欢迎光临散文网 会员登陆 & 注册

“千里眼”的合规问题 ---如何理解信息的“收集”?

2022-04-07 18:57 作者:就是那个工  | 我要投稿

据媒体“IT之家”3月31日报道,一些比亚迪车主反映,可远程查看车载摄像头影像的“千里眼”功能突然无法使用了,在比亚迪汽车 APP 中打开此功能会提示“根据国家最新法规要求,车外影像功能正在升级,敬请期待”。


“千里眼”是比亚迪汽车APP中给用户提供的一个功能,可以通过此功能远程查看车载摄像头,用以观察或者录像、拍摄车辆周围的环境。


而就在3月30日,东风日产也发布公告,于3月31日关闭日产智联APP远程拍照功能、车机端DVR中照片分享和上传功能。


通知中提醒用户,在功能关闭前及时下载云端保存的图片资料。

到底是什么样的法规,使得两家车企不约而同地关闭了“千里眼”功能?

是不是所有能远程查看车载摄像头的功能都是违规的?

 

违反了哪一条

2021年10月1日起施行的《汽车数据安全管理若干规定(试行)》这样规定,第八条:

“汽车数据处理者处理个人信息应当取得个人同意或者符合法律、行政法规规定的其他情形。

因保证行车安全需要,无法征得个人同意采集到车外个人信息且向车外提供的,应当进行匿名化处理,包括删除含有能够识别自然人的画面,或者对画面中的人脸信息等进行局部轮廓化处理等。”

违反这一条的可能性最大,因为“千里眼”功能符合该条法规中描述的三个条件:

“因保证行车安全需要”

启动车辆前保证车况良好,是行车安全的一个重要方面。行车记录仪、远程摄像头、哨兵模式都是为了观察车辆环境和状况,监控偷盗、破坏等影响车况的行为而存在的,这些功能符合这一条中提到的“保证行车安全”这个目的。


“无法征得个人同意”

“千里眼”是一种远程控制功能,而且查看和拍摄的时机具有很强的随机性和偶然性,用户没办法在使用之前提前获得路人的许可,也没办法远程联系路人获得许可。“千里眼”功能也符合法规中的这个特点。

“采集到车外个人信息”

用户使用“千里眼”功能有时候难免能看到车辆周围的路人,所以就有可能通过拍照或者录像功能,记录下路人的人脸。这种情况就符合这一条里提到的“采集到车外的个人信息”。

 

为什么违规?

但如果仅仅因此就认为车企违规的话,以此类推,任何有记录、拍照功能的电子产品的生产商都有违规的可能。

手机拍摄街景、行车记录仪拍摄路况,都难免会记录到路人的面部,这些功能更应该禁止。

所以这一条法规中的一个关键附加条件,才是判断车企是否违规的关键。

“且向车外提供的”

什么叫向“车外”提供,向车主提供算不算向车外?

如果把向车主提供也理解为向“车外”,那么行车记录仪就再也没有存在的必要了。哨兵、记录仪就是为了监控有没有破坏行为和事故的,这些记录的人脸是追责的重要证据,如果记录这些都需要匿名化的话,那还不如不记录。

所以笔者认为这里的“车外”是不能包括车主的,否则就完全和这些功能的存在意义背道而驰。

那么既然向车主提供拍摄画面不需要匿名化也不算违规的话,车企为什么要关闭“千里眼”功能呢?

关键还是在于“向车外提供”。一个很大的可能是,一些车辆的“千里眼”功能是可以把拍摄的记录上传给车企(或者服务提供商)的,而不是简单的直接储存在本地,从而触犯了“向车外提供”这个条件。


以东风日产的通知为例,可以看出车机端禁用的是上传相关的功能。


而手机端远程拍摄的照片,是要通过云端下载的,而不是直接储存在本地,因此存在一个远程拍照首先上传到云端的过程,从而触发了“向车外提供”这个“buff”。


目前依然有一些车辆的远程拍照功能没有因为违规而禁用的,笔者特地尝试了一下,发现这类车辆的远程拍照的照片确实都是直接存储在本地的,如果这种功能之后还是能长期使用的话,那么就能进一步验证笔者的判断。


本质在于对“收集”的理解

无论是“千里眼”功能,还是我们日常使用手机拍摄功能,通过类比思考,可以发现此类个人信息合规的关键都在于“收集”。

一件工具或者功能的使用,对信息的“收集”来说其实是有两个层面的,一个是工具的生产者或者是功能的提供者,一个是工具的使用者。工具的使用者拍摄到了路人储存在本地,未必意味着生产者也收集到了这个路人的人脸信息。

在《个保法》施行之前,有一部国家推荐行标准对“收集”有更加详细的注解。《信息安全技术个人信息安全规范》(GB/T35273-2020)对“收集”的注释2这样解释:

“如果产品或服务的提供者提供工具供个人信息主体使用,提供者不对个人信息进行访问的,则不属于本标准所称的收集。例如,离线导航软件在终端获取个人信息主体位置信息后,如果不回传至软件提供者,则不属于个人信息主体位置信息的收集。”

笔者比较同意这个解释的思路,只要行车记录仪、车载摄像头、手机摄像头,拍摄到的内容只是本地储存而不上传给生产商,那么生产商就不能算是收集了个人信息,也就不存在违规。

至于工具的使用者自己是否侵害别人的个人信息,这本身可以在用户个人层面针对用户的个人行为加以规范,但这种规范不应该成为完全禁止工具的理由。刀具可以用来切菜,但不能因为可能有人用来犯罪就完全禁止使用刀具。

“千里眼”的合规问题 ---如何理解信息的“收集”?的评论 (共 条)

分享到微博请遵守国家法律