电池企业数据合规与跨境数据传输——数字电池护照、车联网数据与出境安全评估的协同合规

【摘要】动力电池与储能系统正从“物理产品”演变为“数据密集型终端”。一块车规级电芯的电池管理系统（BMS）每秒回传电压、温度、健康状态（SoH）等数十项参数；一座储能电站的运行数据实时汇入云端；欧盟《新电池法》（Regulation (EU) 2023/1542）更进一步要求自2027年2月18日起对电动汽车、轻型交通与工业（2kWh以上）电池强制配置“数字电池护照”，将碳足迹、再生料含量、供应链尽调等数据上传至欧盟监管系统。数据在“境内生产—境外披露”“境外调取—境内存储”之间双向流动，使电池企业首次直面严格的数据出境合规义务。本文以《网络安全法》《数据安全法》《个人信息保护法》及《网络数据安全管理条例》（国务院令790号）、《促进和规范数据跨境流动规定》（国家网信办令16号）、《汽车数据安全管理若干规定（试行）》、工信部等八部门《汽车数据出境安全指引（2025版）（征求意见稿）》为依据，结合天津自贸试验区数据出境负面清单的本地化便利，系统梳理电池企业的三类“数据面”、出境三条路径与触发阈值、车联网数据的匿名化与境内存储义务，并给出可落地的合规清单，供电池及零部件企业、整车厂法务与中介机构参考。

【关键词】数据出境安全评估；数字电池护照；汽车数据安全管理；电池运行数据；重要数据；自贸区负面清单；个人信息跨境；电池合规

一、问题提出：电池企业为何突然成了“数据企业”

新能源产业的竞争焦点，正从“电芯能量密度”滑向“数据掌控力”。据行业测算，一辆智能网联汽车每日可产生数TB级原始数据，其中相当部分来自电池系统；一座大型储能电站的BMS与能量管理系统（EMS）同样形成持续的数据流。电池企业不再只是把电芯卖给整车厂或电站业主，还要按照整车厂的联网要求开放数据接口、回传运行参数，并按照欧盟法要求将合规数据写入数字电池护照。

由此形成数据的“双向跨境”：一是“向外披露”，即中国电池企业为满足欧盟新电池法，向欧盟监管系统或进口商提供碳足迹、再生料含量、供应链尽调等数据；二是“被动出境”，即境外机构、组织或个人通过远程查询、调取、下载境内存储的电池运行数据、车外影像与位置轨迹。两条路径都落入我国数据出境监管范围。实践中，企业常因三类误判而触雷：误以为“只是向客户发一份合规报告，不算数据出境”；误以为“车外影像已经打码，就无需匿名化与评估”；误以为“研发源代码属于自身商业秘密，出境无需报批”。本文旨在厘清这些边界。

二、监管框架全景：三法一例 + 规定 + 行业标准

2.1 上位法：“三法”奠定了数据出境的基本制度

《网络安全法》（2017年施行）首开关键信息基础设施运营者（CIIO）个人信息与重要数据境内存储及出境评估之先河；《数据安全法》（2021年施行）确立数据分类分级与重要数据保护；《个人信息保护法》（2021年施行）第38条明确个人信息出境的三条合法路径——通过国家网信部门组织的安全评估、经专业机构个人信息保护认证、与境外接收方订立标准合同。三者共同构成数据出境制度的宪法性基础。

2.2 配套条例与规定：落地的“操作手册”

• 《网络数据安全管理条例》（国务院令790号，2025年1月1日施行）设专章（第五章“网络数据跨境安全管理”）细化数据出境规则，并首次在第六章以定义条款明确重要数据含义；其第34条至第37条衔接并落实前述“三法”的出境路径与豁免。

• 《促进和规范数据跨境流动规定》（国家网信办令16号，2024年3月22日施行）是当前数据出境最核心的便利化文件，明确“未被相关部门、地区告知或者公开发布为重要数据的，不需要作为重要数据申报数据出境安全评估”，并大幅放宽免申报情形、设立自贸区负面清单制度、将评估结果有效期由2年延至3年。

