引言
当前，任何面向消费者的企业都可能掌握大量的用户个人信息，例如，人工智能应用、酒店、航空、零售、旅游业的客户管理系统（CRM）、信息通信技术服务（ICTS）设备的后台、智能网联汽车的事件数据记录系统（EDR）等无时无刻不在接收海量的个人信息。数据密集型企业掌握的与消费者有关的信息数据中，不仅有消费者能够感知和理解的业务数据，也包括特定系统（如安全防护系统）的原始数据，以及信息收集过程中产生的元数据（meta data）。在出现消费者纠纷时，个人信息请求权的边界在哪里、个人信息请求权和特定数据请求权的关系如何处理，当前法律对此并无明晰界定，数据密集型企业对此也多有困惑。
方达近期代理一家智能网联汽车生产商（下称“车企”）胜诉一起涉及个人信息请求权和特定数据请求权的民事诉讼案件（下称“本案”），其中讨论了关于个人信息范围的甄别、特定数据请求权的响应必要性评价等问题，对于数据密集型企业的风险防范和争议解决，颇有有益启发。
案件背景
本案肇发于一场辅助驾驶引发的事故。车主使用智能辅助驾驶系统行车过程中,与侵入路面的维修隔离栏发生碰撞，车主直至剐蹭发生后方接管车辆，所幸车主并无大碍。出于探究事故发生成因的心理和遭受的情绪冲击，车主针对车企提起了诉讼，要求车企提供与事故相关的全部原始数据[1]，尽管车主已从车机端的行车记录系统中获得事故过程中的行车信息，并已经将之作为证据于起诉时提交了。
争议焦点分析
本案争议的主要核心焦点，在于个人信息主体行使查阅复制权的权利边界。
站在车企角度，车机端提供的行车记录，包括了连续的视频，并展示了包括时间、位置、车速、档位、续航速度、智驾功能状态、ADAS、主驾安全带状态、加速踏板状态、制动踏板状态、左转向灯、右转向灯、近光灯、远光灯等信息，已能有效还原事故发生时的全部情景，因此，没有必要投入额外人力物力、进一步向车主提供更多的数据。
站在车主角度，从情感上，车主认为驾驶过程中，车辆始终处于汽车各项系统的跟踪记录状态、车企会收集并掌握除行车记录外更多的驾驶数据；在发生了本案的事故的情况下，车主自然希望能够查个水落石出。车主行使的权利主要是《个人信息保护法》（下称“个保法”）第45条规定的查阅、复制权。但是，查阅、复制权的边界或者说限制，在个保法中并无清晰的规定，因此，需要法院结合实际案例，综合参考各项规范，进行个案判断。
抗辩观点和疑难问题
我们的抗辩体系的起点是，个人信息请求权并不是绝对权，而是相对权；换言之，行使个人信息请求权需要受到若干限制，比如：权利行使不能侵害他人合法权益，包括车企的商业秘密；权利行使需有合理限度，如当车机端已提供了足够信息，个人不应继续无限制地索要更多信息。
在本案过程中，围绕这上述抗辩观点，我们、车主与法院讨论了以下的复杂疑难问题：
1. 个人信息行权的权利与限制问题
个保法第45条规定了个人主体的查阅、复制权，且赋予个人信息主体在受到个人信息处理者拒绝行权请求的情况下，向法院起诉的权利。但是个保法以及《网络数据安全条例》没有直接的规定限制个人信息请求权的行使边界，换言之，个人主体是否可无碍于个人信息处理者的客观因素和条件、无限制地行使权利呢？所幸《个人信息安全规范（GB/T 35273-2020）》（下称“35273标准”）回应了当前法律法规在多个相关问题上的沉默，其中，第8.7条规定了个人信息请求权行使的限制，主要包括：
- 直接实现个人信息主体的请求需要付出高额成本或存在其他显著困难；
- 响应个人信息主体的请求将导致个人信息主体或其他个人、组织的合法权益受到严重损害；
- 涉及商业秘密等。
因此，从实体角度，35273标准的出发点实质上是一个“平衡测试”或者“想象的损益评价”，即，如果满足个人信息主体的行权诉求，会给个人信息处理者造成较大的损害或经济成本，同时，如不满足个人信息主体的请求也不会严重损害其利益的，则个人信息处理者有理由拒绝个人信息主体行权。
