最近一段時間，特斯拉在國內接連發生交通事故。人們對特斯拉車輛安全性質疑的同時，也對特斯拉掌握的國內用戶數據的安全及保護問題產生擔憂，甚至有學者提出智能汽車企業對敏感地理位置等涉及國家安全數據的采集和處理涉及國家安全利益，需嚴格規范，進行數據本地化處理。
5月12日，國家互聯網信息辦公室發布的《汽車數據安全管理若干規定（征求意見稿）》第十二條明確規定，個人信息或者重要數據應當依法在境內存儲，確需向境外提供的，應當通過國家網信部門組織的數據出境安全評估。此前特斯拉曾表示，在中國采集的數據會嚴格遵守中國對于數據管理的法律法規，實現本地存儲。
事實上，在數據全球化時代，汽車數據安全只是數據安全的一部分。出于對個人信息保護、國家安全等因素的考量，已經有不少國家立法對數據的跨境流動加以限制。目前，我國網絡安全法和正在制定中的數據安全法、個人信息保護法等都有對數據跨境流動的相關規范。如何構建我國數據跨境管控制度成為當下人們關注的重要議題。近日，專家學者接受民主與法制社采訪時表示，對“重要數據”的認定制度還需進一步再細化。
積極促進數據跨境安全、自由流動
針對特斯拉等智能電動汽車數據安全問題，中國法學會法學期刊研究會會長、中國人民大學法學院教授張新寶近日撰文稱，智能電動汽車有能力全時段、全方位、全媒體收集司機以及其他乘員的個人信息：誰開車和誰在車上，司機、乘員在車上說了什么、做了什么，駕駛人的位置數據和駕駛習慣，以及車外的數據，比如汽車充電網的運行數據、道路上車輛類型、車輛流量、車外音視頻數據等，可以毫無遺漏地被車內監控裝置收集并傳輸給數據處理中心，甚至迅速到達位于境外的特斯拉數據處理基地。
張新寶談到，值得注意的是，特斯拉等智能電動洗車除了通過大量收集和處理司機等的個人信息獲得數據財產外，還通過其他方式獲取車外數據。最典型的是智能汽車運行和停泊狀態下對周圍環境進行“街拍”，獲得的不針對特定個人的數據，比如可能高于國家公開發布地圖精度的測繪數據、汽車充電網的運行數據、道路上車輛類型、車輛流量等數據。智能電動汽車以上兩種數據采集和處理，存在極大安全隱患，既包括對個人信息安全的隱患，更包括對社會乃至國家安全的隱患。比如，通過對“街拍”數據的稍加處理，定位國家安全場所等敏感地理位置、重要人物活動軌跡等。
對外經濟貿易大學數字經濟與法律創新研究中心執行主任許可表示，國家安全、公共安全、經濟貿易發展以及個人信息保護是當前各國對數據跨境流動實行管控的主要因素。但對數據跨境流動要如何進行限制、是否要堅持數據自由流動原則等問題上，目前在世界范圍內遠未達成共識。
許可認為，在考慮數據跨境流動限制問題上，應當先清楚地認知到數字經濟發展的特殊性，“數字經濟和傳統經濟有本質區別，在其發展中運用的云計算、云存儲等基礎設施，具有‘無國界性’特征，數字經濟發展伊始就是全球競爭的格局，因此對數據跨境流動的管控應當同時兼容安全和流動原則。”
《中華人民共和國數據安全法（草案）（二次審議稿）》第十一條明確規定：“國家積極開展數據領域國際交流與合作，參與數據安全相關國際規則和標準的制定，促進數據跨境安全、自由流動。”
許可認為，我國是經濟全球化和自由貿易的參與者、受益者和倡導者，從自由貿易區到“一帶一路”倡議，我國始終堅定支持開放、包容、共贏的全球化，促進全球貿易和投資自由化和便利化。同時，我國還是數字經濟的引領者。數據安全法草案二審稿提出的數據跨境安全、自由流動的原則彰顯了我國堅持對外開放與國際合作的基本立場，以及對國家安全問題的高度重視。
對重要數據出境重點管控
張新寶認為，基于數據安全的個人信息保護利益和國家安全利益考慮，限制特定個人的個人信息收集處理和出境、限制“街拍”獲取周圍環境數據的能力，要求數據的本地化處理和嚴格規范相關數據的跨境流動，是數據安全法和個人信息保護法的重要任務。
數據安全法草案二審稿第二十條明確，我國建立數據分類分級保護制度，根據數據在經濟社會發展中的重要程度，以及一旦遭到篡改、破壞、泄露或者非法獲取、非法利用，對國家安全、公共利益或者公民、組織合法權益造成的危害程度，對數據實行分類分級保護，并確定重要數據目錄，加強對重要數據的保護。
許可表示，按照我國數據安全法草案二審稿第三十條的規定，實際上目前我國把重要數據分為兩類：一類是我國網絡安全法規定的關乎信息基礎設施的重要數據。網絡安全法要求建立本地化存儲和出境評估兩種制度。另外一類是關鍵信息基礎設施以外的其他重要數據，由國家網信部門會同國務院有關部門制定相關的出境安全管理辦法。
許可表示，重要數據一直是我國出境管控的重點，具體如何認定重要數據是實行出境管控的基礎。他認為，在對重要數據認定問題上，應當限制重要數據認定權授予、設置嚴格認定程序，同時還要強化認定結果監督。他建議由國家劃定重要數據的類型，各地區在上述劃定范圍內有權確定本地區重要數據目錄，在不同地區出現沖突的情況下，可上報國家網信部門決定。
中國法學會法治研究所研究員劉金瑞表示，我國立法應當明確重要數據的識別認定制度，可以規定重要數據識別認定的所涉領域、標準依據、負責部門和相應程序，構建統一的重要數據管控制度架構。具體來講，可以“抽象概括+具體列舉”方式規定重要數據所涉及的重要行業領域；考慮到不同領域數據存在的特殊性，將重要數據認定的負責部門設定為各領域各行業的主管部門較為妥當，例如規定“醫療健康領域的重要數據保護目錄由國家衛生健康委員會認定”。
對數據跨境流動的管控，除涉及對數據出境問題外，還涉及對境外數據的調取。許可介紹，隨著我國企業全球化布局的展開，我國數據領域立法適當擴展域外管轄權已是當務之急。在此問題上，數據安全法草案二審稿第二條延續并革新了網絡安全法第七十五條關于域外保護性管轄權的規定，明確了在我國境外開展數據處理活動，損害我國國家安全、公共利益或者公民、組織合法權益的，依法追究法律責任。
許可認為，為實現這一域外管轄權，與歐盟《一般數據保護條例》第五十八條類似，我國執法機關應當享有獲取境外電子證據的權力，在境外數據調取的場合，當他國威脅我國的國家安全時，我國可以通過強化國家對跨境數據的控制力。