• 《汽车数据安全管理若干规定（试行）》（国家网信办等五部门，2021年10月1日施行）是汽车行业专门规章，界定“汽车数据”“汽车数据处理者”并确立车内处理、默认不收集等四项原则，是电池企业作为“零部件和软件供应商”的直接合规依据。

2.3 行业指引与标准：从原则到字段级

• 工信部等八部门《汽车数据出境安全指引（2025版）（征求意见稿）》（2025年6月13日发布征求意见，反馈截止2025年7月13日）。须特别注明：该文件目前为征求意见稿，尚未生效，本文仅作合规预判与制度参照，不作为现行强制依据。

• 国家标准：GB/T 41871-2022《信息安全技术 汽车数据处理安全要求》、GB/T 44464-2024《汽车数据通用要求》、TC260-PG-20241A《网络安全标准实践指南——车外画面局部轮廓化处理效果验证》；上述标准构成车外人脸/车牌匿名化“检出率≥90%”等技术底线。

欧盟侧对应规则为Regulation (EU) 2023/1542第77条（数字电池护照）及其附件十三（Annex XIII）数据规格。两法域规则叠加，使出口欧盟的电池企业同时受“中国出境管制”与“欧盟护照披露”双向约束。

三、欧盟数字电池护照的数据跨境逻辑

3.1 强制时点与范围

依Regulation (EU) 2023/1542第77条，自2027年2月18日起，电动汽车（EV）电池、轻型交通（LMT）电池、容量超过2kWh的工业电池，在投放欧盟市场或投入使用时必须配置合规的数字电池护照；便携/消费类电池不在此列（注意2kWh门槛仅适用于工业电池，EV与LMT不论容量均纳入）。护照以QR码承载唯一电池标识符，公众扫码即可访问结构化电子记录。欧盟“数字产品护照注册系统”（DPP Registry）已于2026年7月投入运营，仅存储唯一标识符与访问权限元数据。

3.2 数据字段与分级访问

Annex XIII要求护照承载约90至110个数据字段，覆盖电池身份与制造商信息、碳足迹声明、再生料（钴锂镍铅）含量、SoH与健康状态、有害物质声明、供应链尽调记录、报废处理信息等。数据按访问层级分为三类：公众可访问、主管机关与公告机构可访问、具合法利益者（如维修商、再制造商、回收商）可访问。这意味着同一块电池，不同主体看到的数据范围不同——这也提示中国企业：向欧盟提供的数据本身已分层，出境前应按中国法再做一次“重要数据/个人信息”的境内识别。

3.3 进口商责任与中国的出境义务

第77条将护照义务落在“将电池投放欧盟市场的经济运营者”身上；当电池在欧盟境外制造时，进口商承担与制造商同等的护照责任——即便中国制造商未生成护照，进口商也须自行补全。对中方企业，关键合规问题由此产生：向欧盟提供的碳足迹结果、再生料声明、供应链尽调文档等数据，是否构成我国法下的“数据出境”？其中哪些可能落入“重要数据”或“敏感个人信息”？

分析上应做分类处理：纯合规文本与计算结果（如碳足迹声明数值、再生料百分比）通常不含个人信息，也一般不落入重要数据，可经便利化路径出境；但若供应链尽调数据包含境内特定矿源地理信息、或护照底层数据追溯到“被列入国家重大专项、国家重点研发计划”的电池材料研发源代码、工艺物料清单、生产控制程序源代码，则可能被认定为重要数据，须申报出境安全评估（详见第五节）。企业不可将“只是填一张欧盟表格”等同于“无需中国法审批”。

四、车用与储能电池数据的“汽车数据”合规

4.1 电池企业属于“汽车数据处理者”

《汽车数据安全管理若干规定（试行）》第3条将“汽车数据处理者”明确界定为包括汽车制造商、零部件和软件供应商、经销商、维修机构等在内的组织。电池企业作为核心零部件与软件（BMS算法）供应商，天然落入该定义。其处理的“汽车数据”，按该条包括汽车设计、生产、销售、使用、运维过程中的个人信息数据与重要数据；其中敏感个人信息含车辆行踪轨迹、音频、视频、图像与生物识别特征，重要数据含车外视频图像中的人脸/车牌信息、汽车充电网运行数据、涉及个人信息主体超过10万人的个人信息等。

