大数据时代，我们变得愈发“透明”，随之而来的个人信息泄露风险，时刻挑动着我们的神经。从“3.15”爆出某些商家违规抓取人脸识别信息侵犯个人信息安全，到备受关注的“人脸识别第一案”去动物园看动物是不是必须“刷脸”迎来了终审判决，被告杭州野生动物世界被判删除原告郭兵办理指纹年卡时提交的包括照片在内的面部特征信息和指纹识别信息。非法获取个人信息，虽经有关部门重拳整治，但仍然屡禁不止。

随着互联网时代的到来，我们已经生活在传统社会和网络社会并存的二维时代，数据、信息成为最具有价值的资源。近日，一条被公开“车辆原始数据”被送上了“热搜”，被公开的“车辆原始数据”是否属于个人信息，是否侵犯个人隐私？运营者处理汽车相关数据应当遵循何种原则？

一、法律如何定义 “个人信息”

《民法典》第1034条第1款和第2款规定：“自然人的个人信息受法律保护。所谓“个人信息”是以电子或其他方式记录的能够单独或与其他信息结合识别特定自然人的各种信息，包括自然人的姓名、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱、健康信息、行踪信息等”。

《中华人民共和国网络安全法》第76条对“个人信息”采取了宽泛定义，即“以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息”，包括但不限于：自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。

《个人信息保护法（草案）征求意见稿》第4条规定：个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等活动”。第14条规定：“第14条规定：“处理个人信息的同意，应当由个人在充分知情的前提下，自愿、明确作出意思表示。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意”。

2018年5月25日正式实施的欧盟《通用数据保护条例》（General Data Protection Regulation, GDRP）适用于“个人数据”的处理，“个人数据”被宽泛地定义为“与已识别或可识别身份的自然人相关的任何信息”。此外，《GDRP》提高了处理“特殊类别的个人数据”的义务，这类数据包括：揭示种族或民族出身、政治观点、宗教或哲学信仰、工会成员身份、健康数据、性生活或性取向数据、或个人基因或生物识别数据。我国的网络安全法同样对“个人信息”采取了类似的宽泛定义，即“以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息”，包括但不限于：自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。《GDPR》和《网安法》均规定个人有权利要求更正和删除自己的个人数据/信息。

综上，以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息均属于“个人信息”。

二、被公开的“车辆原始数据”是否属于个人信息？是否侵犯个人隐私？

为加强个人信息和重要数据保护，规范汽车数据处理活动，国家互联网信息办公室于2021年5月12日《汽车数据安全管理若干规定（征求意见稿）》（下称“《汽车数据管理草案》”），该规定的适用范围涵盖汽车从设计生产、销售、服务、运营的各个环节。该规定所称个人信息是指包括车主、驾驶人、乘车人、行人等的个人信息，以及能够推断个人身份、描述个人行为等的各种信息。

同时，我国《民法典》和《网络安全法》中“个人信息”的定义为 “以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息”，包括但不限于：自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。据此，笔者认为，被公开的数据中车架号属于“个人信息”，因为通过特定的查询途径，可以从车架号中获取相关车辆所有人的姓名、性别，身份证件号码等信息。车辆所有人的姓名、身份证号码等信息属于我国法律保护的个人信息。

智能物联网汽车可以产生的数据主要分为四类：（1）车辆性能数据，如行驶里程、油耗等；（2）驾驶数据，如通过车内摄像头监测获取的驾驶员驾驶习惯，个人娱乐信息设置数据；（3）位置信息，如实时位置信息，和行驶轨迹等；（4）周边数据，如车辆周边环境，交通标志等。《汽车数据管理草案》是《数据安全法（草案二次审议稿）》发布后第一部出台的含有明确行业内重要数据范围的规范性文件，并首次明确汽车相关的重要数据的范围。所谓“重要数据”包括：（1）军事管理区、国防科工等涉及国家秘密的单位、县级以上党政机关等重要敏感区域的人流车流数据；（2）高于国家公开发布地图精度的测绘数据；（3）汽车充电网的运行数据；（4）道路上车辆类型、车辆流量等数据；（5）包含人脸、声音、车牌等的车外音视频数据；（6）国家网信部门和国务院有关部门明确的其他可能影响国家安全、公共利益的数据。汽车销售公司公布的车辆行驶数据是车速、踩下制动踏板的时间、车驾号、制动踏板物理移动信号、制动主缸压力等数据。因被公开的“车辆行驶数据”中既不包含驾驶数据，也没有包含位置数据。故笔者认为被公开的“车辆原始数据”并不属于法律意义上的“个人信息”。那么，被公开的信息是否侵犯个人隐私？

《民法典》第1032条第2款规定：“隐私是自然人的私人生活安宁和不愿为他人所知晓的私密空间、私密活动、私密信息”。据此，笔者认为隐私和个人信息应当区分，个人信息是除去隐私之外作为独立保护的客体信息。隐私和个人信息的保护视角不同，法律保护隐私是为了维护自然人的私生活领域免受刺探，法律保护个人信息是基于个人信息的识别力以及应对自动化、规模化开发利用个人信息给信息主体造成的威胁。综前所述，笔者认为从已被公开的“车辆原始数据”看不构成侵犯自然人的隐私权。

