汽車數(shù)據(jù)安全管理合規(guī)清單

1、汽車數(shù)據(jù)安全管理合規(guī)清單內(nèi)部管理制度和技術(shù)措施是否明確負(fù)責(zé)人和管理機(jī)構(gòu)，落實網(wǎng)絡(luò)安全和數(shù)據(jù)安全保護(hù)責(zé)任？是否利用互聯(lián)網(wǎng)等信息網(wǎng)絡(luò)開展汽車數(shù)據(jù)處理活動時，是否落實網(wǎng)絡(luò)安全等級保護(hù)制度，包括但不限于：加強(qiáng)網(wǎng)絡(luò)設(shè)施和網(wǎng)絡(luò)系統(tǒng)資產(chǎn)管理；合理劃分網(wǎng)絡(luò)安全域；加強(qiáng)訪問控制管理；做好網(wǎng)絡(luò)邊界安全防護(hù)；采取防范木馬病毒和網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)侵入等危害車聯(lián)網(wǎng)安全行為的技術(shù)措施；自行或者委托檢測機(jī)構(gòu)定期開展網(wǎng)絡(luò)安全符合性評測和風(fēng)險評估，及時消除風(fēng)險隱患；其他網(wǎng)絡(luò)安全保障制度及技術(shù)措施：_。是否是否建立健全涵蓋汽車設(shè)計、生產(chǎn)、銷售、使用、運維等過程數(shù)據(jù)（個人信息）安全管理制度，包括但不限于：開展數(shù)據(jù)分類分級工作；建立風(fēng)險

2、監(jiān)測制度，采取措施監(jiān)控內(nèi)部數(shù)據(jù)處理活動和外部訪問活動，防范不正當(dāng)?shù)臄?shù)據(jù)訪問和處理行為；合理確定數(shù)據(jù)處理的操作權(quán)限；把對高敏感數(shù)據(jù)的處理以及特權(quán)賬戶對數(shù)據(jù)的訪問和操作都納入重點監(jiān)控范圍；建立數(shù)據(jù)安全事件應(yīng)急制度；制定數(shù)據(jù)安全事件應(yīng)急預(yù)案并定期進(jìn)行演練；定期對進(jìn)行培訓(xùn)，并考察能力與崗位職責(zé)的匹配程度；建立數(shù)據(jù)安全審計制度，定期引入第三方機(jī)構(gòu)對內(nèi)部數(shù)據(jù)處理活動進(jìn)行審計；其他數(shù)據(jù)安全和個人信息保護(hù)制度：_。是否針對數(shù)據(jù)全生命周期采取有效技術(shù)保護(hù)措施，防范數(shù)據(jù)泄露、毀損、丟失、篡改、誤用、濫用等風(fēng)險，包括但不限于：建立數(shù)據(jù)管理臺賬；采取匿名化、去標(biāo)識化、加密、完整性保護(hù)等技術(shù)措施；強(qiáng)化數(shù)據(jù)安全監(jiān)測預(yù)警和

3、應(yīng)急處置能力建設(shè)；提升異常流動分析、違規(guī)跨境傳輸監(jiān)測、安全事件追蹤溯源等水平；發(fā)生或者可能發(fā)生汽車數(shù)據(jù)泄露、篡改、丟失的，立即采取補(bǔ)救措施，并通知履行數(shù)據(jù)保護(hù)職責(zé)的部門和個人；及時處置數(shù)據(jù)安全事件，向所在?。▍^(qū)、市）通信管理局、工業(yè)和信息化主管部門報告較大及以上數(shù)據(jù)安全事件；配合開展相關(guān)監(jiān)督檢查，提供必要技術(shù)支持；其他技術(shù)保護(hù)措施：_。處理個人信息或重要數(shù)據(jù)時是否具有合法、正當(dāng)、具體、明確的目的，并與汽車的設(shè)計、生產(chǎn)、銷售、使用、運維等直接相關(guān)？是否個人信息保護(hù)是否遵循車內(nèi)處理原則，除非確有必要不向車外提供？是否是否遵循默認(rèn)不收集原則，除非駕駛?cè)俗灾髟O(shè)定，每次駕駛時默認(rèn)設(shè)定為不收集狀態(tài)？是否是

