执一驭万洞幽烛微-《汽车数据出境安全指引（2026版）》解析

执执一驭万，洞幽烛微——《汽车数据出境安全指引（2026版）》解析2026年1月30日，工业和信息化部、国家互联网信息办公室、国家发展和改革委员会、国家数据局、公安部、自然资源部、交通运输部、国家市场监督管理总局等八部门联合印发《汽车数据出境安全指引（2026版）》（以下简称“《指引》”）并即生效。《指引》旨在贯彻落实国家数据安全法律法规、细化汽车重要数据判定规则，并推进汽车数据高效便利安全跨境流动。12025年6月，工业和信息化部等八部门发布了《汽车数据出境安全指引（2025版）（征求意见稿）》（以下简称“《征求意见稿》”），经过7个月的进一步调整和优化，《指引》正式出台。从效力位阶上看，《指引》属于行政规范性文件，为相关上位法实施提供了具体的要求。《指引》最大的亮点是系统性梳理了汽车数据的典型应用场景，并在此基础上列举了汽车领域的重要数据判定规则，涵盖研发设计、生产制造、驾驶自动化、软件升级服务、联网运行等五大场景，提出27类51项重要数据及其判定规则，对汽车领域的重要数据监管和合规遵从提供了详实的基础。1工信微报，八问+一图，读懂《汽车数据出境安全指引（2026版）》：/s/jNJijx1工信微报，八问+一图，读懂《汽车数据出境安全指引（2026版）》：/s/jNJijxLtede4skwY1M7BAA赵新华赵新华合伙人公司业务部司马丹旎律师公司业务部徐虹宇律师公司业务部12一、与《征求意见稿》相比主要变化与《征求意见稿》相比，《指引》未作“大修”，但细化了适用范围，与其他法规进一步衔接，删除了三种数据出境方式的具体实施步骤，特别是对重要数据的数据项、数据项说明以及判定规则做了增减和优化。例如在研发设计场景、生产制造场景、软件升级服务场景（OTA）、联网运行场景均增加了动力电池或电池管理相关的数据项或数据项说明；并在相关场景的判定规则中增加了“符合《中国禁止出口限制出口技术目录》中相关技术控制要点的”和/或“涉及《中华人民共和国两用物项出口管制清单》中相关物项的”判定规则。更多变化对比，请参见本文第四部分（重要数据判定规则）。二、适用范围及出境行为界定《指引》基本沿用了2021年10月实施的《汽车数据安全管理若干规定（试行）》（以下简称“《汽车数据若干规定》”）中关于汽车数据及汽车数据处理者的相关定义，但对汽车数据处理者的定义做了扩充，将个人也纳入了汽车数据处理者的范围，并且明确汽车数据处理者是“自主决定处理目的和处理方式的组织、个人”，这一调整与《个人信息保护法》下对个人信息处理者的定义接近。对于数据处理关系中属于受托处理汽车数据的受托方如何适用《指引》相关规定有待观察。另外，与《汽车数据若干规定》相比，《指引》在汽车数据处理者列举的企业类型中增加了电信运营企业、自动驾驶服务商和平台运营企业三类企业，进一步补充和反映了汽车行业中的相关服务提供方。《指引》进一步明确了数据出境行为的认定，包括境内处理，跨境远程访问及适用域外效力的情形。前述规定与国家网信部门在《数据出境安全评估申报指南（第二版）》对数据出境行为的认定口径保持一致。三、汽车数据出境活动管理方式及新增豁免情形对于适用数据出境安全评估和订立标准合同或个人信息出境认证的情形，《指引》与2024年3月22日实施的《促进和规范数据跨境流动规定》基本保持一致，但增加了三种汽车行业的额外豁免情形，分别为：•因修补安全漏洞需要，汽车数据处理者按照《网络产品安全漏洞管理规定》有关要求，已向工业和信息化部报告的安全漏洞数据；•因处置安全事件需要，汽车数据处理者按照行业网络安全、数据安全事件相关应急预案，已向工业和信息化部及相关行业监管部门报告的汽车产品、车联网平台及相关系统的安全事件数据；•因消除汽车产品缺陷、实施召回需要，汽车数据处理者按照《缺陷汽车产品召回管理条例》已向国家市场监督管理总局备案的OTA升级软件包对应的源代码。