三、随着智能汽车的快速发展，保障智能汽车数据安全成为一项新的重要课题，《汽车数据管理草案》明确了汽车数据处理细节的要求，并对汽车相关行业的实践提供了切实可行的操作方向

首先，明确告知个人信息收集

《汽车数据管理草案》第七条规定：运营者处理个人信息应当通过用户手册、车载显示面板或其他适当方式，告知负责处理用户权益责任人的有效联系方式，以及收集数据的类型，包括车辆位置、生物特征、驾驶习惯、音视频等，并提供以下信息：（1）收集每种类型数据的触发条件以及停止收集的方法；（2）收集各类型数据的目的、用途；（3）数据保存地点、期限，或者确定保存地点、期限的规则；（4）删除车内、请求删除已经提供给车外的个人信息的方法步骤。

其次，确定运营者收集与处理个人信息的要求

《汽车数据管理草案》第八条规定：运营者收集和向车外提供敏感个人信息，包括车辆位置、驾驶人或乘车人音视频等，以及可以用于判断违法违规驾驶的数据等，应当符合以下要求：（1）以直接服务于驾驶人或者乘车人为目的，包括增强行车安全、辅助驾驶、导航、娱乐等；（2）默认为不收集，每次都应当征得驾驶人同意授权，驾驶结束（驾驶人离开驾驶席）后本次授权自动失效；（3）通过车内显示面板或语音等方式告知驾驶人和乘车人正在收集敏感个人信息；（4）驾驶人能够随时、方便地终止收集；（5）允许车主方便查看、结构化查询被收集的敏感个人信息；（6）驾驶人要求运营者删除时，运营者应当在2周内删除。

第三，个人信息收集应取得授权同意

《汽车数据管理草案》第九条规定：运营者收集个人信息应当取得被收集人同意，法律法规规定不需取得个人同意的除外。实践上难以实现的（如通过摄像头收集车外音视频信息），且确需提供的，应当进行匿名化或脱敏处理，包括删除含有能够识别自然人的画面，或对这些画面中的人脸等进行局部轮廓化处理等。

第四、生物特征数据收集的必要性原则

《汽车数据管理草案》第十条规定：仅当为了方便用户使用、增加车辆电子和信息系统安全性等目的，方可收集驾驶人指纹、声纹、人脸、心律等生物特征数据，同时应当提供生物特征的替代方式。笔者认为，从该项规定看运营者在中华人民共和国境内设计、生产、销售、运维、管理汽车过程中，收集个人生物特征数据应当遵循必要性原则。《中华人民共和国网络安全法》第41条同样规定运营者收集、使用个人信息应当遵循必要原则。根据释义，该条包含着“目的特定”和“收集使用限制”两项内容：前者是指个人信息的收集、处理与利用应当依据特定、明确的目的进行，对于公共部门而言，收集个人信息只能出于履行其职责之特定目的，对于私营部门而言，收集个人信息必须与其提供的服务相关；后者则要求收集、使用个人信息应限定在必要限度内，不能超出特定目的的合理范围。信息安全技术个人信息安全规范》（GB/T 35273-2017）第5.2 收集个人信息的最小化要求，对个人信息控制者的要求包括：（1） 收集的个人信息的类型应与实现产品或服务的业务功能有直接关联。直接关联是指没有该信息的参与，产品或服务的功能无法实现；（2）自动采集个人信息的频率应是实现产品或服务的业务功能所必需的最低频率；（3）间接获取个人信息的数量应是实现产品或服务的业务功能所必需的最少数量。由此可知，收集个人信息与实现产品或服务的业务功能之间的直接关联、最低频率和最少数量关系。

从上述规定可以看出，服务提供者收集、利用用户信息应当遵循合法、正当、必要的原则并经被收集者同意。此外，国际上关于个人信息保护方面的主要法律文本，例如欧盟《通用数据保护条例》（General Data Protection Regulation, GDRP）亦规定，商业化利用个人信息必须告知用户并取得用户的同意。因此，服务提供者对用户个人信息的采集和利用必须以取得用户的同意为前提，这亦是企业在利用用户信息时应当遵守的一般商业道德。

随着互联网科技的高速发展，数据价值在信息社会中凸显得尤为重要。对企业而言，数据已经成为一种商业资本，一项重要的经济投入，科学运用数据可以创造新的经济利益。因此，数据的获取和使用，不仅能成为企业竞争优势的来源，更能为企业创造更多的经济效益，是经营者重要的竞争优势与商业资源。因此，服务提供者在收集自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码、消费偏好、消费习惯等个人信息，并对收集信息进行使用、加工的，在收集前述信息过程中会涉及相关受法律保护的个人信息，服务提供者应确保上述数据均为征得自然人同意收集并在自然人同意的前提下进行使用的数据。