（原标题：招股书里的小马智行：聚积用户信息少于100万，未达国内聚积安全审查门槛）

21世纪经济报说念记者肖潇 北京报说念

炙手可热的RoboTaxi行业，正在迎来一波上市潮。动作国内自动驾驶范围的独角兽，小马智行近日认真向好意思国证券走动委员会提交IPO招股书，有探讨登陆纳斯达克。

在这份招股书中，小马智行逐个罗列了财务、业务、合规问题，特地是波及数据保护和聚积安全的合规风险。招股书特地提到，迄今未因违抗国内个东说念主数据保护法而遇到任何要紧索赔或傍观。当今小马智行并未持有突出一百万用户的个东说念主信息，不需要求教也尚未收到任何聚积安全审查的奉告，这一安排已获有关部门阐发。 不外，招股书也领导，无法摒除咱们或者咱们的客户被视为关键信息基础设施运营者（CIIO）的可能性。其合营伙伴名单中已包括丰田汽车、三一重工、中海外运等大企业。要是被认定为CIIO，小马智行必须接纳聚积安全审查，要是购买的聚积家具或就业被合计可能影响国度安全也必须接纳聚积安全审查。

就在小马智行浮现IPO招股书之前，另一家国内RoboTaxi头部公司文远知行，也浮现了赴好意思上市招股书，并提到了车辆摄像头数据授权等问题。跟着自动驾驶企业携手干与公共老本商场，聚积安全与数据合规例必会成为越来越复杂的课题。

从业务结构来看，小马智行分了三大板块：自动驾驶出行就业（Robotaxi）、自动驾驶卡车（Robotruck）、工夫授权与诳骗就业。尽管Robotaxi造血才智还相比弱，但无疑是行业关爱焦点，亦然与用户数据距离最近的一个法子。 

字据小马智行的招股书，公司在国内已运营突出250辆自动驾驶出租车，每辆车本年上半年的日均订单量突出15单。同期，其约车软件“小马智行Ponpilot”的用户数目也已达到22万。

出行就业会波及哪些数据？招股书提到，“咱们聚积、存储、传输并以其他神志处理来自车辆、用户、职工、司机和其他第三方的数据，其中一些数据可能波及个东说念主数据或奥秘或突出信息，如用户的姓名、电话号码、起程所在和指标地。用户不错在咱们官方网站上拜访咱们的秘籍计策，该计策姿首了咱们聚积的个东说念主信息类型。”

记者因此翻阅小马智行的《秘籍合同》发现，用户在使用自动驾驶出租车时，需提供八类信息，包括用户名、手机号码、起程地和指标地、车内灌音摄像、车载摄像头拍照、支付纪录、就业日记和剪切板信息——这些数据齐是完成基本业务所必需的。此外，用户的精准位置信息和传感器数据建筑了单独的愉快圭表。

招股书对此强调了数据保护和安全风险。公司领导，可能有多种源流挟制聚积和数据安全，它们可能会试图取得车辆截止权，改换功能和性能特征，或者获取车辆、家具和系统生成的数据。这些袭击可能升级为针对云就业和托管软件的“大限制浮现”。

不外，小马智行似乎对数据授权法子避而不谈。另一家公司文远知行招股书的风险部分，最初就谈到了“在特定拍摄角度、拍摄精度以及车辆与行东说念主或其他车辆的相对速率和位置等条目下，关于源自车外的个东说念主信息，咱们无法取得有关个东说念主的愉快。” 

小马智行剖判面对相通的艰苦。两家公司齐曾对此暗意，会对测试首先场景采集的车外视频中的东说念主脸、车牌打码脱敏，并对一起数据进行加密传输及拜访处理权限截止，选定多重措施保险信息数据安全。但文远知行也在招股书中坦言，无法保证这种去识别化的措施完全相宜监管要求，若未能达标，可能会面对处罚。 

此前不雅韬中茂讼师事务所联合东说念主吴丹君告诉21记者，按照我国《个东说念主信息保护法》的要求，匿名数据必须同期孤高“无法识别”和“不可归附”两项圭表。换句话说，即就是“打码”数据，要是能被归附，监管部门仍可能认定数据未达匿名化要求。但是，当今工夫上很难作念到完全匿名化，跟着数据组合工夫的逾越，再行定位到个东说念主的风险日益增多，这成为了企业面对的延续不笃定性。

