跳到正文

汽车出海全产业数据安全合规发展白皮书汽车数据合规须贯穿产品与跨境运营

1覆盖整车、零部件、App、云四类测试对象

2跨境先分数据与角色，再选合法路径

3认证针对处理活动，不能覆盖整个公司

100万人普通个人信息门槛原文2024中国非CIIO累计出境特定情形 p.53
10工作日标准合同备案期限原文生效日起，2024规则摘编 p.54
6个月cookie选择更新建议法国CNIL，非统一存储期限 p.64
24个月特定服务存储期限原文越南，须核实适用范围 p.89

老板之问

安全检查只做整车测试够吗？
不够；原文覆盖整车、零部件、App和云服务四类对象。 p.28
总部接收海外车端数据前先做什么？
先盘点数据与流向、识别处理角色，再选两端跨境路径。 p.52
认证是否代表整家公司全面合规？
不代表；原文明确认证对象是数据处理活动。 p.61
云服务可统一放在一个国家吗？
不能先假定；需按数据类别、服务及当地存储要求分配。 p.78
零部件和软件商能把责任全交主机厂吗？
不能；实际处理数据、供应链接口和合同职责都需明确。 p.88

对德国、瑞士和欧洲的含义

欧洲章节的实际价值在于把GDPR、德国补充规定、法国CNIL指南、跨境合同/TIA、DPIA及供应链数据协议连接起来。Europrivacy在原文中仅针对处理活动，TISAX更多以主机厂与供应商数据交换需求说明；不得据宣传语推断所有主体法律强制或整体豁免。德国DPO人数、儿童年龄、cookies等均保留为历史原文提示，后续必须按具体场景查原始规定。瑞士未作专章，不能将欧盟义务直接外推瑞士。

上海市车联网协会、盈科全球数据合规服务中心、同济大学上海国际知识产权学院、谈思实验室等联合发布郭卫红、阮大治、徐明、李文龙等编委发布 2024-06数据截至 2024年6月法律合规指南 · 原文 118 页参考价值 高来源可信度 C · 出处不全
新能源汽车及零部件汽车与交通（燃油/商用/两轮）法律合规与知识产权软件SaaS与AI应用德国法国欧盟/欧洲其他美国拉美其他中东（沙特/阿联酋/土耳其等）泰国越南新加坡澳新# 准入认证与法规# 供应链与物流# 本地化经营与建厂# 知识产权# 地缘与风险

