摘要：

2026年9月1日起施行的《小型个人信息处理者个人信息保护简化措施规定》，首次以“不满10万人”的当前处理规模为核心标准，为小型个人信息处理者设置差异化合规履责路径。汽车经销、试乘试驾、维修保养、会员运营和车联网售后服务具有线下触点密集、敏感信息混合、主体关系复杂以及数据链条跨组织流转等特征，因而不能将“企业规模小”当然等同于“数据风险低”，也不能把程序简化理解为实体义务减免。本文在《个人信息保护法》《网络数据安全管理条例》《汽车数据安全管理若干规定（试行）》等规范框架下，分析小型处理者认定、处理合法性基础、经销商集团内部数据治理、委托与提供边界、营销利用、智能座舱与跨境传输等实务问题，并提出以“处理者识别—数据盘点—场景分级—证据留存—持续复核”为主线的轻量化合规方案。本文认为，新规的制度价值在于实现风险相称的合规，而非降低个人信息权益保护水平；汽车行业主体应以处理目的与方式的实际决定权为核心完成主体识别，并将简化措施嵌入业务流程和合规体系。

关键词：小型个人信息处理者；汽车数据；个人信息保护；经销商；维修企业；风险相称合规

引言：从“形式合规”转向“风险相称的实质合规”

2026年7月，国家互联网信息办公室、公安部公布《小型个人信息处理者个人信息保护简化措施规定》（以下简称《简化规定》），自2026年9月1日起施行。^[1]该规定落实《个人信息保护法》第六十二条关于针对小型个人信息处理者制定专门规则、标准的授权，其政策目的并非削弱个人信息保护，而是在核心权利和安全底线不变的前提下，使合规方式与处理规模、业务复杂度和风险能力相匹配。

这一制度转向对汽车流通与售后服务行业尤具现实意义。4S店、独立维修企业、二手车商、汽车美容门店等主体通常组织规模有限，却可能持续处理身份证件、驾驶证、联系方式、车牌号、车辆识别代码（VIN）、维修记录、保险信息、位置轨迹乃至人脸、声纹等数据。部分信息单独看未必当然属于敏感个人信息，但在与自然人身份、车辆使用和行动轨迹相结合后，可能对人格尊严、人身或财产安全产生较高风险。与此同时，经销商、主机厂、金融保险机构、道路救援商、DMS/CRM系统供应商之间形成多层数据流转，使“谁决定处理目的和方式”“谁应告知并响应权利请求”成为实践中的首要问题。

本文所称“车主个人信息”系便于行业表达的概括性用语，并非独立法定类别；保护对象应当扩展至潜在购车人、试驾人、送修人、实际驾驶人、乘车人等可识别自然人。下文以规范解释为基础，兼顾业务流程和举证需求，尝试回答三个问题：何种汽车行业主体可以适用简化措施；简化措施改变了哪些履责方式、又保留了哪些实体底线；企业如何以可执行、可证明的方式完成合规闭环。

一、汽车业务中个人信息处理的合法性基础：告知同意与最小必要原则

汽车行业企业在日常经营中，不可避免地会收集、使用车主个人信息，例如：试乘试驾预约与实现过程中，汽车注册登记手续办理中，维修保养业务中，常见登记个人身份信息、驾驶证信息、联系方式、消费偏好、位置信息、车辆行驶信息、车辆识别代号（VIN）等。上述信息的收集和处理，均须以现行个人信息保护相关法律法规确立的“告知-同意”规则为基本前提。

（一）明确告知并取得同意

在信息网络发达的大数据背景下，有效认定“知情同意”面临不少困境。^[2]目前车企普遍采用传统的隐私政策方式履行该义务。企业在收集车主个人信息前，应当以显著方式、清晰易懂的语言向车主告知处理目的、处理方式、处理的个人信息种类、保存期限等事项，并取得车主的自愿、明确同意。尤其需要注意的是，对于车主的位置轨迹、驾驶行为数据、生物识别信息（如人脸识别、指纹识别）等，根据现行个人信息保护相关法律法规规定，属于敏感个人信息，处理此类信息须取得车主单独同意，且应当告知处理敏感个人信息的必要性以及对个人权益的影响。