4.2 四项原则与车外匿名化

• 车内处理原则：除非确有必要，不向车外提供数据。

• 默认不收集原则：每次驾驶默认不收集座舱数据，须驾驶人自主设定。

• 精度范围适用原则：按功能需求确定摄像头、雷达覆盖范围与分辨率。

• 脱敏处理原则：尽可能匿名化、去标识化。

第8条特别要求：因行车安全需要无法征得同意而采集到车外个人信息并向车外提供的，应当进行匿名化处理（删除可识别自然人画面，或对画面中人脸局部轮廓化处理）。中汽协等机构依据GB/T 41871-2022、GB/T 44464-2024及TC260-PG-20241A开展的“汽车数据处理5项安全要求检测”（第三批2025年8月、第四批2025年12月）明确：车端匿名化处理的人脸目标与车牌目标匿名化检出率均应≥90%，未完成匿名化处理前不得向车外提供。这意味着电池企业向整车厂回传的包含车外影像的算法训练数据，必须先完成匿名化方可出车端。

4.3 敏感个人信息与重要数据的刚性义务

• 敏感个人信息：处理行踪轨迹、SoH、车内音视频等须取得个人单独同意，个人要求删除的应在十个工作日内删除（第9条）。

• 重要数据境内存储：重要数据应依法在境内存储，因业务确需向境外提供的，应当通过国家网信部门会同国务院有关部门组织的安全评估（第11条）；且不得超出评估明确的目的、范围、方式与数据种类、规模（第12条）。

• 年度报告：重要数据处理者须于每年12月15日前向省级网信部门和有关部门报送年度汽车数据安全管理情况；向境外提供重要数据的，还应补充报告接收者基本情况、出境数据种类规模及境外保存情况等（第13、14条）。

需提示的边界：纯独立储能电站（非车用、不接入车联网）的BMS数据，主要适用《数据安全法》《网络安全法》的一般性规定，并不直接落入“汽车数据”；但带车联网功能的移动储能、光储充一体桩、参与车路协同的电池系统，仍可能触及汽车数据规则，应个案判断。

五、数据出境三条路径与触发阈值

5.1 应当申报安全评估（最高门槛）

依《促进和规范数据跨境流动规定》第7条，符合下列情形之一的，应通过所在地省级网信部门向国家网信部门申报数据出境安全评估：（一）关键信息基础设施运营者向境外提供个人信息或者重要数据；（二）非CIIO向境外提供重要数据，或自当年1月1日起累计向境外提供100万人以上个人信息（不含敏感个人信息），或1万人以上敏感个人信息。对电池企业，凡是向欧盟提供被认定为“重要数据”的护照底层数据（如特定研发源代码、含敏感区域的车外实景影像），即落入本类。

5.2 标准合同或认证（中门槛）

第8条规定，非CIIO自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息），或不满1万人敏感个人信息的，应依法与境外接收方订立个人信息出境标准合同或通过个人信息保护认证。电池企业向境外母公司、研发中心传输的员工数据、境外运维涉及的车主数据，多落在此区间。

5.3 免予申报（便利化通道）

• 第5条：非CIIO自当年1月1日起累计向境外提供不满10万人个人信息（不含重要数据与敏感个人信息）的，免予申报、免标准合同、免认证。

• 第5条：为订立、履行个人作为一方当事人的合同（如跨境购车、跨境支付、跨境注册账户）确需提供个人信息的，以及按依法制定的劳动规章制度与集体合同实施跨境人力资源管理确需提供员工个人信息的，免予申报。

• 第6条：自由贸易试验区内数据处理者向境外提供负面清单外数据的，免予申报、免标准合同、免认证。

此外，第9条将安全评估结果有效期由2年延长至3年，期满可提前60个工作日申请再延长3年；第10条重申向境外提供个人信息须履行告知、取得单独同意、开展个人信息保护影响评估（PIA）等义务。重要数据识别上，《网络数据安全管理条例》第62条将其定义为“特定领域、特定群体、特定区域或达到一定精度和规模，一旦遭篡改、破坏、泄露或非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据”；GB/T 43697-2024《数据安全技术 数据分类分级规则》附录G提供了识别指南。关键利好是：未被相关部门、地区告知或公开发布为重要数据的，不需要作为重要数据申报出境安全评估——降低了“不知是否重要”的不确定性。

