“新规范”施行第一天，各大车企要做哪些调整？

【编者按】数字化时代，车企除了不断加强自身的数据资产外，还需提前布局外部数据合作生态，高效保障车企的出行服务化转型。

本文转载自汽车商业评论，原作者张椿琳；由亿欧汽车整理转载，供行业内人士参考。

2020年10月1日，一部新的法律规范正式实施，即《信息安全技术个人信息安全规范》（以下简称“新规范”），这是继2017年底发布征求意见稿之后的一次重要修订，它更加关注当前大数据发展环境下的个人信息安全。

汽车行业智能化和网联化的转型升级，不可避免要涉及到大量个人信息的采集和应用，那么我们该做出哪些调整以应对“新规范”的要求呢？

首先，我们来整体把握一下“新规范”的主要修改内容和方向。除了“授权同意”“账户注销”“实现个人信息主体自主意愿的方法”等内容的修改外，还新增了多项业务功能的自主选择、用户画像、个性化展示、个人信息汇聚融合、个人信息安全工程、第三方接入管理等相关要求，比如规定了定向推送相关要求以及用户可以撤回的权利。

提出了平台第三方接入责任的相关要求，对第三方接入的监督管理责任进行细化，并以App为例进行解释说明，加强标准指导实践，比如车企必须管控在车主App中的SDK合作方的数据采集、存储和使用。

同时，在个人生物识别信息收集方面也做了非常明确的规定，信息收集前应单独向个人主体告知并征得个人信息主体的明示同意，收集后个人生物识别信息要与个人身份信息分开存储，且原则上不应存储原始个人生物识别信息等内容。

“注重保护数据安全和个人隐私已成为每个企业的必要责任，利用新技术在合法合规的前提下最大化开发数据价值，实现数据驱动也成为每个企业的必修课。”

这些主要的修改内容与汽车行业，尤其是营销领域的业务息息相关。车企应提前做出改变，重新梳理客户全生命周期的授权管理体系，在“新规范”正式执行前完成调整，以确保用户数据应用合法合规，避免用户投诉和相关法律风险。这次调整不仅涉及线上、线下，还包括第三方数据接入。

线上，车企自建的2C触点（如车主App、官网、订阅号等）需要变更隐私声明并重新获取用户授权，声明中需明确数据采集范围以及必要性、明示数据应用主体以及应用目的、明示集成的第三方SDK范围以及第三方SDK的信息收集内容及应用目的。另外，也需明确告知用户可以有权利要求删除其个人数据等。在这一方面，天猫平台的用户隐私声明值得研究和参考。

天猫从数据的采、存、转、用、管进行了全方位的阐述，特别是采，从为用户提供的服务出发，精准地向用户明示每一类服务所必要收集的数据字段，以及基于这些信息提供的服务内容。这样一份详细的用户隐私声明，不仅仅可以为企业规避法律风险，更能让用户感知到企业对个人隐私保护的用心和诚意，提升用户好感度。

线下，需要从客户服务全链路考虑（进店、试驾、订单、交车），目前试驾和订单基本上各品牌已在试驾协议、订单合同中都包含了隐私声明，但是在进店这个环节，大部分品牌是缺失的。简而言之，如果客户只进店而不试驾、不成交，从数据安全角度，品牌是无权对其进行再次触达及营销的（同2020年8月知名人士刘润举报四川航空侵犯隐私）。

值得一提的是宝马品牌，在2019年底已经开始在此方面进行布局，在进店客户信息登记表中添加个人信息保护声明相关内容，要求经销商前台在客户离店前，引导客户进行签署，并作为商务政策敦促门店执行。前段时间，笔者与一家宝马4S店的总经理沟通，其反馈目前进店客户签署率达到95%以上。这一动作，值得各品牌借鉴。

数字化时代，车企除了不断加强自身的数据资产外，还需提前布局外部数据合作生态。只有整个社会的数据流通起来，才能更加高效地保障车企的出行服务化转型。例如，营销领域的个性化推送是客户运营的重要手段，这就要求车企对客户的洞察更加精细和完备。因此，车企除自有数据外，还需要与数字媒体、运营商、互联网公司、金融机构等进行多方合作。

“新规范”实施前，车企与外部数据合作的主要模式为数据资产补充，“新规范”正式实施后，数据的流通管控更加严格，外部数据合作伙伴也在逐步规范，除了要求供需双方都具备完整的用户授权外，数据服务内容也逐步由个体信息向群体分析转变，合作模式逐步由数据资产提供向结果导向和应用价值导向转变。

在技术方面，为了在促进数据流通的同时，保障用户的隐私和数据安全，资本较为雄厚的数据生态参与方也都在隐私计算上布局，比如蚂蚁金服的多方安全计算、微众银行的联邦学习、上海数据交易中心与公安部第三研究所联合研制的 XID标记技术。这些新技术均通过隔离数据和不可逆加密算法的方式，实现了数据“可用不可见”，也逐步成为了新的数据流通趋势。

近五年，国家多次提出要加快建设数字中国的步伐，积极布局数字经济相关产业，快速推进传统产业数字化转型，数字经济已成为当今最重要的经济增长引擎。与此同时，法律法规日趋健全，数据采集和使用的边界也逐渐清晰透明，注重保护数据安全和个人隐私已成为每个企业的必要责任，利用新技术在合法合规的前提下最大化开发数据价值，实现数据驱动也成为每个企业的必修课。