图1 蔚来汽车《隐私政策》第一条

关于车端位置信息采集的告知同意说明

（二）坚持最小必要原则

企业收集个人信息应当限于实现处理目的的最小范围，不得过度收集。例如，仅进行常规维修保养时，无需收集车主的消费偏好或多维度的位置信息。实践中，部分4S店在车主入厂时通过工单系统收集大量无关信息，存在合规风险。

图2 理想汽车《隐私政策》第一条

预约试驾时不必提供身份证和驾照信息 符合最小必要原则

（三）简化规定不豁免告知同意义务

《简化规定》的核心在于为符合条件的较小规模企业提供程序上的简化，明确了小型个人信息处理者个人信息保护合规审计、影响评估、管理制度、安全事件应急预案、安全事件通知的简便处理措施。但并未也不会免除个人信息处理者公开个人信息处理规则、履行告知同意义务这些核心义务。对于高精度位置、车内音视频、生物识别、保险理赔材料等高风险字段，应设置更短保存期、更严格访问权限和导出控制，不能因企业符合小型处理者标准而降低保护强度。

企业无论规模大小，处理车主个人信息均须遵守核心规则，不得以简化规定为由规避该义务。同时，网信部门、公安机关和其他履行个人信息保护职责的部门可以采取抽查评估、审计报告等方式对小型个人信息处理者履行个人信息保护义务情况进行监督检查。

二、小型个人信息处理者的认定与适用边界

（一）“不满10万人”的统计口径

《简化规定》第二条将小型个人信息处理者界定为处理不满10万人个人信息的个人信息处理者。“不满”不包含10万人本数；统计对象是处理者当前处理的个人信息所涉及的自然人数，采用累计去重口径，但不包括已经删除的个人信息。^[3]相关简化规定主要依据处理个人信息的数量、是否涉及敏感个人信息、涉及用户人数等因素对“小型个人信息处理者”进行界定。汽车行业企业应当结合自身实际情况进行判断。需要注意的是，企业工商登记中的“小微企业”并不等同于该规定下的“小型个人信息处理者”，二者认定标准不同，不可混淆。

（二）独立法人不当然等于独立个人信息处理者

经销商集团常见误区是按营业执照数量机械拆分信息处理主体。个人信息处理者的识别核心是对处理目的、处理方式的自主决定权，而非仅看法人形式。若各门店独立决定客户获取、系统权限、营销使用和保存删除，可能分别构成处理者；若集团统一部署DMS/CRM、统一客户标签、集中营销并决定共享规则，则集团总部与门店可能构成单独处理者、共同处理者或委托处理关系，应结合实际控制力逐项定性。通过合同或系统架构人为拆分数据规模、但实际仍统一控制的做法，难以支持小型处理者认定。

以“某集团十家门店、每店每月新增300人、已经营五年”为例，简单乘算得出单店1.8万人并不足以下结论。还需核查客户是否去重、是否已删除、总部能否调取和使用、门店是否有独立目的、主机厂上传是否属于提供或委托等事实。只有先完成处理者角色识别，才可能正确确定告知主体、权利响应责任和是否适用《简化规定》。

（三）适用边界与提醒

对于符合条件的企业，简化规定可能带来程序上的利好，如免除部分场合的信息影响评估义务、免除设立独立安全负责人等。但企业应当注意，简化规定并非“法外之地”，基本的安全保障义务、通知删除义务、应响应权利人请求的义务等核心义务依然存在。对于汽车4S店、经销集团而言，其处理的车主信息数量可能达到中等规模，甚至涉及大量敏感个人信息，建议企业审慎评估自身是否确属小型处理者，不得当然适用简化规定，以免因误判而承担违规风险。

三、违规处罚与合规启示

（一）一般性处罚规定

根据现行个人信息保护相关法律法规的规定，违反个人信息保护义务的企业，可能面临责令改正、警告、罚款等处罚。情节严重的，最高可处五千万元或者上一年度营业额百分之五的罚款，并可责令暂停相关业务、停业整顿、吊销相关业务许可或营业执照。同时，相关违法行为还将记入信用档案，并予以公示。

