目录
背景介绍
概要General
标准适用范围
重要规定与要求
汽车数据安全管理体系要求
扩展：汽车数据安全管理体系(DSMS)
个人信息保护要求
个人信息处理通用要求
个人同意
个人信息收集
个人信息存储
个人信息使用
个人信息传输
个人信息删除
个人信息出境
重要数据保护要求
重要数据处理通用要求
重要数据收集
重要数据存储
重要数据使用
重要数据传输
重要数据删除
重要数据出境
审核评估及试验要求
背景介绍
2024年8月23日，工业和信息化部组织制定的GB 44495－2024《汽车整车信息安全技术要求》、GB 44496－2024《汽车软件升级通用技术要求》和GB 44497－2024《智能网联汽车 自动驾驶数据记录系统》三项强制性国家标准由国家市场监督管理总局、国家标准化管理委员会批准发布（国家标准公告2024年第18号文），将于2026年1月1日起开始实施。
其中在GB 44495－2024《汽车整车信息安全技术要求》强制性法规文档中，也引用到了GB/T 44464-2024《汽车数据通用要求》的部分内容，（所以GB/T 44464虽然是推标，但是却被抢标GB 44495引用了，对数据安全的要求也是国内信息安全法规 GB 44495－2024和ISO21434的主要区别）。
概要General
智能网联汽车存在大量数据交互场景，极易引发个人信息泄露、车控类数据被篡改、重要数据非法跨境传输等数据安全问题。为应对这一挑战，2024年8月23日，全国汽车标准化技术委员会正式发布了GB/T 44464-2024《汽车数据通用要求》，并于发布之日起生效实施。
-
标准详细规定了汽车处理个人信息和重要数据的一般要求，对个人信息保护的要求，对于重要数据在收集、存储、使用、传输、处理等各个环节中的保护要求以及审核评估及试验要求等。该标准的发布标志着我国在汽车数据安全保护领域取得了重大进展，确保了智能网联汽车在数据层面的安全合规。
-
该标准适用于汽车产品及其数据处理者，其规定了汽车数据的一般要求、个人信息保护要求、重要数据保护要求、审核评估及试验要求等内容。值得关注的是，标准在一般要求中规定汽车数据处理者应建立汽车数据安全管理体系，并明确体系需覆盖的具体内容（如组织管理、分类分级、全生命周期管理、事件管理等）。此标准的发布对于汽车产业落实数据安全合规管理具有重要意义，构建了汽车行业数据安全合规底线。
《汽车数据通用要求》标准基本框架
标准适用范围
《汽车数据通用要求》适用于具备数据处理功能的汽车及其数据处理者，并规定了汽车数据的一般要求、个人信息保护要求、重要数据保护要求、审核评估及试验要求等。
重要规定与要求
汽车数据安全管理体系要求
《汽车数据通用要求》在一般要求中规定汽车数据处理者应建立汽车数据安全管理体系，并明确管理体系中的具体内容。
扩展：汽车数据安全管理体系(DSMS)
个人信息保护要求
个人信息处理通用要求
-
◆ 个人信息处理目的与方式：明确信息处理需具备合理目的，且与目的直接相关，最小化对个人权益的影响。默认不收集个人信息，除非得到个人同意或法律规定。
-
◆ 个人同意的例外：列出在紧急情况下保护生命健康、处理已公开信息、保障行车安全等无需个人同意即可处理信息的特定情形，并要求以多种方式告知用户。
个人同意
-
◆ 个人同意的管理：详细规定了获取个人同意的方式、内容、选项设置及重新获取同意的时机，同时确保个人有权撤回同意。
个人信息收集
-
◆ 信息收集：要求根据功能服务需求精准确定传感器覆盖范围与分辨率
个人信息存储
-
◆ 采取安全访问技术，加密技术等保护存储在车内的重要数据，防止其被非授权访问和获取。
个人信息使用
-
◆ 信息使用：明确访问控制措施，不应将生物特征识别作为唯一认证手段；
个人信息传输
-
◆ 匿名化处理：无法征得个人同意收集到车外个人信息且向车外提供的，应进行匿名化处理。详细规定了人脸与汽车号牌敏感信息的匿名化对象、处理性能要求及效果，确保处理后信息无法被识别。
个人信息删除
-
◆ 个人请求删除敏感个人信息，应在10个工作日内完成删除。法律，行政法规另有规定的按其规定执行。被删除的个人信息不可检索且不可访问
个人信息出境
-
◆ 不应直接向境外传输个人信息等数据。
重要数据保护要求
重要数据处理通用要求
-
◆ 重要数据处理目的与方式：明确重要数据处理需具备合理目的，且与目的直接相关。默认不收集个人信息，除非驾驶人自主设定。
重要数据收集
-
◆ 要求根据功能服务需求精准确定传感器覆盖范围与分辨率
重要数据存储
-
◆ 采取安全访问技术，加密技术等保护存储在车内的重要数据，防止其被非授权访问和获取。
重要数据使用
-
◆ 明确访问控制措施；
重要数据传输
-
◆ 应对向车外发送的重要数据实施保密性保护措施
重要数据删除
-
◆ 被删除的重要数据不可检索且不可访问
重要数据出境
-
◆ 不应直接向境外传输重要数据。
审核评估及试验要求
《汽车数据通用要求》规定汽车数据处理者应满足符合性评估要求，并按附录B、D分别进行个人信息匿名化及重要数据处理试验，确保符合试验标准。此外，推荐根据附录C进行匿名化误检率试验，以进一步优化数据处理效果。
