国家网信办对某外资车企违反汽车数据境内存储规定处以行政处罚案（2023年）

【案件背景】
《中华人民共和国数据安全法》第21条规定国家建立数据分类分级保护制度，第25条对重要数据的出境实施安全评估管理。《汽车数据安全管理若干规定（试行）》第9条和第11条进一步明确：'重要数据应当依法在境内存储；因业务需要确需向境外提供的，应当通过国家网信部门组织的数据出境安全评估。'智能网联汽车在运行中持续采集的道路地理信息、交通参与者个人数据、高精度测绘数据等，一旦泄露或被恶意利用，可能危害国家安全和社会公共利益，因此汽车行业数据被列为重点监管领域。2023年，国家网信办联合工信部开展汽车数据安全专项检查。

【违法事实】
检查组发现某在华运营的国际知名汽车企业存在以下问题：1）该品牌在中国市场销售的智能网联汽车配备多类传感器，持续采集车外道路影像、地理坐标、交通信号、行人及车辆信息等数据，其中部分数据构成《汽车数据安全管理若干规定》所界定的'重要数据'（含军事管理区、重要基础设施周边数据）；2）调查发现上述重要数据未经安全评估即通过车载通信模块实时回传至位于欧洲的全球云平台和数据中心，在中国境内未保留完整数据副本，违反了重要数据应当'在境内存储'的强制性义务；3）该企业的汽车数据处理活动未按《汽车数据安全管理若干规定》要求向省级网信部门报送年度汽车数据安全管理情况报告；4）该企业未就采集的车外道路地理信息和重要敏感区域数据实施有效的数据分类分级，无法区分哪些数据可以出境、哪些必须严格在境内存储和处理。

【处罚决定】
国家网信办依据《数据安全法》第45条和《汽车数据安全管理若干规定》，对该企业处以80万元人民币的行政罚款。同时责令：1）立即停止将未通过安全评估的重要数据向境外传输；2）在5个月内在境内建立符合安全等级保护要求的数据存储基础设施；3）实施汽车数据分类分级制度，对重要数据的采集、存储、传输建立全流程安全管控；4）补充完成数据出境安全评估申报后方可恢复跨境数据传输；5）向省级网信部门补报汽车数据安全管理年度报告。该企业被纳入汽车数据安全重点监管名单，列入后续持续跟踪检查范围。

【典型意义】
本案是中国汽车数据安全领域本地化存储执法的标杆性案例，深刻体现了'重要数据境内存储、出境须安全评估'的监管逻辑。对于所有在华运营的智能网联汽车企业，本案的核心启示包括：第一，汽车数据本地化义务不是选择性的——涉及重要数据的，境内存储是基线要求，安全评估是出境的前提条件，两者缺一不可；第二，数据分类分级是本地化合规的前提——企业如果无法准确识别哪些数据属于'重要数据'，就无法判定哪些数据必须境内存储，这一前置义务的履行缺失将导致后续全链条的合规失败；第三，随着中国数字监管体系的不断完善，汽车、金融、医疗、地图测绘等特定行业的数据本地化要求只会趋严不会放宽，跨国公司需要在产品设计阶段就将数据本地化架构作为核心合规要素嵌入。