（二）简化规定下的处罚梯度

相关简化规定在处罚方面可能设置梯度安排，对于轻微违法或首次违法且未造成严重后果的，可能适用从轻、减轻或不予处罚的情形。但企业不应据此认为新规意味着对违法行为的豁免。对于严重违法行为，特别是涉及大量敏感个人信息泄露、造成重大人身财产损害的，仍将面临严厉处罚。

（三）典型风险场景及新规中的应对

场景一：告知+同意义务未履行到位

“未公开个人信息收集使用规则”。2026年6月，趣学车北京科技有限公司运营的“趣学车”（版本号2.2.2）被中央网信办通报，主要问题是未公开个人信息收集使用规则。^[4]

“未经同意收集人脸等生物识别信息”。某大型4S店集团在展厅入口及客户休息区部署人脸识别设备，用于统计客流或分析客户特征，但未以显著方式告知并取得车主单独同意，该行为被监管机构明确认定为违法。即便企业主张部署设备是为了提升服务体验或优化客流统计，也绝不能豁免其法定的告知同意义务。监管机构对此类隐蔽收集行为的处罚，充分体现了对敏感个人信息保护的从严态度与零容忍立场。

依照《简化规定》第四条允许个人信息处理规则至少载明处理者名称或姓名、权利受理部门或人员及联系方式，以及处理目的、方式、种类和保存期限等核心内容；线下可在经营场所醒目位置张贴，线上可通过服务协议、客户端弹窗或网站公告公开。这里的“至少”意味着三类内容是最低集合，而不是任何场景都可以删除接收方、跨境、敏感信息必要性等其他法定告知事项。汽车门店同时存在柜台、电话、小程序、主机厂App等入口，宜采用“统一底稿＋场景短告知”的分层方式，并确保个人能够查阅和保存。

场景二：未遵守最小必要原则

“过度收集消费者个人信息或车辆位置轨迹及驾驶行为数据”。例如通过车联网系统持续收集车辆行踪轨迹、驾驶习惯等数据，若该收集行为超出实现产品基础功能所必需的范围，例如将数据用于非必要的商业画像或精准营销推送，即构成典型的过度收集。此类违规操作将面临高额罚款及业务暂停的严厉风险，同时也有可能承担民事侵权责任。^[5]这深刻警示企业必须重新审视数据采集的合理边界，并尽快建立并落实数据分类分级管理制度。

《简化规定》在最小必要信息的使用规则上作了简化，依照第六条规定，如果是提供服务的必需信息（不含敏感个人信息），则可以仅通过公开处理规则的方式履行告知义务。

场景三：数据主体撤回同意的行权保障

2026年4月，杭州云汽配配科技有限公司运营的“零零汽”（版本号4.7.8）被中央网信办通报，主要问题是未提供有效账号注销途径。^[6]

《简化规定》第十一条和第十二条分别规定了处理者应当设置保障数据主体行使权利的联系人以及处理者在不具备删除个人信息能力情况下的求助途径，从而落实了个人信息的删除和注销途径，使其具备了更强的可行性。

场景四：未经同意推送营销信息

维修企业利用历史工单联系方式开展商业营销，应区分最初收集目的和后续使用目的，并同时关注《个人信息保护法》与《消费者权益保护法实施条例》等规范要求。企业应保留同意来源、时间、文本版本和撤回记录，建立拒收名单，避免员工通过个人手机、企业微信导出客户名单。对长期无业务往来的客户，应按既定保存期删除或匿名化，不能以“以后可能营销”为由无限期保存。

依照《简化规定》第十八条和第十九条，对于小型信息处理者，如果违法行为轻微并及时改正或及时消除影响的，会免于处罚或减轻处罚。

场景五：未建立数据安全保护措施

企业未采取必要的加密、访问控制、日志审计等安全措施，导致车主信息泄露，会承担行政处罚的责任，构成刑事犯罪的甚至承担侵犯公民个人信息的刑事责任。^[7]

《简化规定》第十三条为小型个人信息处理者提供了更容易施行的《合规审计自查表》以及五年审计周期，减轻企业负担的同时使自查能够有法可依的落地执行。《简化规定》第十六条明确了个人信息泄漏事故发生的情况下，处理者可以采用的更简便直接的具体应对措施。