《指引》将涉及安全漏洞、安全事件、OTA升级软件包源代码纳入数据出境安全评估豁免情形，主要是考虑为企业提供方便快捷的数据出境渠道，确保相关漏洞、事件、隐患能够被及时修补或处置，保障车辆运行安全，维护相关境内外汽车消费者生命财产安全。豁免适用的前提是：出境目的是出于修补安全漏洞、处置安全事件或者消除汽车产品缺陷、实施召回的需要；以及按照相关要求，事先向工信部、国家市监总局等部门报告或备案。2安全漏洞修补、安全事件处置以及OTA升级是目前汽车行业实践中发生频率较高的业务场景，特别是跨国经营的汽车行业相关企业。前述豁免有望为该等企业提供便捷的数据出境渠道，降低相关企业的合规成本。2《汽车数据出境安全指引（2026版）》答记者问（/gyhxxhb/jgsj/wlaqglj/zcjd/art/2026/art_413ac0d96ad9468a840e16eb82094173.html）3四、重要数据判定规则《指引》发布以前，汽车行业的重要数据认定主要依据《汽车数据若干规定》。另外，推荐性国家标准GB/T43697-2024《数据安全技术数据分类分级规则》及其《附录G重要数据识别指南》也为重要数据的识别提供了参考。此外，部分自贸区通过“负面清单”方式界定的在该自贸区范围内适用的汽车领域重要数据清单。例如《中国（北京）自由贸易试验区数据出境管理清单（负面清单）（2024版）》在汽车行业专门规定了“需要通过数据出境安全评估的数据清单”，通过划分“数据子类”及规定“基本特征与描述”，对重要数据进行了清单化治理。再如《中国（福建）自由贸易试验区数据出境管理清单（负面清单）（2025版）》，其聚焦车联网行业，制定了需要通过数据出境安全评估的清单，明确了车联网外部环境感知服务、车联网应用服务、车联网服务平台基础服务等场景下的若干重要数据类型。《指引》通过覆盖研发设计、生产制造、驾驶自动化、软件升级服务、联网运行等场景，从数据类别、数据项、数据项说明及判定规则角度对各场景下的重要数据进行了细分与列举，丰富了重要数据识别及认定规则，也为汽车行业重要数据目录的制定提供了重要内容和基础。但是，重要数据识别并不仅仅依靠《指引》本身的单一规范加以确定，还涉及若干其他规定如《中国禁止出口限制出口技术目录》《中华人民共和国两用物项出口管制清单》中的若干判断条件，从而最终识别汽车领域重要数据。以下将逐项解析《指引》项下各场景的重要数据的判定规则，结合其关联的法规规范明确重要数据的具体范畴。在“产品研发”场景下，《指引》规定“国家重大专项、国家重点研发计划支持”的相关数据项属于重要数据。对于国家重大专项的认定，可能参照《国家科技重大专项（民口）管理规定》，其规定“科技部负责协调重大专项与国家其他科技计划（专项、基金等）的衔接；牵头组织研究制订重大专项相关管理办法以及与实施相关的科技配套政策；汇总重大专项各类信息，提出信息汇总的统一要求”等，相关专项信息可在科技部网站上进行查询。3对于国家重点研发计划的认定，可能参照科技部、财政部印发的《国家重点研发计划管理暂行办法》。该规定要求“项目形成的研究成果，应标注‘国家重点研发计划资助’字样及项目编号”。同时，其规定“国家重点研发计划全流程纳入统一的国家科技管理信息系统，包括指南发布、评审立项、资金使用、过程管理、综合绩效评价、成果转化应用等。落实国家科技报告、科学数据汇交和科技成果汇交制度，做好有关档案的整理、保存和归档”，属于国家重点研发计划支持的项目可能可以在国家科技管理信息系统进行查询。