智能网联汽车数据分类分级实践指南 1 版权声明 本 报 告 版 权 属 于 数 据 安 全 推 进 计 划， 并 受 法 律 保 护。 转 载、 摘 编 或 利 用 其 它 方 式 使 用 本 报 告 文 字 或 者 观 点 的， 应 注 明“ 来 源： 数 据 安 全 推 进 计 划”。 违 反 上 述 声明者，编者将追究其相关法律责任。 智能网联汽车数据分类分级实践指南 参编单位 吉 利 汽 车 研 究 院、 上 海 融 孚 律 师 事 务 所、 杭 州 比 智 科 技 有 限 公 司、 沙 龙 机 甲 科 技 有 限 公 司、 深 圳 红 途 科 技 有 限 公 司、 浙 江 寰 福 科 技 有 限 公 司、 深 圳 元 戎 启 行 科 技有限公司、阿里云计算有限公司、紫光展锐（上海） 科 技 有 限 公 司、 一 汽 丰 田 汽 车 有 限 公 司、 中 电 科 拟 态 安全技术有限公司 特别鸣谢专家 韩勇、李成、金庆德、许立昕、王梓旭、商哲峰、何夕、 曾博、王思涵 、李溳、李晓文、黄鹏程、孙权、甘铜、 陈俊旭、刘颖男、李印、杨洁静、汪舒舒、温馨、敖榕蔚、 王铱、孙璐菲 智能网联汽车数据分类分级实践指南 前 言 随着汽车的电动化、网联化以及智能化发展，智能网联汽车 产业的发展过程中交融了车辆运行安全、数据安全等合规风险。 智能网联汽车垂直行业 “诞生”了诸多政策法规及各效力 位阶的标准和实践标准，特别是《汽车数据安全管理若干规定（试 行）》《关于加强车联网网络安全和数据安全工作的通知》等 的各类国家、行业及团体类标准，明确了智能网联汽车数据应 当进行分类和分级处理，对数据进行打标或建立数据目录，须 区分敏感个人信息、重要数据、车外数据、座舱数据、运行数据、 位置轨迹数据等数据类型；并应具备识别技术，并配置不同的 安全措施。 然而很多企业在落实法规政策时却遇到诸多困难。本指南正 在此背景下进行编制，旨在以合规为主要导向，明确智能网联 汽车数据分类分级的方法论，及对应不同等级的数据，在其不 同生命周期，给出通用的安全措施，为实现智能网联汽车数据 在数据全生命周期中安全治理 落实提供指导性建议。 智能网联汽车数据分类分级实践指南 目录 一、概述 （一）智能网联汽车数据分类分级的意义 /1 （二）智能网联汽车数据面临多重安全风险 /7 二、智能网联汽车数据分类分级原则与方法 （一）数据分类分级的原则 /13 （二）数据分类分级的方法 /13 （三）数据分类分级实践 14 三、智能网联汽车数据全生命周期保护要求 （一）通用生命周期保护要求 /21 （二）高敏感级别数据的特殊保护要求 /23 （三）重要数据（核心级）（四级）的安全保护要求 /25 四、智能网联汽车数据分类分级案例 （一）某头部汽车企业智能网联汽车数据分类分级 /30 （二）某自动驾驶解决方案提供商数据分类分级实践 /32 智能网联汽车数据分类分级实践指南 一 概述 （一）智能网联汽车数据分类分级的意义 1.1 智能网联汽车发展现状 随着数字化程度的不断推进，汽车逐渐由原本的机械化交通工具，转变成与汽车、电 子、通信等各个业态相互连通的移动终端。汽车行业正由传统硬件制造向以“新四化（汽 车电动化、智能互联、汽车共享以及自动驾驶）”为特征的未来移动出行终端转变，而智 能网联是汽车行业数字化的载体和加速器，将全方位推进汽车行业的数字化转型。