场景六：数据出境简化并非“跨境无义务”

《简化规定》第十条规定若干免予申报数据出境安全评估、订立个人信息标准合同、通过个人信息保护认证的情形，并对非关键信息基础设施运营者自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）设置便利。该条款应当结合《汽车数据出境安全指引（2026版）》关于重要数据的界定，重要数据不适用该豁免，告知、单独同意以及其他法定义务仍应履行。对于使用境外SaaS、全球主机厂系统、远程技术支持或跨境备份的门店，应先查明数据是否实际出境、境外接收方角色、数据类别和数量，不能仅凭供应商称“云服务”而忽略跨境链路。

四、汽车行业特别规则与前沿问题

（一）《汽车数据安全管理若干规定（试行）》的叠加适用

汽车数据处理活动还应关注《汽车数据安全管理若干规定（试行）》。该规定倡导车内处理、默认不收集、精度范围适用、脱敏处理等原则，并对敏感个人信息、重要数据、境内存储、风险评估和年度报告提出特别要求。这些行业要求与《简化规定》并非替代关系。即使某门店属于小型个人信息处理者，只要其实际开展相应汽车数据处理活动，仍需适用特别规范。需要注意的是，“年度报告”等义务主要围绕重要数据处理活动，不能笼统表述为所有汽车行业主体均须报送。

（二）智能座舱、生成式人工智能与远程客服

随着智能座舱录音、车内摄像、语音助手和生成式人工智能客服普及，门店可能将维修录音、事故描述、车内图像或工单文本提交给模型服务商。此类使用应重点审查：输入信息是否必要、能否先去标识化；模型供应商是否将数据用于训练；日志保存期限和访问地域；输出是否可能泄露他人信息；是否存在自动化决策对个人权益产生重大影响。小型处理者资格不改变委托监督、敏感信息保护和安全措施要求。

（三）二手车交易中的历史数据清除

二手车交付不仅涉及纸面档案，也涉及车机账号、通讯录、导航历史、蓝牙配对、家庭地址和云端服务绑定。经销商应建立交车前的数据清除与账号解绑清单，并分别确认车端、本地诊断设备和云端服务的数据状态。对不能由经销商直接删除的云端数据，应向车主提供明确操作指引并留存告知记录。该环节是汽车个人信息保护中容易被忽略、但具有明显财产和人身安全风险的前沿场景。

五、面向车企的轻量化合规方案

合规体系不宜停留在“更新一份隐私政策”。对于资源有限的经营主体，可以形成以下五步闭环，使制度文件、业务动作和证明材料相互对应。

表1 车企小型信息处理者个人信息保护的五步闭环

（一）技术措施

企业应当参照国家标准《信息安全技术 个人信息安全规范》（GB/T 35273-2020），采取必要的技术安全措施，包括但不限于：建立可复核的适用资格档案、对存储的个人信息进行加密处理、实施访问权限控制、建立日志审计机制、对涉及敏感个人信息的操作进行脱敏处理等。建议企业在维修接车单、工单等环节对车主联系方式、车辆识别代号等敏感信息进行脱敏显示，限制非必要岗位人员的访问权限。

企业应至少按季度或在收购整合、系统迁移、会员导入等重大变化时复核。接近10万人阈值的主体宜预先按一般处理者要求建设制度，避免在越过阈值后出现合规断层。已删除信息不计入统计，但“逻辑删除”“冻结展示”或仅从前端隐藏并不当然构成法律意义上的删除，企业应能证明数据已从可用业务系统和合理范围内的备份周期中退出。

（二）管理措施

1. 更新隐私政策及公开方式：作为小型个人信息处理者的企业，应当根据《简化规定》要求，及时更新面向车主的隐私政策或个人信息处理规则，明确告知信息收集目的、类型、保存期限、第三方共享情况等，并在入厂、试驾、会员注册等环节以弹窗、确认单等适当方式取得车主同意。

