汽车数据出境安全指引（2026版）你问我答
中国信息通信研究院国家工业信息安全发展研究中心中汽智能科技（天津）有限公司 车联网安全集智联盟 中国汽车工业协会 中国电池工业协会 工业信息安全产业发展联盟中国智能网联汽车产业创新联盟 中国通信标准化协会 中国互联网协会 2026 为引导汽车数据处理者高效便利安全开展汽车数据出境活动，履行数据安全责任义务，提升数据安全保护水平，依据《汽车数据出境安全指引（2026版）》（以下简称《安全指引》），聚焦汽车数据出境场景下高频热点问题，采用问答的形式，制定本文件。 一、基础定义类 1.汽车数据处理者的范围是什么？ 答：《安全指引》适用于开展汽车数据处理活动中自主决定处理目的和处理方式的组织、个人，包括汽车制造商、零部件和软件供应商、电信运营企业、自动驾驶服务商、平台运营企业、经销商、维修机构、出行服务企业、地图平台企业、动力电池制造企业等。其他类型企业如满足自主决定汽车数据处理目的、处理方式，也应按照《安全指引》要求履行相关义务。 2.汽车数据中的个人信息范围是什么？按照《安全指引》，个人信息达到多少量级需要申报数据出境安全评估？ 答：汽车数据中的“个人信息”包括车主、乘客以及车外摄像头采集的视频、图像中涉及的个人信息。《安全指引》第一部分“总则”明确，非关键信息基础设施运营者向境外提供个人信息（不含敏感个人信息）需申报数据出境安全评估的量级为自当年1月1日起累计100万及以上，敏感个人信息量级为自当年1月1日起累计1万及以上。关键信息基础设施运营者向境外提供个人信息的，应当依法依规申报数据出境安全评估。 3.如果企业A只负责数据的收集和使用，数据的存储、处理等均由另一个企业B（与A为不同法人主体）完成，企业A是否被定义为汽车数据处理者？如果申报数据出境，应当由企业A还是企业B进行申报？ 答：《安全指引》第一部分“总则”明确，“汽车数据处理者是指开展汽车数据处理活动中自主决定处理目的、处理方式的组织、个人”。企业A自主决定数据的收集和使用，企业B自主决定数据的存储、处理，因此，A和B均为汽车数据处理者。无论企业A或者企业B，只要存在汽车数据出境情况，均应当依法依规申报数据出境安全评估、订立个人信息出境标准合同或通过个人信息出境认证。 4.汽车数据处理者如何报告安全漏洞数据？ 答：汽车数据处理者应按照《网络安全产品漏洞管理规定》，登录工业和信息化部网络安全威胁和漏洞信息共享平台—车联网产品安全漏洞专业库（NVDB-CAVD）平台（https://cavd.org.cn），进入主界面后点击“漏洞报送”，按照平台相关说明进行漏洞信息填报。 5.低中等级漏洞是否也需要先向工业和信息化部报备才可以免予申报数据出境安全评估？ 答：《安全指引》第二部分“重要数据判定”明确，涉及高危及以上安全漏洞的未公开的车辆及车联网平台安全漏洞信息以及相关系统名称、系统域名、IP地址、端口、风险URL为重要数据。低中等级漏洞，按照《安全指引》，不属于重要数据。 6.NVDB-CAVD漏洞库下发的安全漏洞也需要先报备么？ 答：对于NVDB-CAVD漏洞库下发的安全漏洞，汽车数据处理者也需要登录工业和信息化部网络安全威胁和漏洞信息共享平台—车联网产品安全漏洞专业库（NVDB-CAVD）平台（https://cavd.org.cn），进入主界面后点击“通用漏洞出境报告”或“待处置漏洞”，按照平台相关说明进行漏洞信息填报。 7.如果向工业和信息化部报备的企业主体和实际开展出境业务的企业主体不是同一个，涉及安全漏洞数据，是否需要重新报备才可以免于申报数据出境安全评估？ 答：向工业和信息化部进行安全漏洞报备的企业主体和实际开展出境业务的企业主体不同的情况下，实际开展出境业务的企业仍需完 成漏洞报备后，才可以免予申报数据出境安全评估。 8.汽车数据处理者如何报告安全事件数据？ 