2026年6月26日，联合国世界车辆法规协调论坛（WP.29）第199次全体会议正式通过两项具有里程碑意义的自动驾驶全球法规：DCAS UN R171 Series 02（城区驾驶辅助系统法规）和UNR ADS（自动驾驶系统全球技术法规）。前者填补了传统辅助驾驶与有条件自动驾驶之间的监管空白，首次为城区辅助驾驶建立了“人机共驾”监管框架，并将在六个月内转化为欧盟强制性法规；后者则成为全球首个面向L3至L5自动驾驶系统的统一技术法规，由中国、欧盟、美国、日本和加拿大等主要汽车市场共同推动实施。
两项法规的落地，标志着自动驾驶产业正从区域性试点验证阶段迈向全球化商业竞争阶段。对于中国车企而言，智驾出海面临的首要障碍正在从“准入问题”逐步转变为“能力问题”。随着监管框架逐渐明晰，高阶智能驾驶技术的研发能力、数据治理能力以及全球化运营能力，将成为决定国际竞争力的关键因素。
然而，法规通道的打通并不意味着挑战的减少，恰恰相反，智能驾驶技术的持续演进正在催生更为复杂的数据合规要求。当前，以VLA（Vision-Language-Action）模型、世界模型（World Model）为代表的新一代智驾技术呈现显著的“数据密集型（Data-Hungry）”特征，其性能提升高度依赖海量真实道路场景数据的持续训练与迭代。而在欧洲市场，道路影像、位置轨迹、驾驶行为以及车外环境数据往往涉及个人数据处理，普遍落入GDPR及相关隐私法规的监管范围。
因此，在智能驾驶全球化竞争加速的背景下，数据合规已不再是技术落地后的附属议题，而成为产品研发、运营部署和商业化推广过程中必须同步考量的核心能力。本系列文章正聚焦于这一背景下车企面临的现实挑战，系统梳理企业在欧洲开展智能驾驶业务时，如何围绕数据采集、脱敏处理、存储管理、跨境传输以及数据主体权利响应等关键环节，构建符合GDPR要求的数据合规体系。
一、哪些智驾数据受GDPR管辖？
GDPR第4(1)条将个人数据定义为“与已识别或可识别自然人有关的任何信息”。在智能驾驶场景下，这一概念的适用范围远比企业通常理解的更为广泛。欧洲数据保护委员会（EDPB）在《车联网个人数据保护指南》中指出，联网车辆本质上已成为持续产生和传输数据的“数据生成器”，其收集的大部分信息均具有直接或间接识别个人的可能性。法国数据保护机构（CNIL）在2026年6月发布的最终建议中亦进一步强调，地理位置数据能够反映个人的居住地点、工作地点及活动规律，因此应被视为具有高度个人属性的信息。
在此背景下，智能驾驶系统处理的多类数据均可能落入GDPR的监管范围。例如，行人面部影像涉及生物识别特征，可能构成GDPR第9条规定的特殊类别个人数据；车辆号牌虽然指向车辆而非个人，但在特定条件下能够关联车主身份，因此同样属于个人数据；GPS轨迹数据不仅能够识别个人，更可能揭示个人行为模式和生活习惯，被监管机构视为风险较高的数据类别；而VIN、车载账户等标识符，则可通过与其他数据集关联实现对个人的识别，同样受到GDPR的全面约束。
对于车企而言，判断某项数据是否属于个人数据，关键不在于其是否直接显示个人姓名，而在于是否存在合理方式将其与特定自然人建立关联。在智能驾驶时代，个人数据的边界正不断扩展，企业对数据属性的准确识别，也将成为后续合法性评估、风险控制及合规管理的基础。
二、如何选择合法性基础？
合法性基础的选择，是数据处理活动合规的逻辑起点。GDPR第6条第1款设定了六项合法性基础且且六项基础在法律上处于平等地位，不存在层级关系。但这并不意味着控制者享有任意选择的自由，比如合法性基础的援引须以处理活动的具体性质、语境与目的为锚点，逐一匹配、逐项确定，而非凭商业便利择一而用。
测试阶段与已售车辆使用阶段，在数据主体身份、数据控制者与数据主体的关系、数据处理的合理预期以及所适用的特别法框架（尤其是ePrivacy指令）等维度上，均存在结构性差异：前者面对的是无法逐一获取同意的第三方公众，后者面对的则是与控制者存在直接合同关系的用户群体，二者不可等同视之。
（一）道路测试阶段
在道路测试场景下，自动驾驶测试车辆通常会持续采集道路环境信息，其中不可避免地涉及行人、其他车辆驾驶员以及乘客等自然人的个人数据。实践中，车企及测试服务商通常依据GDPR第6条第1款第f项规定的“合法利益（Legitimate Interests）”作为数据处理的合法性基础，其核心利益一般表述为：开展自动驾驶技术研发、验证及安全测试，以提升道路交通安全水平和驾驶辅助系统性能。
