车辆哨兵模式收集和使用车外行人信息的法律研究
本文共8880字，预计阅读时间15分钟。
目
录
一、问题与研究范围
二、核心结论
三、适用规范及其关系
四、各主体的法律地位
五、车主可以怎样使用
六、车企和云服务商可以怎样使用
七、推荐的合规产品基线
八、责任与争议处理
九、仍需监管或裁判明确的问题
十、主要依据与官方来源
一
问题与研究范围
本文中“车辆哨兵模式”，是指车辆停放期间，利用车外摄像头、雷达等传感器感知车辆周边情况，在人员靠近、碰撞、剐蹭、破坏等事件发生时，进行缓存、录像、通知、远程查看或者云端保存的功能。现行法没有统一的“哨兵模式”法律定义，合规判断不能仅看产品名称，应按真实数据流逐段判断：
1. 车辆是否持续采集，还是仅维持不落盘的循环缓存；
2. 是否检测“有人/有物体”，是否进一步分析年龄、性别、行为，是否与人脸库比对识别身份；
3. 视频是否仅保存在车端，是否向车主手机、车企或者云平台传输；
4. 车主能否实时查看、下载、转发；
5. 车企、云服务商是否用于故障分析、产品改进、算法训练、广告、风控或者向第三方提供。
二
核心结论
1. 车外画面并非当然都是“人脸信息”，但通常至少构成个人信息。仅拍到模糊、不可识别的行人，不一定构成个人信息（个保法第4条第1款）；能够结合面部、衣着、车辆、地点、时间等识别特定自然人的视频，属于个人信息。若提取面部生物特征并用于一对一验证或者一对多辨识，才进入《人脸识别技术应用安全管理办法》（国家互联网信息办公室、公安部令第19号）的直接规制范围（第19条第5项、第6项）。单纯“有人靠近”检测原则上不等于人脸识别。
2. 在汽车数据特别规则下，车外视频的敏感性高于一般个人信息法的分类。《汽车数据安全管理若干规定（试行）》（国家互联网信息办公室等五部门令第7号）第3条第5款将音频、视频、图像、生物识别特征列入敏感个人信息，第3条第6款第4项将包含人脸、车牌的车外视频、图像列为重要数据。产品不能仅以“未做人脸识别”为由降低保护等级。
3. 车端短时、事件触发、仅供车主取证的模式相对容易论证；默认持续录像、原始视频自动上云、后台二次使用风险明显升高。车内处理、默认不收集、精度适用和脱敏是汽车数据规定（第6条）倡导的基本方向。加密不等于匿名化（个保法第73条第4项），云端保存原始可识别画面仍属于处理个人信息。
4. 车主与云服务商必须分别判断。自然人车主为保护自有车辆，在纯个人或者家庭事务范围内处理视频，有适用《个人信息保护法》第72条第1款豁免的空间；但该豁免不排除《民法典》关于隐私权、肖像权、名誉权和个人信息权益的保护。车企、云服务商是组织，不能援引车主的个人事务豁免。
5. 车主同意不能代替车外行人的同意。车主购买车辆、开通哨兵服务或者同意隐私政策，只能解决车主与服务商之间的事项，不能授权企业处理路人的人脸和活动信息。“履行与车主的合同所必需”（个保法第13条第1款第2项）通常也不能覆盖与合同无关的车外行人。
6. 不能轻率援引“保证行车安全”例外。《汽车数据安全管理若干规定（试行）》第8条第2款允许在因保证行车安全、无法取得同意而采集车外个人信息并向车外提供时进行匿名化处理。车辆停放期间防盗、防剐蹭主要保护财产，并非典型“行车安全”。将常态化哨兵录像纳入该例外缺乏明确依据；即使特定紧急事件可以援引保护财产安全的必要性（个保法第13条第1款第4项），也不能反向正当化长期、无差别监控。
7. 原始人脸画面自动上传云端是最难解释的环节。如果应用了人脸识别技术，除法律、行政法规另有规定或者取得本人单独同意外，人脸信息原则上应存储在识别设备内，不得通过互联网对外传输（管理办法第8条第1款）。即使没有做人脸识别，《网络数据安全管理条例》也要求对自动采集到的非必要或者未依法取得同意的个人信息删除或匿名化。
8. 车主为报警、理赔或者诉讼而提交特定事件片段，通常比公开发布更具有正当性。应限制在证明碰撞、破坏、侵权事实所必需的时间、画面和接收方范围，并遮挡无关人员。将完整视频发布到短视频平台“寻找当事人”，曝光或发动网民辨认，容易超出维权必要范围，产生肖像权、隐私权、名誉权和个人信息侵权风险（民法典第1019条、第1032条、第1024条；个保法第25条）。
三
适用规范及其关系
（一）一般人格权和个人信息规则