另外，从程序角度，35273标准并非法律、法规、规范性文件，作为一项国家标准，它不能直接被引用为法院的审判依据，但35273标准值得作为证据呈交法院，供法院在个案中评价个人信息请求权行使合理性时，予以重点考虑和参酌。
2. 辅助驾驶场景中个人信息与非个人信息的划分困境
在智能驾驶/辅助驾驶领域，与数据有关的国家标准非常多。[2]我们研究发现，根据这些国家标准，可以将智能驾驶/辅助驾驶场景中汽车驾驶涉及的数据大体分为：驾驶数据、座舱数据和事故数据记录(EDR)的记录三类（合称“汽车数据”）。
驾驶数据即正常驾驶过程中车机端能够采集的数据，这些数据的字段可能包括：车外画面和录像、时间、位置、车速、档位、续航速度、智驾功能状态、ADAS、主驾安全带状态、加速踏板状态、制动踏板状态、左转向灯、右转向灯、近光灯、远光灯等。本案中，这些数据作为行车记录的一部分储存在车机端，车主可以随时查看。
座舱数据是指通过摄像头、红外传感器、指纹传感器或穿声器等各种方式从汽车座舱收集的可能包含个人信息的数据，以及对其进行加工后产生的数据。例如，驾驶人疲劳程度、注意力程度、眨眼频率等。
EDR记录是指，碰撞事件触发后，存储在一个或多个特定的记录EDR数据的电子控制单元 (ECU)中的时间序列数据。例如，在发生碰撞后，气囊是否打开、乘坐人数是否有变化、车辆是否翻滚等等。
一望可知，汽车数据并不一定都是个人信息。根据个保法的规定，个人信息是指以电子或者其他方式记录的、与已识别或者可识别的自然人有关的各种信息。然而，一大部分的汽车数据远达不到能够识别自然人、特别是识别驾驶者的标准。例如，车外收集的画面是驾驶数据的一部分，但该数据除非在系统内被标注为与某车辆或驾驶者关联，否则无法单独用来识别驾驶者，也不属于驾驶者的个人信息。
此外，智能驾驶过程中可能产生大量的元数据，如传感器、驾驶监控系统中的技术参数，这些元数据如果离开了车机端，通过无线下载(OTA)系统传给了车企的后台，那么，在后台单独存储的元数据，被去掉了与车辆相关的标识（如VIN码）后，如果无法识别个人，则不符合个人信息的定义。
本案中，法院亦已注意到汽车数据过于庞杂，要划定清晰的个人信息与非个人信息的界限是极度困难的，因而，法院认真考虑了35273标准关于个人信息行权相关限制，最终选择直接从数据财产权角度，判断车主是否有权主张获得特定数据。
3. 升离个保法语境，个人行使特定数据请求的权利是否受限？
如前述，汽车数据通常包括：行驶数据、座舱数据和EDR记录。本案中，因为座舱数据与事故无关，车主未要求座舱数据；车主要求车企提供EDR记录，但因为事故剐蹭未达到EDR系统启动的阈值，因此客观上不存在EDR记录，对此，法院听取并认可了我们的分析和观点；而行驶数据已经通过车机端的行车记录仪提供给车主。
尽管如此，车主认为被提供的行驶数据不足，仍然要求车企提供车机端产生并由OTA传输的、车企可能掌握的元数据和其他原始数据（下称“额外数据”）。
车企是否应当向车主提供额外数据——这成为了本案的另一重大争议焦点。
对此问题，从数据财产权的角度，法院认为，车主是额外数据的来源，而车企是额外数据的处理者，因此，作为数据的来源，车主有权请求车企向其提供额外数据，而法院将按照合法、正当、必要的原则考虑是否支持车主行使数据权利。
本案中，法院认可了车主请求额外数据的合法性和正当性。但就必要性而言，法院实际上参考了个人信息请求权行使限制的逻辑。法院认为，行车记录仪的数据已经满足了车主的查阅复制权利，没有必要将额外数据提供给车主；从公共利益的角度，提供额外数据一方面将增加车企的工作量，打击车企在数据使用过程中为车辆驾驶员提供更加便利服务的积极性；另一方面也可能涉及车企的商业秘密，提供可能将损害车企合法权益。
由于必要性测试无法通过，法院最终驳回了车主的全部诉讼请求。
若干有益启示
