在数据合规方面，阿联酋最核心的联邦法律之一是 PDPL（Personal Data Protection Law），即阿联酋《个人数据保护法》（Federal Decree-Law No. 45 of 2021）。PDPL 规范个人数据的收集、使用、存储、共享、传输及删除，并明确数据控制者和处理者的责任以及数据主体的基本权利。该法案立法逻辑对标欧盟（《通用数据保护条例》（GDPR）），底层合规原则有共通之处，但在执法落地细则与数据全生命周期管控层面，阿联酋仍有自身本土化特殊规则与差异化要求。

PDPL 对智能驾驶道路数采项目的实际意义在于，其合规要求不仅限于数据处理，还涵盖车辆改装、设备安装、传感器采集、数据存储及跨境回传等环节。核心义务包括：

合法性基础：PDPL 原则上禁止未经数据主体同意擅自处理个人数据，同时列明法定豁免情形，包括订立履行合同、维护公共利益、保障数据主体权益、处理主体自行公开数据、履行雇佣及社保类法定义务等。区别于 GDPR，PDPL 未将 “合法利益” 列为合规处理依据；同时要求个人同意须以清晰、简单、易懂的方式作出，且需明确告知数据主体享有随时撤回同意的权利。

告知义务：数据处理开展前，控制者须向个人充分告知数据处理目的、合法依据、境内外共享安排及跨境传输保护措施；同时保障个人完整知情权，涵盖数据类型、自动化决策应用、存储期限标准、数据更正 / 删除 / 限制处理申请流程、数据泄露应对方案及监管投诉渠道等关键事项。

第三方委托处理：若委托第三方处理个人数据，必须签订正式数据处理协议，明确处理范围、对象、目的、性质、数据类型及对应数据主体类别，厘清双方权利义务；协议还需约定处理者底线义务，如合约终止后删除或移交数据、配合审计核查等。同时参照 GDPR 监管逻辑，要求数据控制者与处理者均完整留存数据处理活动记录。

数据保护影响评估（DPIA）：企业开展数采及数据处理前，需结合业务性质、覆盖范围与商业目的，全面评估对个人隐私的潜在风险，应用高风险新技术时更需审慎管控。两类场景强制开展评估：一是依托自动化处理及用户画像，对个人进行系统性全面评估且会产生法律或重大权益影响；二是大规模处理敏感个人信息。

跨境传输：PDPL 搭建了完整数据跨境传输框架，原则上仅允许向具备同等数据保护水平的境外国家传输个人数据，目前阿联酋尚未发布保护充分性白名单；暂无白名单依据时，满足法定例外亦可跨境，包括双方签订合规保障协议、数据主体明示同意、为订立履行合同必要传输、履行法定权责与司法程序、维护公共利益必需场景等。

在实践中，PDPL 对违规行为设有制度性措施，如限制数据处理或公开违规摘要，这些措施足以对项目运营产生实际影响。因此，合规不仅是法律要求，更是智能驾驶道路数采项目能够持续、稳定、高效落地的基础。

在阿联酋开展智能驾驶道路数采，首先要明确一个容易被忽视的问题：改装车能够上路，和车辆能够开展道路数采，并不是同一件事。

智能驾驶数采车已经不仅是普通测试车。为了满足道路环境采集、算法训练、本地化标定和场景验证需求，车辆通常需要加装前视、侧视、后视摄像头，激光雷达（LiDAR）、全球导航卫星系统（GNSS）/惯性测量单元（IMU）组合天线，以及工控机、数据记录仪、路由器、交换机、电源管理系统和存储设备等。这类车辆本质上已经从普通测试车，变成高度集成的移动数据采集平台。

因此，项目落地的第一步，是确保改装车具备合法上路资质。在此过程中，我们不仅完成了车辆改装和设备安装，还在现场与当地交通部门官员进行了交流，向他们展示了改装车和数据采集设备的具体配置与运行情况，从而获得必要的认可和支持。

但改装车具备上路条件，并不意味着可以直接开展数据采集。第二步是取得数采许可，确保车辆能够在当地道路上合法开展特定的数据采集活动。这通常涉及采集目的、采集区域、采集路线、采集设备、采集数据类型、现场执行安排，以及与当地监管部门的沟通备案。

