我國《個人信息保護法》于2021年11月1日起施行。法律明確了個人信息處理活動中的權(quán)利義務(wù)邊界，以“告知—同意”為核心原則對平臺進行個人信息處理予以規(guī)范。

為了解企業(yè)在個人信息保護方面的落實情況，南方財經(jīng)合規(guī)科技研究院基于《個人信息保護法》與《App違法違規(guī)收集使用個人信息行為認定方法》的相關(guān)條款，對平臺的個人信息保護合規(guī)進行系列測評。測評含告知、撤回同意、第三方處理者單獨告知、個性化推薦、敏感個人信息、未成年人個人信息、數(shù)據(jù)可攜帶權(quán)、信息控制權(quán)、個人保護信息負責人這9大方面共20個測評項，測評總分為100分。

結(jié)合用戶量與功能差異等因素，測評選取了20款出行旅行類（含貨運）APP進行個人信息保護合規(guī)實測。測評結(jié)果顯示，騰訊地圖APP得分在80分以上，實現(xiàn)了對個人信息高等級的保護；哈啰出行、途牛旅游、花小豬打車、飛豬旅行、高德地圖等14款A(yù)PP得分在60分至80分，個人信息保護處于中等；首汽約車、嘀嗒出行、貨拉拉、如祺出行得分不足60分，對用戶個人信息的保護還需加強。

撤回同意、個性化推薦、數(shù)據(jù)可攜帶權(quán)、第三方處理者單獨告知，成為平臺的高頻合規(guī)問題。對于用戶授權(quán)的個人信息處理，14款A(yù)PP無法直接撤回同意；攜程旅行、美團打車、貨拉拉等8款A(yù)PP未對個性化廣告和內(nèi)容推薦的關(guān)閉明確區(qū)分，或未提供個性化推薦關(guān)閉按鈕；第三方SDK同是合規(guī)重災(zāi)區(qū)，19款第三方SDK未告知處理方式，僅1款獲取用戶的單獨同意；數(shù)據(jù)可攜帶權(quán)的實現(xiàn)也不盡如人意，10款實現(xiàn)個人信息“復制權(quán)”，無APP明示提供個人信息轉(zhuǎn)移服務(wù)。

（注：因滴滴出行APP尚未在應(yīng)用商店上架，測評版本為iOS系統(tǒng)的6.2.4版本）

20款出行旅行類APP合規(guī)測評（制圖：張曉鳳）

撤回同意權(quán)難實現(xiàn)，僅6款可應(yīng)用內(nèi)關(guān)閉

撤回同意權(quán)已成為全球個人信息保護立法的趨勢與共識，《個人信息保護法》中也對此進行了回應(yīng)。第十五條規(guī)定，基于個人同意處理個人信息的，個人有權(quán)撤回其同意。個人信息處理者應(yīng)當提供便捷的撤回同意的方式。 

此次測評對撤回同意聚焦于APP內(nèi)是否提供了用戶自主撤回同意的相關(guān)功能選項。測評發(fā)現(xiàn)，20款出行類APP中，僅騰訊地圖、途牛旅游、高德地圖、美團打車、花小豬打車、百度地圖等6款能夠在APP內(nèi)或跳轉(zhuǎn)至手機系統(tǒng)設(shè)置對相關(guān)授權(quán)撤回同意，其他14款無相關(guān)按鈕，需直接在手機設(shè)備中自行關(guān)閉。

途牛旅游可實現(xiàn)用戶授權(quán)的撤回同意

撤回同意的便捷性值得關(guān)注。《個人信息保護法》二審稿中對撤回同意增加“便捷”的要求，與歐盟《通用數(shù)據(jù)保護條例》（GDPR）“撤回同意應(yīng)當和表示同意一樣簡單”的宗旨以及《個人信息安全規(guī)范》等相關(guān)規(guī)定相呼應(yīng)。 

參照國家網(wǎng)信辦、工信部、公安部、市場監(jiān)管總局2019年11月聯(lián)合制定的《App違法違規(guī)收集使用個人信息行為認定方法》中，關(guān)于“隱私政策等收集使用規(guī)則難以訪問，如進入App主界面后，需多于4次點擊等操作才能訪問到”的規(guī)定，測評將打開APP后如經(jīng)過4次點擊仍無法關(guān)閉相關(guān)授權(quán)，視為不便捷。