工信部 数据显示，2022 年上半年，具备组合驾驶辅助功能的乘用车销量达 288 万辆，渗透率升 至 32.4%，同比增长 46.2%；17 个测试示范区、16 个“双智”试点城市完成 3500 多公 里道路智能化升级改造，装配路侧网联设备 4000 余台，智能网联汽车已成为汽车产业创 新发展的重要方向。 2020 年 2 月，国家发改委等 11 部委联合印发《智能汽车创新发展战略》，对我国智 能汽车发展的战略愿景给出了明确目标——到 2025 年，中国标准智能汽车的技术创新、 产业生态、基础设施、法规标准、产品监管和网络安全体系基本形成；实现有条件自动驾 驶的智能汽车达到规模化生产，实现高度自动驾驶的智能汽车在特定环境下市场化应用； 2035 年到 2050 年，中国标准智能汽车体系全面建成，更加完善。同年，在 2020 世界智 能网联汽车大会开幕式上发布的《智能网联汽车技术路线图 2.0》更加详尽地制定了面向 2035 年，以 2025/2030/2035 年定为三个关键结点的智能网联汽车发展目标与规划。此外， 根据 2020 年《德勤全球汽车消费者调用报告》，76% 的中国受访者赞同车联网的发展将 为驾乘带来更多便利，比例远高于美国、德国、日本和韩国的消费者，车联网的到来可以 有效利用驾驶的时间为司乘提供生活、娱乐、后市场等服务，全方位满足用户需求，释放 巨大的商业价值。同时，人工智能、5G、自动驾驶等技术的发展及应用，为用户和企业创 造了更多的应用场景和商业模式。在政策支持、技术进步、消费者意愿三方面的助推下， 未来，汽车行业的智能网联化将迎来一轮高速推进。 智能网联汽车产业链可以从智能车机和车联网两个方面进行归类，因而智能网联汽车 产业是一个多方共建的生态体系，参与者包括整车厂、互联网公司、ICT 企业、传统一级 供应商和政府等。在众多参与者中，整车厂作为最终的整合方，需要把软硬件、功能及生 态服务商等各方角色集中起来，完成从整车制造到长期出行服务的交付；传统一级供应商 与整车厂以及人工智能和软件等领域的 IT 技术公司合作，推动车联网发展并加强自身的研 智能网联汽车数据分类分级实践指南 1 发能力；ICT 企业拥有领先的智能网联科技，推动汽车的智能化和网联化，让人车交互向 人车关系转变，让整车实时在线连接万物。互联网企业需要持续挖掘“人、车、生活”等 应用场景，并基于数据分析提升服务的主动性和精准性，打造互联网服务生态；而政府负 责搭建平台，从立法、政策、标准的方面着手营造良好发展环境，大力推进新技术应用。 由此，生态紧密合作才能实现多方共赢。1 1.2 数据对智能网联汽车的意义 智能网联汽车存在三大要素，即智能交互、智能驾驶和智能服务，同时覆盖十大核心 能力，包括交互终端、交互即使、智能算法、自动驾驶技术、地图等环境、智能硬件、场 景引擎、ID+ 数据中台、生态资源和用户运营。数据能力作为构建智能服务的核心底座， 支撑智能网联汽车向上构建实时场景获取、用户偏好理解、服务体系构建、用户运营等核 心应用场景，助力汽车制造商由“卖产品”向“卖服务”模式转变 2 ，提升“人与车”业 务模式的构建能力 。 用户数据、车辆数据和周围场景数据的有效分析与利用是构建“人与车”核心业务场 景的原料与基石。一方面，实时场景获取可收集车辆数据、位置数据、时间数据以及周围 场景数据，从而判断用户所处场景，并主动预测用户需求；另一方面，基于用户身份的识 别获得基本信息，如性别、年龄、职业等，并根据用户历史偏好可判断未来行为与需求。 