4此外，《指引》新增“符合《中国禁止出口限制出口技术目录》中相关技术控制要点的”、“涉及《中华人民共和国两用物项出口管制清单》中相关物项的”两项判定规则，将技术出口管制和物项出口管制的要求延伸至了数据出境安全评估领域。《中国禁止出口限制出口技术目录》（以下简称“《出口管制技术目录》”）明确了禁止出口和限制出口的技术类别；而《中华人民共和国两用物项出口管制清单》（以下简称“《两用物项清单》”）则聚焦于物项出口管制。例如，通用设备制造业中的083403X“通用零部件制造技术”属于《出口管制技术目录》中的限制出口部分。这意味着，即使某些技术数据按常规标准不被直接认定为重要数据，但如果其承载或体现了禁止与限制出口的技术控制要点，则可能被认定为重要数据；而若其与管制物项直接相关，则可能纳入重要数据管理。在“产品测试”场景下，《指引》规定“涉及或经汇聚、分析后能推算出军事管理区、国防科工单位以及县级以上党政机关等重要敏感区域的”为重要数据，这是对《汽车数据若干规定》第三条“军事管理区、国防科工单位以及县级以上党政机关等重要敏感区域的地理信息、人员流量、车辆流量等数据”进一步细化。3国家科技重大专项：/ztzl/zdzx/index.html4国家科技管理信息系统公共服务平台：/4《指引》亦规定“经汇聚、分析后能够推算出涉密、敏感地理信息数据”的相关数据项被纳入重要数据管理。对于“涉密、敏感地理信息数据”的具体范畴，涉及《测绘地理信息管理工作国家秘密范围的规定》《公开地图内容表示规范》《自然资源部关于促进智能网联汽车发展维护测绘地理信息安全的通知》《自然资源部关于加强智能网联汽车有关测绘地理信息安全管理的通知》等规定。其中，《测绘地理信息管理工作国家秘密范围的规定》附件《测绘地理信息管理工作国家秘密目录》以目录清单的形式进一步明确了涉密、敏感地理信息数据的识别规则。在产品测试场景中，有一个值得关注的重要数据判定规则是“涉及在境内运行的10万台以上车辆收集的”。《汽车数据若干规定》规定“涉及个人信息主体超过10万人的个人信息”构成重要数据。《指引》将10万人调整为10万台车辆，似乎更合理，也避免了与《促进和规范数据跨境流动规定》规定的“累计向境外提供100万人以上个人信息”触发安全评估在个人主体数量上的不一致。《指引》在驾驶自动化场景、联网运行场景和车联网平台运营场景均将10万台以上车辆作为构成重要数据的一项判定规则。此外，相较于《征求意见稿》，《指引》新增“涉及采集真实环境中累计2000小时以上原始影像的，或者基于此影像生成的”或“涉及1000万张以上原始图片的，或者基于此图片生成的”的重要数据判定规则。该等规则为汽车研发测试中的图像数据设定了明确的、量化的重要数据判定门槛。具体新增内容见下表（黑体为与《征求意见稿》相比《指引》新增内容）：产品研发/物料清单/设计物料清单/数据产品研发/重要数据判定规则（修改）产品测试/数据项、数据项说明设计阶段所需原材料、零部件或组件清单文件，包括物料规格、数量、层级关系等。被列入国家重大专项、国家重点研发计划的。/3.涉及道路的真实车辆流量、人员流量、物流等反映地级及以上行政区经济运行情况的数据，且累计时间大于等于30天；4.涉及或经汇聚、分析后能推算出涉及社会公共安全行政执法活动的；设计阶段所需原材料、零部件或组件清单文件，包括物料规格、数量、层级关系等；配比方案、配方方案、化学通式、物料用量。符合以下任意一项条件家重点研发计划支持的；2.符合《中国禁止出口限制出口技术目录》中相关技术控制要点的；3.涉及《中华人民共和国两用物项出口管制清3.涉及道路的车辆流量、人员流量、物流等反映地级及以上行政区经济运行情况的数据，且累计时间大于等于30天；4.涉及或经汇聚、分析后能推算出大型活动安保等管控现场情况、交通事故等突发案事件警情现场情况以及其他涉及社会公共安全行政执法活动和人员的；8.