你的自动驾驶车已经在德国跑了,数据合规准备好了吗?

车落地了，数据的法律风险却刚刚开始。

■ 车在跑，数据在哪？

2026年，已经有一批中国自动驾驶企业把测试车开上了德国公路。

低速物流车、无人配送车、重卡编队——它们在下萨克森、巴伐利亚、柏林周边的测试路段上积累着真实的道路数据。每一天，激光雷达在扫，摄像头在拍，传感器在记录车道线、路面状况、行人轨迹、交通信号。

这些数据，最终都要回到国内的算法团队，用于模型迭代。

■第一道坎：德国侧的GDPR

GDPR（《通用数据保护条例》）是欧盟层面的数据保护法，在德国直接适用。

很多工程师会说：我们采集的是道路数据，又不是人的数据，GDPR和我们有什么关系？

关系比你想象的大得多。

GDPR对"个人数据"的定义极其宽泛——只要数据能够直接或间接识别到某个自然人，就属于个人数据。而自动驾驶车辆的传感器数据，天然包含以下内容：

这些数据在德国境内采集时，就已经处于GDPR的管辖范围之内。

将它们传输出欧盟——无论传去中国还是美国——都必须满足GDPR第五章关于"向第三国传输"的要求。

目前，中国尚未获得欧盟的"充分性认定"（Adequacy Decision），这意味着向中国传输个人数据，必须依赖标准合同条款（SCCs）或其他替代机制，并且需要完成数据保护影响评估（DPIA）。

■第二道坎：传输前的数据处理

即便企业意识到了GDPR合规的必要性，具体操作上仍有大量细节容易被忽视。

匿名化处理是核心前置步骤。 GDPR允许对匿名化数据的自由流动——前提是匿名化必须是"不可逆的"。简单打码不够，通过其他数据交叉还原身份的可能性必须被彻底排除。这需要在数据采集端（而不是传输前一刻）就完成技术设计。

数据最小化原则同样关键。不需要传的数据，不要传。如果模型迭代只需要道路几何信息，就不应该把行人图像一起打包回传。这听起来简单，但在工程实践中，往往因为"一锅端"的数据采集习惯而被忽略。

■第三道坎：中国侧的接收合规

数据回到国内，并不意味着合规就结束了。

中国的《数据安全法》和《网络安全法》对境外传入数据的使用同样有规范要求，尤其是当数据用于AI训练时，数据来源的合法性说明是模型合规的基础之一。

■现实里的三种企业

我们接触过不少出海自动驾驶企业，大致可以分为三类：

第一类：完全没意识到这个问题。认为数据是技术资产，法律的事情等出了问题再说。这类企业风险最高，一旦被德国数据保护机构（如下萨克森州的LSDF）启动调查，整个测试项目可能面临被叫停的风险。

第二类：知道有问题，但不知道从哪里入手。内部讨论过，也问过律师，但因为涉及中德两侧的法律交叉，国内律所讲不清楚德国侧，德国律所又不了解中国法律框架，最终搁置。

第三类：开始建立合规机制，但还不完整。签了SCCs，但DPIA没做；做了数据匿名化，但记录不完整；知道要合规，但内部没有一个统一的数据分类标准。

■路径是存在的

数据合规不是一道无解题，但它确实需要跨越中德两侧法律的双重理解。

一条相对清晰的路径是：

在采集端完成技术隔离 → 将含有个人数据的原始数据与去识别化数据分开存储；

建立数据分层传输机制 → 高敏感数据（含可识别个人信息）在德国本地处理，仅将去识别化后的结构化数据回传中国；

签署并执行标准合同条款（SCCs） → 明确数据控制者与处理者的责任边界；

完成数据保护影响评估（DPIA） → 尤其是在测试场景涉及公共道路、人流密集区域时；

建立传输记录和合规档案 → 为潜在的监管核查提前备案。

■写在最后

出海这件事，车落地只是第一步。数据怎么流、往哪里流、流动过程中受哪些法律约束，是比拿到测试牌照更持久、更深层的合规课题。

越早把数据通路的合规架构搭起来，后续的产品迭代和市场准入就越顺畅。

▌扫码获取《自动驾驶出海数据合规自查清单》

我们整理了一份针对自动驾驶出海企业的合规自查清单，涵盖：

免费获取，扫码添加我们的顾问微信，发送关键词「自驾出海」即可。

END