逻辑链：为什么 → 怎么传导 → 所以怎么做

识别范围

数据盘点 p.51车主、乘客、车外人与员工
责任分配 p.35主机厂与供应商按实际角色

落实控制

生命周期测试 p.18开发、发布、更新持续核验
跨境与评估 p.60合同结合传输风险和补充措施

持续经营

认证有边界 p.61限定具体处理活动与适用范围
跟踪与响应 p.101培训、监管沟通和事件处置

核心观点

  1. App安全要贯穿开发与运营而非上线前补测 p.18依据原文由需求建模、设计、编码、测试、发布到更新后再评估。推理远程车控功能将软件缺陷连接到车辆访问风险，持续变化需持续验证。前提加固和测试降低风险，不构成抵御所有攻击的保证。
  2. 网络安全测试应纳入车型上市计划 p.30依据符合性、渗透、目击及部分机构现场测试可能触发重测。推理早期风险分析和证据准备可减少末期整改延误。前提该章节仅覆盖网络安全，不能由测试全过推出所有型式批准条件满足。
  3. 主机厂需组织治理和生命周期工程共同运行 p.33依据领导责任、资源、共享规则、差距分析、运行评估及优化并列。推理明确责任和反馈机制才能持续维护技术控制。前提标准、法规和最佳实践的效力不同，应按目标市场适用性确定。
  4. 软件安全责任需沿供应链分配并回溯 p.35依据主机厂集成、一级供应商模块、下级组件各负责任，发布签名、维护与版本控制相连。推理接口与变更证据可定位风险和修复责任。前提供应商承诺与工具扫描不足以替代整车集成验证。
  5. 车云管端和企业内部共同构成防护范围 p.46依据原文列身份认证、加密、访问控制、监测、App及第三方SDK风险。推理任一端薄弱均可能影响车辆或用户数据。前提控制应经威胁建模匹配，采购工具本身不证明治理有效。
  6. 中国数据出境应先分类再判断机制 p.53依据分别说明个人信息、重要数据、核心数据及2024年跨境调整。推理数据性质、主体身份、数量和豁免影响路径与文书。前提核心数据部分含作者类推建议，不能把地方规定直接概括为全国既定结论。
  7. 欧洲传输和处理治理需要合同加实质评估 p.60依据建议标准合同、TIA及补充技术组织措施，并区分DPO职责。推理跨境合同需结合接收方环境与具体数据风险。前提与日常处理合法性、DPIA、主体权利是关联但不同的工作，非签一份合同即可完成。
  8. 认证的范围应限制到具体数据处理活动 p.61依据原文说明GDPR不能一次性认证整个公司或整个管理系统。推理限定对象有助于明确证据和责任边界。前提后文营销性整体合规表述不可超出前述范围，也不能替代法律义务。
  9. 同一国家内也可能存在不同监管体系 p.80依据阿联酋区分联邦、DIFC、ADGM，另有物联网与定位场景要求。推理实体、服务和数据的位置会影响适用规则与主管机关。前提不能仅凭国家标签制定一套统一云部署方案。
  10. 没有汽车专法不代表供应商没有数据义务 p.91依据新加坡将定制AI服务的数据中介、自动驾驶与物联网控制分别列出。推理一般数据法与行业指南可以共同覆盖车联网处理活动。前提图表空白和指南建议不能推断为免责或普遍强制。
  11. 合规应成为经营流程并持续更新 p.101依据出海前体检、人员培训、监管沟通与政策跟踪贯穿后文。推理规则及软件持续变化，单次认证难以覆盖全生命周期。前提白皮书未量化资源、实施周期或降低事件概率的效果。

可落地的做法

  1. 为App建立按业务功能和市场匹配的安全需求库。 p.17条件：先定义远程车控、定位与用户数据边界，再做威胁建模和设计评审。
  2. 在开发做代码及组件分析，在测试做动态、渗透和隐私评估。 p.18条件：发布与运维继续监测，重大更新和事件后重评；需留修复回归证据。
  3. 提前准备测试环境、需求追踪和认证审查材料。 p.30条件：将重测周期纳入上市计划，网络测试不是全部准入条件。
  4. 明确安全负责人、资源、共享规则和持续改进机制。 p.33条件：既覆盖组织治理，也覆盖产品退出阶段和供应商职责。
  5. 与各级供应商约定需求、接口、版本、签名及漏洞响应。 p.35条件：用具体工作产品证明集成责任，避免仅依赖工具采购或承诺。
  6. 建立数据清单，记录主体、目的、来源、流向、敏感程度和期限。 p.51条件：包含乘车人、车外人员、员工及第三方SDK，不能只看车主。
  7. 分别判断个人、重要及核心数据的中国出境路径。 p.53条件：核对CIIO身份、当年数量、豁免和目录；不要将类推建议当规则。
  8. 欧洲跨境安排结合合同、TIA与补充措施。 p.60条件：同步核查处理合法性、DPIA及DPO条件，各项工作不能互相替代。
  9. 给供应商处理签数据协议并支持车内数据删除与隐私设置。 p.65条件：按实际控制者/处理者关系分工，兼顾独立维修商必要信息。
  10. 为沙特车联网核查服务器和数据部署要求。 p.78条件：原文场景为服务提供商，需核对服务许可及适用规则。
  11. 阿联酋先判断联邦或自贸区体系，再核查物联网与GPS规则。 p.80条件：实体设立位置和实际处理活动要共同检查。
  12. 越南处理活动留档并核查敏感数据责任人报备。 p.88条件：按当地具体规定确定材料与期限，保存有效同意的举证记录。
  13. 新加坡业务安排DPO并区分商业联系信息及数据中介职责。 p.90条件：商业改进豁免有其他条件，不能用单一用途名称免除全部义务。
  14. 维修数据共享建立范围和访问规则。 p.95条件：原文同时列必要维修信息提供及特定数据排除，不能无差别共享。
  15. 出海前做跨部门合规差距检查并持续跟踪监管变化。 p.101条件：覆盖准入、数据、人员、知识产权与运营，不将短期政策视为长期不变。
  16. 境外投资资金安排保留备案登记与真实性材料。 p.22条件：货物、服务、资本项目分别处理；金融章节为历史操作清单。

