李嘉璐莎，北京理工大学网络空间国际治理研究基地
汽车数据跨境不仅关乎个人和企业的数据权益，更因其承载着海量敏感信息而直接关乎国家主权、安全、发展利益。在此背景下，法律所蕴含的安全价值在整体社会价值体系中的重要性愈加凸显，并对数据跨境治理产生深远影响。本研究以汽车数据出境为客体，基于总体国家安全观这一重大战略思想，对汽车数据出境制度及实践困境提出针对性建议，旨在推动以智能网联汽车为代表的现代化产业体系在总体国家安全观的指引下实现良性发展。
一、国家安全逻辑下汽车数据出境治理的内在要求
在总体国家安全观战略背景下，国家数据安全是汽车数据出境制度设计的根本遵循，汽车数据出境实践是全面贯彻总体国家安全观的关键维度，二者互为支撑，同频共振。汽车数据作为极具代表性的数字新型业态，涵盖车辆运行状态、道路环境、驾驶行为及算法模型迭代所需的多类型数据，其跨域流动在广度、深度与敏感性方面均显著高于传统行业数据，直接关系到社会公共安全、国家数据主权。同时，汽车数据在特定场景下具备出境流动的现实必要性与合理性。一方面，智能网联汽车产业深度融入全球化产业分工，车辆研发测试、算法训练与迭代以及安全验证等环节，在很大程度上依赖于数据跨境机制，完全禁止汽车数据出境既不具有可行性，也缺乏必要性。另一方面，随着我国汽车企业“走出去”步伐加快，海外道路测试、运营销售、海外数据采集与回传等场景，对车辆运行与使用数据的跨境调取和集中分析提出了客观要求，汽车数据出境已成为推动产业国际化发展的基础性条件。因此，在国家安全逻辑的统领下，汽车数据出境治理并非“有”或“无”的二元选择，而是要在安全可控的前提下，实现必要、有序、可追溯的数据跨境流动。
（一）总体国家安全观：汽车数据出境治理的时代呼唤
汽车数据安全可被视为安全在数据领域的具体化表达，是技术进步和新质生产力发展的必然要求。在传统安全（traditional security）视域里，安全的主体是国家，且以维护国家主权与国家利益为最高指征。古典现实主义安全观认为，国际政治的本质是权力争夺，国际社会因处于无序状态导致国家间缺乏信任，通过斗争争夺权力，进而陷入安全困境。在这种范式下，军事安全成为安全的最高原则，也是确保国家安全的必备手段，其他非军事手段只是为军事目的服务的工具。与之相对的非传统安全（non-traditional security）将国家作为重要而非唯一安全主体，侧重非传统领域的安全威胁。中国国家安全观以20世纪90年代后期到21世纪初为节点，出现由传统向非传统过渡的政策转向，并于2002年初步形成了一种局限于对外安全或国际安全的非传统国家安全观，其后逐渐延伸到国内安全领域及对中国国家安全的整体认识上。发展至今，形成以“总体”为核心的新型国家安全理论。一方面，总体强调发展性，旨在国家安全工作对新时代安全形势、任务、战略、体系和事项的与时俱进；另一方面，总体意味着整体性，重视经济、科技、生态等非传统安全，强调统筹发展和安全、统筹传统和非传统安全、统筹推进各领域安全，体现了新时代中国对国家安全形势的全面把握。
汽车产业作为典型的数字新型业态，产业链条涉及测绘地理信息、车辆运行轨迹以及用户个人信息等海量类型各异的数据。2024年，国家安全机关发现某境外企业通过与我国具有测绘资质的某公司合作，以开展汽车智能驾驶研究为掩护，在我国非法开展地理信息测绘活动，采集多项国家秘密数据，导致原始测绘数据失控外传，直接威胁国家主权、安全、发展利益。总体国家安全观深刻洞察了此类新型风险，在中共中央宣传部、中央国家安全委员会办公室组织编写的《总体国家安全观学习纲要》中，将人工智能和数据安全纳入总体国家安全观。该增列系基于国家安全形势的动态发展，对总体国家安全观内涵作出的最新政策性阐释，标志着数据安全正式纳入国家安全核心领域，成为国家安全治理的新疆域，为数字新业态法律规范体系建设提供了行动指引。
