新能源汽车合规观察：超六成向用户明示App后台自启动行为

近年来，智能网联汽车行业迅速发展，与此同时，其在各类业务场景及产品运营过程中如何处理大量用户个人信息的问题也一直备受关注。

近日，一份行业数据合规观察（下称《观察》）显示，今年4月，新能源汽车行业的多数车企提高了对处理个人信息“最小必要原则”的重视程度。在销量排名前二十的新能源车企中，65%的车企在隐私政策中向用户告知了其控车App后台自启动行为，其中4月月内更新告知的车企占比近70%。

超六成新能源汽车明示控车App自启动行为

这份行业数据观察由象信AI与环球律所孟洁律师团队联合发布，关注重点为新能源汽车企业的个人信息处理情况。

《个人信息保护法》规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。这一原则通常被称为“最小必要原则”。

《观察》显示，今年4月，新能源汽车行业的多数车企加强了对处理个人信息“最小必要原则”的重视程度，行业整体的合规水线得以明显提高。具体而言，在被测的销量排名前二十的新能源车企中，有13家在隐私政策中就其控车App后台自启动行为向用户进行了告知，其中9家车企的相关条款系于4月集中更新。

比如，4月7日，小鹏汽车在其隐私政策中增加了有关其控车App后台自启动行为的条款。“为确保小鹏汽车App处于关闭或后台运行状态下可正常接收到客户端推送的信息和更新桌面小组件，我们需使用自启动能力，即在一定频率下通过系统发送广播唤醒小鹏汽车App自启动或关联启动行为，是为了实现产品功能及服务所必要的。”

哪吒汽车也于4月21日在App隐私政策中增加了相关说明。“当您的手机处于来电状态时App会自启动进行监控，这是出于保证您安全驾驶的目的，在您来电时可以及时暂停泊车进程；App在您使用蓝牙功能时，为确保蓝牙功能及时连接，会进行自启动来确认您的手机蓝牙处于开启状态；您的手机桌面小组件需要用到androidx.work 定时任务来保证小组件刷新正常，因此App会通过自启动来更新车辆状态。”

为何新能源车企近期不约而同地在隐私政策中增加有关控车App自启动行为的告知？《观察》认为，原因在于近期监管趋严，且尤其关注App自启动场景。于是，新能源车企纷纷开始评估控车App自启动行为的必要性，进而提高自启动行为的透明度。

事实上，相关法规文件近年来曾多次就App自启动和关联启动作出规定。《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》明确，在非服务所必需或者无合理场景下，不应自启动或者关联启动其他App。根据《APP用户权益保护测评规范自启动和关联启动行为》，App未向用户明示未经用户同意，且无合理的使用场景以及向用户明示但未经用户同意，都不应自启动或关联启动其它App。

在监管方面，工信部近年来多次对侵权App进行通报，其中“App频繁自启动和关联启动”已成为常规通报的问题之一。

部分车企明确删除前如何保护个人信息

《个人信息保护法》规定，有五类情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：处理目的已实现、无法实现或者为实现处理目的不再必要；个人信息处理者停止提供产品或者服务，或者保存期限已届满；个人撤回同意；个人信息处理者违反法律、行政法规或者违反约定处理个人信息；法律、行政法规规定的其他情形。

法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。

《观察》指出，对于数据删除的及时性问题，新能源汽车行业的普遍合规水平是明示会尽最大努力及时删除。不过，在实践中，部分个人信息会因为技术或法律原因无法立即删除。因此，部分车企还会在App隐私政策中进一步向用户告知，在备份系统中的个人信息被删除之前，其将如何保障用户的个人信息权益。

比如，比亚迪和蔚来汽车在隐私政策中均明示：当您从我们的服务中删除信息后，我们可能不会立即从备份系统中删除相应的信息，但会在备份更新时删除这些信息。

理想汽车则进一步明确，“您或我们协助您删除相关信息后，因为适用的法律和安全技术限制，我们可能无法立即从备份系统中删除相应的信息，我们将安全地存储您的个人信息并限制对其进一步的处理，直到备份可以清除或实现匿名化。”

根据去年南都个人信息保护研究中心发布的《个人信息安全年度报告（2022）》，在150款被测App中，有93.67%向用户告知了个人信息的储存时限。不过，绝大部分App仅仅说明将在达成目的所需期限内保留个人信息，并没有明确写出删除的具体时限。

另外，《观察》还指出，当前互联网设计产品的思维系通过多场景和强提醒的方式实现“告知同意”，即获取用户授权同意，形成个人信息处理的合规闭环。不过，互联网和车辆驾驶作为两个不同场景，后者不能直接“照搬”前者的告知授权模式。智能网联汽车产业的数据处理者需要结合具体车辆驾驶场景，及时履行相应的数据合规义务，遵守相关法规和规定，保护用户的个人信息和驾驶安全。