六、天津自贸试验区负面清单的本地化价值

对上述框架的“本地化落地”，对注册在天津自贸试验区的电池及零部件企业尤为关键。天津市已构建数据出境负面清单管理体系：《中国（天津）自由贸易试验区数据出境管理清单（负面清单）（2024版）》于2024年5月9日印发（津自贸发〔2024〕3号）；2026年2月6日，天津自贸试验区管委会进一步发布《中国（天津）自由贸易试验区数据出境负面清单管理办法（试行）》及《实施指南（试行）》，细化清单的实施与监管。区内企业向境外提供负面清单外数据，即可免予申报评估、订立标准合同或通过认证。

国家网信办2025年4月“数据出境安全管理政策问答”确认，国家网信办已会同国家数据局完成天津、北京、海南、上海、浙江等地自贸试验区（港）数据出境负面清单备案，覆盖汽车、医药、零售、民航、再保险、深海业、种业等17个领域。据此，天津区内电池企业可对照自贸区汽车类负面清单，将清单外的一般经营数据、非重要的碳足迹汇总数据经由便利化路径出境，避免“一刀切”评估；但凡列入负面清单的汽车类重要数据（如特定车外实景影像、车辆控制与在线升级数据、电控单元售后数据等），仍须申报安全评估。

实践中一个有益参照是：即便企业注册在区外，或数据出境发生在其他自贸区，只要相关数据特征符合任一自贸区负面清单中重要数据的认定标准，监管部门可能参照适用其他地区清单来框定重要数据范畴（中伦律所2025年研究亦持此观点）。因此，区内企业应以负面清单为“便利化抓手”，区外企业亦应以之作为“重要数据筛查标尺”，提早部署分类分级与出境自查。

七、典型风险与争议焦点（要点清单）

• “护照填表”误判：将向欧盟提供碳足迹、再生料、供应链尽调数据视为普通商务文件，忽视其底层可能含重要数据而触发出境评估。

• 车外影像匿名化不足：算法训练数据含未匿名化人脸/车牌即向境外回传，违反《汽车数据安全管理若干规定》第8条及≥90%检出率要求。

• 敏感个人信息缺单独同意：SoH、位置轨迹等数据出境未取得单独同意、未做PIA，违反《个人信息保护法》第38条与规定第10条。

• 重要数据识别模糊：依赖笼统标准，未建立字段级清单，导致“该报未报”或“过度申报”两极分化。

• 区内外待遇错配：区内企业未主动适用负面清单、区外企业未参照清单筛查，丧失便利化通道。

• 执法风险参照：2025年9月，公安网安部门曾就某汽车企业的数据违规（含未充分履行数据出境安全评估与个人信息保护义务）依法作出行政处罚（据公开报道，涉事企业名称未完全披露，以官方公告为准）；其处罚依据主要为《个人信息保护法》第66条（违法处理个人信息可处5000万元以下或上一年度营业额5%以下罚款，对直接责任人处10万元以上100万元以下罚款）。域外可资比较的是荷兰数据保护局2024年依GDPR对优步（Uber）处以2.9亿欧元罚款，因其将欧洲司机个人数据传输至美国未满足GDPR第五章跨境传输要求——该案例虽系域外执法，凸显全球对违规数据跨境的“重罚”趋势。

八、可落地的合规清单（要点清单）

对电池及零部件企业：

• 数据资产盘点：建立“三类数据面”台账——生产研发数据、车机/储能运行数据、护照披露数据；按《网络数据安全管理条例》第62条与GB/T 43697-2024做字段级重要数据识别。