4、否遵循精度范圍適用原則，根據(jù)所提供功能服務(wù)對數(shù)據(jù)精度的要求確定攝像頭、雷達(dá)等的覆蓋范圍、分辨率？是否是否遵循脫敏處理原則，盡可能對所收集的汽車數(shù)據(jù)采取匿名化、去標(biāo)識化等處理？是否是否遵循最小保存期限原則，根據(jù)所提供功能服務(wù)分類型確定數(shù)據(jù)保存期限？是否車輛銷售時，道路機(jī)動車輛生產(chǎn)企業(yè)是否參照電話用戶真實身份信息登記相關(guān)標(biāo)準(zhǔn)規(guī)范，組織實施車聯(lián)網(wǎng)卡實名登記，核驗和登記車輛所有者（含單位用戶）真實身份信息？是否道路機(jī)動車輛生產(chǎn)企業(yè)在車輛銷售合同中，是否明確告知車輛所有者在辦理車輛過戶時，應(yīng)同步辦理車聯(lián)網(wǎng)卡實名過戶手續(xù)，并提示相關(guān)法律責(zé)任風(fēng)險？是否車輛銷售后，道路機(jī)動車輛生產(chǎn)企業(yè)是否將用戶登記信息、車聯(lián)

5、網(wǎng)卡號碼或識別碼等基礎(chǔ)信息及時傳送至電信企業(yè)？是否對用戶身份不明、拒絕身份查驗或者未按要求提供真實身份信息的，道路機(jī)動車輛生產(chǎn)企業(yè)是否通知電信企業(yè)關(guān)閉除緊急呼叫、應(yīng)急救援等影響生命安全以外的車聯(lián)網(wǎng)卡功能？是否在開展下列個人信息處理活動前，是否事前開展個人信息保護(hù)影響評估，并對處理情況進(jìn)行記錄：（1）處理敏感個人信息；（2）利用個人信息進(jìn)行自動化決策；（3）委托處理個人信息、向其他個人信息處理者提供個人信息、公開個人信息；（4）向境外提供個人信息；（5）其他對個人權(quán)益有重大影響的個人信息處理活動。是否處理個人信息是否通過顯著方式（如用戶手冊、車載顯示面板、語音以及汽車使用相關(guān)應(yīng)用程序等）告知個人

6、如下事項：處理個人信息的種類，包括車輛行蹤軌跡、駕駛習(xí)慣、音頻、視頻、圖像和生物識別特征等；收集各類個人信息的具體情境以及停止收集的方式和途徑；處理各類個人信息的目的、用途、方式；個人信息保存地點、保存期限，或者確定保存地點、保存期限的規(guī)則；查閱、復(fù)制其個人信息以及刪除車內(nèi)、請求刪除已經(jīng)提供給車外的個人信息的方式和途徑；用戶權(quán)益事務(wù)聯(lián)系人的姓名和聯(lián)系方式；法律、行政法規(guī)規(guī)定的應(yīng)當(dāng)告知的其他事項。是否汽車數(shù)據(jù)處理者處理個人信息是否符合以條件之一：取得個人或監(jiān)護(hù)人的同意；為訂立、履行個人作為一方當(dāng)事人的合同所必需，或者按照依法制定的勞動規(guī)章制度和依法簽訂的集體合同實施人力資源管理所必需；為履行法定

7、職責(zé)或者法定義務(wù)所必需；應(yīng)對突發(fā)公共衛(wèi)生事件，或者緊急情況下為保護(hù)自然人的生命健康和財產(chǎn)安全所必需；為公共利益實施新聞報道、輿論監(jiān)督等行為，在合理的范圍內(nèi)處理個人信息；依照本法規(guī)定在合理的范圍內(nèi)處理個人自行公開或者其他已經(jīng)合法公開的個人信息；法律、行政法規(guī)規(guī)定的其他情形。是否個人信息的處理目的、處理方式和處理的個人信息種類發(fā)生變更時，是否重新取得個人同意？是否因保證行車安全需要，無法征得個人同意采集到車外個人信息且向車外提供的，是否進(jìn)行匿名化處理，比如刪除含有能夠識別自然人的畫面，或者對畫面中的人臉信息等進(jìn)行局部輪廓化處理等？是否汽車數(shù)據(jù)處理者處理的數(shù)據(jù)是否包括如下類型（敏感個人信息）：生物識

