导航数据一沾“地图”，就不是普通用户数据
前阵子有个做城配的朋友问我，说他们想拿司机的导航轨迹去优化路线，问我这事要不要跟司机打招呼。我当时回他：你先别急着优化，先搞清楚你手里那堆数据到底算什么。
很多人以为导航数据就是“用户点了哪儿、走了哪条路”，跟点击日志差不多。不对。只要数据里出现了道路、路口、POI、坐标、高程、路网拓扑，它就可能进入测绘地理信息的地盘。测绘法管的就是这块。地图导航数据不是单纯的互联网数据，它带着空间位置属性，甚至可能碰到国家秘密。
这也是为什么，导航电子地图制作在我国需要资质。导航电子地图制作甲级测绘资质，不是想拿就能拿。互联网地图服务还要按规定使用经审核批准的地图，地图上得有审图号。你说你只是做个APP？只要涉及地图展示、路径规划、导航电子地图数据生产，法律性质就变了。
说实话，不少创业者栽就栽在“我以为”。以为调用第三方地图SDK就没事，以为采集点轨迹只是用户同意问题。可监管看的是整条数据链：谁采集、谁存储、谁加工、谁传输、谁出境。
你的行车轨迹，为什么算敏感个人信息
个人这边，最常见的困惑是：导航软件记录我的路线，到底算不算隐私？
算。至少，行踪轨迹在个人信息保护法里被明确列为敏感个人信息。第28条写得很清楚，敏感个人信息包括行踪轨迹等，一旦泄露或者非法使用，容易导致人格尊严受到侵害或者人身财产安全受到危害。导航记录、打车行程、跑步轨迹、外卖配送路线，很多都能拼出你几点在家、几点在公司、常去哪家医院。
所以处理这类信息，门槛更高。处理敏感个人信息，原则上要取得单独同意。不是藏在用户协议里打个勾就完事。要告知处理目的、方式、范围，还有必要性。你不同意，平台不能拿“不用就无法使用核心功能”来硬逼——除非那真是核心功能，而且符合最小必要。
有人问，那我把导航截图发朋友圈呢？
那是你自己公开的，风险自担。可如果别人未经同意收集、出售、提供你的轨迹，那就另说了。实践中，非法获取、出售行踪轨迹信息，达到一定数量，可能触犯刑法。别觉得只是“几条路线”。
还有个细节：位置权限分“使用时允许”和“始终允许”。后者意味着后台也能定位。不是所有APP都需要。能关就关，能选“仅使用期间”就别给长期。
企业最容易踩的红线：无资质做导航电子地图
企业端，问题更硬。
一种情况，无资质采集、生产导航电子地图。测绘法要求，从事测绘活动的单位要依法取得相应等级的测绘资质。导航电子地图制作属于测绘活动。你没有资质，却去采集道路数据、制作路网、搞高精地图，风险很大。不是罚酒三杯的事。可能被责令停止、没收违法所得和测绘成果，还可能罚款。
另一种，外资或外籍人员擅自测绘。测绘法对境外组织、个人在华测绘有专门审批要求。实践中，一些境外公司以自动驾驶研发、地图众包、街景采集为名，在国内采集敏感地理信息，被查处的案例不少。高精度地图更敏感，因为它可能包含高于公开地图精度的坐标、坡度、曲率、车道线。
还有一种，汽车数据合规没做。汽车数据安全管理若干规定（试行）出台后，汽车数据处理者被要求默认不收集、车内处理、精度范围适用、匿名化处理等。重要数据出境，通常要做安全评估。什么算重要数据？可能涉及军事管理区、国防科工等敏感区域地理信息，也可能涉及车辆流量、物流等反映经济运行的数据，还有包含人脸、车牌等信息的车外视频图像。别以为把坐标抹掉就安全了，组合起来一样能识别敏感区域。
还有个误区：数据在境外服务器就没人管？只要你在境内运营，向境外提供数据，就可能触发数据出境规则。网络安全法、数据安全法、个人信息保护法，还有汽车数据规定，各管一段。拼起来就是一张网。
个人和企业，各自能做的几件事
个人层面，不用恐慌，但别裸奔。
装APP时看一眼权限。导航类要位置，合理。手电筒要通讯录？拒了。晒图时关掉精确位置，别把家门口和车牌一起发出去。旧手机、旧车机卖掉前，清掉导航记录和账号。发现某个APP频繁后台定位，去系统设置里查一查，必要时投诉举报。
企业层面，先把数据分类分级做了。你到底采了什么？道路数据、轨迹数据、车外图像、人脸车牌，分别怎么存、存多久、谁能看、是否出境。涉及导航电子地图制作的，先问自己有没有测绘资质，没有就找有资质的合作方，别自己闷头采。涉及个人信息处理的，同意要单独、告知要清楚、撤回要方便。涉及重要数据出境的，走安全评估，别用“业务需要”四个字糊弄。
还有合同。和供应商、司机、用户、合作方签协议时，把数据权属、使用范围、安全责任写清楚。别等出了事才发现，数据是谁的都没说明白。
再多说一句：地图导航数据，看着普通，法律上不普通。它一头连着个人行踪，一头连着地理信息安全。你可以用它做产品，但别把它当免费矿产。
本文为普法参考，不构成个案法律意见。