測評結(jié)果顯示，20款出行類APP在提供應(yīng)用內(nèi)部關(guān)閉授權(quán)或跳轉(zhuǎn)系統(tǒng)關(guān)閉授權(quán)的6款A(yù)PP中，撤回同意功能均不便捷。以途牛旅游的撤回定位授權(quán)為例，需通過“我-設(shè)置-關(guān)于-隱私權(quán)限設(shè)置-開啟地圖定位設(shè)置-權(quán)限管理-定位”路徑進行7次操作。

8款未區(qū)分關(guān)閉個性化推薦，僅7款可便捷關(guān)閉

《個人信息保護法》從一審稿到成文，在不斷強化對自動化決策的規(guī)制。第二十四條要求，通過自動化決策方式向個人進行信息推送、商業(yè)營銷，應(yīng)當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。通過自動化決策方式作出對個人權(quán)益有重大影響的決定，個人有權(quán)要求個人信息處理者予以說明，并有權(quán)拒絕個人信息處理者僅通過自動化決策的方式作出決定。

對于出行類應(yīng)用而言，收集用戶的瀏覽記錄、搜索記錄、地理位置等進行算法的自動化決策機制分析形成間接用戶畫像，用以為用戶提供更具有個性化需求的內(nèi)容或廣告服務(wù)。

針對個性化推薦，平臺是否設(shè)置了關(guān)閉個性化內(nèi)容推薦及個性化廣告推薦的功能、是否提供便捷的拒絕方式、關(guān)閉個性化推薦后是否會影響產(chǎn)品使用，這三項內(nèi)容成為合規(guī)焦點。

多款A(yù)PP在隱私政策中都同時提及提供個性化內(nèi)容和廣告推薦服務(wù)。測評發(fā)現(xiàn)，僅飛豬旅行、高德地圖、滴滴出行、哈啰單車、騰訊地圖、神州專車、嘀嗒出行、途牛旅游、百度地圖、花小豬打車、智行火車票和同程旅行12款A(yù)PP在提供相應(yīng)的個性化推薦時，分別設(shè)置了關(guān)閉按鈕。

其中，百度地圖和花小豬打車的個性化推薦分類明確，按鈕數(shù)量多，用戶能有針對性地關(guān)閉功能。百度地圖個性化按鈕齊全，按照各種功能分布：有程序化廣告設(shè)置關(guān)閉按鈕，首頁智能推薦設(shè)置（允許展示首頁個性化推薦），個性化推薦設(shè)置分為周邊個性化內(nèi)容設(shè)置、出行助手智能推薦設(shè)置、公共交通個性化方案設(shè)置、智行個性化出行設(shè)置、搜索個性化推薦設(shè)置，針對不同個性化，可逐一關(guān)閉?；ㄐ∝i打車的個性化推薦按鈕分類詳細，有出行建議（常用上下車點）、出行車型推薦、個性化消息推送，可逐一關(guān)閉。

花小豬打車的個性化推薦管理頁面

T3出行、去哪兒旅行、首汽約車、曹操出行、美團打車、如祺出行、攜程旅行、貨拉拉等8款A(yù)PP在功能設(shè)置上未對關(guān)閉個性化廣告推薦和關(guān)閉個性化內(nèi)容推薦進行明確區(qū)分，或未提供個性化推薦關(guān)閉按鈕。

以攜程旅行為例，隱私政策在“限制自動化決策”部分提到，用戶在APP登錄后可通過“我的-設(shè)置-新消息通知與推薦設(shè)置”路徑對個性化推送進行關(guān)閉。但用戶如未在系統(tǒng)設(shè)置中開啟攜程旅行的“通知”功能，則無法在APP內(nèi)對個性化推薦進行管理。開啟“通知”后，攜程旅行APP頁面方顯示“新消息通知與推薦設(shè)置”選項，可點擊進入對個人喜好的推薦消息關(guān)閉或開啟，APP未對個性化消息和個性化廣告推薦的關(guān)閉進行區(qū)分。

