自動駕駛技術的快速發(fā)展伴隨著數據隱私保護的嚴峻挑戰(zhàn)。中國《個人信息保護法》（PIPL）與歐盟《通用數據保護條例》（GDPR）為自動駕駛數據合規(guī)設立了高標準。本篇文章將帶大家深入探討PIPL與GDPR的異同點，期望能夠幫助車企更好地理解并應對數據隱私保護法規(guī)的挑戰(zhàn)，推動自動駕駛行業(yè)健康發(fā)展。

一、自動駕駛數據合規(guī)挑戰(zhàn)

2021年8月20日，中國發(fā)布了一項重要的數據保護法，即《個人信息保護法》(Personal Information Protection Law, PIPL)。圍繞數據隱私，將零碎的立法統(tǒng)一并加強為一套完整的規(guī)范，包含數據的收集、處理和保護等規(guī)則。

與歐盟的通用數據保護條例（General Data Protection Regulation,GDPR）類似，PIPL在眾多方面對于數據隱私做出了相應的限制。

圖1 部分國家和地區(qū)的數據隱私法規(guī)

數據隱私保護法規(guī)的相關限制對自動駕駛行業(yè)無疑是一項重大挑戰(zhàn)。這是因為近年來在自動駕駛行業(yè)，眾多新能源車企已經將眼光從逐漸飽和的中國市場轉向歐洲市場，而數據采集作為自動駕駛數據閉環(huán)的開始，在中國地區(qū)和歐洲地區(qū)之間的數據轉移必須要符合相應地區(qū)的隱私保護法規(guī)，否則可能會和Google一樣，因侵犯用戶的隱私而面臨巨額罰款。

目前GDPR相關的罰款總額現已達到近50億歐元。

圖2 累計罰款總額（來源：GDPR Enforcement Tracker ）

在中歐地區(qū)之間進行自動駕駛行業(yè)的數據轉移時，為幫助車企避免違規(guī)受罰，本文接下來將從多個方面討論中國和歐盟隱私保護法規(guī)的異同之處。

二、PIPL和GDPR的異同點

1、覆蓋范圍

PIPL的范圍：（1）中國境內的個人信息的處理；（2）在海外處理中國境內個人信息：a.必須為中國提供產品或相關服務;b.中國公民的行為或是活動的數據分析處理必須在中國境內進行。

在覆蓋范圍這一層面上，GDPR（歐盟通用數據保護條例）與PIPL（中國個人信息保護法）呈現出相似性。就PIPL而言，它明確保障了在中國境內居住公民的個人信息安全。而對于在境外處理涉及中國公民個人信息的數據活動，PIPL同樣設定了條件，即這種處理必須旨在向中國境內的消費者提供商品或服務，簡而言之，其服務對象必須限定為中國公民。

一個可能的差異點在于，PIPL在執(zhí)行過程中明確指出了可能會援引其他法律或行政法規(guī)的情況，這一特點使得PIPL的適用范圍相較于GDPR更為廣泛。但在處理數據的過程中，企業(yè)也需要更加全面地考慮各種可能的法律限制和約束。

2、個人信息定義

PIPL規(guī)定了個人信息是指由電子類設備或是其他方式記錄，與已識別或可識別的自然人相關的信息，并指出不包括匿名化處理后的數據。

GDPR則在這一基礎上進一步細化了可識別自然人的定義，明確了無論是直接還是間接方式能夠識別出的個體均屬于此范疇，并列舉了諸如姓名、居住地址，以及自然人的物理、生理等特征作為具體示例，以更直觀地說明其定義。

圖3模糊匿名化后的數據

3、敏感數據

在敏感數據處理方面，PIPL與GDPR也存在異同之處。比如，PIPL與CCPA類似，直接使用了“敏感數據"（Sensitive Data）這一術語，而GDPR則稱之為“特殊類別信息"（Special Category Information）。這一稱呼上的差異也反映了兩者在敏感數據定義上的不同。

GDPR通過明確列出一種具體的信息清單，將符合該清單的數據歸類為“特殊類別信息"，并為其提供專門的保護。這種方式使得GDPR在敏感數據的識別上更加直接和具體。

相比之下，PIPL在敏感數據的定義上采取了更為寬泛的視角。它不僅包括了生物計量學特征、低于14歲公民個人信息等明確列出的內容，還支持對清單外數據內容提出爭議的權利。這意味著，在PIPL的框架下，敏感數據的范圍可能更加廣泛。

未完待續(xù)，我們將分享更多數據隱私和匿名化的相關內容。