国家互联网信息办公室、国家发展和改革委员会、工业和信息化部、公安部、交通运输部令第 7 号《汽车数据安全管理若干规定（试行）》
国家互联网信息办公室等五部门 · 五部门令第 7 号
本规定是中国汽车数据治理的基础规则，确立四项倡导原则（车内处理、默认不收集、精度范围适用、脱敏处理），并定义敏感个人信息包括车辆行踪轨迹、音频、视频、图像和生物识别特征等信息。重要数据被明确列举为六类，包括重要敏感区域的地理信息与人员车辆流量数据、反映经济运行情况的车辆流量与物流数据、汽车充电网运行数据、包含人脸信息与车牌信息等的车外视频图像数据、涉及个人信息主体超过 10 万人的个人信息，以及主管部门确定的其他数据。围绕重要数据，规定设置了风险评估报告报送、境内存储与出境安全评估、出境不得超出评估明确的目的范围方式与数据种类规模、以及年度报送四道闸口。
中国 AI 企业在以下动作下被管到：自动驾驶或智能座舱团队在境内采集道路视频、点云、座舱音视频用于模型训练（车外视频图像含人脸、车牌即落入重要数据）；用户规模跨过 10 万个人信息主体（该类个人信息即构成重要数据）；把中国采集的路测数据、场景库或座舱数据传输至境外研发中心、境外云或海外合作方（须先通过国家网信部门会同国务院有关部门组织的安全评估）；作为零部件或软件供应商、出行服务企业代车企处理汽车数据（同样是本规定意义上的汽车数据处理者）。出海企业最典型的踩点是“把中国道路数据送到海外训练”，以及海外车队数据回传后在境内与中国数据混用。
重点行业：智能驾驶、计算机视觉
2021-10-01
规定施行
在中华人民共和国境内开展汽车数据处理活动及其安全监管适用本规定，汽车数据处理者包括汽车制造商、零部件和软件供应商、经销商、维修机构以及出行服务企业等。
2021-12-15
首个年度汽车数据安全管理情况报送截止日（此后每年同日）
第十三条要求开展重要数据处理活动的汽车数据处理者在每年十二月十五日前，向省、自治区、直辖市网信部门和有关部门报送年度汽车数据安全管理情况。
每条都写明触发条件、需要留存的证据与条款出处
处理个人信息应当通过用户手册、车载显示面板、语音、汽车使用相关应用程序等显著方式告知：处理个人信息的种类（包括车辆行踪轨迹、驾驶习惯、音频、视频、图像和生物识别特征等）；收集各类个人信息的具体情境以及停止收集的方式和途径；处理各类个人信息的目的、用途、方式；个人信息保存地点、保存期限或确定规则；查阅、复制其个人信息以及删除车内、请求删除已经提供给车外的个人信息的方式和途径；用户权益事务联系人的姓名和联系方式；法律、行政法规规定应当告知的其他事项。
首次达标投入估算：8–20 人日（估算，非承诺）
处理个人信息应当取得个人同意或符合法律、行政法规规定的其他情形；因保证行车安全需要、无法征得个人同意而采集到车外个人信息并向车外提供的，应当进行匿名化处理，包括删除含有能够识别自然人的画面，或对画面中的人脸信息等进行局部轮廓化处理。处理敏感个人信息还须：具有直接服务于个人的目的（包括增强行车安全、智能驾驶、导航等）；以显著方式告知必要性以及对个人的影响；取得个人单独同意，个人可自主设定同意期限；在保证行车安全的前提下以适当方式提示收集状态，为个人终止收集提供便利；个人要求删除的，应当在十个工作日内删除。收集指纹、声纹、人脸、心律等生物识别特征信息，须具有增强行车安全的目的和充分的必要性。
首次达标投入估算：15–40 人日（估算，非承诺）
汽车数据处理者开展重要数据处理活动，应当按照规定开展风险评估，并向省、自治区、直辖市网信部门和有关部门报送风险评估报告。报告应当包括处理的重要数据的种类、数量、范围、保存地点与期限、使用方式，开展数据处理活动情况以及是否向第三方提供，面临的数据安全风险及其应对措施等。企业须先把六类重要数据逐项对照识别清楚，尤其是“车外视频图像含人脸、车牌”与“个人信息主体超过 10 万人”两类最容易被忽略。
首次达标投入估算：15–45 人日（估算，非承诺）
重要数据应当依法在境内存储，因业务需要确需向境外提供的，应当通过国家网信部门会同国务院有关部门组织的安全评估；未列入重要数据的涉及个人信息数据的出境安全管理，适用法律、行政法规的有关规定。我国缔结或参加的国际条约、协定有不同规定的，适用该条约、协定（声明保留的条款除外）。向境外提供重要数据，不得超出出境安全评估时明确的目的、范围、方式和数据种类、规模等；国家网信部门会同国务院有关部门以抽查等方式核验，汽车数据处理者应当予以配合，并以可读等便利方式予以展示。
首次达标投入估算：30–90 人日（估算，非承诺）
开展重要数据处理活动的汽车数据处理者，应当在每年十二月十五日前向省、自治区、直辖市网信部门和有关部门报送：汽车数据安全管理负责人、用户权益事务联系人的姓名和联系方式；处理汽车数据的种类、规模、目的和必要性；汽车数据的安全防护和管理措施（包括保存地点、期限等）；向境内第三方提供汽车数据情况；汽车数据安全事件和处置情况；汽车数据相关的用户投诉和处理情况；以及主管部门明确的其他情况。向境外提供重要数据的，还须补充报告接收者基本情况，出境汽车数据的种类、规模、目的和必要性，数据在境外的保存地点、期限、范围和方式，涉及向境外提供汽车数据的用户投诉和处理情况，以及主管部门明确的其他情况。
首次达标投入估算：8–20 人日（估算，非承诺）
汽车数据处理者开展汽车数据处理活动，应当建立投诉举报渠道，设置便捷的投诉举报入口，及时处理用户投诉举报；造成用户合法权益或公共利益受到损害的，应当依法承担相应责任。国家网信部门和国务院发展改革、工业和信息化、公安、交通运输等有关部门依据职责，根据处理数据情况对汽车数据处理者进行数据安全评估，汽车数据处理者应当予以配合；参与评估的机构和人员对评估中获悉的商业秘密与未公开信息负有保密义务。
首次达标投入估算：5–15 人日（估算，非承诺）
第十八条规定，违反本规定的，由省级以上网信、工业和信息化、公安、交通运输等有关部门依照《中华人民共和国网络安全法》《中华人民共和国数据安全法》等法律、行政法规的规定进行处罚；构成犯罪的，依法追究刑事责任。本规定本身未设独立罚款幅度，实际罚则取决于所援引的上位法。
本规定为“试行”文件，且第十一条把未列入重要数据的个人信息出境交由《个人信息保护法》及其配套规则处理；数据出境安全评估的申报门槛、豁免情形与自由贸易试验区负面清单等配套规则此后另有专门规定，不在本条目核实范围内，须结合跨境传输专题条目一并判断。第三条第六项允许主管部门另行确定其他重要数据，因此重要数据清单具有开放性。
内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。