在“是否提供便捷的拒絕方式”上，測評同樣參照《App違法違規(guī)收集使用個人信息行為認定方法》，打開APP后如經(jīng)過4次點擊仍無法關(guān)閉個性化推薦，則視為不便捷。

結(jié)果顯示，20款A(yù)PP中僅7款A(yù)PP在所提供的個性化推薦上完全實現(xiàn)了不超過4次點擊即可關(guān)閉，包括哈啰出行、騰訊地圖、神州專車、首汽約車、去哪兒旅行、T3出行、飛豬旅行。

10款實現(xiàn)個人信息“復制權(quán)”，無APP提供個人信息轉(zhuǎn)移服務(wù)

數(shù)據(jù)可攜帶權(quán)是《個人信息保護法》三審新增的一項權(quán)利。第四十五條規(guī)定：“個人有權(quán)向個人信息處理者查閱、復制其個人信息；有本法第十八條第一款、第三十五條規(guī)定情形的除外?！?/p>

可攜帶權(quán)分為兩個維度：其一，個人請求查閱、復制其個人信息的，個人信息處理者應(yīng)當及時提供，即個人可獲得個人信息副本；其二，個人請求將個人信息轉(zhuǎn)移至其指定的個人信息處理者，符合國家網(wǎng)信部門規(guī)定條件的，個人信息處理者應(yīng)當提供轉(zhuǎn)移的途徑。

測評發(fā)現(xiàn)，10款A(yù)PP未明確提及可提供個人信息復制服務(wù)，僅去哪兒旅行、貨拉拉、花小豬打車、同程旅行、哈啰出行、騰訊地圖、途牛旅游、攜程旅行、滴滴出行、美團打車等10款A(yù)PP為用戶提供了對其個人信息的“復制權(quán)”。獲取的便捷程度有所區(qū)別，一般可通過功能按鍵自主或通過郵件、電話等方式可獲得個人信息的副本。

美團打車可提供個人信息下載服務(wù)

其中，花小豬打車APP內(nèi)可導出的信息副本分為信息副本（不含金融業(yè)務(wù)）和金融信息副本，用戶可以在個人信息管理中心自行導出信息副本。不含金融業(yè)務(wù)的信息副本導出將于24小時內(nèi)完成導出，結(jié)果將發(fā)送至用戶個人郵箱，每日限提交一次。金融信息副本導出需要認證用戶身份證號。

但可攜帶權(quán)的另一維度——個人信息的轉(zhuǎn)移服務(wù)，執(zhí)行的情況則不容樂觀，僅攜程旅行、曹操出行2款A(yù)PP在隱私政策中提到為用戶提供將個人信息轉(zhuǎn)移的服務(wù)。例如，曹操出行的隱私政策在用戶權(quán)利中包含“轉(zhuǎn)移個人信息”，在法律法規(guī)許可且技術(shù)可行的前提下，例如數(shù)據(jù)接口匹配，曹操出行可將用戶個人信息傳輸給其指定的第三方。

19款第三方SDK未告知處理方式，僅1款獲單獨同意

《個人信息保護法》第二十三條規(guī)定，個人信息處理者向其他個人信息處理者提供其處理的個人信息的，應(yīng)當向個人告知接收方的名稱或者姓名、聯(lián)系方式、處理目的、處理方式和個人信息的種類，并取得個人的單獨同意。接收方應(yīng)當在上述處理目的、處理方式和個人信息的種類等范圍內(nèi)處理個人信息。

APP內(nèi)通常會接入多個SDK（軟件開發(fā)工具包），利用SDK技術(shù)為用戶提供多樣化的服務(wù)。目前，所測20款電商類APP都在隱私政策中明示了接入相關(guān)合作方SDK的目錄，但因詳細度不同而存在一定合規(guī)問題。依據(jù)法律要求，APP應(yīng)向個人告知第三方的“名稱或者姓名、聯(lián)系方式、處理目的、處理方式和個人信息的種類”。

測評發(fā)現(xiàn)，大多數(shù)APP告知了第三方的名稱或者姓名、個人信息的種類、處理目的，以及第三方的隱私政策鏈接。除騰訊地圖外，其他19款A(yù)PP對處理方式均未明確告知。