《民法典》保护自然人的隐私权、肖像权和个人信息权益。未经同意制作、使用、公开他人肖像原则上受到限制（第1019条），但为展示特定公共环境不可避免地使用肖像，或者为维护公共利益、肖像权人合法权益而在合理范围内处理，可能构成例外（第1020条）。例外的核心是“合理范围”和“必要性”，不等于只要发生在公共场所即可自由拍摄、保存和传播。
《个人信息保护法》要求处理个人信息具有合法性基础，遵循合法、正当、必要、诚信、公开透明和最短保存原则（第5条至第7条、第19条）。处理敏感个人信息（第28条至第32条）、向其他处理者提供、公开个人信息、利用个人信息进行自动化决策等活动，还触发更严格的告知、单独同意和影响评估要求（第29条、第55条、第56条）。
（二）汽车数据特别规则
《汽车数据安全管理若干规定（试行）》（第3条）适用于汽车设计、生产、销售、使用、运维等过程中的汽车数据处理活动。汽车制造商、零部件和软件供应商、平台和出行服务企业等均可能成为汽车数据处理者（第3条第3款）。其核心要求（第6条）包括：
处理活动应与汽车设计、生产、销售、使用、运维直接相关（第4条）；
优先车内处理，除非确有必要不向车外提供（第6条第1项）；
除非驾驶人自主设定，每次驾驶时原则上默认不收集（第6条第2项）；
摄像头覆盖范围、分辨率应与功能所需精度匹配（第6条第3项）；
尽可能匿名化、去标识化（第6条第4项）；
处理敏感个人信息应具有直接服务于个人的目的，显著说明必要性和影响，并满足更严格的保护要求（第9条）。
【审慎观点】该规定第6条第2项“每次驾驶时默认设定为不收集状态”的表述，字面上指向“驾驶”过程，未直接覆盖停车状态。但这并不意味着停车哨兵可以当然豁免默认不收集原则。从立法目的看，默认不收集原则旨在防止对车外环境的无差别持续采集，而停车哨兵的持续采集在侵入性上与驾驶过程并无本质差异，甚至因长时间固定朝向同一区域而风险更高。因此，即使文义存在解释空间，合规上也应按更严格方向设计，而不是利用文字空隙持续采集。
（三）人脸识别特别规则
《人脸识别技术应用安全管理办法》（国家互联网信息办公室、公安部令第19号）自2025年6月1日起施行。该办法第19条第3项将“人脸识别技术”限定为以人脸信息识别个体身份的生物特征识别技术。由此：
仅检测画面中是否有人、是否发生运动，一般不属于身份识别；
将行人与人脸库比对、建立常客或黑名单、跨事件追踪同一人，属于或者高度接近人脸识别应用；
如适用该办法，人脸信息原则上应在设备内存储、不得通过互联网对外传输（第8条第1款）；处理前应完成个人信息保护影响评估并至少保存记录三年（第9条）；存储数量达到10万人时，应在达到之日起30个工作日内向所在地省级网信部门备案（第15条第1款）。
【待监管确认】“车辆安装摄像头”是否构成办法第13条第1款所称“在公共场所安装人脸识别设备”，尚缺乏统一执法或裁判口径。移动设备与固定安装设备有差异，但如车辆长期停放、固定朝向采集公共区域并持续做人脸识别，其功能效果与固定公共监控接近，合规上不宜依赖形式差异规避该条。
（四）公共安全视频系统条例的边界
《公共安全视频图像信息系统管理条例》（国务院令第799号）第2条将其调整范围限定为通过在公共场所安装图像采集设备及设施，对涉及公共安全的区域进行视频收集、传输、显示、存储的系统。私人车辆的移动摄像头通常不宜直接认定为该条例所称公共安全视频系统，条例第17条规定的“不少于30日”保存期限也不能移植为哨兵视频的统一保存期限。
如果经营者将大规模营运车辆组织成持续联网、统一调度的公共区域监控网络，或者车辆长期固定部署并以公共安全为目的，是否进入该条例范围，需要结合建设主体、目的、部署方式和地方公安备案口径另行判断。
（五）重要数据与出境
汽车数据规定第3条第4项将包含人脸、车牌的车外视频图像列为重要数据。《网络数据安全管理条例》进一步要求识别、申报重要数据，对经确认的重要数据设置负责人和管理机构，开展年度风险评估，提供、委托或者共同处理前进行风险评估。
《汽车数据出境安全指引（2026版）》（工业和信息化部、国家互联网信息办公室、国家发展和改革委员会、国家数据局、公安部、自然资源部、交通运输部、国家市场监督管理总局等八部门联合印发，工信部联网安〔2026〕27号，2026年1月30日落款，2026年2月3日发布）已细化汽车研发、驾驶自动化、联网运行等场景的数据出境和重要数据判定规则，例如部分真实人脸、车牌影像及达到规模阈值的真实环境影像可能被识别为重要数据。该指引专门服务于数据出境，不能简单反推国内存储的所有哨兵短视频均可不按重要数据管理。企业应建立目录并与省级行业主管部门、网信部门确认口径，未经评估不得将原始哨兵影像置于境外云或者允许境外主体远程调取。