涉及采集真实环境中累计2000小时以上原始影像的，或者基于此影像生成的；9.涉及1000万张以上原始图片的，或者基于此图片生成的。在生产制造场景，《指引》规定的重要数据判定规则与“产品研发场景”基本一致，均根据“国家重大专项、国家重点研发计划支持”以及《技术目录》与《两用物项清单》加以具体确定。5值得注意的是，相较于《征求意见稿》，《指引》对于工艺物料清单、工业机器人控制程序源代码中的数据项说明均进行了修改，并将《两用物项清单》纳入生产制造场景的重要数据判定规则之中，具体参见下表。物料清单/工艺物料清单/数据生产控制程序源代码/工业机器人控制程序源代生产制造场景/重要数据判定规则（修改）汽车产品、零部件或组件的工艺物料清单。用于生产汽车产品、零部件或组件的工业机器人控制程序源代码。符合以下任意一项条件的：1.被列入国家重大专项、国家重点研发计划的；2.符合《中国禁止出口限制出口技术目录》中相关技术控制要点的。3.涉及道路的真实车辆流量、人员流量、物流等反映地级及以上行政区经济运行情况的数据，且累计时间大于等于30天；4.涉及或经汇聚、分析后能推算出涉及社会公共安全行政执法活动的；围等。用于生产汽车产品、零部件或组件的工业机器人控制程序源代码；动力电池电极制备、装配、注液、化成、分容等核心工序的控制逻辑文件、符合以下任意一项条件的：1.国家重大专项、国家重点研发计划支持的；2.符合《中国禁止出口限制出口技术目录》中相关技术控制要点的；3.涉及《中华人民共和国两用物项出口管的。3.涉及道路的车辆流量、人员流量、物流等反映地级及以上行政区经济运行情况的数据，且累计时间大于等于30天；4.涉及或经汇聚、分析后能推算出大型活动安保等管控现场情况、交通事故等突发案事件警情现场情况以及其他涉及社会公共安全行政执法活动和人员的；8.涉及采集真实环境中累计2000小时以上原始影像的，或者基于此影像生成的；9.涉及1000万张以上原始图片的，或者基于此图片生成的。在驾驶自动化场景，《指引》分别从驾驶自动化算法数据、驾驶自动化算法训练数据以及驾驶自动化算法特征数据三大类别进行重要数据认定。对于“驾驶自动化算法数据”，值得注意的是重要数据认定规则包括“涉及车联网网络与数据安全、驾驶自动化功能相关成果获得省部级及以上奖励”或“可能对国家科技安全、行业竞争力等产生影响的”。对于“驾驶自动化算法训练数据”中的驾驶员决策数据集、组合驾驶辅助或自动驾驶系统决策或预测规划数据集以及运行数据集，其重要数据认定规则的几项内容在“产品测试”场景下都有所涵盖。对于驾驶自动化算法训练数据中的训练数据集以及驾驶自动化算法特征数据（含图像特征数据、点云特征数据）这一数据类别，《指引》统一规定了九条重要数据判定规则。下表是驾驶自动化算法特征数据相关数据项说明和判定规则在《征求意见稿》和《指引》中的变化对比：6化算法参数/数驾驶自动化算法训练数据/训练数据集/数据项、动化算法特征数据/图像特征数据/重要数据判特征数据/点云特征数据/重要组合驾驶辅助或自动驾驶算法模型训练参数和权重系数。数据项：训练影像及消数据项说明：用于训练、验证组合驾驶辅助或自动驾驶算法模型的初始数据集，包括文本、视5.涉及道路的真实车辆流量、人员流量、物流等反映地级及以上行政区经济运行情况的数据，且累计时间大于等于30天；6.涉及或经汇聚、分析后能推算出涉及社会公共安全行政执法活动的；7.涉及在境内运行的10万台以上车辆收集的；8.涉及采集真实环境中5000万公里以上或2000小时以上的原始图片或原始影像的；9.涉及1000万张以上原始图片的；10.涉及100万个以上原始影像的。组合驾驶辅助或自动驾驶算法模外）。数据项说明：用于训练、验证组合驾驶辅助或自动驾驶算法模型的数据集，包括文本、视频、5.