（二）汽车数据出境：国家安全风险的具体延伸
汽车数据安全绝非孤立的行业议题，而是国家安全风险在数字化、智能化时代下的具体延伸。汽车数据出境制度兼具数据安全保障和数据自由流动的双重属性，以法治逻辑为主线，以产业实践为依托，本质上是国家安全治理法治化的前沿场域。广义上的汽车数据可以指与汽车相关的，在生产研发、销售使用、回收处理等环节中所产生、收集、传输、存储的任何形式的信息。《汽车数据出境安全指引（2026版）》从安全合规视角划定了汽车数据的范围边界，沿用了此前《汽车数据安全管理若干规定（试行）》中的要求。同时，明确了只有在汽车全生命周期产生的、属于个人信息数据或重要数据的数据项，才会被纳入汽车数据的范畴。生产设备运行参数、整车企业的销售统计报表等整车生命周期中的一般数据，则并非属于该特定语境下所指的汽车数据。
汽车数据引发的国家安全风险具有动态性、跨境性和潜在的主动破坏性，一部分风险源自存量数据产生的聚合效应。作为数据密集行业，汽车行业沉淀了海量静态积累的数据。数据出境过程中，部分数据包含车主身份证号、驾驶证档案编号、车牌号、手机号、地址等个人信息，这些汽车数据聚合有可能还原驾驶人的身份和汽车信息，生成驾驶人画像，再结合经纬度等地理位置信息即可形成活动轨迹，经过汇总分析后存在暴露重要设施分布、人员活动规律、国家整体运行态势的风险。另一部分风险源自数据动态传输过程中的即时威胁。数据在动态传输中途经区域的安全级别差异亦会对数据安全构成重大威胁，若数据从高安全级别区域流向低安全级别区域且该区域未能提供充分性保障，一旦数据被未经授权的第三方截留或存储，将导致数据集污染或敏感数据泄露，进而引发数据安全风险。
二、汽车数据出境的安全风险演进态势
新时代的中国国家安全是总体的、系统的、相对的大安全，是以人民安全为宗旨、以政治安全为根本、以国家利益为准则的安全。在这一宏观视野下，我国汽车数据出境风险经历了由隐性风险到显性风险，再到系统性风险的逐步演进。在此进程中，其风险已从单一的技术数据泄露，演变为有关政治、经济、社会等多维度的复合型系统性风险。
（一）风险范畴从产品安全向国家安全演进
我国汽车数据治理早期阶段的风险范畴主要局限于产品安全与质量监管。早期汽车数据主要是指车内机械数据，即汽车售后维修服务商、保险服务商等独立服务提供商提供服务所必须的数据，通常被视为汽车服务提供商内部运营的附属资源。监管层面主要聚焦于传统汽车安全和质量，依托交通、工信、质检等部门的行业性规范。2019年修订施行的《缺陷汽车产品召回管理条例》要求，生产企业对车辆缺陷信息进行收集与报告，旨在维护产品质量安全。这一时期，汽车数据的功能主要被视作产品改进与缺陷排查的工具，车企只能通过物理连接车载终端等方式访问汽车的机械数据，对汽车数据的控制和整合能力有限，所涉及数据基本在国内流转，出境风险低，尚未上升至国家安全的高度。随着智能网联汽车的发展，车辆逐渐演化为集成多源感知设备的数据终端，所采集的地理位置信息、道路交通流量信息乃至影像资料，均可能触及敏感基础设施，在车企广泛依赖跨国供应链、海外云计算服务及国际协作研发的背景下，汽车数据存在跨境传输这一现实需求。一系列转变使得原本局限于产品安全的风险范畴迅速外溢至国家安全层面。尤其是在《中华人民共和国网络安全法》《中华人民共和国数据安全法》（以下简称《数据安全法》）等基础性立法逐步确立之后，国家网信办、发展改革委、工业和信息化部、公安部、交通运输部发布《汽车数据安全管理若干规定（试行）》，正式将汽车数据明确纳入重要数据的审视范围，其风险治理逻辑也由最初的行业性、质量性监管，逐步上升为以总体国家安全观为核心的数据出境安全治理。本阶段主要依赖《中华人民共和国国家安全法》《中华人民共和国保守国家秘密法》等上位法律涵摄汽车数据跨境传输，整体呈现出高度严格、安全至上的特征。
