汽车数据安全强标征求意见：把选择权还给车主 基础功能不得捆绑授权
10月20日，工业和信息化部公开征求对《 汽车 数据安全 要求》强制性国家标准的意见。
汽车 数据涵盖车辆运行数据、用户个人信息以及道路环境数据等多个方面。通过对 汽车 数据的大规模训练与处理，不仅能够为用户提供更个性化、智能化的服务，提升用户体验，还可为智能网联汽车的发展提供坚实的数据支撑。
但近年来，汽车 数据安全 事件频发。汽车数据不仅涉及用户隐私安全，一旦泄露可能导致用户遭受诈骗、骚扰、声誉损害等风险，同时也关乎国家安全，如关键道路信息、交通流量数据、OTA源代码、控车指令等若被窃取或篡改，将对国家交通基础设施安全、社会公共安全等构成严重威胁。
当前，部分市场在售汽车在数据收集、存储、传输等环节仍缺乏统一规范与有效安全防护措施，导致数据泄露事件时有发生。因此，制定汽车 数据安全 强制性国家标准显得尤为迫切。
《汽车数据安全要求》（征求意见稿）界定了标准适用范围、相关术语，从安全保障、基本规则、技术规范三个层面设立要求，并配套对应的检验与试验方法，包含型式判定、标准实施相关规定；同时设置多份规范性附录，对数据处理清单、个人信息分级、重要数据识别、例外场景等内容作出明确界定。
在数据收集方面，征求意见稿体现出的核心之一就是把选择权还给消费者：默认不收集、不能以升级等名义偷偷收集、更不能以正常功能使用“要挟”消费者。
征求意见稿提出，除非用户自主设定或是涉及安全的紧急情况等例外情形，车辆应默认设定为不收集个人信息的状态。这不仅要求“车辆出厂时应默认设定为不收集个人信息的状态”，还要求“车辆弹窗默认勾选同意个人信息处理规则也不视为符合本条款要求。”
为防止车辆以软件升级功能预留、后台服务等名义未使用到对应功能前提前获取授权或收集非必要个人信息，征求意见稿明确要求，车辆无相关功能或未激活相关功能时，不应调用摄像头、位置、传声器等非必要权限或收集非必要个人信息。
更进一步，征求意见稿还规定了车辆基本功能与个人信息处理同意之间的独立性要求：“车辆不应以个人信息主体不同意收集其个人信息或者撤回同意为由，拒绝提供不需处理个人信息或仅在车内处理车辆识别代号即可实现的功能。”
也就是说，无论用户是否同意处理个人信息，车辆必须提供车辆已配备的不需处理个人信息或仅在车内处理车辆识别代号即可实现的功能，包括但不限于启动、制动、转向、换挡、车载无线广播接收系统、雨刮控制、车灯控制、 空调 、音量控制、间接视野装置调节、车门开启、车门关闭、前后舱盖开启、前后舱盖关闭、座椅调节、座椅通风、座椅加热、方向盘调节、方向盘加热及仪表显示等。
这一规定将从源头遏制住“不同意隐私协议就锁死所有车机功能”、所有隐私协议捆绑授权等霸王条款。
此外，在数据传输、数据删除，以及相关测试、检查方面，征求意见稿都作出了相应的要求。
该标准涉及企业汽车数据安全保障能力建设及调整、车辆功能开发调整、检验检测机构试验准备等问题，为保证各相关方预留充分准备时间，标准建议实施日期为2028年7月1日