标签: 数据隐私

在上期 数据隐私和匿名化系列 文章中，我们主要分享了 《中国个人信息保护法》（PIPL） 和 《欧盟通用数据保护条例》（GDPR） 在 涵盖范围、定义、敏感信息 等方面的异同点，今天，我们将重点分析PIPL与GDPR在 数据处理行为及其基础合法性 方面的异同，旨在帮助车企更准确地把握数据隐私保护法规的要求，有效应对相关挑战，推动自动驾驶行业健康发展。 一、PIPL和GDPR的异同点 1、数据处理行为定义 两部法规（PIPL和GDPR）均明确界定了 不同的数据处理行为 ，这些行为将触发各自法规的管理范畴。此处所提及的信息， 已不再局限于敏感信息 ，而是涵盖了两部法规所规定的 所有相关信息 。 在 英文版的PIPL 中，数据处理行为被表述为“ Handling ”，而 GDPR 则使用 “Processing” 一词，两者在本质上并无区别。然而，在 数据处理行为的定义上，两部法规却存在些许差异 。 PIPL中的“Handling”涵盖了 收集、存储、使用、加工、传输、披露以及删除个人信息 等一系列行为。相较于PIPL， GDPR 关于数据处理行为的定义则 更为详尽 ，除了包含上述相同的行为外，还涉及到了 个人数据的检索、咨询 等多个方面。 但实际上，当我们深入探讨PIPL中定义的数据处理行为时，相关法律专家指出： “在中国境内处理个人信息时，GDPR所涵盖的任何数据行为都需要被纳入考虑范围，即使PIPL并未完全列举出所有要点。” 由此可见，在各自司法管辖区域内处理相关数据时，任何数据处理行为都将受到该区域法律条例的约束。 2、数据处理基础合法性 为了进一步对比数据处理行为的异同，我们在此列举了中国的《个人信息保护法》（PIPL）与欧盟的《通用数据保护条例》（GDPR）在 数据处理基础合法性 方面的相关规定。 “同意”（Consent） 是指数据主体明确授权或表示同意其个人数据被处理的行为。这种同意必须是建立在充分知情的基础上，且必须是明确且自愿给出的。 除了“同意”这一点外，我们重点关注两部法律在 合法利益（Legitimate Interest）和公共利益（政府任务）（Public Interest/Government Task） 方面的差异。实际上，PIPL在这两点上并未作出明确规定，这主要归因于中国和欧洲在法律及监管环境上的差异。 首先在 合法利益 这一点上，GDPR作为欧洲地区的人权保护框架，旨在平衡企业与个人之间的权益，为企业提供一定的 灵活性 ，允许其在没有明确同意的情况下处理个人数据，从而在一定程度上增强了企业的自主权。相比之下， PIPL更加强调对个人信息的严格控制。 在处理个人数据时，PIPL要求必须获得明确的授权或依据法律规定进行，更倾向于通过明确同意或法律规定来实施严格监管。 其次在 公共利益 方面，两部法律对公共事务和政府职责的界定存在差异。 GDPR 在确保公共机构履行任务时赋予了更大的 灵活性 ，而PIPL则通过其他法律条款来规范政府的处理权限，更加侧重于 信息透明性和数据主体的保护 。 二、信息跨境处理注意事项 在 跨境处理信息 的过程中，除了需遵循《个人信息保护法》（PIPL）和《通用数据保护条例》（GDPR）这两部基础法律的规定外，还需执行一系列严格的 安全评估措施。 以中国车企为例，若需将欧盟境内的数据传输回中国进行处理，必须确保该跨境数据传输完全符合GDPR的严格要求。 GDPR对向欧盟外传输数据有着明确的规范，要求必须依赖 标准合同条款（SCCs）或充分性决定（Adequacy Decision） 来确保数据的合法传输。特别是当涉及敏感个人信息处理时，如位置数据、行为数据以及测绘数据等，企业可能还需进行 数据保护影响评估（DPIA） ，以全面评估数据处理的合法性、必要性和风险性。 值得注意的是，由于欧盟目前尚未对中国作出充分性决定，因此中国企业在向欧盟外传输数据时，可能需要与相关方签订 标准合同条款（SCCs） 来确保数据传输的合法性。 总之，在跨境传输过程中，为降低数据泄露或不当使用的风险，企业需对敏感数据进行加密或匿名化处理。