需要注意的是，合法利益并非当然成立。监管机构普遍要求企业能够证明相关处理活动符合必要性原则，并已充分评估对数据主体权利和自由可能产生的影响。因此，在道路测试阶段，企业通常需要重点落实以下合规措施。
首先，完成合法利益评估（Legitimate Interest Assessment，LIA）。
LIA是合法利益路径下最核心的合规文件之一，通常包括目的测试（Purpose Test）、必要性测试（Necessity Test）以及平衡性测试（Balancing Test）三个环节。
其中，监管机构最为关注的是平衡性测试，即企业是否能够证明相关数据处理对数据主体隐私权的影响未超过其追求的合法商业目的。企业应结合数据类型、采集场景、技术控制措施以及数据主体的合理预期，系统评估潜在风险并形成书面记录。
其次，依法履行透明度义务和告知义务。
根据GDPR第13条和第14条的要求，数据控制者应确保数据主体能够获知其个人数据正在被收集，以及相关数据处理活动的基本信息，包括控制者身份、处理目的、法律依据、数据保存期限以及数据主体权利等内容。
对于道路测试场景而言，由于企业无法逐一向经过测试区域的行人或其他驾驶员进行告知，行业普遍采用“分层告知（Layered Notice）”机制作为解决方案。具体而言，测试车辆通常会在车身醒目位置张贴摄像头标识、隐私提示标识及二维码链接，数据主体可通过扫码访问完整隐私政策。
EDPB在相关指导文件中亦指出，配备传感器或摄像设备的测试车辆应设置清晰且可识别的提示信息，例如图标、贴纸、二维码或网页链接，以确保潜在数据主体能够及时获悉数据采集行为并便捷行使其权利。
（二）已售车辆使用阶段
相较于道路测试阶段，已售车辆的数据处理活动面临更严格的监管要求。由于车辆已成为用户日常使用的联网终端设备，相关数据处理除适用GDPR外，还可能受到ePrivacy规则约束。因此，车企不能简单沿用测试阶段以“合法利益”为基础的数据处理逻辑，而需优先评估是否需要取得用户同意。
CNIL于2026年6月发布的最终建议明确指出，当企业访问或存储车辆终端设备中的信息，例如读取GPS定位信息、行驶轨迹等数据时，原则上应事先获得用户同意。监管机构同时强调，位置数据处理通常并非履行车辆销售合同所必需，因此仅以车辆销售合同作为合法性基础往往难以成立。
值得注意的是，企业不仅需要评估访问车辆数据本身是否符合法律要求，还需为后续的数据存储、分析、共享和利用活动确定相应的GDPR合法性基础。换言之，获取数据的合法性与后续处理的合法性属于两个不同层面的合规问题，需要分别进行评估。
具体而言，基于法规和实践的双重考量，我们建议企业在以下场景获取用户同意：
- 访问车辆存储或生成的位置数据，例如GPS坐标、行驶轨迹及历史位置记录；
- 向车辆终端设备写入信息或读取设备标识符；
- 采集并使用车辆数据用于功能优化、产品改进或商业分析等非用户明确请求的目的；
- 任何非为提供用户主动请求服务所严格必要的数据访问行为。
与之对应，只有在极为有限的情况下，同意要求才可能获得豁免。例如，实时导航服务必须获取车辆当前位置信息才能实现路线规划，相关数据访问可能被认定为提供用户明确请求服务所“严格必要”。但CNIL特别强调，此类例外应采取严格解释原则，企业不得将其扩大适用于算法训练、产品优化或商业分析等目的。
对于智能驾驶企业而言，已售车辆阶段的监管重点已从“能否采集数据”转向“是否获得有效授权”。 道路测试阶段更多关注合法利益评估、透明度义务和风险控制，而量产车辆阶段则更加关注用户选择权和控制权。企业如果将测试阶段的数据治理逻辑直接套用于消费者场景，极易面临ePrivacy与GDPR双重监管风险。因此，在车辆交付后的数据运营过程中，建立清晰、可验证且可撤回的用户同意机制，往往是智驾数据合规体系中最关键的一道防线。
三、如何区分假名化与匿名化？
GDPR下，假名化与匿名化虽然都属于数据脱敏手段，但其法律效果存在本质区别。假名化仅降低识别风险，而不改变数据作为个人数据的性质；匿名化则要求彻底消除识别可能性，使数据脱离GDPR适用范围。