2. 建立合规台账：企业应当建立个人信息处理活动台账，记录信息收集、使用、共享、删除等处理环节，便于自查和应对监管检查。

3. 建立应急机制：《简化规定》第十五条允许在组织管理文件中以简便方式明确管理要求和应急处置要求，第十六条细化了受客观条件限制时的通知方式。门店可采用一页式分级响应卡：发现异常后立即停止泄漏、保全日志、内部上报、评估影响、依法通知个人及主管部门；涉嫌犯罪的及时报案。公告通知仅是确因客观条件限制时的简便路径，不应替代在具备联系方式情况下的定向通知。

4. 定期自查与培训：依照《简化规定》第二十条，企业应当定期开展个人信息保护合规自查，同时，对全体员工进行个人信息保护培训，提升全员合规意识。

（三）合同措施

对于委托第三方处理车主个人信息的情形（如IT系统供应商、数据分析公司、外包客服等），企业应当与第三方签订数据处理协议，明确约定处理目的、处理方式、安全措施、违约责任等，并对第三方的处理活动进行监督。根据现行个人信息保护相关法律法规的规定，委托方对受托方的处理活动负有监督义务，不得因委托而免除自身责任。

（四）形成“能证明”的合规材料包

企业数据管理或合规部门至少须保存：个人信息处理规则及历史版本、同意与撤回记录、数据台账、权限矩阵、委托或提供协议、影响评估表、合规审计自查表、员工培训记录、安全事件处置记录、删除或匿名化证明。合规材料应与实际系统配置一致；只有制度、没有日志，或者只有技术截图、没有责任规则，都难以形成完整证据链。

结语

《简化规定》回应了小型经营主体承担统一合规成本的现实困难，其核心方法是“风险相称”，而非“保护降级”。汽车经销与维修企业能否受益，取决于其能否准确识别实际处理者、动态计算当前处理人数，并将简化条件与具体数据流一一对应。特别是在集团化管理、主机厂数据回传、智能座舱、营销利用和跨境SaaS等场景中，数据规模小并不意味着风险低。

对企业而言，最具可操作性的路径，是从目的和数据流出发重构合规：以必要性控制收集，以角色判断安排告知和合同，以技术权限落实最小化，以日志和评估材料完成举证，以动态复核避免资格误判。只有当“简化”转化为更清晰、更贴近业务且可被验证的控制措施时，新规降低制度成本与保护个人权益的双重目标才可能同时实现。

❖本文系一般性法律合规分析，不构成具体法律意见。企业应根据自身实际情况，结合专业法律顾问意见进行合规决策。

注释

[1] 国家互联网信息办公室、公安部：《小型个人信息处理者个人信息保护简化措施规定》（国家互联网信息办公室、公安部令第25号），2026年7月22日公布，2026年9月1日起施行。

[2] 闻志强、施梦琪：《个人信息保护视角下知情同意原则的问题审视与完善路径》，载《法律研究》集刊2024年第2卷。

[3] 国家互联网信息办公室：《〈小型个人信息处理者个人信息保护简化措施规定〉答记者问》，2026年7月24日。

[4] https://www.cac.gov.cn/2026-06/11/c_1782920097670955.htm

[5] 最高人民法院发布网络消费民事典型案例之五：网络服务提供者过度收集消费者个人信息，应承担侵权责任——马某与某公司个人信息保护纠纷案

[6] https://www.cac.gov.cn/2026-04/27/c_1779028107561553.htm

[7] （2019）皖0404刑初24号，某知名二手车网站员工等侵犯公民个人信息案刑事判决书

作者简介：

张博、执业律师

张博，北京德和衡律师事务所执业律师，隶属刑民交叉业务部。持有CIPP/E（Certified Information Privacy Professional/Europe‌）认证、二手车评估师资格证等，深耕汽车行业近二十年。

擅长业务领域：汽车行业法律服务、合同纠纷、企业数据合规业务、公司常年法律顾问、中小学幼儿园常年法律顾问

手机：13911565717

邮箱：zhangbo-bj@deheheng.com

姜梦欣、执业律师

姜梦欣，北京德和衡律师事务所执业律师，专注于民商事案件诉讼与仲裁。

邮箱：jiangmengxin@deheheng.com