨境条例或SCC范本（p21） | 中 | 设持续监测岗，定期自评估（p13）。 | 当地监管机构发布草案或征求意见。 |
| 合规停留在文件层面 | 制度未嵌入研发和业务流程 | 中 | 设控制点，做逆向纠错检查（p7）。 | 整改项反复出现；培训了但流程没改。 |
8哪里存疑
2024年无重大数据违规事件，响应率100%（p6）
为什么存疑 奇瑞自述，未定义“重大”，无第三方审计；联合作者是咨询机构，有推广立场。
不成立的条件 监管发现少不等于合规好；没有被查不能证明体系有效。
数据跨境违规处罚金额最高，欧盟累计超53亿欧元（p4）
为什么存疑 没有出处、统计时点和分类数据，无法核对“跨境最高”。
不成立的条件 若多数大额罚款来自平台和广告业务，车企面临的实际罚款可能小得多。
本地化部署加合规跨境双线治理适合出海车企（p13）
为什么存疑 原文没写哪些国家做了本地化、成本多少，也没有对比只用SCC的效果。
不成立的条件 业务量小、当地无强制本地化要求时，标准合同条款加影响评估可能已够。
9这份报告回答不了的
报告回答不了：合规总投入、律所费用、各国实际罚款案例、德国和瑞士的具体要求。费用向2–3家律所询价；欧盟白名单和各国最新规则去欧盟委员会、EDPB和各国监管机构官网查。
逻辑链：为什么 → 怎么传导 → 所以怎么做
外部压力
各国立法与重罚 p.4约150国立法，欧盟累计罚超53亿欧元
数据跨境成博弈工具 p.4数据主权形成差序格局
智能网联车数据多 p.6销量升带来更大合规压力
企业做法
四项排查 p.6车型、IT系统、业务流程、跨境
三项建设 p.7制度、团队、流程融合
场景库加七步法 p.8约70个场景，逐国定措施
可借鉴的打法
先白名单和SCC p.22豁免类不作首选
嵌入流程 p.7设控制点和过阀点
带动供应商 p.6协议加培训，签署率100%
关键数据图
2024年1–10月中国向主要市场出口汽车数量（万辆）
核心观点
- 数据跨境已从合规要求变成博弈工具，出海车企受影响最深，因此要把跨境单独当一条线管。 p.4依据报告称各国借数据合规法规形成数据主权格局；数字经济规模由11.2万亿元增至53.9万亿元（工信部）。推理数据流动成为全球化的核心动能，各国用规则争夺数据主权。前提趋势判断，未给出具体案例；数字经济规模与企业合规成本之间没有量化联系。
- 严罚已是各国共识，其中数据跨境违规的处罚金额最高、影响最大。 p.4依据全球约150个国家和地区立法；仅欧盟累计处罚超53亿欧元；处罚形式为营业额百分比或高额固定罚款。推理立法普遍，处罚按营业额计，跨境违规处罚最重。前提53亿欧元和150个国家无出处；未分行业，也未给出汽车行业的处罚案例。
- 奇瑞用“先排查、再建体系、后推广”三步，从无到有搭起海外数据合规。 p.6依据2023年起以欧洲为“桥头堡”；四项排查，三项建设（制度、团队、流程），再推广到全球产业链。推理先抓最可能被处罚的领域，再补长期机制，能在资源有限时先控住风险。前提奇瑞自述，起步晚于互联网企业和部分同行；效果数字均为自报。
- 合规要嵌进车型研发和业务流程，设“控制点”和“过阀点”，而不是只靠事后检查。 p.7依据把合规节点与车型、IT、业务流程节点“打和”，并设逆向纠错的监督检查。推理数据在车主买车、用车、售后全链路产生，只有嵌入流程才能覆盖。前提只描述做法，没有给出控制点数量、拦截次数或整改率。
- 数据跨境按“七步法”管理，并以场景库落地，坚持“有需求才跨境、无必要不跨境”。 p.8依据七步：洞察法规、梳理传输、评估实质等同、定机制、补充措施、程序步骤、持续监测；已调研50余国，形成约70个跨境场景。推理把各国要求拆成场景和措施库，新国家只需套用并补差异。前提场景库内容未披露；“实质等同”评估在有政府访问数据风险的国家如何判断，原文未写。
- 合规能力要延伸到上下游：对供应商靠协议和培训，对下游靠研讨和案例共享。 p.6依据与汽车零部件供应商全部签署数据合规文件，保护协议签署率100%。推理车企处于产业链核心，供应商接口是数据泄露的薄弱点。前提100%为自述，只说明协议签署，不等于供应商实际合规。
- 本地化部署加合规跨境传输“双线治理”，对重点国家的网联模块和系统做本地化布局。 p.13依据覆盖海外重点国家和地区；车辆推广“数据不出车”“动态数据权限管控”“动态脱敏”。推理车辆维修、索赔需要数据跨境，无法完全避免，用本地化和技术手段把跨境范围压到最小。前提哪些国家做了本地化、成本多少，原文未披露。