8、別；宗教信仰；特定身份；醫(yī)療健康；金融賬戶；行蹤軌跡；不滿十四周歲未成年人的個人信息；其他一旦泄露或者非法使用，容易導(dǎo)致自然人的人格尊嚴(yán)受到侵害或者人身、財產(chǎn)安全受到危害的個人信息：_。是否汽車數(shù)據(jù)處理者處理敏感個人信息，是否具有直接服務(wù)于個人的目的，比如增強(qiáng)行車安全、智能駕駛、導(dǎo)航等？是否汽車數(shù)據(jù)處理者收集指紋、聲紋、人臉、心律等生物識別特征信息時，是否具有增強(qiáng)行車安全的目的和充分的必要性？是否處理汽車數(shù)據(jù)涉及不滿十四周歲未成年人個人信息的，是否制定專門的個人信息處理規(guī)則？是否汽車數(shù)據(jù)處理者處理敏感個人信息，是否通過用戶手冊、車載顯示面板、語音以及汽車使用相關(guān)應(yīng)用程序等顯著方式告知敏感個人信

9、息處理的必要性以及對個人的影響？是否汽車數(shù)據(jù)處理者處理敏感個人信息，是否取得個人的單獨同意，并確保個人可自主設(shè)定同意期限？是否在保證行車安全的前提下，汽車數(shù)據(jù)處理者處理敏感個人信息，是否以適當(dāng)方式提示收集狀態(tài)，為個人終止收集提供便利？是否個人要求刪除敏感個人信息的，汽車數(shù)據(jù)處理者是否在十個工作日內(nèi)刪除？是否是否建立健全個人行使權(quán)利響應(yīng)機(jī)制，包括但不限于：基于個人同意處理個人信息的，個人要求撤回其同意；個人要求對其個人信息的處理享有知情權(quán)、決定權(quán)，限制或者拒絕他人對其個人信息進(jìn)行處理個人向汽車數(shù)據(jù)處理者查閱、復(fù)制其個人信息；個人要求將個人信息轉(zhuǎn)移至其指定的個人信息處理者；個人要求對不準(zhǔn)確或不完整

10、的個人信息進(jìn)行更正、補(bǔ)充；個人要求刪除個人信息；個人要求汽車數(shù)據(jù)處理者進(jìn)行解釋說明；個人拒絕汽車數(shù)據(jù)處理者僅通過自動化決策的方式作出決定；其他：_。是否存在對外提供或委托處理個人信息的需求？是否對外提供或委托處理個人信息是否出于合法、必要的目的，并將個人信息的類型、數(shù)量、顆粒度控制在必要范圍之內(nèi)？是否在委托處理個人信息、向其他個人信息處理者提供個人信息、公開個人信息時，是否事前進(jìn)行個人信息保護(hù)影響評估，并對處理情況進(jìn)行記錄？是否在對外提供或委托處理個人信息前是否事先向個人告知接收方的名稱或者姓名、聯(lián)系方式、處理目的、處理方式和個人信息的種類，并取得個人的單獨同意？是否是否對接收方的個人信息保護(hù)

11、能力和相關(guān)業(yè)務(wù)資質(zhì)進(jìn)行評估？是否是否與接收方簽訂協(xié)議以明確個人信息保護(hù)義務(wù)？是否是否存在向境外提供個人信息的需求？是否需向境外提供個人信息的，是否就該事項獲取單獨同意？是否是否與境外個人信息接收者簽訂個人信息保護(hù)協(xié)議？是否在向境外提供個人信息前，是否具備下列條件之一：（1）通過國家網(wǎng)信部門組織的安全評估；（2）按照國家網(wǎng)信部門的規(guī)定經(jīng)專業(yè)機(jī)構(gòu)進(jìn)行個人信息保護(hù)認(rèn)證；（3）按照國家網(wǎng)信部門制定的標(biāo)準(zhǔn)合同與境外接收方訂立合同，約定雙方的權(quán)利和義務(wù)；（4）法律、行政法規(guī)或者國家網(wǎng)信部門規(guī)定的其他條件是否應(yīng)外國司法或執(zhí)法機(jī)構(gòu)要求提供存儲于中國境內(nèi)個人信息的，是否獲得主管機(jī)關(guān)的批準(zhǔn)？是否當(dāng)出現(xiàn)下列情形時，