涉及道路的车辆流量、人员流量、物流等反映地级及以上行政区经济运行情况的数据，且累计时间大于等于30天；6.涉及或经汇聚、分析后能推算出大型活动安保等管控现场情况、交通事故等突发案事件警情现场情况以及其他涉及社会公共安全行政执法活动和人员的；7.涉及在境内运行的10万台以上车辆收集的；8.涉及采集真实环境中累计2000小时以上原始影像的，或者基于此影像生成的；9.涉及1000万规则。在软件升级服务（OTA）场景，重要数据判定规则要求同时满足三项条件，相关数据项才可能被认定为重要数据：•涉及升级境内运行车辆；•涉及车辆远程控制功能的，不包含通过近场通信5方式实现的控制功能；•涉及车辆启动行驶、动力丢失、紧急制动、巡航控制、车道保持、充放电控制、电池温度控制功能。工信部《关于开展汽车软件在线升级备案的通知》《关于进一步加强智能网联汽车产品准入、召回及软件在线升级管理的通知》等部门规定及国家强制性标准GB44496-2024《汽车软件升级通用技术要求》对于汽车软件OTA进行了管理与规范。上述部门规定建立了汽车软件OTA备案制度，前述强制性标准则规定了汽车软件OTA日志保存、功能影响评估及车辆识别码管理等要求。5近场通信是指使用电感耦合设备以13.56MHz中心频率连接计算机外围设备的近场通讯接口和协议1（NFCIP-1）的通讯模式（ISO/IEC18092:2023）7另外，《指引》在《征求意见稿》基础上，新增“电池管理”这一数据项以及设计“充放电控制、电池温度控制功能”作为判定规则，值得相关企业加以关注。数据项说明驾驶自动化算法特征数据/点云特征数据/重要数据判定规则（修改）安全驾驶功能升级软件程序安全驾驶功能升级软件包对应的源同时符合以下条件的：1.涉及升级境内运行车辆的；2.涉及车辆远程控制功能的，不包含通过近场通信方式实现的控制功能；3.涉及车辆启动行驶、动力丢失、紧急制动、巡航控制、车道保持功能。安全驾驶、电池管理功能升级软件程序安全驾驶、电池管理功能升级软件包对应的源同时符合以下条件的：1.涉及升级境内运行车辆的；2.涉及车辆远程控制功能的，不包含通过近场通信（注8）方式实现的控制功能；3.涉及车辆启动行驶、动力丢失、度控制功能的。频率连接计算机外围设备的近场通讯接口和协议1合并入驾驶自动化算法特征数据的重要数据判定规则。5.联网运行场景在车辆数据场景，对于车辆识别码和车联网卡标识数据、车辆密钥、车辆数字证书以及控制指令，《指引》制定了四种不同的重要数据判定规则。对于车辆识别码和车联网卡标识数据，其重要数据判定以“可识别累计100万人以上个人身份”这一数量为界，与《促进和规范数据跨境流动规定》中确立的出境安全评估数量标准保持一致。值得注意的是，对于汽车行业长期关注的VIN是否构成个人信息的问题，《指引》对此问题未予明确。但《指引》在“车辆识别码（VIN）”的重要数据判定规则中表述“自当年1月1日起向境外提供与其他出境信息结合可识别累计100万人以上个人身份的”，这似乎在强调将其“可识别性”作为重要数据的判定标准。而对于车辆密钥和车辆数字证书，其则以“在境内运行的10万台以上车辆”为数量门槛；对于控制指令，只要涉及在境内运行车辆的，均构成重要数据。在车路感知场景，其重要数据判定规则与“产品测试”项下的九项规则基本一致，涉及对《汽车数据若干规定》第三条“（二）车辆流量、物流等反映经济运行情况的数据”的进一步细化。例如其以“30天”为时间尺度规定了“涉及道路的车辆流量、人员流量、物流等反映地级及以上行政区经济运行情况的数据”构成重要数据的情形。8相较于《征求意见稿》，《指引》新增注释，明确了“位置轨迹数据、自动驾驶地图数据、构图类数据等含有空间位置坐标的地理信息数据均应为采用国家认定的地理信息保密处理技术完成处理后的数据”。