（二）风险源头从单一车企向复杂供应链演进
在汽车产业数字化建设初期，汽车制造商通过专有服务器平台占有智能网联汽车数据，其风险源头相对集中，监管也主要针对企业自身的合规义务展开。随着智能网联和新能源汽车产业的迅速发展，汽车产业链日益呈现出高度全球化和复杂化的特征。伴随数据汇聚范围的不断扩展，参与主体逐渐增多，风险在不同场景与环节之间交织渗透，其不可控性和不可预测性也随之显著上升。智能汽车行业智能驾驶芯片、车载操作系统、高精度地图、云计算服务等关键环节往往涉及跨国企业或外部供应商的参与，导致数据流转路径更加多元化，风险源头随之呈现出分散化与隐蔽化的趋势。
在此背景下，汽车数据的跨境风险不再局限于单一车企将运行数据外传的情形，而是可能通过境外零部件嵌入、远程维护服务或海外云平台的调用等环节实现隐性出境。这种生态层面的复杂性使得监管难度显著增加，也加剧了敏感数据未经有效控制而跨境流动的风险。总体国家安全观下的数据安全治理逻辑，正是基于对这种跨链条、跨领域、跨境风险源头的整体性考量而形成，其核心目标在于通过制度设计覆盖全链条，避免供应链碎片化而导致的数据安全漏洞，进而有效防范汽车数据出境所可能引发的国家安全隐患。
（三）风险形态从主动传输向被动渗透演进
在汽车数据出境的早期阶段，风险形态主要表现为车企或关联企业在国际合作、售后服务或远程监测过程中主动将数据传输至境外，这类行为具有可识别性和可追溯性，因而能够通过备案、审批或合同约束等方式加以规制。然而，随着智能网联汽车的深度发展，数据出境风险逐渐呈现出更加隐蔽化和渗透化的趋势。一是汽车在运行过程中不断与境外供应商提供的操作系统、导航服务或车载软件交互，部分数据可能在用户不知情的情况下被自动采集并传输；二是部分嵌入式零部件、车载通信模块乃至空中下载技术升级（OTA）服务中，也可能内含跨境调用模式，使得数据在未经过企业或监管者主动干预的情况下实现“被动出境”；三是网联汽车与智能出行服务使用大量内外部应用程序编程接口（API），形成广泛且大规模的潜在攻击面。有报告指出，OTA、远程信息处理服务器、车载系统、车联网应用等多个环节的API或服务高度依赖于外部组件或第三方服务商，且已成为攻击面的扩张点，导致包括个人信息窃取、后端系统操控或远程车辆控制在内的多种网络攻击。例如，日产汽车子公司Creative Box Inc.（CBI）的服务器遭受勒索软件攻击，涉及3D车辆设计模型、内部报告、财务文件、虚拟现实（VR）设计工作流程和照片等4TB数据。这种由主动传输向被动渗透的转变，极大地削弱了传统合规机制的有效性，使得风险监测和防控难度成倍增加。总体国家安全观下的数据治理逻辑，正是基于对这一新型风险形态的认知而展开，其核心在于通过技术手段与制度设计相结合，提升对隐性数据跨境渗透的防控能力，从而防止关键数据在未经合规处理后流向境外，危及国家安全和公共利益。
三、汽车数据出境风险治理的谱系建构
汽车数据出境风险治理，应在总体国家安全观的整体性视域下，根据其数据要素特征，引入谱系化治理视角，从制度结构、小切口治理、程序保障三重维度采取针对性治理措施予以化解。通过谱系化的治理路径建构，有助于厘清风险防范的内在脉络，亦能够为未来制度优化提供系统性支撑。
（一）构筑汽车数据出境风险治理的多层次规范结构
