关键要点
- 工信部牵头、国家网信办（CAC）等共八部委，2025 年 6 月 13 日把《汽车数据出境安全指引（2025 版）》作为征求意见稿发布。
- 征求意见窗口 2025 年 7 月 13 日关闭；文本仍是征求意见稿，未定稿为具约束力规范性文件，不应视为已生效。
- 它设三条出境路径：最危险流向走安全评估；中等体量个人信息走标准合同或认证；另有九类豁免。
- 触发强制评估门槛：出境重要数据；或自当年 1 月 1 日起累计向境外提供 100 万及以上自然人非敏感个人信息；或 1 万及以上自然人敏感个人信息。
- "汽车数据处理者"定义很宽——制造商、零部件与软件供应商、电信运营商、自动驾驶服务商、平台、经销商、维修商、出行服务商——并按场景列明重要数据。
为什么是行业专属规则
中国已有《网络安全法》《数据安全法》《个人信息保护法》及《网络数据安全管理条例》构成的通用数据出境框架；2021 年汽车数据试行措施提了"车内处理"等原则。可企业仍反复撞同一堵墙：通用规则精神清楚，却没说清车企到底在搬什么数据。
2025 年征求意见稿收窄这缺口——汽车业跨境流动是常态：全球研发、海外生产、自动驾驶验证都拉数据过边境。起草单位在国家安全数据协调机制下工作，目标是"高效、便利、安全"的出境机制，而非封堵。
三种出境行为
征求意见稿先界定什么算"出境"，范围比"往国外发个文件"更宽：
1. 境内运营中收集、生成的数据被传送到中国境外。
2. 存储于中国境内的数据被境外方查询、调取、下载或导出。
3. 就境内自然人进行的个人信息处理发生在中国境外（依《个人信息保护法》域外效力）。
第二种是安静的陷阱：数据没离开中国服务器，可一旦外国同事拉走，此刻它就成了"出境"。
三条路径
路径一——安全评估（强制）：数据是"重要数据"；或自当年 1 月 1 日起累计提供 100 万及以上自然人非敏感个人信息；或 1 万及以上自然人敏感个人信息；或处理者是关键信息基础设施运营者并提供个人信息。
路径二——标准合同或认证：非关基运营者的处理者，累计 10 万及以上、不足 100 万自然人非敏感个人信息，或不足 1 万自然人敏感个人信息，可二选一用个人信息出境标准合同或认证。
路径三——九类豁免（完全跳过评估、合同与认证）：境外收集加工后回传且不引入境内个人信息或重要数据；跨境购车、寄递、支付；依法跨境人力资源管理；紧急保护生命、健康或财产；不足 10 万自然人的非敏感非重要个人信息小流量；自贸区负面清单豁免；已报工信部的漏洞数据；已报监管的安全事件数据；已向市场监管备案召回的 OTA 升级源代码。
按场景看重要数据
征求意见稿按场景列出触发评估的"重要数据"目录，五个核心场景撑起它：
- 研发：物料清单、设计文档、产品与开发源代码。
- 制造：工艺物料清单与生产控制程序源代码。
- 驾驶自动化：辅助或自动驾驶的算法、训练数据与特征数据。
- 软件升级服务：动力、底盘、安全驾驶软件包源代码。
- 网联运营：车辆标识、车载密钥与数字证书、控制指令、路侧感知数据、自动驾驶地图数据。
中汽中心（CATARC）把重要数据条款统计为跨场景共 27 类，并给每项配判定规则把识别往可量化测试上推。
所处阶段，摊开说
2025 年 6 月 13 日发布的文本是征求意见稿，自称"拟作为规范性文件印发"，征求意见截止 2025 年 7 月 13 日。在本文来源里，它尚未定稿为具约束力规则。说成"中国新车数据出境法现已生效"就错了。正确措辞：已征求意见、尚待生效——是预备去应对的设计，而非当前在施的约束。
诚实的局限
本文基于 2025 年 6 月征求意见稿文本及同期官方与行业报道；因文件仍是草案，其门槛、场景与豁免在最终印发前都可能变动，文中状态反映写作时可获来源。27 类统计是第三方（中汽中心）分析，非征求意见稿原文措辞，应以定稿文本再确认。本文只覆盖汽车专属征求意见稿，不重述更宽泛数据出境框架全貌。读者须于工信部与网信办渠道核实当前阶段，因定稿版本可能已在本文来源之后出现。文不涉及财务数字。
普通人现在能做什么
1. 按五个场景做一次数据盘点：即便草案未生效，场景目录也是现成勾选清单，给研发、制造、驾驶自动化、升级、网联运营里的重要数据打标签。
2. 现在就分开三条路径：把每条跨境流映射评估、合同/认证或豁免，好知道哪些传输能在定稿规则下活下来。
3. 盯住工信部与网信办定稿文本：草案窗口已关，规划海外数据架构前，追踪发文机构拿到具约束力版本，看清变动门槛。