自动驾驶技术的快速发展伴随着数据隐私保护的严峻挑战。 中国《个人信息保护法》（PIPL）与欧盟《通用数据保护条例》（GDPR） 为自动驾驶数据合规设立了高标准。本篇文章将带大家深入探讨PIPL与GDPR的异同点，期望能够帮助车企更好地理解并应对数据隐私保护法规的挑战，推动自动驾驶行业健康发展。 一、自动驾驶数据合规挑战 2021年8月20日， 中国 发布了一项重要的 数据保护法 ，即《个人信息保护法》(Personal Information Protection Law, PIPL)。围绕数据隐私，将零碎的立法统一并加强为一套完整的规范，包含数据的收集、处理和保护等规则。 与 欧盟的通用数据保护条例 （General Data Protection Regulation,GDPR）类似，PIPL在众多方面对于数据隐私做出了相应的限制。 图1 部分国家和地区的数据隐私法规 数据隐私保护法规的相关限制对自动驾驶行业无疑是一项 重大挑战 。这是因为近年来在自动驾驶行业，众多新能源车企已经将眼光从逐渐饱和的中国市场转向欧洲市场，而 数据采集作为自动驾驶数据闭环的开始 ，在中国地区和欧洲地区之间的数据转移必须要符合相应地区的隐私保护法规，否则可能会和Google一样， 因涉嫌侵犯用户的隐私而面临巨额罚款。 目前GDPR相关的罚款总额现已达到近50亿欧元。 图2 累计罚款总额（来源：GDPR Enforcement Tracker ） 在中欧地区之间进行自动驾驶行业的 数据转移 时，为帮助车企避免违规受罚，本文接下来将从多个方面讨论 中国和欧盟隐私保护法规的异同之处。 二、PIPL和GDPR的异同点 1、覆盖范围 PIPL的范围： （1）中国境内的个人信息的处理；（2）在海外处理中国境内个人信息：a.必须为中国提供产品或相关服务;b.中国公民的行为或是活动的数据分析处理必须在中国境内进行。 在 覆盖范围 这一层面上，GDPR（欧盟通用数据保护条例）与PIPL（中国个人信息保护法）呈现出相似性。就PIPL而言，它明确保障了在中国境内居住公民的个人信息安全。而对于在境外处理涉及中国公民个人信息的数据活动，PIPL同样设定了条件，即这种处理必须旨在向中国境内的消费者提供商品或服务，简而言之，其服务对象必须限定为中国公民。 一个可能的 差异点 在于，PIPL在执行过程中明确指出了可能 会援引其他法律或行政法规的情况 ，这一特点使得PIPL的适用范围相较于GDPR更为广泛。但在处理数据的过程中，企业也需要更加全面地考虑各种可能的法律限制和约束。 2、个人信息定义 PIPL规定了个人信息是指由电子类设备或是其他方式记录，与已识别或可识别的自然人相关的信息，并指出不包括匿名化处理后的数据。 GDPR则在这一基础上进一步 细化了可识别自然人的定义 ，明确了无论是直接还是间接方式能够识别出的个体均属于此范畴，并列举了诸如姓名、身份证号码、居住地址，以及自然人的物理、生理等特征作为具体示例，以更直观地说明其定义。 图3模糊匿名化后的数据 3、敏感数据 在 敏感数据处理 方面，PIPL与GDPR也存在异同之处。比如，PIPL与CCPA类似，直接使用了“敏感数据”（Sensitive Data）这一术语，而GDPR则称之为“特殊类别信息”（Special Category Information）。这一称呼上的差异也反映了两者在敏感数据定义上的不同。 GDPR通过明确列出一种具体的信息清单，将符合该清单的数据归类为“特殊类别信息”，并为其提供专门的保护。这种方式使得GDPR在敏感数据的识别上更加 直接和具体。 相比之下，PIPL在敏感数据的定义上采取了 更为宽泛 的视角。它不仅包括了生物计量学特征、低于14岁公民个人信息等明确列出的内容，还支持对清单外数据内容提出争议的权利。这意味着，在PIPL的框架下，敏感数据的范围可能更加广泛。 未完待续，我们将分享更多数据隐私和匿名化的相关内容。