论证成立

  1. 持续安全流程比单次测试更完整 p.18原文把需求、发布和更新后重评连接起来，能覆盖软件变化。
  2. 供应链责任需要分层落实 p.35整车集成、模块与组件职责具体，便于制定接口和交付证据。
  3. 认证对象必须明确 p.61原文明确仅处理活动可认证，阻止把认证当整个企业的无条件合规证明。
  4. 按法域内区域和场景判断部署 p.80阿联酋联邦与自由区分层说明统一国家清单不足以定架构。

存疑之处

  1. 所有安全测试通过即可获得出海VTA p.30章节只讨论网络测试，未论证其他型式批准及目标市场条件。
  2. Europrivacy全面体现企业GDPR合规 p.62前页已限定具体处理活动，商业价值描述超出可认证范围时会误导。
  3. 只要与德系客户交换数据就必须TISAX p.66给出客户需求但缺普遍强制的条文依据和合同边界。
  4. 处罚少说明当地标准较宽松 p.85没有执法覆盖、样本、处罚统计，不能以未列案件推断低义务。
  5. 新能源电池企业均按关键基础设施履责 p.91由能源行业直接推到具体企业，未说明被纳入监管的判定条件。
  6. 市场数字可以统一用于出口结构 p.9纯电、总车和新能源分项分母不同且未协调，不能据此画统一份额图。
  7. 列举公司措施证明合规产生经营成功 p.104多例无项目证据与比较数据，措施存在、符合法规和销售成果是不同命题。
  8. 跨国法律相似即可省略细则 p.73阿根廷段国名机构缩写混乱，多个国家以参照欧盟代替条文，遗漏差异风险较高。

反方意见

  1. 没有汽车数据专法意味着义务较少一般隐私、网络、通信及消费者规则同样可能覆盖汽车处理，报告自身已列多项。
  2. 海外本地建厂解决出海合规制造在当地不决定后台数据、App SDK及跨境调用合法性，仍需独立治理。
  3. 采用加密、认证和安全产品就能确保安全工具需要密钥治理、权限、更新及组织执行；报告未给对照实证，无法保证零风险。
  4. 主机厂承担全部数据责任供应商可能实际决定或执行处理，通用义务表空白不表示没有责任。

需要用官方数据核实

关键数字或判断核实来源
中国出境路径、重要数据目录与认证标准适用国家网信办、工信部、TC260及相应地方主管机关
欧洲DPO、认证范围、传输和车联网要求EUR-Lex、EDPB、德国及法国主管数据保护机构、ENX官方要求
美洲具体州法、数据传输和事件通报规则美国FTC及各州主管机关、巴西ANPD、阿根廷AAIP
中东云部署、许可与数据控制者义务沙特SDAIA/CST、阿联酋数据办公室及DIFC/ADGM、以色列PPA
东南亚及澳大利亚具体角色与本地存储要求泰国PDPC、越南公安部、新加坡PDPC/CSA、澳大利亚OAIC/ACCC
市场总量与分项来源、公司经营案例和缺失末页海关总署、相关公司公告及联合发布单位原始完整版本