騰訊地圖首頁彈窗第三方信息收集的告知

針對“取得個人的單獨同意”，僅騰訊地圖在首次下載APP后的授權(quán)同意彈窗中，包含第三方SDK列表的鏈接。多款A(yù)PP雖在首次彈窗中提到“未經(jīng)您的授權(quán)同意，我們不會將上述信息共享給第三方或用于您未授權(quán)的其他用途”，但第三方SDK的詳細信息需要APP內(nèi)的隱私管理中查閱。

南財合規(guī)建議

1、對于相機、位置信息、麥克風等授權(quán)的撤回同意，APP內(nèi)可設(shè)權(quán)限管理專區(qū)，并明確在何種場景下使用及用以哪些目的等。為實現(xiàn)便捷性的要求，關(guān)閉授權(quán)的點擊步驟不應(yīng)超過４次，建議在應(yīng)用內(nèi)可直接關(guān)閉。

2、部分APP的個性化推薦管理雖然較為全面，但僅能從隱私政策內(nèi)點擊進入，從用戶的操作體驗來說并不便捷，建議在設(shè)置頁面的顯著位置明確提供相應(yīng)個性化推薦的關(guān)閉選項，操作步驟不應(yīng)超過4次。

3、第三方單獨告知問題方面，目前大多數(shù)APP提供了第三方SDK信息收集的單獨列表，應(yīng)對當前未落實的聯(lián)系方式、處理方式進行明確告知。在取得個人的單獨同意上，可在首次開啟APP的彈窗中設(shè)計。

4、對于用戶的個人信息可攜帶權(quán)，APP應(yīng)在隱私政策明確列明《個人信息保護法》中賦予用戶的權(quán)利，并提供實現(xiàn)路徑。企業(yè)應(yīng)為此提供專門的聯(lián)系方式獲取或在APP內(nèi)設(shè)計直接獲取導出按鈕。

5、因出行類APP與用戶人身安全密切相關(guān)，多家企業(yè)在運營時采取了錄音錄像功能。出于對公共安全的考慮并平衡司乘雙方的權(quán)益，APP應(yīng)設(shè)有專門的錄音錄像信息收集及隱私保護協(xié)議，更詳細地告知用戶相關(guān)信息的授權(quán)情況，并在采集申請授權(quán)的同時，獲得用戶的單獨同意。

6、由于《個人信息保護法》11月1日生效，不少應(yīng)用在前后時間節(jié)點更新了隱私政策，完善了對用戶個人信息的規(guī)定與表述。但部分APP在產(chǎn)品設(shè)計功能上，并未與隱私政策的內(nèi)容同步更新，建議企業(yè)及時排查并落實產(chǎn)品設(shè)計的個人信息保護相關(guān)功能。

測評補充說明

測評時間：11月11日至12日

APP所測版本（括號內(nèi)為隱私政策更新或生效時間）：

IOS版：滴滴出行6.2.4（2021.7.8），攜程旅行8.41.6（2021.11.4），高德地圖11.11.1.2639（2021.10.30），如祺出行2.15.0（2021.8.5），曹操出行5.2.6（2021.11.5），美團打車2.7.0（2021.10.31），飛豬旅行9.9.4（2021.11.5），去哪兒旅行5.0.21（2021.10.29），百度地圖15.10.1（2021.10.31），貨拉拉6.5.85（2021.11.15），T3出行2.1.26（2021.10.11）、花小豬打車1.3.18（2021.11.8）、智行火車票9.8.0（2021.10.3），同程旅行10.2.2.0（2021.11.5）

Android版：哈啰出行6.2.1（2021.6.28），騰訊地圖9.16.2.1251.1（2021.11.1），神州專車7.0.7_135_35（2021.8.31），嘀嗒出行8.16.2（2021.10.16），途牛旅游10.58.2（2021.9.26），首汽約車9.1.5（2021.8.23）

出品：南方財經(jīng)全媒體集團合規(guī)科技研究院

統(tǒng)籌：曹金良

研究員：張雅婷，李潤澤子，郭美婷