GB/T 44464-2024《汽车数据通用要求》为现行推荐性国家标准（全国汽车标准化技术委员会智能网联汽车分会执行，工业和信息化部主管），不是强制性法律规范，但可成为监管检查、产品认证、合同义务和注意义务判断的重要参照。据全国标准信息公共服务平台核实，强制性国家标准《汽车数据安全要求》已立项起草，项目计划号为 20261957-Q-339（“Q”表示强制性国家标准），系 GB/T 44464-2024 的修订计划，归口单位为全国汽车标准化技术委员会，主管部门为工业和信息化部，制定状态为“正在起草”。该强制性标准正式发布后，相关技术要求将具有强制效力，后续应持续跟踪。
四
各主体的法律地位
处理者身份取决于谁实质决定目的和方式，不取决于合同把一方称为“受托方”还是“技术服务商”。车企制定产品架构并选择云平台，即使合同写明“数据属于车主”，也不当然排除其个人信息处理者责任。
五
车主可以怎样使用
（一）风险较低的使用 1. 本地查看触发事件，判断车辆是否被碰撞、剐蹭或破坏； 2. 截取与具体事件直接相关的短片，向公安机关报案； 3. 向保险公司、法院、仲裁机构或受委托律师提交必要证据； 4. 向停车场、物业调取或者提供必要片段，用于查明同一事故； 5. 在不妨碍证明目的的前提下，遮挡无关行人的脸、车牌、声音和活动轨迹。 上述行为的正当性来自保护本人财产权益和举证需要（个保法第13条第1款第4项），而不是“车主对录像享有所有权”。即使录像文件由车主控制，文件中的他人人格权益仍受保护。 （二）高风险或者原则上不应实施的使用 1. 在社交平台发布未脱敏视频，曝光、羞辱或者悬赏识别特定行人； 2. 使用人脸搜索、黑名单或者跨视频追踪技术确认路人身份； 3. 长期保留大量无关路人影像，建立小区人员活动档案； 4. 将视频出售给数据商、营销机构、训练数据平台； 5. 拍摄住宅窗内、宾馆房间、更衣区域等私密空间； 6. 对未成年人、病患、宗教活动、执法现场等敏感场景进行不必要传播。 车主确需公开寻人时，应优先报警、联系物业或停车场。只有在其他手段不足、公开确有必要时，才考虑发布最短片段，并遮挡无关人员、限制地域和传播期限。事件解决后应及时删除。 六 车企和云服务商可以怎样使用 （一）提供核心哨兵服务 企业若要提供远程提醒、远程查看和证据保存，应分别证明每项功能的必要性。与车主订立服务合同可以支持处理车主账号、车辆标识、服务指令等信息（个保法第13条第1款第2项），但不能当然成为处理车外行人信息的基础。推荐架构是： 01 车端只作短时循环缓存，不触发不落盘； 02 由碰撞、明显接近或破坏事件触发，不作全天候连续录像； 03 默认车端加密存储，保存期按事件发现和取证所需的最短时间设置（个保法第19条）； 04 默认向手机发送文字事件提示或者已脱敏缩略图； 05 原始视频不自动上传；确需上传时，由车主对具体事件主动发起，采用端到端加密、短期保存和到期自动删除； 06 车端优先完成人脸和车牌遮挡；需要保留原始证据时，将原始片段与日常查看版本分层保存并严格限制访问。 （二）产品改进、算法训练和运营分析 “改善产品”“优化算法”不是可以覆盖一切用途的合法性基础。将哨兵原始视频用于人员检测、人脸识别、行为分析或通用视觉模型训练，属于目的变化或新的处理活动（个保法第14条第2款），应重新判断合法性、必要性、告知、同意和影响评估（第55条、第56条）。尤其应避免： • 默认将全部用户车辆变成真实道路或停车场数据采集节点； • 匿名化失败后仍上传； • 标注商保留、复制或反向识别数据； • 供应商把客户视频并入自有通用训练集； • 将可还原的去标识数据误称为匿名数据（个保法第73条第3项）。 若无法取得车外人员的有效同意，企业原则上应使用合成数据、依法取得的专用数据集，或者在车端完成不可逆匿名化后再开展统计和训练。匿名化应经过再识别和攻击测试，不能仅以“删除姓名”“打码后可恢复”认定完成。 （三）向公安、保险及其他第三方提供 国家机关调取应核验主体、权限、法律文书、事项范围和时间范围，并建立调用登记（公共安全视频图像信息系统条例第20条）。