关键数据

522 万辆2023中国汽车出口量 p.8 宣传口径原文整体汽车口径；与新能源分项来源未统一 · 2023 · 白皮书市场数据摘编，未逐项列出处2023 年，中国出口汽车522 万辆，同比增长56%
700.1 万辆2027出口量预测 p.9 宣传口径相关数据预测，未说明模型 · 2027预测 · 白皮书未具名预测来源汽车出口量可达到 700.1 万辆
64 万辆欧洲纯电汽车出口量 p.9 官方或公告中国向欧洲纯电出口；占总出口量指向需核实 · 2023 · 海关总署；白皮书引述2023 年中国向欧洲出口了64 万辆纯电动汽车
10 类远程服务App风险类别 p.16 第三方机构文中引述移动应用风险清单，不是事件发生率 · 2024-01 · OWASP如下10 大网络安全风险
10 个品牌中国品牌隐私调查样本 p.17 第三方机构车辆及移动App调查，非全行业代表样本 · 2023-11 · TOP10VPN对10 个中国电动汽车出海品牌的车辆和移动APP 的数据隐私风
100万以上 人安全评估普通个人信息数量门槛 p.53 官方或公告文述非CIIO自当年1月1日起累计向境外提供，不含敏感且有豁免 · 2024-03规则摘编 · 国家网信部门《促进和规范数据跨境流动规定》100 万人以上个人信息（不含敏感个人信息）
1万以上 人安全评估敏感信息数量门槛 p.53 官方或公告文述非CIIO当年累计跨境提供；重要数据与CIIO另论 · 2024-03规则摘编 · 国家网信部门《促进和规范数据跨境流动规定》1 万人以上敏感个人 信息
10 工作日标准合同备案期限 p.54 官方或公告原文标准合同生效日起向所在地省级网信部门备案 · 报告时点历史规则 · 《个人信息出境标准合同办法》标准合同生效之日起10 个工作日内
250及以上 人处理活动登记册规模条件 p.64 官方或公告原文员工规模提示；不是小企业一律豁免的证明 · 报告时点规则摘编 · GDPR；白皮书归纳员工规模达到250 人及以上的车企
6 个月法国cookie选择更新建议 p.64 官方或公告原文CNIL建议，不混同法定统一保留期限 · 报告时点 · 法国CNIL；白皮书引述6 个月更新cookie 的同意或者拒绝
不超过13 个月法国无需同意受众测量跟踪生命周期建议 p.64 官方或公告仅原文列特定跟踪场景 · 报告时点 · 法国CNIL；白皮书引述命周期不应超过13 个月
16 周岁GDPR儿童同意年龄原文值 p.65 官方或公告原文儿童信息特别告知同意概括，具体服务场景待条文核实 · 报告时点 · GDPR；白皮书归纳年龄定在16 周岁
15 周岁法国儿童同意年龄原文值 p.65 官方或公告同页与GDPR比较，非所有未成年人处理一律适用 · 报告时点 · 法国数据保护法；白皮书归纳法国将该 年龄定为15 周岁
15 天康涅狄格撤销同意后停止处理原文期限 p.71 宣传口径原文多州比较中的单州情形 · 报告时点 · 白皮书美国州法摘编，未列条号15 天之内停止处理数据
2024-09-14 日期沙特PDPL运营调整期限原文 p.75 官方或公告原文依据2023修订，不代表当前剩余宽限期 · 2024年6月所述 · 沙特PDPL；白皮书引述2024 年9 月14 日之前调整其运营状态
10000以上 数据主体以色列数据库登记人数条件原文 p.83 官方或公告满足条件之一，敏感数据等另有触发条件 · 报告时点 · 以色列隐私保护法；白皮书脚注归纳该数据库包含10000 个以上数据主体的数据
至少24 个月越南特定数据本地存储期限原文 p.89 宣传口径原文车载无线通信等服务情形；不得推广为全部数据 · 报告时点 · 白皮书越南规则归纳，未列对应条文在越南本地至少存储24 个月
至少12 个月越南相关系统日志保存期限原文 p.89 宣传口径与同页特定服务数据存储相联 · 报告时点 · 白皮书越南规则归纳，未列对应条文相关系统日志则需保存至少12 个月
每2 年新加坡网络安全审查频次原文 p.91 官方或公告原文按关键信息基础设施义务归纳，企业是否纳入须先判定 · 报告时点 · 新加坡网络安全法；白皮书归纳每两年进行一次网络安全审查
每1 年新加坡风险评估频次原文 p.91 官方或公告同页特定监管主体，非所有电池厂自动适用 · 报告时点 · 新加坡网络安全法；白皮书归纳每一年进 行风险评估
17.4—38.1 %欧盟拟临时反补贴税率区间 p.97 官方或公告17.4%2024年6月12日披露的拟临时额外税，非当前税率 · 2024-06-12 · 欧盟委员会；白皮书引述征收17.4%到 38.1%不等的临时反补贴税