- 各国跨境路径大体仿照欧盟GDPR：白名单、保障措施、豁免三类；选择时应优先白名单和标准合同条款。 p.22依据附录对欧盟、英国、阿联酋、沙特、菲律宾、土耳其、新加坡、越南、巴西、墨西哥、澳大利亚、南非逐国列路径。推理多数国家借鉴GDPR框架，所以同一套“三层”思路可复用；“公共利益”等豁免标准模糊，风险高。前提各国法规概述至2024年，越南、巴西等的规则在更新（巴西草案、越南备案）；越南、墨西哥等例外较多。
可落地的做法
- 先做四项排查：出海车型功能清单、海外IT系统、海外业务流程、数据跨境场景，对标GDPR和EDPB指引 p.6条件：需业务、IT、研发多部门参与；奇瑞排查时动员了从一线到后台的大量业务方；时间和费用原文未给出
- 建三项长期机制：集团制度（参考ISO27701）、专职合规团队与各单位接口、合规与业务流程的控制点 p.7条件：奇瑞设合规委员会、数据合规部和前中后台三层架构；中小企业规模需缩减，岗位配置原文未给
- 用场景库管跨境：记录存储位置、传输对象、目的、数据类型、数据量、境外接收方，并定期自评估 p.13条件：需先完成各国法规调研；奇瑞对外派员工另加跨境专项培训
- 选跨境机制时优先白名单和标准合同条款；公共利益类豁免不作首选；同时做必要性评估、签数据处理协议、告知数据主体、做跨境影响评估 p.22条件：适用于附录所列各国；各国细则需当地律师确认
- 车辆侧推广“数据不出车”“动态数据权限管控”“动态脱敏” p.8条件：需整车电子架构支持；对非车企的智能硬件出口商可借鉴思路
论证成立
- 跨境数据按场景管，分国家定措施 p.8先建场景库再逐国定措施，逻辑可复制；与附录逐国三层路径（白名单、保障措施、豁免）一致。
- 优先白名单与标准合同条款，不以模糊豁免为首选 p.22豁免标准模糊、不确定性大，这一建议与欧盟已有高额处罚先例（p17）相吻合。
存疑之处
- 2024年无重大数据违规事件、响应率100% p.6自述，无第三方审计，也未定义“重大”；0起可能因为监管发现的少而非合规做得好。
- 150个国家、53亿欧元处罚 p.4无出处、无统计时点，也未拆分跨境处罚占比，无法核对“跨境处罚最高”的说法。
- 体系成效可被同类企业复制 p.7奇瑞有100余名合规人员和自研CheryGPT，资源远超中小出口企业；报告没有写投入金额。
反方意见
- 数据跨境合规是出海车企的首要风险若产品不联网、不收集个人信息（如纯机械件、不带App的设备），数据合规的暴露面小得多，不必按整车的体系建设。
- 本地化部署加跨境双线治理本地化存储会提高IT成本，若业务量小或当地无强制本地化要求，仅靠标准合同条款加影响评估可能已够用。
需要用官方数据核实
| 关键数字或判断 | 核实来源 |
|---|---|
| 欧盟充分性认定国家名单（含美国限框架认证公司） | 欧盟委员会、EDPB官网 |
| 越南跨境影响评估60日内报备的要求及后续修订 | 越南公安部、越南政府公报；当地律所 |
| 欧盟累计处罚超53亿欧元 | 欧盟各国数据保护机构、EDPB年度报告 |
| 2024年1–10月中国向比利时、沙特、英国等出口汽车数量 | 海关总署、中国汽车工业协会 |
关键数据
11.2万亿元→53.9万亿元（扩张3.8倍） 人民币数字经济规模 p.4 第三方机构数字经济规模，工信部统计 · 2012–2023年 · 工信部
数字经济规模由2012年的11.2万亿元⼈⺠币增⻓⾄2023年的53.9万亿元
超过33万亿美元美中德日韩五国数字经济总量 p.4 作者测算五个国家合计 · 2023年 · 报告未注明
美国、中国、德国、⽇本、韩国仅5个国家的数 字经济总量就超过33万亿美元
约150个出台数据合规/个人信息保护法规的国家和地区 p.4 作者测算已提出或颁布 · 截至2024年 · 报告未注明
全球已有约150个国家和地区提出或颁布了数据合规及个⼈信息保护法律法 规
超53亿欧元欧盟数据合规累计处罚 p.4 作者测算仅欧盟，累计 · 截至报告期 · 报告未注明
仅欧盟已累计处罚超53亿欧元
0起2024年重大数据违规事件 p.6 宣传口径奇瑞自述 · 2024年 · 奇瑞
2024年⽆重⼤数据违规事件
100%数据主体权利响应率 p.6 宣传口径奇瑞自述的用户主体响应率及解决率 · 当前 · 奇瑞
当前⽤⼾主体响应率及解决率达100%