答：按照《公共互联网网络安全突发事件应急预案》，汽车数据处理者应当对本单位网络和系统的运行状况进行密切监测，一旦发生网络安全突发事件，应当立即向工业和信息化部网络安全应急办公室和相关省（自治区、直辖市）通信管理局报告；按照《工业和信息化领域数据安全事件应急预案（试行）》，汽车数据处理者认为可能发生较大及以上数据安全事件的，应当立即向地方行业监管部门报告。 9.安全事件数据是否可以在国外的安全领域最佳实践中被公开披露？ 答：《安全指引》第二部分“重要数据判定”明确，满足“涉及重大及以上网络和数据安全事件的”即识别为重要数据，但考虑到企业因处置事件的时效性需要，“因处置安全事件需要，按照行业网络安全、数据安全事件相关应急预案，已向工业和信息化部及相关行业监管部门报告的汽车产品、车联网平台及相关系统的安全事件数据”免予申报数据出境安全评估。“最佳实践披露”不属于该场景，如需出境，应当依法依规申报数据出境安全评估。 10.汽车数据处理者如何备案OTA升级软件包？ 答：汽车数据处理者应按照《缺陷汽车产品召回管理条例》《关于进一步加强智能网联汽车产品准入、召回及软件在线升级管理的通知 》 等 文 件 要 求 ， 通 过 国 家 汽 车 产 品 召 回 综 合 管 理 信 息 系 统（http://qczh.samr.gov.cn）提交备案信息，将电子版升级包以光盘形式邮寄至国家市场监督管理总局缺陷产品管理中心，完成汽车远程升级（OTA）技术备案。 二、重要数据判定类 11.如何理解《安全指引》中“重要数据判定”的适用场景？是否只是针对出境业务，企业在其他业务环节中应如何把握？ 答：《安全指引》第二部分“重要数据判定”明确了汽车领域重 要数据判定规则，适用于汽车数据处理者开展重要数据识别和目录备案。如果已经识别为重要数据，应该按照《中华人民共和国数据安全法》《数据出境安全评估办法》等法律政策相关要求，履行包括数据出境场景在内的数据全生命周期安全保护义务。 12.如同一类数据在不同场景下均涉及，应该如何选择适配的重要数据判定规则？ 答：分别针对每个场景，按照数据项、数据项说明确定数据类别，再根据相关判定规则进行数据级别判定，符合任意一条判定规则的，即属于重要数据。 13.已识别出的重要数据是否禁止出境？ 答：按照《中华人民共和国网络安全法》《中华人民共和国数据安全法》有关要求，汽车数据处理者因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估。已经通过数据出境安全评估的重要数据可以出境。 14.如何理解判定规则中“国家重大专项、国家重点研发计划支持的”的表述？ 答：“国家重大专项、国家重点研发计划”指国家或者有关部门委托研究的重点研发任务或国家科技计划项目，如需要了解更详细的信息，可联系相关委托部门咨询。 15.“国家重大专项、国家重点研发计划支持的”或者“涉及车联网网络与数据安全、驾驶自动化功能相关成果获得省部级及以上奖励的”是否有时间周期？ 答：没有时间周期，相关数据类别符合“国家重大专项、国家重点研发计划支持的”或者“获得省部级及以上奖励的驾驶自动化相关成果”，无论何时获得的支持或奖励，均属于重要数据。 16.企业参与了某项国家重点研发计划，但该项研发计划已被列为国家秘密，其相关数据是否属于重要数据？ 答：按照《中华人民共和国数据安全法》第五十三条，开展涉及国家秘密的数据处理活动，适用《中华人民共和国保守国家秘密法》等法律、行政法规的规定。 17.如何识别汽车动力电池相关重要数据？ 答：《安全指引》第二部分“重要数据判定”中的研发设计、生产制造场景明确汽车动力电池相关数据项及重要数据判定规则，汽车数据处理者应先按照数据类别、数据项和数据项说明确定数据分类，再根据判定规则确定数据级别，识别是否属于重要数据。 18.经脱敏处理的数据，是否就可以不用再进行数据级别判定了？ 