这与国家涉密地理信息处理技术的相关规定相衔接。在车路分析场景，将“覆盖至少单个完整路口，时间跨度大于1个月的”作为重要数据判定规则条件之一。以“1个月”的时间跨度为标准，量化了交通流指标数据这一数据项的判定规则。这是对《汽车数据若干规定》第三条“（二）车辆流量、物流等反映经济运行情况的数据”的细化。（4）车联网平台运营在车联网平台运营场景，《指引》划分了网络规划数据、充电运行数据以及安全保障数据三种数据类别。在网络规划数据方面，其主要以汽车数量为重要数据认定因素，以“服务100万台以上”作为认定界线；若提供在线升级OTA服务，则该数量降低至“50万台”。在充电运行数据方面，《指引》明确了“涉及军事管理区、国防科工单位以及县级以上党政机关等重要敏感区域的”、“涉及在境内运行的10万台以上车辆收集的”以及“自当年1月1日起累计向境外提供100万人以上的”三项判定规则，细化了《汽车数据若干规定》重要数据的识别标准。值得注意的是，相较于《征求意见稿》，《指引》新增了一项数据类别即“安全保障数据”。该项下的重要数据判定规则为：•涉及高危及以上安全漏洞的；•涉及重大及以上网络和数据安全事件的。对于“高危及以上安全漏洞”，GB/T30279-2020《信息安全技术网络安全漏洞分类分级指南》将漏洞分为超危、高危、中危、低危四级。而“高危及以上”则指漏洞可以容易地对目标对象造成严重后果，或漏洞可以非常容易地对目标对象造成特别严重后果。对于“重大及以上网络和数据安全事件”，网络安全事件依据《公共互联网网络安全突发事件应急预案》进行界定。该文件根据社会影响范围和危害程度，将公共互联网网络安全突发事件分为四级：特别重大事件、重大事件、较大事件、一般事件。数据安全事件则依据《工业和信息化领域数据安全事件应急预案（试行）》进行界定。该文件根据数据安全事件对国家安全、企业网络设施和信息系统、生产运营、经济运行等造成的影响范围和危害程度，将数据安全事件分为特别重大、重大、较大和一般四个五、数据出境流程的核心义务要求《指引》规定汽车数据处理者需要在重要数据目录备案基础上，按照《指引》识别需申报出境安全评估、订立个人信息出境标准合同、通过个人信息出境认证的汽车数据。对于汽车领域“重要数据目录备案”，其主要依据《工业和信息化领域数据安全管理办法（试行）》的相关规定，要求数据处理者将本单位重要数据和核心数据目录向本地区行业监管部门备案。备案内容包括但不限于数据来源、类别、级别、规模、载体、处理目的和方式、使用范围、责任主体、对外共享、跨境传输、安全保护措施等基本情况，不包括数据内容本身等。9《指引》进一步概括了安全评估、标准合同备案及出境认证的适用条件和要求。就出境安全评估，《指引》指出，“汽车数据处理者应当通过境内法人主体申报数据出境安全评估。境内无法人主体的，应由境内分支机构申报”。域外效力适用情形下，境外汽车数据处理者的境内代表处如何进行备案有待进一步观察。《指引》同时强调，“多家子公司如同属一家集团公司（母公司）且数据出境业务场景相似，可由集团公司（母公司）作为申报主体合并申报。不得采取数量拆分等方式，将应当通过安全评估的数据通过订立标准合同等方式向境外提供。”合并申报与实践做法一致。六、汽车数据出境安全保护要求《指引》从管理要求、防护技术要求、日志要求、应急处置要求四个方面对汽车数据出境安全保护提出了具体规定。在管理要求方面，《指引》从部门要求、人员要求、制度要求及审批要求方面进行了细化规定。在防护技术要求方面，《指引》从数据出境传输安全、数据出境安全监测以及检查支持三个方面规定了具体要求。在日志要求方面，《指引》从日志记录、日志留存及日志审计方面进行了规定。明确日志的记录内容，留存时