100%与零部件供应商签署数据合规文件的比例 p.6 宣传口径奇瑞自述 · 2024年 · 奇瑞
奇瑞与汽⻋零部件供应商全部签署了数据合规相关⽂件
80+ 份数据合规制度文件 p.7 宣传口径奇瑞自述 · 2024年 · 奇瑞
80+ 数据合规制度⽂件
100+（核心团队10余人，集团条线90余人）数据合规人员 p.7 宣传口径奇瑞自述 · 2024年 · 奇瑞
数据合规核⼼团队10余⼈
100,000+ 人次累计培训人次 p.7 宣传口径奇瑞自述 · 2024年 · 奇瑞
100,000+ 累计培训⼈次
50余个已完成数据合规调研的国家 p.8 宣传口径奇瑞自述 · 2024年 · 奇瑞
奇瑞当前已完成了对50余个国家的数据合规调研
约70个场景跨境传输场景库 p.8 宣传口径由各国业务场景组合去重 · 2024年 · 奇瑞
形成约70个跨境场景的传输场景库
24.7万辆中国向比利时出口汽车 p.17 作者测算其中绝大多数为新能源汽车 · 2024年1–10月 · 报告未注明
中国向⽐利时 出⼝汽⻋⾼达24.7万辆
21.7万辆中国向沙特出口汽车 p.19 作者测算仅次于阿联酋 · 2024年1–10月 · 报告未注明
中国出⼝沙特汽⻋数量达到21.7万辆
16.7万辆中国向英国出口汽车 p.18 作者测算中国汽车出口国家第7位 · 2024年1–10月 · 报告未注明
中国向英国出⼝汽⻋数量达到16.7万辆
138,131辆中国向菲律宾出口汽车 p.19 作者测算排名第九 · 2024年1–10月 · 报告未注明
中国对菲律宾的汽⻋出⼝量达到了138,131辆
11.4万辆中国向土耳其出口汽车 p.19 作者测算2024年1–10月 · 报告未注明
出⼝辆为11.4万辆
超6.2万辆，占电动汽车进口总量91.4%巴西自中国进口电动汽车 p.21 作者测算2024年上半年 · 报告未注明
巴西从中国进⼝超过6.2 万辆电动汽⻋，占电动汽⻋总进⼝量的91.4%
60日内报备跨境传输影响评估副本越南个人数据跨境：影响评估备案时限 p.20 官方或公告向越南公安部报备 · 2023年法令 · 越南《个人数据保护法令》
60⽇内报备数据跨境传输影响评估副本
企业案例
| 企业 | 市场 · 模式 | 做了什么 | 结果 |
|---|---|---|---|
| 奇瑞汽车 p.7 | 欧盟/欧洲其他 · 其他 | 2023年起以欧洲数据合规为起点，完成四项风险排查、三项体系建设，再推广到全球；成立数据合规委员会和海外数据合规委员会 | 自述2024年无重大数据违规事件；80余份制度、100余名合规人员、累计培训10万余人次；重点系统和车型获10余项认证（如国家网络安全等级保护三级、ISO27001、UN R155、UN R156） |
| 奇瑞汽车 p.8 | 全球/不区分 · 其他 | 完成对50余个国家的数据合规调研，形成约70个跨境场景库，据此决定本地化和跨境策略 | 覆盖海外重点国家；数据跨境处理基本理念为“有需求才跨境、无必要不跨境、有跨境必评估、有评估必落实” |
| 奇瑞汽车 p.8 | 全球/不区分 · 其他 | 对上游供应商靠培训和协议，对下游靠研讨会和案例共享，提升产业链合规水位 | 与汽车零部件供应商全部签署数据合规文件 |
风险与门槛
- 数据跨境违规处罚最重，欧盟已有未签SCC、未尽数据安全责任而被高额处罚的先例 p.17
- 越南规定跨境前须做影响评估并备案，若数据被用于损害越南国家利益、评估档案未更新或公民数据泄露，公安部可要求停止跨境 p.20
- 新技术（AI、物联网）使数据主体权利诉求和透明度要求上升，带来算法伦理、训练数据脱敏等新挑战 p.4
- 供应商和合作伙伴的数据处理协议不全或能力不足，会把风险带回整车企业 p.10
- 豁免类机制（如公共利益）标准模糊，作为首要依据有风险 p.22
预测
原文没有量化预测。
时效提醒
白皮书成文于2024年，附录的国别规则和白名单名单会变（如巴西2023年草案、欧盟-美国框架），2025–2026年有更新的可能，须以各国监管机构网站为准。
读书笔记
1）这是奇瑞的自我陈述，加普华永道的咨询背书；100%、0起等成效数字没有第三方审计。2）p6与p13出现两个方法：排查用EDPB“六步法”，跨境管理用奇瑞自己的“七步法”，原文未说明二者关系。3）全文无费用、预算、处罚金额，只有规模性数字。4）文本为PDF提取，部分字符是兼容字形，摘句按提取结果照抄。