12、汽車數(shù)據(jù)處理者是否及時刪除或?qū)€人信息進(jìn)行匿名化處理：（1）處理目的已實現(xiàn)、無法實現(xiàn)或者為實現(xiàn)處理目的不再必要；（2）汽車數(shù)據(jù)處理者停止提供產(chǎn)品或者服務(wù)，或者保存期限已屆滿；（3）個人撤回同意；（4）汽車數(shù)據(jù)處理者違反法律、行政法規(guī)或者違反約定處理個人信息。是否重要數(shù)據(jù)保護(hù)汽車數(shù)據(jù)處理者處理的數(shù)據(jù)是否包括如下類型（重要數(shù)據(jù)）：軍事管理區(qū)、國防科工單位以及縣級以上黨政機(jī)關(guān)等重要敏感區(qū)域的地理信息、人員流量、車輛流量等數(shù)據(jù)；車輛流量、物流等反映經(jīng)濟(jì)運行情況的數(shù)據(jù)；汽車充電網(wǎng)的運行數(shù)據(jù)；包含人臉信息、車牌信息等的車外視頻、圖像數(shù)據(jù)；涉及個人信息主體超過10萬人的個人信息；國家網(wǎng)信部門和國務(wù)院發(fā)展改革

13、、工業(yè)和信息化、公安、交通運輸?shù)扔嘘P(guān)部門確定的其他可能危害國家安全、公共利益或者個人、組織合法權(quán)益的數(shù)據(jù)。是否汽車數(shù)據(jù)處理者處理重要數(shù)據(jù)的，是否對其數(shù)據(jù)處理活動定期開展風(fēng)險評估，并向省、自治區(qū)、直轄市網(wǎng)信部門和有關(guān)部門報送風(fēng)險評估報告？是否汽車數(shù)據(jù)處理者的重要數(shù)據(jù)評估報告是否包含如下內(nèi)容：種類；數(shù)量；范圍；保存地點與期限；使用方式；開展數(shù)據(jù)處理活動情況；是否向第三方提供以及對外提供情況；面臨的數(shù)據(jù)安全風(fēng)險及其應(yīng)對措施等。是否汽車數(shù)據(jù)處理者開展重要數(shù)據(jù)處理活動，是否在每年十二月十五日前向省、自治區(qū)、直轄市網(wǎng)信部門和有關(guān)部門報送年度汽車數(shù)據(jù)安全管理情況？是否汽車數(shù)據(jù)處理者報送前述年度汽車數(shù)據(jù)安全管

14、理情況時，是否具備以下內(nèi)容：汽車數(shù)據(jù)安全管理負(fù)責(zé)人、用戶權(quán)益事務(wù)聯(lián)系人的姓名和聯(lián)系方式；處理汽車數(shù)據(jù)的種類、規(guī)模、目的和必要性；汽車數(shù)據(jù)的安全防護(hù)和管理措施，包括保存地點、期限等；向境內(nèi)第三方提供汽車數(shù)據(jù)情況；汽車數(shù)據(jù)安全事件和處置情況；汽車數(shù)據(jù)相關(guān)的用戶投訴和處理情況；國家網(wǎng)信部門會同國務(wù)院工業(yè)和信息化、公安、交通運輸?shù)扔嘘P(guān)部門明確的其他汽車數(shù)據(jù)安全管理情況。是否汽車數(shù)據(jù)處理者是否存在重要數(shù)據(jù)出境需求？是否因業(yè)務(wù)需要確需向境外提供重要數(shù)據(jù)的，是否通過國家網(wǎng)信部門會同國務(wù)院有關(guān)部門組織的安全評估？是否向境外提供重要數(shù)據(jù)的，是否所在?。▍^(qū)、市）通信管理局、工業(yè)和信息化主管部門報備重要數(shù)據(jù)出境安全評估結(jié)果？是否汽車數(shù)據(jù)處理者向境外提供重要數(shù)據(jù)，是否在出境安全評估時明確的目的、范圍、方式和數(shù)據(jù)種類、規(guī)模等內(nèi)進(jìn)行？是否國家網(wǎng)信部門會同國務(wù)院有關(guān)部門以抽查等方式核驗重要數(shù)據(jù)出境活動時，汽車數(shù)據(jù)處理者是否以可讀等便利方式予以展示，配合有關(guān)部門的監(jiān)管活動？是否向境外提供重要數(shù)據(jù)的汽車數(shù)據(jù)處理者，是