GBT 44464—2024《汽车数据通用要求》，该标准详细规定了汽车处理个人信息和重要数据的一般要求，对个人信息保护的要求，对于重要数据在收集、存储、使用、传输、处理等各个环节中的保护要求以及审核评估及试验要求等。密码技术的加密、认证、完整性校验等手段，可以有效防止数据泄露、篡改和未授权访问，构筑起坚实的安全防线。
该标准为汽车行业的数据安全管理提供了统一的标准和规范，有助于企业建立完善的数据安全管理体系，提升数据安全保护水平，降低数据泄露风险，保障汽车产业的健康发展。
适用范围：
该标准规定了汽车产品在研发设计和生产制造过程中产生和收集的数据的相关要求和试验方法。这意味着从汽车的最初设计阶段到生产制造环节所涉及的数据都在其规范范围内。
适用于汽车产品及汽车数据处理者，既对汽车本身的数据管理提出要求，也对处理汽车数据的相关企业或机构进行约束。
汽车数据安全管理体系要求：
体系建立与实施：汽车数据处理者需建立并实施汽车数据安全管理体系，采取相应技术措施，确保汽车数据始终处于有效保护和合法利用状态。这是数据安全的基础保障，要求企业从制度和技术层面全面保障数据的安全性。
-
目标、方针与环境分析：应制定汽车数据安全目标、方针，分析内外部环境确定管理体系边界及适用范围，使企业的数据安全管理具有明确的方向和清晰的范围界定。
-
机构与职责：建立汽车数据安全管理机构，明确相关人员职责，保证数据安全管理工作有专门的组织和人员负责。
-
分类分级制度：建立汽车数据分类分级制度，形成汽车数据资产管理台账。通过对数据进行分类分级，能够针对不同敏感程度和重要性的数据采取不同的保护措施。
-
全生命周期防护：针对汽车数据全生命周期，制定数据收集、存储、使用、加工、传输、提供、公开、删除等过程的具体分级防护要求和操作规程，实现对数据的全过程管理。
-
境内存储与出境评估：境内收集和产生的个人信息和重要数据原则上应在境内存储，如需向境外提供，需通过数据出境安全评估，加强了对数据跨境传输的管理。
-
风险监测与事件管理：建立汽车数据安全风险监测和事件管理制度，及时发现风险并采取补救措施，发生安全事件时立即处置、告知用户并向主管部门报告，且定期对重要数据处理活动开展风险评估并报送报告，提高了企业应对数据安全风险的能力。
-
投诉举报处理：建立投诉举报处理机制，及时处理用户投诉举报，保障用户的合法权益。
-
对相关方管理：建立对数据处理相关方的数据安全管理制度，包括签订数据安全协议、核验数据安全保护能力等，确保整个数据处理链条的安全性。
汽车数据处理一般要求：
-
个人信息处理：汽车数据处理者处理个人信息时，应符合标准中个人信息保护要求章节的规定（除非有强制性国家标准规定的其他情形），并且汽车产品应具备相应能力保障符合要求。
-
重要数据处理：处理重要数据时，应符合标准中重要数据保护要求章节的规定（除非有强制性国家标准规定的其他情形），汽车产品也应具备相应能力保障符合要求。
-
兼具个人信息与重要数据属性的数据处理：如果数据既属于个人信息又属于重要数据，那么需要同时满足个人信息保护要求和重要数据保护要求。
个人信息保护要求：
-
目的与方式：处理个人信息应具有明确、合理的目的，与处理目的直接相关且采取对个人权益影响最小的方式。车辆默认应设定为不收集个人信息状态，除非驾驶人自主设定；除非取得个人同意或符合特定例外情形，不应向车外提供个人信息。
-
例外情形说明：明确了处理个人信息可不取得个人同意的例外情形，如紧急情况保护生命健康和财产安全、处理已合法公开的个人信息等，并要求通过多种形式说明例外情形及理由。
-
座舱数据管理：除特定情况外，汽车不应向车外提供座舱数据，加强了对座舱数据的保护。
-
存储期限与撤回同意：基于个人同意处理的个人信息，存储期限应与取得同意的存储期限或规则一致；个人撤回同意不影响撤回前已进行的个人信息处理活动效力。
-
删除与匿名化处理：在处理目的已实现、无法实现、不再必要，企业停止提供产品或服务、保存期限届满，个人撤回同意，企业违反法律规定等情形下，汽车数据处理者应主动删除个人信息或进行匿名化处理，否则个人有权请求删除。
图 1 标准架构图 来源：中汽软测
来源：汽车功能安全
