一句话回答：行车轨迹、驾驶习惯这类数据大多属于个人信息，其中“行踪轨迹”还是敏感个人信息，归车主本人控制。车企处理这些数据必须坚持“车内处理、默认不收集、精度范围适用、脱敏处理”，涉及个人信息出车或者出境的，还要取得单独同意、做影响评估。
一、法律依据：车企处理数据有哪些硬规定
《个人信息保护法》第二十八条：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息；只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理。第二十九条：处理敏感个人信息应当取得个人的单独同意。第五十五条：处理敏感个人信息、向境外提供个人信息等情形，应当事前进行个人信息保护影响评估。第六十六条：违法处理个人信息，拒不改正的，处一百万元以下罚款；情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款。
针对汽车行业，《汽车数据安全管理若干规定（试行）》（2021年8月16日国家网信办等五部门公布，2021年10月1日起施行）提出“车内处理”“默认不收集”“精度范围适用”“脱敏处理”等原则，并要求处理敏感个人信息符合特定目的、充分必要性等要求；涉及重要数据的，还应当开展风险评估并报送。
二、实务中要注意什么
很多车企容易忽略：车机、App、摄像头、雷达收集的数据，往往不只是“车辆数据”，还牵涉个人信息甚至重要数据。实务中三条红线要记牢：一是能不收集就不收集、能车内处理就不出车，比如人脸、车内影像默认不采集；二是要出车的，先取得单独同意并做影响评估，把用户同意、告知、影响评估做成可留痕的证据；三是跨境传输要另走通道，数据出境安全评估、标准合同、认证三条路选一条，不能想传就传。数据一旦泄露，还要按规定通知用户和监管部门。
三、案例分析（示意情景）
（示意情景）某新能源车企的车机App默认开启“驾驶行为分析”，持续上传车主的行驶轨迹、急加速急刹车记录，并在用户协议里用一行小字笼统授权，既没有取得单独同意，也没做个人信息保护影响评估。监管部门检查后，可依据《个人信息保护法》第六十六条责令改正、给予警告；拒不改正的可以并处罚款；情节严重的，还可能被处以上一年度营业额百分之五以下的罚款，并责令暂停相关业务。
四、一句收尾
智能汽车越“聪明”，收集的数据越多，合规的边界就越要收紧——把“默认不收集、最小必要、单独同意”落到产品设计里，才是车企最稳的姿势。
五、常见问题（FAQ）
问：行车轨迹属于敏感个人信息吗？
答：属于。《个人信息保护法》第二十八条明确把“行踪轨迹”列为敏感个人信息，车企处理这类信息要取得单独同意，并事前做个人信息保护影响评估。
问：车企收集我的行车数据，需要我同意吗？
答：需要。除为订立、履行合同所必需等法定情形外，处理个人信息应当取得同意；处理敏感个人信息（如行踪轨迹、人脸）还要取得单独同意。
问：汽车数据出境有什么要求？
答：涉及个人信息出境的，要符合数据出境安全评估、个人信息出境标准合同、个人信息保护认证三条路径之一；涉及重要数据出境的，应当申报数据出境安全评估。
问：车企不落实合规，会被罚多少？
答：按《个人信息保护法》第六十六条，拒不改正的处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款；情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款，并可责令暂停业务、吊销许可，对责任人员处十万元以上一百万元以下罚款并可以决定禁业。
问：车主要求删除自己的行车数据，车企必须删吗？
答：属于个人信息的数据，个人有权要求删除，企业应当依法及时删除并告知；不具备删除条件的，应当停止除存储和采取必要安全保护措施之外的处理。
六、相关阅读
相关阅读
- 数据合规与人工智能法律专题
- 死者个人信息怎么处理？近亲属能查询、复制、删除逝者的个人信息吗？
- 行踪轨迹信息属于敏感个人信息吗？企业收集员工定位、客户位置信息要遵守哪些规则？
- 个人信息保存期限是多久？企业超期保存、到期不删会有什么后果？
- 处理已公开的个人信息还需要同意吗？企业用公开数据会不会违法？
- 个人信息保护认证是什么？企业做PIP认证有什么用、怎么办理？
王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512