本文来源：时代财经作者：何青

12月20日，蔚来发表声明称，收到一封声称拥有蔚来内部数据的外部邮件，通过泄露数据勒索225万美元比特币(约合1570万元人民币)。收到勒索邮件后，公司当天就成立了专门小组进行调查和应对，并第一时间向相关监管部门报告了事件情况。经初步调查，被盗数据为2021年8月前的一些基本用户信息和车辆销售信息。

当天晚上，蔚来创始人兼董事长李斌在蔚来官方社区为数据泄露事件道歉。李斌说，“保护用户的信息安全是我们的责任。我们对没有做好表示歉意，我们会对此次事件造成的损失承担责任。我们将配合相关部门对事件进行深入调查，对窃取和买卖事件相关数据的违法犯罪行为追查到底。我们不会向违法行为妥协，请及时提供线索。"

广东大同律师事务所主任朱永平告诉时代财经记者，根据《个人信息保护法》第69条和《汽车数据安全管理若干规定》第17条规定，如果蔚来公司在此次事件中未尽到数据安全保障义务，存在过错，应当对受损用户承担侵权责任。“在此次事件中，蔚来公司承诺对造成损失的用户承担责任，但这一承诺更难兑现。”朱永平说。

对于蔚来本身是否会面临处罚，朱永平认为，“目前法律对信息和数据安全的处罚主要是针对通过非法提供或者非法交易的方式故意泄露数据信息的情形，但是蔚来公司在此次事件中被盗，主观上不存在泄露的故意。我认为没有必要面对惩罚。”

图片来源：蔚来

一些用户的基本信息被盗

声明称，12月11日，蔚来公司收到外部邮件，声称拥有蔚来内部数据，并以泄露的数据勒索225万美元比特币(约合1570万元人民币)。蔚来表示，经初步调查，被盗数据为2021年8月前的一些基本用户信息和车辆销售信息。

时代财经给蔚来发了一封采访信，内容是关于数据为什么被盗，泄露的用户基本信息和车辆销售信息中包含了哪些个人信息和相关数据。截至发稿，未收到回复。

当时代财经进入蔚来APP时，发现其个人信息采集列表采集的个人信息类型包括姓名、手机号、有效身份证号等。如果用户在蔚来APP-我的证书中授权，可能会包含更多私人的个人信息，比如购车指标、社保流水、公积金流水、工资流水等等。

蔚来客服告诉时代财经记者，目前，涉及的具体信息尚未发布。这种数据泄露不会影响车辆行驶。如果机主接到不明电话，需要谨慎。客服还表示：如果业主因为信息泄露事件遭受了相应的损失和影响，客服会记录反馈，并有专门的顾问进行后续沟通。

蔚来首席信息安全科学家、信息安全委员会负责人卢龙表示，本次事件不涉及车辆使用过程中产生的数据(如行驶轨迹、驾驶舱数据)，也不影响车辆的驾驶或远程控制。我们仍在进一步调查数据泄露的原因和范围。

不过，在业内看来，虽然蔚来承诺对给用户造成的损失承担责任，但这一承诺可能很难兑现。

图片来源：蔚来

朱永平告诉时代财经，根据《个人信息保护法》第69条和《汽车数据安全管理若干规定》第17条规定，如果蔚来公司在此次事件中未尽到数据安全保障义务，存在过错，应当对受损用户承担侵权责任。此次事件中，蔚来公司承诺对造成损失的用户承担责任，但这一承诺很难兑现。

朱永平进一步解释说：用户很难举证。首先，用户不知道此次事件中泄露的数据是否包含自己的个人信息，这需要用户先向蔚来公司了解；其次，即使蔚来公司承认泄露的数据中包含自己的信息，用户也很难证明自己的损失是由数据泄露造成的，因为在日常生活中，我们可能会在各个方面留下自己的数据信息，用户需要证明自己的损失是由数据泄露造成的，而不是来自其他方面。这种举证责任成为用户维权的一大难题。

智能汽车数据安全敲响警钟

与传统燃油汽车相比，智能汽车的数字化场景更多，其产品和服务收集的个人信息也更多。从汽车咨询、车辆试驾到车辆订购、电池租赁、车辆使用、远程车辆管理，各个环节都可能伴随着数据安全和信息安全风险。

新能源汽车研究员安扬告诉时代财经记者，新能源汽车的电动化和智能化产生了海量的车辆应用数据。同时，新能源汽车通过超级APP、小程序等方式直接连接用户、与用户互动，产生了大量的用户信息。如何保证这些数据的安全合理应用，不仅在于相关部门、主机厂和三方公司，还需要认真考虑，提前做好准备，减少此类蔚来事件的发生。

在政策层面，今年4月，工信部、公安部、交通运输部、应急管理部、市场监管总局联合发布《关于进一步加强新能源汽车企业安全体系建设的指导意见》(以下简称《意见》)，明确提出完善网络安全体系，加强网络安全防护，强化数据安全保护，实施个人信息安全保护。

《意见》指出，企业应当按照《个人信息保护法》及相关法律法规处理个人信息，制定内部管理和操作规程，对个人信息实行分类管理，并采取相应的加密、去标识等安全技术措施，防止个人信息的非授权访问和泄露、篡改、丢失。

朱永平表示，根据《汽车数据安全管理若干规定》第八条规定，汽车数据处理者在处理个人信息时，应当取得个人同意或者符合法律、行政法规规定的其他情形。车企在收集用户信息前，需要征得用户同意，并应确保数据的合法正当使用。

“我认为可以从汽车生产、销售、用户使用、车辆管理等方面进行法律细化。