除此除外，小马智行还领导了两个数据安全风险源：一是开源工夫，这少许也被文远知行说起。两家公司的招股书齐指出，自动驾驶系统的见效运作，很猛进程上依赖所使用的开源软件。而开源软件既有洞开性的机遇，但也增多了信息安全轻视和易受袭击的风险。 

二是云就业。小马智行暗意，公司当今接纳了第三方供应商运营的基础设施，有探讨在各个商场与第三方的供应商合营，把用户或非用户数据存储在当地设施内。这意味着公司对云基础设施的运营至多有有限的截止权，要是碰到聚积袭击、电信故障等，齐会影响平台的云部分。

这并非杞东说念主忧天。频年来，公共云表数据浮现事件频发。《2023年泰雷兹云安全防守》的傍观指出，客岁公共突出39%的企业在云环境中发生过数据浮现，警示企业需要加大对云表数据安全的心疼。

值得防御的是，本次小马智行好意思股IPO的招股说明书中指出，公司未收到任何监管的奉告将其识别为关键信息基础设施运营者，莫得因违抗国内个东说念主数据保护法而受到过任何要紧索赔和傍观，也未收到监管的任何聚积安全有关的警告或制裁，或任何要求提交聚积安全审查的有关部门奉告。

字据《聚积安全审查宗旨》，掌抓一百万用户个东说念主信息的聚积平台考虑者境外上市，需要求教聚积安全审查。“一百万其实是推定‘可能对国度数据安全有影响’的一个阈值，达到这个圭表就应该求教，公司是否达到了这个条目很关键。”清律讼师事务所首席联合东说念主熊定中说。

频年来，国内对聚积信息和数据的监管力度不断加大，险些是行业共鸣。2021年，滴滴因上市触发了首例公开导布的聚积安全审查，随后，Boss直聘、运满满和货车帮也在上市流程中阅历了聚积安全审查。 

“不外要明确的是，求教和审查是两件不同的事情。”熊定中暗意，要是求教后，审查办公室合计天然数据量达到了求教圭表，但其实莫得影响到国度数据安全，比如数据明锐性极低、是公开数据等等，也可能平直奉告企业不需要审查。聚积安全审查的指标并不是为了遮挡数据通顺和企业考虑，主要照旧保险国度数据安全和主权。

关于小马智行的情况，公司在招股书中说明，其拟在好意思国上市之前莫得持有突出一百万用户的个东说念主信息，是以无需求教聚积安全审查，公司也曾跟CCRC阐发。CCRC指的是中国聚积安全审查工夫与认证中心，负责聚积安全审查的具体责任。 但这并未完全缓解公司的垂死情感。小马智行招股书花了不小篇幅分析了聚积安全审查措施的潜在影响，以及改日数据合规监管的不笃定性。

“咱们不可保证国内监管不会选定与咱们相背的不雅点。”“这些与秘籍、数据保护和信息安全有关的法律和规章的任何变化，以及政府对这些法律和规章的任何加强奉行行为，齐可能大大增多咱们提供料理决策和就业的成本……这可能会对咱们的业务、财务状态和运营恶果产生要紧不利影响。”招股书写说念。

比如，招股书提到一个近在目前的监管要求——跨境数据传输的安全评估。当今小马智行无东说念主驾驶就业营业收费布局在国内的北京、广州和深圳，莫得开展跨境数据运载，因此无需评估。但公司已入辖下手膨胀公共业务，与新加坡出租车运营商完兼并营，并在韩国、卢森堡、沙特阿拉伯等地开展自动驾驶工夫落地合营，改日例必会面对跨境数据传输问题。

再比如，尽管小马智行莫得被认定为关键信息基础设施运营者（CIIO），但招股书领导“无法摒除咱们或者咱们的客户被视为CIIO的可能性。” 其合营伙伴名单中已包括丰田汽车、三一重工、中海外运等大企业。要是被认定为CIIO，小马智行必须接纳聚积安全审查，要是购买的聚积家具或就业被合计可能影响国度安全也必须接纳聚积安全审查。在审查完成之前，客户不可使用小马智行的家具或就业。

21记者了解到，一般聚积安全审查圭表的完成需要60个责任日的期间，招股书合计审查流程和恶果，“可能会给公司的上市和融资有探讨带来极大不笃定性。” 

有业内东说念主士向21记者暗意，聚积安全审查也曾不算“簇新事物”，其实企业无谓过分垂死。但从小马智行的招股书来看，业内的错愕恒久莫得捣毁。跟着更多自动驾驶企业竞逐上市，实在的合规问题大概能在履行中见分晓。