就治理谱系的起点而言，社会事实的呈现与建构须以法律理念为指引，才能被典型化并纳入法律体系。因此，在汽车数据出境的治理制度设计中，应当以科学、正确的安全观加以统率，在不同规范层级上形成递进式制度配置。
在宏观层面，汽车数据出境监管宜遵循“统筹发展和安全、坚持分类分级”原则，以安全评估为核心抓手，实施精准协同监管。汽车数据出境制度设计应当避免不计成本的追求绝对安全，而是要秉持一种更为合理的数据安全观。《数据安全法》等相关立法频繁使用“重要数据”等抽象概念，其目的在于通过空泛的法律概念确保数据流通的绝对安全。然而，该立法技术以及法律概念自身的模糊性与概括性，易使行政机关在实践中对法律内容与立法目的的理解和把握出现偏差，进而造成执法“宽”“严”错配，致使汽车数据出境过程存在不确定性。因此，更为妥当的路径在于以总体国家安全观为统摄，确立统筹安全与发展的制度导向。
在中间层面，汽车数据出境制度应当以多层次、小切口的制度为治理范式，利用行政法规、部门规章、规范性条例等承担制度细化功能。多层次，即以总体国家安全观统合立法方向，逐步构建涵盖立法原则、监管制度、行业标准与技术规范的层级化治理结构，从宏观到微观形成完整的规则体系。而小切口则强调聚焦具体风险点和典型场景，对于确需出境的汽车重要数据及大规模个人信息，实行以数据出境安全评估为主的事前监管；对于风险较低的场景，则提供标准合同、保护认证等多元合规路径。将自上而下的规范体系和自下而上的合规实践相结合，实现法律理念与社会事实的有效对接，构筑起兼顾安全与发展的汽车数据出境治理范式。
在具体执行与落地层面，汽车数据处理者是安全管理的责任主体。汽车企业首要任务是建立内部数据分类分级制度，依据《汽车数据安全管理若干规定（试行）》《工业领域重要数据识别指南》《测绘地理信息管理工作国家秘密范围的规定》等政策法规、国家标准，自主识别出境数据属性。对于车辆研发和生产制造中涉及军事、国家安全要害部门、重要民用设施等数据或国家秘密的核心数据，原则上应禁止其出境；对于出境车辆测试、充电站服务、车联网信息服务等场景涉及重要敏感区域的行车轨迹、反映一定区域内汽车充电网运行情况、车辆远程操控等高风险重要数据，应实施数据本地化处理，并遵循业务最小必要原则进行数据出境操作；对于研发测试和售后支持等常见场景中涉及的车辆识别码、故障信息等数据，企业应根据数据的性质与规模，严格对应选择安全评估、标准合同备案或个人信息保护认证的合规路径完成出境；对于未被主管部门认定为重要数据或个人信息的一般数据，可按照法律法规要求安全有序自由流动。监管部门在数据安全协调机制的统筹下，按照“谁管业务、谁管业务数据、谁管数据安全”的管理原则，统筹各相关部门建立协同监管机制，明确汽车行业数据的分类分级，通过出台场景化、字段级的指引指南，帮助企业将法规要求转化为可操作的合规动作。同时，充分发挥自贸试验区等平台的“压力测试”作用，在平等互惠的基础上探索开展国际数据流动合作试点，推动构建既保障安全又便利产业发展的汽车数据出境管理体系。
（二）强化汽车数据出境治理场景化精准施策
汽车数据因来源多元、类型复杂、跨域流动频繁，其风险高度依赖于具体应用场景，对其治理应当采取更加场景化、精准化的监管路径。单一数据处理活动在特定业务场景中，易引发多项风险竞合。例如，2024年，大众汽车子公司凯瑞德（Cariad）开发的互联汽车应用程序因存在漏洞，造成约80万辆电动汽车的位置数据泄露，亦关联到车主的个人身份信息。该事件并非源于单一技术漏洞，而是在云存储、汽车数据回传及远程运维组成的业务场景下，因技术缺陷集中暴露出的数据安全与个人信息保护风险的竞合的结构性问题。此类风险并非源于数据本身，而是取决于其所处的具体场景与处理方式。因此，治理路径不能止于“一刀切”式规制，而应当依托具体应用场景进行差异化设计。