• 护照数据分层出境：纯合规文本与计算结果走便利化路径；含国家重大专项源代码、工艺物料清单、车外实景影像/位置轨迹的，预作安全评估或标准合同准备。

• 匿名化前置：向境外回传的车外影像、训练数据须完成人脸/车牌匿名化（检出率≥90%），未完成不向车外提供。

• 个人信息出境闭环：涉及员工与车主数据的，逐项确认阈值（10万/100万、1万敏感），履行告知、单独同意、PIA，并据情形选评估/标准合同/认证。

• 天津自贸区红利：注册在区内的企业主动适用负面清单，将清单外数据便利化出境；区外企业参照其他自贸区清单做合规筛查。

对中介机构与法务：

• 将出境合规审查嵌入研发、测试、出口流程，触发主动或被动出境时及时拉通法务启动自评估。

• 核查CIIO身份：若被认定为关键信息基础设施运营者，所有个人信息与重要数据出境均须安全评估，无阈值豁免。

• 协议条款前置：与整车厂、境外进口商、云服务商的数据处理协议须约定出境目的、范围、保存期限、境外接收方义务与违约救济，并留存记录至少3年。

• 年度报告机制：被认定处理重要数据的，落实数据安全负责人与机构、年度风险评估及12月15日前报送义务。

九、FAQ问答模块

Q1：向欧盟提交数字电池护照数据，是不是“数据出境”，要不要报批？

A1：是数据出境。但需分类：碳足迹声明数值、再生料百分比等纯合规文本通常不含个人信息、一般不属重要数据，可走便利化路径；若底层数据涉及国家重大专项的电池材料研发源代码、工艺物料清单、含敏感区域的车外实景影像，则可能被认定为重要数据，须申报出境安全评估。不能一概以“填欧盟表格”为由免批。

Q2：电池企业的BMS运行数据，都算“汽车数据”吗？

A2：作为零部件和软件供应商，电池企业属《汽车数据安全管理若干规定（试行）》第3条定义的“汽车数据处理者”；车用电池回传的行踪轨迹、SoH、车外影像等落入汽车数据，须遵守车内处理、默认不收集、脱敏处理等原则及车外匿名化（检出率≥90%）要求。纯独立储能电站（非车联网）适用数据安全法一般规定，不直接落入汽车数据。

Q3：重要数据“没被列进目录”是不是就安全了？

A3：依《促进和规范数据跨境流动规定》第2条，未被相关部门、地区告知或公开发布为重要数据的，不需要作为重要数据申报出境安全评估——这降低了不确定性。但企业仍须主动按《网络数据安全管理条例》第62条与GB/T 43697-2024做识别；一旦被认定或告知为重要数据，向境外提供即须安全评估。

Q4：天津自贸区的负面清单对电池企业有什么用？

A4：注册在天津自贸试验区的企业，向境外提供负面清单外数据可免予申报评估、订立标准合同或通过认证（津自贸发〔2024〕3号及2026年2月管理办法、实施指南）。区内电池企业应将清单外的一般经营与碳足迹汇总数据便利化出境，清单内的重要数据仍须评估；区外企业亦可参照各地清单做重要数据筛查。

Q5：违规数据跨境会被怎么罚？

A5：国内主要依《个人信息保护法》第66条，违法处理个人信息可处5000万元以下或上一年度营业额5%以下罚款，对直接责任人处10万元以上100万元以下罚款；重要数据违规另受《数据安全法》处罚。2025年9月公安网安部门曾就某车企数据违规作出行政处罚（企业名称未完全披露）。域外如荷兰数据保护局2024年对优步罚款2.9亿欧元，凸显全球重罚趋势。

十、要点小结

• 电池企业已成为“数据企业”：生产研发、车机/储能运行、护照披露三类数据面均可能触发我国数据出境监管与欧盟护照披露义务的双向约束。

• 监管框架为“三法（网安、数安、个保）+一例（网络数据安全管理条例）+规定（促进和规范数据跨境流动规定）+汽车专门规章与指引”，其中《汽车数据出境安全指引（2025版）》仍为征求意见稿、未生效，仅作制度参照。

• 出境三条路径按阈值划分：100万人以上个人信息或1万人以上敏感或重要数据→安全评估；10万—100万人个人信息或不满1万敏感→标准合同/认证；不满10万人且无重要/敏感→免予申报；自贸区负面清单外→免予申报。