企业案例

企业市场 · 模式做了什么结果
现代汽车 p.16全球 · 其他Blue Link移动App被研究人员指出敏感信息泄露漏洞原文称可影响账号、位置和远程车控；未列受害数量和修复结果。
MiCODUS p.17全球 · 其他MV720定位器被公告指出凭证等漏洞白皮书记述可影响跟踪与车辆功能；公告机构未具名，不是已确认事故统计。
领克汽车 p.15欧洲 · 品牌直营DTC以品牌展厅与电商销售作为模式示例，未披露收入或合规成效。
奇瑞汽车 p.15俄罗斯 · 授权/代理与当地经销商合作并建立售后服务中心模式叙述，没有量化单店或合规效果。
比亚迪 p.102匈牙利 · 本地建厂与塞格德市签土地预购协议2024年1月计划推进，不能视为建成投产。
奇瑞汽车 p.102西班牙 · 本地建厂与埃布罗签协议成立合资企业2024年4月合作安排，未给量产实绩。
长城汽车 p.105俄罗斯 · 出口针对气候道路改造哈弗车型原文称销售良好但无对照与量化归因。
极氪汽车 p.105欧洲 · 其他聘用本地员工并开展跨文化培训经验描述，未列团队规模与效率变化。
上研智联 p.113中国 · 其他提供智能网联测试、技术与标准服务机构自述服务和测试成果，不代表海外监管批准。
上海银基 p.116中国及全球业务 · 其他围绕数字钥匙提供车联网安全产品合作主机厂数量为机构宣传，未证明事件率降低。

风险与门槛

  1. App与第三方组件可泄露身份、位置并影响远程车控。 p.18
  2. 测试失败及重测可能延迟上市，工具覆盖不等于无漏洞。 p.30
  3. 数据数量、分类与主体身份错误会导致出境路径选择错误。 p.53
  4. 认证宣传容易超出具体处理活动的审查范围。 p.61
  5. 美国州规则差异及敏感数据交易限制不宜用统一隐私模板处理。 p.70
  6. 沙特、阿联酋和越南不同场景本地部署要求可能改变云架构。 p.78
  7. 维修信息开放与个人数据保护的边界需要具体控制。 p.95
  8. 境外投资和运营还涉及劳工、制裁、反垄断、税务及第三方责任。 p.106

预测

  1. 预计中国汽车出海市场1631.8亿美元、出口700.1万辆；模型与来源未具名。 p.92027
  2. 预计中国品牌占欧洲汽车总销量四分之一；未给分母或推算。 p.102024
  3. 作者预计未来3—5年全球布局、软件能力与当地服务持续发展。 p.24自2024起3—5年

时效提醒

法律、监管机构、跨境门槛、认证与临时关税均为2024年6月汇编；不作为2025—2026现行适用结论。

读书笔记

已顺序读完现有118页文本；第2页为社群广告；第7页开始正文页码1，末页为112/113，原PDF实际118页，未包含标称正文第113页，联合单位知行科技简介亦未见；不臆补尾页。其他细图阅读以可见层级为限，不宣称全部细字恢复。市场数据：第9页欧洲64万辆/41.27%隐含纯电基数约155万辆，却同页电动车120.3万辆；第14页新能源120.3加燃油334也非前文总量522，口径未统一。第10页欧洲四分之一预测无模型。法律汇编中阿根廷段写巴西、AAIP/APPI混写，需回原文定位；部分条款、指南、建议与认证商业价值混称。第53页先称认证可选，后标准合同段使用应当，路径选择表述容易被读成唯一方式。第56页核心数据本地化为作者参考地方规则的建议。第61页限定处理活动认证，与第62页整体品牌合规宣传必须分开。第65—66页TISAX普遍强制说法仅给客户需求解释，未列适用法律依据。第94页澳大利亚营业额门槛写美元，未明确币种，不自行修正。第103—105页若干成功经营示例缺来源、车型和日期，不据外部常识改写，也不作已验证案例。