保险理赔、维修和物业调查应由车主主动发起，平台仅提供与具体事件相关的最小片段。企业不得以“配合调查”为由建立常态化、无记录的后台查询通道。 （四）云端访问和安全义务 云端应采取最小权限、双人审批、访问日志、密钥分离、异常下载监测和防批量导出措施。客服、算法工程师、标注人员不应默认具有查看原始视频的权限。处理敏感个人信息、对外提供、公开、委托处理以及对个人权益有重大影响的活动，应事前开展个人信息保护影响评估（个保法第55条、第56条）；评估报告和处理记录依法保存。 七 推荐的合规产品基线 1. 默认关闭或每次停车由车主明确启用。即使“每次停车默认关闭”尚非明确法定义务，也符合汽车数据规定第6条第2项默认不收集原则和个保法第6条最小必要原则。 2. 事件触发而非持续保存。设置数秒级循环缓存，只有碰撞、明显侵入等达到阈值才固化最短片段。 3. 限制硬件能力。摄像范围避开车窗内、住宅内部和无关区域；分辨率、帧率、音频应以证明车辆事件所需为限。默认关闭录音。最高人民法院“近距离安装可视门铃构成隐私权侵犯”典型案例表明，即便为自身安全安装监控，若持续拍摄他人住宅内部、门窗内活动，仍可能构成隐私权侵害；该案例对哨兵模式摄像范围的设置具有参照意义。 4. 禁止默认身份识别。不建立车外人脸库，不提供人脸检索、常客追踪和跨事件轨迹拼接（管理办法第13条第1款）。 5. 车外可感知提示。采用明显工作指示灯、车身标识并提供可查询的公开隐私说明。提示不能代替合法性基础，但能降低隐蔽采集风险（个保法第7条公开透明原则）。 6. 车端优先和分层脱敏。普通查看版本默认遮挡人脸、车牌；原始证据仅在事件取证时解锁并记录操作。 7. 保存期按目的分层。循环缓存即时覆盖；未查看普通事件短期自动删除；车主锁定的事故片段可因理赔或诉讼保全延长。法律没有统一“14天”或“30天”上限，不应把行业建议写成法定期限。 8. 原始视频不上境外云。禁止境外运维人员默认远程访问。涉及出境时先完成个人信息出境和重要数据识别（汽车数据规定第11条；个保法第38条至第40条），满足评估、标准合同、认证或其他法定路径。 9. 供应链合同与审计。合同明确目的、范围、期限、删除、返还、分包、再训练禁止、事件通报和审计权（个保法第54条）；实际核验供应商行为，不能只签协议。 10. 权利响应。建立路人投诉、查询和删除渠道。在能合理核验请求人与事件关系的情况下，提供删除、限制处理或说明；避免为核验请求反而额外收集过量人脸信息（个保法第44条至第50条）。 八 责任与争议处理 企业违法处理个人信息，可能面临责令改正、没收违法所得、暂停或终止服务、罚款等行政责任（个保法第66条）；情节严重时，可对单位处五千万元以下或者上一年度营业额百分之五以下罚款。个人信息权益受损时，个人信息处理者不能证明自己没有过错的，依个保法第69条第1款承担损害赔偿等侵权责任。 车主或者企业非法出售、提供可识别人脸信息，达到情节严重标准的，还可能触及侵犯公民个人信息罪（刑法第253条之一）。公开发布视频如附加未经核实的“盗窃”“碰瓷”等评价，也可能同时侵害名誉权（民法典第1024条）。 发生争议时，企业需要能够证明：真实产品功能、默认开关状态、触发条件、摄像范围、车端与云端数据流、是否可解密、保存和删除记录、车主操作日志、员工访问日志、算法和模型训练数据来源、向第三方提供记录以及影响评估。隐私政策中的概括表述不能替代这些事实证据（个保法第69条第1款过错推定）。 九 仍需监管或裁判明确的问题 1. 停车哨兵保护车辆财产是否、以及在何种紧急程度下可以适用保护财产安全的非同意处理基础（个保法第13条第1款第4项）； 2. 移动车载人脸识别设备是否属于管理办法第13条第1款“在公共场所安装“设备，以及车辆长时间固定停放时的判断标准； 3. 汽车数据规定第8条第2款“保证行车安全”能否覆盖停车防盗、防剐蹭； 4. 车端加密、云端无法解密的存储服务中，车企和云服务商的处理者身份及责任边界； 5. 汽车数据规定第3条第6款的重要数据定义与行业重要数据目录、2026年出境指引之间如何协调； 6. 车外行人无法逐一被告知、同意时，提示标识、边缘匿名化和事件必要性如何组合形成可执行规则。 在上述问题形成明确口径前，产品设计应以“车端、短时、触发、最小范围、默认脱敏、原始不上云”为合规底线。 主要依据与官方来源
/ END
作者：小编
