新能源汽车出海中的数据合规热点问题

---

一、数据合规风险

汽车企业在研发、生产、销售、售后等多个环节均可能涉及个人信息处理活动。例如在营销活动中收集潜在客户的个人信息、向消费者销售车辆时收集消费者个人信息用于订立合同、车辆售出使用中通过智能座舱、车机平台收集车内个人信息以实现特定功能等。

（1）个人信息保护的一般性义务

作为个人信息处理者，汽车企业需要履行个人信息保护义务。尽管各国的数据与个人信息保护法规存在差异，但通过对比包括欧盟《通用数据保护条例》（Regulation (EU) 2016/679，“GDPR”）在内的国际主流个人信息保护思路，个人信息处理者的基本义务存在共通性。例如，个人信息处理者收集个人信息一般需要获得个人授权，或具备法定的其他合法性基础；个人信息处理者应当采取充分的安全保障措施以保护个人信息的安全；个人信息处理者收集、处理个人信息应当遵循最小必要、目的限制等原则；个人信息处理者应当保障个人信息主体的权益，向其提供行使法定权利的途径等。

（2）车内个人信息回传的特殊性义务

新能源汽车相较于传统能源汽车而言，智能化程度通常更高，其搭载了功能丰富的车机平台，形成新一代智能座舱。新兴技术比如驾驶员疲劳感知系统、AI语音助手等已成为许多新能源汽车的标准配置。这些智慧功能往往涉及对特定个人信息的收集，例如驾驶员疲劳感知系统需收集驾驶员面部识别特征、追踪眼球轨迹、AI语音助手需要收集声纹和对话内容等。

对于从中国出口的车辆，如果