如通过在服务场景和运营场景下匹配人、车、场的数据进行交叉分析，提供场景触发式精 准服务，以提升服务价值，并持续建立互动机制，以提升用户粘性与活跃度，从而最大化 释放数据之于智能网联汽车的价值。 上述数据覆盖了车辆和用户的个人信息、行为模式、地理测绘数据等敏感信息，在提 升服务能力的同时，带来的数据安全风险隐患同样不容小觑。近年来，我国在数据安全方 面的监管逐渐从严，如何有效平衡智能网联汽车中数据价值的最大化利用和数据安全的有 效性保护是值得深思的重要议题。 1.3 智能网联汽车数据立法和监管现状 在智能网联汽车数据安全方面，我国以《网络安全法》 《数据安全法》 《个人信息保护法》 等法律为基本原则，配套人机交互、自动驾驶、车路协同、地图测绘等多场景下的法规、 规范性文件及标准化指引，细化多项安全管理要求。同时，智能网联汽车作为我国数据安 全的“强监管”领域，相关行业、地方主管部门相继推动合规自查、信息报送等管理工作， 逐步加强行政执法力度，督促行业安全整改。 1 参见德勤 (Deloitte)、同济大学 AMMI 人车关系实验室：《如何打造面向未来的智能网联汽车》，载德勤中国网站 2 同前注 1 2 智能网联汽车数据分类分级实践指南 1.3.1 智能网联汽车数据安全政策法规制度持续完善 ♦政策规划层面 2018 年 12 月，工信部印发《车联网（智能网联汽车）产业发展行动计划》，表示将 充分发挥政策引领作用，分阶段实现车联网（智能网联汽车）产业高质量发展的目标，并 提出了包括加强组织领导、加大政策支持力度、构建产业生态体系、优化产业发展环境、 健全人才培养体系和推进国际及港澳台交流合作在内的六项重点保障措施。 2020 年 2 月 24 日，发改委、工信部、科技部等 11 部委联合发布《智能汽车创新发 展战略》，指出发展智能汽车对我国的重要战略意义，要求构建技术创新、产业生态、基 础设施等配套体系，完善扶持政策，鼓励智能网联汽车发展。 ♦法律法规 / 规范性文件层面 近些年，我国《网络安全法》《数据安全法》《个人信息保护法》等法律相继颁布， 建立了较为完善的数据安全法律体系，确定了数据安全管理要求，和严格的法律责任。同 时，各行业主管部门也下发多个针对汽车数据安全管理的法规、规定，不断申明数据安全 保护原则，减少对汽车数据的无序收集和违规滥用，以充分保护个人信息安全和合法权益， 加强重要数据存储监管，从而使得智能网联汽车数据安全得到有力保障。 2021 年 10 月 1 日，国家网信办、工信部等五部委联合发布的《汽车数据安全管理若 干规定（试行）》正式施行，作为行业垂直监管的典型，该《规定》聚焦汽车领域个人信 息和重要数据的安全风险，从汽车重要数据定义、收集原则、定期报送制度等方面，配套 落实《数据安全法》等上位法律原则在汽车数据领域的具体规范。同时，该《规定》强调 了国家加强智能网联汽车网络平台的建设，开展智能网联汽车运行和安全保证服务等，并 协同汽车数据处理者加强智能网联汽车网络和数据安全防护。3 2021 年 8 月 12 日，工信部发布《关于加强智能网联汽车生产企业及产品准入管理的 意见》，强调了对智能网联汽车生产企业的网络安全和数据安全要求，加强数据和网络安 全管理、规范软件在线升级、加强产品管理，并明确实施数据分类分级管理、制定重要数 据目录、数据境内存储等规定。同时，针对配备自动驾驶功能的智能网联汽车，提出应建 立事件数据记录系统，记录车辆及系统基本信息、车辆状态及动态信息、自动驾驶系统运 行信息、行车环境信息、驾乘人员操作及状