康謀分享 | 數(shù)據(jù)隱私和匿名化：PIPL與GDPR下，如何確保數(shù)據(jù)合規(guī)？（一）

自動駕駛技術(shù)的快速發(fā)展伴隨著數(shù)據(jù)隱私保護的嚴峻挑戰(zhàn)。中國《個人信息保護法》（PIPL）與歐盟《通用數(shù)據(jù)保護條例》（GDPR）為自動駕駛數(shù)據(jù)合規(guī)設(shè)立了高標準。本篇文章將帶大家深入探討PIPL與GDPR的異同點，期望能夠幫助車企更好地理解并應(yīng)對數(shù)據(jù)隱私保護法規(guī)的挑戰(zhàn)，推動自動駕駛行業(yè)健康發(fā)展。

一、自動駕駛數(shù)據(jù)合規(guī)挑戰(zhàn)

2021年8月20日，中國發(fā)布了一項重要的數(shù)據(jù)保護法，即《個人信息保護法》(Personal Information Protection Law, PIPL)。圍繞數(shù)據(jù)隱私，將零碎的立法統(tǒng)一并加強為一套完整的規(guī)范，包含數(shù)據(jù)的收集、處理和保護等規(guī)則。

與歐盟的通用數(shù)據(jù)保護條例（General Data Protection Regulation,GDPR）類似，PIPL在眾多方面對于數(shù)據(jù)隱私做出了相應(yīng)的限制。

圖1 部分國家和地區(qū)的數(shù)據(jù)隱私法規(guī)

數(shù)據(jù)隱私保護法規(guī)的相關(guān)限制對自動駕駛行業(yè)無疑是一項重大挑戰(zhàn)。這是因為近年來在自動駕駛行業(yè)，眾多新能源車企已經(jīng)將眼光從逐漸飽和的中國市場轉(zhuǎn)向歐洲市場，而數(shù)據(jù)采集作為自動駕駛數(shù)據(jù)閉環(huán)的開始，在中國地區(qū)和歐洲地區(qū)之間的數(shù)據(jù)轉(zhuǎn)移必須要符合相應(yīng)地區(qū)的隱私保護法規(guī)，否則可能會和Google一樣，因涉嫌侵犯用戶的隱私而面臨巨額罰款。

目前GDPR相關(guān)的罰款總額現(xiàn)已達到近50億歐元。

圖2 累計罰款總額（來源：GDPR Enforcement Tracker ）

在中歐地區(qū)之間進行自動駕駛行業(yè)的數(shù)據(jù)轉(zhuǎn)移時，為幫助車企避免違規(guī)受罰，本文接下來將從多個方面討論中國和歐盟隱私保護法規(guī)的異同之處。

二、PIPL和GDPR的異同點

1、覆蓋范圍

PIPL的范圍：（1）中國境內(nèi)的個人信息的處理；（2）在海外處理中國境內(nèi)個人信息：a.必須為中國提供產(chǎn)品或相關(guān)服務(wù);b.中國公民的行為或是活動的數(shù)據(jù)分析處理必須在中國境內(nèi)進行。

在覆蓋范圍這一層面上，GDPR（歐盟通用數(shù)據(jù)保護條例）與PIPL（中國個人信息保護法）呈現(xiàn)出相似性。就PIPL而言，它明確保障了在中國境內(nèi)居住公民的個人信息安全。而對于在境外處理涉及中國公民個人信息的數(shù)據(jù)活動，PIPL同樣設(shè)定了條件，即這種處理必須旨在向中國境內(nèi)的消費者提供商品或服務(wù)，簡而言之，其服務(wù)對象必須限定為中國公民。

一個可能的差異點在于，PIPL在執(zhí)行過程中明確指出了可能會援引其他法律或行政法規(guī)的情況，這一特點使得PIPL的適用范圍相較于GDPR更為廣泛。但在處理數(shù)據(jù)的過程中，企業(yè)也需要更加全面地考慮各種可能的法律限制和約束。

2、個人信息定義

PIPL規(guī)定了個人信息是指由電子類設(shè)備或是其他方式記錄，與已識別或可識別的自然人相關(guān)的信息，并指出不包括匿名化處理后的數(shù)據(jù)。

GDPR則在這一基礎(chǔ)上進一步細化了可識別自然人的定義，明確了無論是直接還是間接方式能夠識別出的個體均屬于此范疇，并列舉了諸如姓名、身份證號碼、居住地址，以及自然人的物理、生理等特征作為具體示例，以更直觀地說明其定義。

3、敏感數(shù)據(jù)

在敏感數(shù)據(jù)處理方面，PIPL與GDPR也存在異同之處。比如，PIPL與CCPA類似，直接使用了“敏感數(shù)據(jù)”（Sensitive Data）這一術(shù)語，而GDPR則稱之為“特殊類別信息”（Special Category Information）。這一稱呼上的差異也反映了兩者在敏感數(shù)據(jù)定義上的不同。

GDPR通過明確列出一種具體的信息清單，將符合該清單的數(shù)據(jù)歸類為“特殊類別信息”，并為其提供專門的保護。這種方式使得GDPR在敏感數(shù)據(jù)的識別上更加直接和具體。

相比之下，PIPL在敏感數(shù)據(jù)的定義上采取了更為寬泛的視角。它不僅包括了生物計量學(xué)特征、低于14歲公民個人信息等明確列出的內(nèi)容，還支持對清單外數(shù)據(jù)內(nèi)容提出爭議的權(quán)利。這意味著，在PIPL的框架下，敏感數(shù)據(jù)的范圍可能更加廣泛。

未完待續(xù)，我們將分享更多數(shù)據(jù)隱私和匿名化的相關(guān)內(nèi)容。