• 车用电池数据严守四项原则与车外匿名化（检出率≥90%）、敏感个人信息单独同意与十个工作日删除、重要数据境内存储与12月15日年度报告。

• 天津自贸区负面清单（2024版及2026年管理办法）为区内企业提供便利化出境通道，区内应主动适用、区外应参照筛查，以“分类分级+清单比对+协议留痕+年度报送”筑牢数据合规底座。

【权威来源索引】

1. 《中华人民共和国网络安全法》（2017-06-01施行）第37条（CIIO个人信息与重要数据境内存储及出境评估）；《中华人民共和国数据安全法》（2021-09-01施行）第21条（重要数据目录）；《中华人民共和国个人信息保护法》（2021-11-01施行）第38条（个人信息出境三路径）、第53条（境外处理者境内机构）、第66条（违法处理处罚）。

2. 《网络数据安全管理条例》（国务院令790号，2024-09-24公布、2025-01-01施行）第五章“网络数据跨境安全管理”第34—37条；重要数据安全第29—33条；第62条重要数据定义。

3. 《促进和规范数据跨境流动规定》（国家网信办令16号，2024-03-22施行）第2条（重要数据“告知才重要”）、第5条（免予申报情形）、第6条（自贸区负面清单）、第7条（应申报安全评估）、第8条（标准合同/认证）、第9条（有效期3年可延长）、第10条（告知+单独同意+PIA）。原文见中国政府网国务院公报2024年第15号。

4. 《汽车数据安全管理若干规定（试行）》（国家网信办等五部门，2021-10-01施行）第3条（定义与汽车数据处理者含零部件和软件供应商）、第6条（四项原则）、第8条（车外人脸匿名化）、第9条（敏感个人信息单独同意+十个工作日删除）、第11条（重要数据境内存储+出境评估）、第13—14条（12月15日年度报告）。

5. 工信部等八部门《汽车数据出境安全指引（2025版）（征求意见稿）》（2025-06-13发布征求意见，反馈截止2025-07-13）。特别注明：目前为征求意见稿，尚未生效。列明研发设计、生产制造、驾驶自动化、软件升级服务、联网运行、其他六类场景下重要数据类型与判定规则；免予申报9类豁免情形。

6. 国家标准GB/T 41871-2022《信息安全技术 汽车数据处理安全要求》、GB/T 44464-2024《汽车数据通用要求》、TC260-PG-20241A《网络安全标准实践指南——车外画面局部轮廓化处理效果验证》；中汽协等“汽车数据处理5项安全要求检测”第三批（2025-08-18）、第四批（2025-12-19）：车外人脸/车牌匿名化检出率≥90%。

7. Regulation (EU) 2023/1542（欧盟《新电池法》，Official Journal 2023-07-28，一般适用自2024-02-18）第77条（数字电池护照，强制2027-02-18，范围为EV、LMT及工业>2kWh电池）、Annex XIII（数据字段约90—110项、分级访问）；欧盟DPP Registry 2026年7月投入运营。来源：EUR-Lex。

8. 《中国（天津）自由贸易试验区数据出境管理清单（负面清单）（2024版）》（津自贸发〔2024〕3号，2024-05-09印发）；《中国（天津）自由贸易试验区数据出境负面清单管理办法（试行）》及《实施指南（试行）》（天津自贸试验区管委会，2026-02-06发布）。

9. 国家网信办“数据出境安全管理政策问答（2025年4月）”：已会同国家数据局完成天津、北京、海南、上海、浙江等地自贸区（港）数据出境负面清单备案，覆盖汽车等17个领域；截至2025年3月共完成安全评估298个，其中涉重要数据44个、不通过7个（不通过率15.9%），准予出境重要数据项占申报63.9%。

10. 执法参照：2025年9月公安网安部门对某汽车企业数据违规依法作出行政处罚（据公开报道，涉事企业名称未完全披露，以官方公告为准），依据主要为《个人信息保护法》第66条；域外：荷兰数据保护局（Autoriteit Persoonsgegevens）2024年依GDPR对优步罚款2.9亿欧元（跨境传输未满足GDPR第五章要求），系比较法参照。

11. 推荐性国家标准GB/T 43697-2024《数据安全技术 数据分类分级规则》（2024-10-01施行）附录G《重要数据识别指南》。