答：经脱敏处理的数据，仍需按照《安全指引》第二部分“重要数据判定”的判定规则进行数据级别判定，如符合“涉及或经汇聚、分析后能推算出军事管理区、国防科工单位及县级以上党政机关等重要敏感区域”等相关判定规则中的任意一项，即属于重要数据。 19.如何理解判定规则中“涉及在境内运行的10万台以上车辆收集的”？该数量是否是去重后的累计数量，还是要包含未来预期？是否包含境内短暂运行，然后就出口境外的车辆？是否区分量产或测试车辆？ 答：“涉及在境内运行的10万台以上车辆收集的”中的“10万”，指截至到目前、去重后的累计数量，这个数量指的是在境内短暂或长期运行的量产车或测试车，不包含未来预期。 20.关于“涉及采集真实环境中累计2000小时以上原始影像”和“涉及1000万张以上原始图片”，是否包含公开的数据集？ 答：无论是否包含公开数据，均应该按照《安全指引》进行数据级别判定，如符合相关判定规则，即属于重要数据。 21.判定规则中“涉及采集真实环境中累计2000小时以上原始影像”“涉及1000万张以上原始图片”，如果车机采集阶段就已进行了脱敏和匿名化的影像和图片（原始图片/视频已是匿名化处理之后 的），是否不包含在判定规则范围内？ 答：相关数据中包含的视频或图片无论是否进行了脱敏或匿名化，均应该按照上述判定规则进行数据级别判定，符合“涉及采集真实环境中累计2000小时以上原始影像”或“涉及1000万张以上原始图片”的，属于重要数据。 22.关于判定规则中“车外真实人脸边界框最小边长为32像素以上”和“车外真实汽车号牌边界框最小边长为16像素以上”是否涉及数量要求？广告牌、光滑表面倒映中出现的人脸目标是否属于上述判断规则范围？ 答：不涉及数量要求，只要符合判定规则像素要求应当识别为重要数据。广告牌上出现的人脸、光滑表面倒映中出现的人脸目标如果是真实人脸，也应按照判定规则进行数据级别判定。 23.生产制造场景与研发设计场景中的“物料清单”如何区分？判定规则是否通用？ 答：分属于研发设计和生产制造两个阶段，二者数据项说明不同，判定规则相同。 24.基于开源人工智能技术的驾驶自动化算法数据，是否属于重要数据？ 答：《安全指引》第二部分“重要数据判定”明确，“驾驶自动化算法源代码”指的是“基于人工智能技术的未开源的组合驾驶辅助或自动驾驶算法源代码”，对于基于开源人工智能技术开展自主研发、且最终未作开源处理的驾驶自动化算法源代码，应当依据判定规则开展数据级别判定；如符合相关判定规则，即属于重要数据。 25.车企在与高校、科研机构等联合开展研究过程中产生的驾驶自动化算法相关科研论文成果，是否属于重要数据？ 答：按照《安全指引》第二部分“重要数据判定”，先判断论文中是否涉及驾驶自动化算法文件、驾驶自动化算法源代码、驾驶自动化算法参数等数据，如果涉及，按照其判定规则进行数据级别判定， 符合相关判定规则的，属于重要数据。 26.关于驾驶自动化算法训练数据中的“方向盘转向角、档位信息、刹车踏板开度”是否属于重要数据？ 答：《安全指引》第二部分“重要数据判定”明确，“与车外实景影像、雷达数据融合关联后，符合以下任意一项条件的”属于重要数据，如果只是“方向盘转向角、档位信息、刹车踏板开度”，未与车外实景影像、雷达数据融合关联，不属于重要数据。 27.驾驶自动化算法训练数据及特征数据的判定规则“涉及采集真实环境中累计2000小时以上原始影像的，或者基于此影像生成的”是否为去重的2000小时？还是数据处理者所持有2000小时？是否与车辆数量有关？ 答：上述判定规则中的累计2000小时以上，不需要去重，只要达到时长要求，即属于重要数据，与采集数据的车辆数量无关。 28.驾驶自动化算法训练数据及特征数据中的判定规则“涉及1000万张以上原始图片的，或者基于此图片生成的”是否为去重的1000万张？还是数据处理者所持有1000万张？是否与车辆数量有关？ 答：上述判定规则中的1000万张以上，不是去重后的，只要达到图片数量要求，即属于重要数据，与采集数据的车辆数量无关。 29.“经过特征提取出的道路标志、标线、
