上海市汽車銷售行業個人信息保護合規指引

全文

上海市汽車銷售行業個人信息保護合規指引

第一條總則

為強化本市汽車銷售領域的個人信息保護，切實維護廣大汽車消費者的個人信息安全，在上海市網際網路信息辦公室、上海市商務委員會和上海市市場監督管理局的支持下，上海市消費者權益保護委員會會同上海市汽車銷售行業協會依據《中華人民共和國個人信息保護法》《中華人民共和國消費者權益保護法》《中華人民共和國數據安全法》《上海市消費者權益保護條例》《App違法違規收集使用個人信息行為認定方法》等法律法規，制定本指引。

第二條一般規定

本指引適用於汽車供應商、汽車經銷商、汽車售後服務商、汽車服務或信息平台、保險機構、銀行、金融機構等經營者，在提供汽車銷售或服務過程中收集、使用、存儲、加工、傳輸、提供、公開、刪除個人信息等活動時，應遵守本指引的規範和要求。
經營者應嚴格遵守國家法律法規和商業道德，牢固樹立合規經營理念，切實加強個人信息保護工作。
個人信息包括車主、購車人、駕駛人、乘車人、行人等以電子或其他方式記錄的能夠推斷識別汽車消費者個人身份、描述個人行為等各種信息。
收集和處理個人信息應當遵循合法、正當、必要的原則，不得過度收集、處理，損害公共利益和消費者個人的合法權益。

第三條收集和使用個人信息

收集個人信息的範圍和方式應當合法、合理。通過書面形式告知消費者收集、使用個人信息的目的、方式和範圍的，應當以醒目的方式、清晰易懂的語言明示具體規則，並徵得消費者的書面同意。通過APP等線上渠道使用格式條款獲取消費者個人信息授權的，應當在消費者首次使用時主動彈窗提示消費者個人閱讀隱私政策，並徵得消費者個人的明確同意，不得默認勾選同意隱私政策或僅提供同意選項。
收集個人信息應當與汽車消費諮詢、試乘試駕、訂購、使用、車險、金融和售後服務等消費場景密切相關，不得超出法律法規和服務所必需的範圍。消費者個人不同意的，不得因此拒絕提供相關產品或服務。
收集、使用消費者生物識別特徵、行蹤軌跡、徵信記錄等個人敏感信息的，應當同步告知消費者收集的目的性和必要性，並取得消費者的單獨同意。
實際收集的個人信息要與聲明規則保持一致，不得超出授權範圍。因服務需要變更收集個人信息範圍的，應當再次告知變更收集、使用個人信息的目的、方式和範圍，並取得個人單獨同意。
APP、微信公眾號、微信小程式等使用微信、支付寶、金融機構等一鍵登錄獲取頭像、暱稱或手機號碼等信息，或需要獲取精準位置以提供附近門店服務的，應當徵得個人明確同意。

第四條處理個人信息

處理個人信息包括使用、加工、傳輸、提供、公開等，其目的應當合法、具體、明確，與汽車消費、設計製造、駕駛安全、智慧型服務等直接相關。
未經消費者個人同意或行車安全需要，不得對車輛行蹤軌跡、導航記錄、駕駛記錄、道路狀況、瀏覽歷史等信息進行個人特徵分析評估或自動決策；不得以電話、簡訊、彈窗等方式實施商業推銷或索取許可權申請，干擾正常使用。
無法徵得同意而通過車輛攝像頭、雷達等方式採集到車外個人信息且向車外提供的，應當進行匿名化處理，法律法規允許或要求的除外。
未經消費者同意或請求，或消費者個人明確表示拒絕的，不得將消費者個人信息交第三方處理。需經由第三方處理個人信息的，應當徵得消費者個人的同意，並於第三方合作協定中明確規定個人信息的保護責任、保密義務、違約責任、突發處置措施等條款。