换句话说，改装车上路资质解决的是“车辆能否合法行驶”，数采许可解决的是“车辆能否合法采集”。两者有先后关系，也有不同的监管关注点，不能混为一谈。这也是阿联酋道路数采项目与普通海外道路测试的最大不同。普通测试更多关注车辆性能、耐久、高温适应性和整车运行表现；而智能驾驶数采项目，则既要保证车辆具备公开道路运行条件，也要让采集行为本身具备可解释、可管理、可追溯的合规基础。一旦改装车辆加装设备后无合规上路资质、未提前官方报备，即便全程没有实际采集任何数据，只要驶入公共道路，也极易被市民举报或被执法监管现场查处，面临扣车、相关人员问询，甚至被以电信违法、涉密安全、涉嫌间谍活动等名义从严定性处置。一旦事发，涉事车辆、车辆挂靠法人、现场司机及随行工程师都会被纳入调查管控，直接面临限制出境措施；参照当地政府办案流程与调查效率，核查周期动辄以 3 个月起步，不仅造成车辆长期被扣、人员行动受限，还会直接打乱项目排期、停滞现场作业，严重拖累整体项目进度与海外业务正常开展。

因此，对于中国车企来说，阿联酋道路数采项目不能只关注车辆、设备、司机和路线是否准备就绪。真正影响项目能否稳定落地的，是能否按照当地规则，将“车辆合法上路”和“项目合规数采”两个前置条件分别落实到位。只有这样，后续的数据采集、数据处理和跨境回传才能顺利开展，并形成可执行的落地方案。

从数据采集到跨境回传：阿联酋道路数采的三条合规控制线

在改装车上路资质和数采许可完成后，项目进入数据合规闭环阶段。智能驾驶道路数采在真实道路环境中采集的数据类型复杂：摄像头可能记录行人、骑行者、车牌及道路周边设施；激光雷达（LiDAR）记录道路参与者和空间信息；GNSS / IMU 形成车辆轨迹；工控机和数据记录设备保存时间、位置、路线、速度及事件片段。这些数据只要可能直接或间接识别个人，就属于个人数据，需要纳入阿联酋 PDPL（Personal Data Protection Law）监管范围。

为了形成数据合规闭环，通常需要三条控制线同时运行：

第一条线：DPO（Data Protection Officer，数据保护官）

DPO 是项目中负责数据合规的专责角色，明确数据采集、存储、访问和使用的责任主体，并在现场遇到监管部门、客户法务或执法人员询问时提供解释和支持。

第二条线：DPIA（Data Protection Impact Assessment，数据保护影响评估）

DPIA 是采集前的风险评估，明确采集目的、范围及可能涉及的个人数据类型，制定脱敏、加密及访问控制措施，确保采集方案在启动前具备安全性和合规性。

第三条线：SSI（Security Self-Inspection，跨境传输安全自评）及回传方案

当采集数据需要回传至中国或其他国家服务器时，SSI 评估跨境传输合规性，包括传输目的、接收方、保护措施、加密方式、保存与删除机制及责任分工。回传方案明确数据流向和安全保障，使数据从采集到回传可控。

在整个流程中，数据脱敏和加密措施与访问管理相结合：对可能识别个人的图像、视频、车牌和位置轨迹进行匿名化处理，对存储和传输环节进行加密，并严格管理访问权限，确保数据不会被无关人员接触或超出原定用途使用。

通过这三条控制线与脱敏、回传措施的协同，阿联酋道路数采形成了完整的数据合规闭环：从采集、存储、脱敏、跨境回传，到最终使用和归档，每一步都可追溯、可控制、可管理。对中国车企而言，只有建立这样的闭环，采集数据才能合法、合规、安全地服务于算法训练、本地化标定和海外智能驾驶系统优化。

助力阿联酋道路数采：浙江埃科提供全流程落地方案

今年，浙江埃科成功在阿联酋获得改装车上路资质和道路数据采集许可。开展智能驾驶道路数据采集，需要以完备资质为前提，并建立数据合规闭环的全流程管理体系。浙江埃科长期在阿联酋开展智能驾驶相关道路测试与技术服务，积累了丰富的本地化项目实践经验。

依托已取得的改装车上路资质和道路数采许可，浙江埃科能够为客户提供车辆改装方案评估、设备安装与安全方案设计、道路通行协调及现场管理支持。每辆改装车均合法持证，并完成保险备案，可在规定道路、时间和场景内安全运行。同时，凭借与当地知名律所的合作，可为客户提供智能驾驶道路数采全流程解决方案，覆盖数据采集与管理全环节，确保项目在当地合法、安全、高效落地。