EDPB最新指南进一步指出，匿名化并非数据本身的固有属性，而是一项与具体场景相关的评估结果。企业需要从所有合理可预见的视角评估再识别风险，而非仅依据单一技术措施判断是否实现匿名化。
而在实践中，企业往往并非通过单一技术实现数据脱敏，而是综合运用图像处理、标识符替换、统计保护等多种技术手段，以下本文将就一些官方文件明确提及的常见技术手段进行具体分析。
高斯模糊/马赛克处理（Gaussian Blur / Pixelation）：通过降低图像细节或遮挡局部特征减少个人可识别性。从GDPR视角看，此类措施通常仅构成假名化而非匿名化。一方面，随着图像增强及AI重建技术的发展，模糊信息在特定条件下仍存在被恢复的可能；另一方面，即使面部特征被遮挡，结合车辆位置、时间戳、服饰特征或周边环境信息，仍可能实现对个人的间接识别。因此，仅采用高斯模糊或马赛克处理通常难以满足EDPB关于“再识别风险微不足道”的匿名化要求。相应数据原则上仍属于个人数据，继续适用GDPR关于RoPA、DPIA及数据主体权利保障等要求。
身份替换（Identity Replacement）：通过生成式AI创建全新的虚拟面部特征以替换真实人脸信息。在特定条件下，该技术有可能支持实现匿名化目标。关键在于替换过程是否不可逆、原始身份信息是否已被永久删除，以及生成结果是否能够与任何真实个人建立关联。若企业能够证明真实身份无法恢复，且结合其他合理可获得的信息亦无法重新识别数据主体，则相关处理存在被认定为匿名化的可能。企业应保留相应技术验证和风险评估记录，以证明匿名化效果。
哈希替换（如HMAC-SHA256）：通过加盐哈希等方式将设备标识符、用户ID或车辆识别信息转换为伪标识符。从监管实践看，该类措施通常属于典型的假名化技术。其原因在于控制者通常保留盐值、密钥或映射关系，从而保留重新关联至特定个人的可能性；即使不存在映射表，也仍需评估暴力破解、字典攻击或其他再识别风险。因此，经哈希处理的数据原则上仍属于个人数据，相关密钥或盐值应独立存储并实施严格访问控制。
差分隐私（Differential Privacy）：通过向查询结果或训练数据引入统计噪声，降低单个个体被识别或推断的风险。其法律定性并非固定，而取决于具体参数设置、应用场景以及剩余再识别风险。在能够证明个体识别风险已降至极低水平的情况下，差分隐私可作为实现匿名化的重要技术手段；否则，其作用更多体现为风险缓释措施，而非匿名化本身。因此，企业应记录隐私预算（Privacy Budget）、参数配置及风险验证结果，以支持合规论证。
合成数据（Synthetic Data）：利用真实数据训练模型后生成新的数据样本，而非直接使用原始记录。原则上，如生成结果不包含任何可识别个人的信息，且无法反推出训练数据中的具体个体，则相关数据可能不构成个人数据。然而，监管机构同样关注模型记忆（Model Memorisation）和过拟合（Overfitting）风险。若模型能够重现、泄露或推断训练数据中的个人信息，即使输出形式为“合成数据”，仍可能受到GDPR规制。因此，企业应通过隐私攻击测试、过拟合检测等方式验证生成结果的匿名化程度。
需要强调的是，上述技术仅为比较常见的数据脱敏手段，并不存在任何一种技术能够在所有场景下天然满足GDPR意义上的匿名化要求。从EDPB最新的指南看，监管机构对于脱敏效果的认定并非取决于企业采用了何种技术名称，而是取决于结合具体业务场景、数据类型、数据接收方、可获得的辅助信息以及现有和合理可预见技术条件后，相关数据是否仍存在可识别风险。因此，车企在实践中应坚持风险导向原则，对脱敏方案开展个案评估和持续验证，并结合具体应用场景选择适当的技术组合。对于拟以匿名化作为合规依据的数据处理活动，还应保留充分的技术论证、测试结果和评估记录，以证明其已达到监管机构要求的匿名化标准。
四、结语
数据收集与数据脱敏，是GDPR合规体系的起点，也是数据治理能力的基础。无论是数据获取阶段的合法性与透明性要求，还是脱敏阶段对个人可识别风险的控制，均直接影响后续合规工作的有效性。
合规始于采集，底线在于脱敏。下一篇将进一步聚焦数据存储、跨境传输以及数据主体权利响应等核心议题，梳理车企在数据全生命周期管理中的关键合规要求。