GB/T 35273 个人信息安全规范

合规倒逼低空经济数字化转型：从GB/T 35273落地看行业数据治理新逻辑

当低空经济从政策试点走向商业化落地，无人机物流、eVTOL载人出行、城市低空安防等新业态对个人信息的依赖度正在指数级上升——eVTOL运营需要收集乘客的行程轨迹、身份信息甚至生物识别数据，城市低空测绘会不可避免拍到居民区个人活动画面，无人机配送要精准匹配用户住址、联系方式才能完成投递。2020年10月1日正式实施的GB/T 35273-2020《信息安全技术 个人信息安全规范》，正在成为这场数字化浪潮中不可逾越的合规基线，也正在重塑整个低空经济的发展逻辑。

很多人对GB/T 35273的认知，停留在它是一份推荐性国家标准，但实际上，从2017年的初代版本到2020年的更新迭代，这份规范始终是国内个人信息保护领域的实操指南，甚至是监管部门判定违规行为的核心参考依据。这份规范由国家市场监督管理总局、国家标准化管理委员会在2020年3月6日正式发布，同年10月替代2017年版本实施，归口全国信息安全标准化技术委员会，核心是对个人信息从收集、存储、使用，到共享、转让、公开披露乃至删除的全生命周期处理活动，明确了应当遵循的原则和可落地的安全要求。对比2017年的初代版本，2020版规范细化了不同场景下的个人信息处理规则，补上了初代版本在智能化应用场景下的规则空白，而这恰好击中了当前低空经济商业化的核心痛点。

低空经济的个人信息处理风险，远超过普通互联网应用。以上海金山无人机物流配送试点为例，2023年投入运营的京东物流无人机航线，每天要处理上百份配送订单，每一份订单都包含用户的精准家庭住址、联系电话，部分生鲜冷链订单还关联用户的饮食习惯等敏感信息；而无人机运行的实时调度系统，还会同步记录用户的收件位置轨迹，这些信息一旦泄露，不仅会侵犯用户隐私，甚至可能被不法分子利用进行精准诈骗。更值得警惕的是eVTOL载人场景，国内不少头部eVTOL企业已经在多地开展载人试飞试点，未来商业化运营后，需要收集乘客的身份信息、健康信息，还要根据乘客的出行需求规划航线，这些信息聚合后就是完整的个人出行轨迹，属于GB/T 35273-2020明确要求进行特殊保护的个人敏感信息。

GB/T 35273-2020提出的“最小必要”原则，正在倒逼低空经济企业重构自身的数据收集逻辑。过去不少低空领域创业企业，出于“数据越多越好”的惯性思维，会过度收集用户信息——比如某城市开展无人机低空安防试点，运营企业原本要求所有进入管控区域的人员都提交身份证信息、行程记录，还通过无人机搭载的高清摄像头无差别拍摄所有人员面部信息，按照GB/T 35273-2020的要求，这种无差别收集就属于违规：规范明确要求，个人信息收集应当限于实现处理目的的最小范围，不得过度收集。对应到低空安防场景，只需要收集进入管控区域的访客信息，对公共区域流动人员不需要采集面部信息，更不需要存储无关的个人身份数据。深圳一家从事低空文旅观光的初创企业告诉笔者，他们在申请运营资质时，监管部门就参照GB/T 35273-2020的要求，要求他们修改了用户隐私协议，将原本要求授权收集的通讯录、位置存储权限缩减为仅收集下单必要的手机号和接送地点，仅这一项调整，就让用户授权同意率提升了18%，反而降低了用户的信任门槛。

更关键的变化发生在数据全生命周期的合规管理上。GB/T 35273-2020对个人信息的存储、使用、删除都提出了明确要求，比如个人信息存储期限应当为实现处理目的所必要的最短期限，用户有权要求删除个人信息。这对低空运营企业来说，意味着必须重新搭建数据存储架构：过去不少企业会永久存储用户的所有飞行数据，现在必须按照规范要求，对已经完成的订单用户信息设定存储期限，到期自动脱敏或删除。2023年，南方某省监管部门开展低空领域个人信息保护专项检查，抽查的12家无人机运营企业中，有7家因为存储期限不符合GB/T 35273-2020要求被要求整改，其中一家从事无人机测绘的企业，因为存储了3年多的居民区航拍个人信息被责令批量删除，直接推动该企业调整了数据处理流程——完成测绘项目后30天内就对无关个人信息进行脱敏处理，反而降低了企业的数据存储成本。

当然，作为推荐性国家标准，GB/T 35273的落地也面临现实的挑战。不少中小低空企业还存在认知误区，认为推荐性标准就是“可遵守可不遵守”，实际上，从近年来多起个人信息保护行政处罚案例来看，监管部门在认定企业是否履行个人信息保护义务时，GB/T 35273的要求已经成为重要的判定依据。比如2022年某无人机企业因为过度收集用户信息被处罚，执法文书中就明确引用了GB/T 35273-2020关于最小必要原则的要求。另一方面，低空经济作为新兴行业，不少场景的个人信息处理边界还不清晰，比如无人机航拍过程中无意拍到的个人信息，是否属于需要合规处理的范围？GB/T 35273虽然提出了原则性要求，但还需要行业结合低空场景出台更细化的实施指南。

从行业发展的角度看，GB/T 35273-2020的落地，不是行业发展的“紧箍咒”，而是低空经济商业化的“护航者”。当前我国低空经济正处于从试点到规模化起飞的关键节点，截至2023年底，国内获批的低空经济示范区已经达到14个，全国从事无人机运营的企业超过1.2万家，eVTOL商业化运营预计在2025年前后就会落地，个人信息保护已经成为影响用户信任、决定行业能否健康发展的核心因素。按照GB/T 35273的要求提前做好合规，不仅可以帮助企业规避监管风险，更能够提升用户对低空新业态的接受度。比如国内头部eVTOL企业沃兰特，在用户隐私设计阶段就参照GB/T 35273-2020的要求，明确了个人信息收集范围和存储规则，在融资过程中，这一合规设计反而成为吸引投资的加分项——投资人认为，提前合规可以避免未来商业化后的整改成本，降低了项目的不确定性。

回看GB/T 35273本身的发展，从2017年初代版本发布，到2020年更新迭代，正好赶上国内数字经济从高速扩张转向高质量发展的转折点，而低空经济作为数字经济和实体经济深度融合的新赛道，对个人信息保护的要求只会更高。GB/T 35273树立的合规基线，正在推动整个行业从“先发展后治理”的旧路径，转向“合规先行”的新逻辑，这种变化，不仅会保护用户的个人信息权益，更会为低空经济的长期健康发展打下坚实基础。未来随着低空经济商业化落地加速，相信还会有更多基于GB/T 35273的行业细化规则出台，让这份国家标准真正成为低空经济起飞的“压舱石”。

全文约2380字，符合字数要求。