实践中，消费者提出个人信息请求权时，通常会伴有其他请求，如关于欺诈、虚假宣传等主张，通常被援引的法律依据包括《消费者权益保护法》第八条的知情权、个保法第45条的查阅复制权等。因此，这给予企业的启示是，在向消费者提供产品/服务的过程中，特别是收集个人信息前，应当充分的告知同意、避免虚假和误导的宣传。
根据《工业和信息化部关于加强智能网联汽车生产企业及产品准入管理的意见》和《智能网联汽车准入和上路通行试点实施指南》，具有自动驾驶功能的汽车应具有事件数据记录系统和自动驾驶数据记录系统；其中，自动驾驶数据记录系统所记录的数据应包括车辆及系统基本信息、车辆状态及动态信息、自动驾驶系统运行信息、行车环境信息、驾乘人员操作及状态信息、故障信息等。可以想见，随着技术的不断迭代和发展，在未来自动驾驶系统情况下，个人信息主体必将享有比智驾/辅助驾驶系统项下更广泛的个人信息请求权，请求的数据范围将远超一般行车记录系统所能展示和呈现的数据范围；并且，届时，智驾/辅助驾驶与自动驾驶的概念将更难界别区分，企业或将面临更加广泛而繁杂的个人信息的请求主张。
因此，在企业行销带有智驾/辅助驾驶功能的产品时，不仅应注意避免将智驾/辅助驾驶功能宣传为“自动驾驶”功能，企业应在各种环节明确说明二者的区别以及强调驾驶员的控制权和责任。本案中，车企按照《汽车数据安全管理若干规定（试行）》执行的强制司机学习过程和手册内容均对本案胜诉起到了坚实作用。
综上，我们建议，企业须在明确业务开展过程中的数据（包括个人信息）的收集处理情况的基础上，结合法律法规及标准、指南文件中的合规要求，划定内部的合规基线、采取有效的合规措施。具体来说：
首先，企业应该通过数据处理活动记录（ROPA）和个人信息影响评估（PIA），清晰了解自己到底采集了哪些数据，且这些数据中哪些应被认定为个人信息；其次，根据PIA的结果在外部展示，例如在隐私政策中进行明确声明，包括对个人信息请求权的边界做出明确的限制，以预防过度的用户行权请求，一旦涉及诉讼则可进行有效的抗辩；最后，隐私政策、用户协议等外部展示也要注意避免虚假或不真实的陈述，例如过度夸大个人信息保护的安全问题，避免在数据泄露等情况下被消费者索赔的风险。
2025年2月，《个人信息保护合规审计管理办法》[3]正式公布，将“个人信息处理者保障个人在个人信息处理活动中的权利情况”作为重点审计要点予以明确。2025年3月，中央网信办、工业和信息化部、公安部、市场监管总局发布《关于开展2025年个人信息保护系列专项行动的公告》[4]，其中亦将用户行使个人信息请求权，例如请求更正、删除个人信息、注销账号、拒绝个性化推送等，作为本年度执法重点；而上海市网信办在今年2月的执法行动[5]中，已针对未保障用户个人信息删除权的App运营者进行了约谈并要求整改。
考虑到近期个人信息主体行使个人信息请求权案件，无论是行政案件还是民事诉讼案件，无论是关于个人信息删除权还是个人信息查阅、复制权，案件数量都呈增长态势，对此，我们强烈建议企业针对个人信息请求权进行专项审计，提早布局，避免面临诉讼和执法行动的风险。
- 根据国家数据局2024年12月公布的《数据领域常用名词解释（第一批）》，“原始数据”是指初次产生或源头收集的、未经加工处理的数据；“元数据”是定义和描述特定数据的数据，它提供了关于数据的结构、特征和关系的信息，有助于组织、查找、理解、管理数据。 ↑
- 至少包括《汽车数据通用要求，GB/T44464-2024》《智能网联汽车 数据通用要求》《汽车事件数据记录系统》（GB 39732―2020）等 ↑
- 见https://www.cac.gov.cn/2025-02/14/c_1741233507681519.htm ↑
- 见https://www.gov.cn/zhengce/zhengceku/202503/content_7016226.htm ↑
- 见https://mp.weixin.qq.com/s/QQv0y89hHgfdrRUk7NHLNQ ↑