用户享有个人信息所有权，欧盟数据跨境对我国的启示

faumdfzzlu

滴滴事件虽然最终以罚款超80亿元落下帷幕，但是滴滴事件仍将仅是个开始。对于国内的车企以及网约车平台企业来说，用户的数据堪称新时代的“石油”，如果无法获取并利用用户数据，那么车企转型成为智能移动出行服务平台的愿景也将随之落空。作为全球个人信息保护的高地，欧盟采取了个人信息所有—企业享有收益权的双重架构，这一架构对我国具有十分重要的借鉴意义。

对于个人信息在汽车场景下的应用，换言之车联网的数据治理，欧盟已经制定了详细的规则，欧盟基于个人信息保护—数字经济—国家安全的考虑来推动数据跨境以及企业利用数据进行大数据分析的积极性。

欧盟数据治理的首要思路是将绝大多数智能汽车内采集的数据都视为个人信息。例如，2020-2021年间，欧洲数据保护委员会两次发布《车联网和移动设施个人信息处理指南》，在开头明确表示车联网产生的大部分信息均可归为个人信息，某些信息尽管并不直接与姓名相连，但至少会与“驾驶人”或“乘客”有关，若进一步查询就可获知驾驶人真实信息。

在确定了车内采集的数据大部分都属于个人信息后，车企首要遵循的就是欧洲《通用数据保护条例》的规定，即个人信息处理除非获得个人的明示同意，否则数据收集活动不可进行。用户同意必须清晰、合法、特定。不仅对此，车企对用户信息的索取还必须符合数据采集最小化原则，即非必要不得采集、处理个人信息。此外，欧盟还特别强调对三类个人信息进行额外保护，即位置信息、自然人生物识别信息以及能够反映驾驶人刑事犯罪或其他违法行为的信息。

可见，欧盟对个人信息控制相当严格。但是数据的最大特征在于只有当数据量达到一定量级才能发挥出数据挖掘的作用，因此对于车企来说，获得大规模用户数据才能创造价值，因此欧盟也搭建了一套在确保用户对个人信息的控制情况下的使用数据的模式。欧盟认为，在对用户信息进行匿名化处理后就可以在欧洲自由流动，禁止欧盟各成员国无故施加信息本地化要求。

当然我们需要注意，欧盟所谓的数据自由流动仅限于欧盟内部。对于欧盟来说，由于其数字经济落后于美国，为了确保欧盟内部的数据流动以期创造最大价值，因此欧盟立法严禁限制数据在欧盟流动，但是在面对美国谷歌、脸书等企业的数据跨境要求时，欧盟则采取严格审核，基本不予批准。可见，欧盟发展个人信息产业最终目的是为了欧盟整体福利，并非是完全出于市场自由化。

从欧盟的立法思路来看，我国对数据利用的思路与欧盟一脉相承，同时新实行的《个人信息保护法》也在相当程度上借鉴了欧盟立法经验。面对数据跨境流动，我国亟需构建一套确保用户对个人信息控制，车企享有数据流动带来的商业价值以及面对海外国家数据跨境要求的严格审批制度，这样才可以确保我国数字经济行稳致远。