一方面，应当构建基于场景的风险分级机制。汽车数据涉及范围广泛，包括车辆运行数据、驾驶行为数据、定位与地理信息、车联网交互数据等重要数据。不同数据在出境过程中所触及的安全风险并不相同，例如，高精度地图与传感器采集的环境数据更易涉及国家地理信息安全，而车主的驾驶习惯数据则主要涉及个人信息保护。治理制度需要根据数据类别与应用场景的差异性，实行分级管理，防止因过度重视风险防范而抑制正常的跨境合作与技术创新。另一方面，应当建立以风险等级为导向的场景分类机制，针对不同场景的风险暴露程度，配置相应的治理工具。在涉及国家核心利益的场景下，应实行严格的本地存储、出境审批和实时监测；对于一般性场景，则可通过脱敏化处理、分布式存储等方式降低风险，实现数据的有序流动。通过对具体场景的细分治理和精准施策，不仅能够提高治理资源的配置效率，还能避免因过度规制而抑制技术创新和产业发展，从而在安全与发展之间形成良性互动。
（三）完善汽车数据出境程序救济机制
制度的科学、严密与否直接决定其实践效能。汽车数据出境风险治理不仅要在前端建立充分的制度供给，还需在后端提供充分的救济路径，以确保制度在运行中能够兼顾合法性、合理性与可预期性。《汽车数据出境安全指引（2026版）》明确了汽车数据处理者向境外提供汽车数据的三种数据出境活动管理方式：安全评估、标准合同或认证以及免予申报。其中，数据出境安全评估作为最具强制性的制度，其结果直接影响着数据处理者能否正常开展数据跨境业务。由于数据出境安全评估具备具体行政行为的实质性要素，其法律性质理应被界定为具体行政行为。原则上，未通过数据安全评估的主体可以通过行政复议或行政诉讼的方式寻求权益救济。但《数据出境安全评估办法》中，将向国家网信部门申请复评后的结果界定为“最终结论”，直接对相对人发生法律效力。其法律属性与救济路径似乎在规范体系内存在偏差，这在一定程度上降低了相对人进一步寻求救济的可能性。因此，有必要在法律制度层面予以澄清和完善。
一方面，通过修改法律或扩张解释的方式，为安全评估结论的不可诉性提供明确的法律依据。如果确需将数据安全评估的最终结论排除在司法审查之外，应当在法律层面作出明确授权，而非仅停留在部门规章层面。另一方面，在坚持总体国家安全观的前提下，应当针对不同场景设计有限度的补充性救济途径。例如，对于评估结论明显缺乏事实根据或存在严重程序瑕疵的情形，允许相对人通过特定渠道寻求司法或准司法化的救济；对于数据处理者因评估结果遭受重大经济损失的情形，可以探索设立专门的救济机制（如行政裁决、行业仲裁或独立评审机制等），旨在不降低国家安全保障水平的前提下，为市场主体提供基本的权利保障与救济途径。
四、结 语
汽车数据出境绝非单纯的商业或技术问题，而是关涉国家安全的重要议题。随着风险范畴、源头与形态的不断演进，我国治理思路需突破单一合规与技术防护的桎梏，提升到制度化、体系化的战略高度。现行的汽车数据出境管理规则，并非独立创设的新体系，而是在统一的数据跨境监管框架之下，针对汽车领域业务场景、数据类型和风险特征所形成的行业细则，是应对上述风险演进态势的精准施策。未来，随着国际竞争的加剧，汽车数据出境治理博弈将更集中于技术与数据主权的维度。为此，我国亟须构建起涵盖法律、技术、标准、监管的立体化治理体系，实现总体国家安全观的制度价值与治理效能。【本文系北京市社科基金项目“数据产权保护法律制度研究”（22FXB012）的阶段性研究成果】
（本文刊登于《中国信息安全》杂志2026年第6期）
声明：本文来自中国信息安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
