來源：21世紀經濟報道
我國《個人信息保護法》于2021年11月1日起施行。法律明確了個人信息處理活動中的權利義務邊界，以“告知—同意”為核心原則對平臺進行個人信息處理予以規(guī)范。
為了解企業(yè)在個人信息保護方面的落實情況，南方財經合規(guī)科技研究院基于《個人信息保護法》與《App違法違規(guī)收集使用個人信息行為認定方法》的相關條款，對平臺的個人信息保護合規(guī)進行系列測評。測評含告知、撤回同意、第三方處理者單獨告知、個性化推薦、敏感個人信息、未成年人個人信息、數(shù)據(jù)可攜帶權、信息控制權、個人保護信息負責人這9大方面共20個測評項，測評總分為100分。
結合用戶量與功能差異等因素，測評選取了20款社交咨詢類APP進行個人信息保護合規(guī)實測。測評結果顯示，今日頭條、QQ、微信、Soul等4款APP得分在80分以上，微博、陌陌、探探、知乎、小紅書等14款APP得分在60分至80分，世紀佳緣、Taptap得分最低，不足60分。
撤回同意、個性化推薦、數(shù)據(jù)可攜帶權、第三方處理者單獨告知，成為平臺的高頻合規(guī)問題。半數(shù)APP無法直接撤回同意，18款APP撤回同意不便捷，如百度、QQ需要跳轉6次方可最終關閉授權。僅有4款APP可便捷地關閉個性化推薦，個性化廣告關閉難。第三方SDK同是合規(guī)重災區(qū)，15款第三方SDK未告知處理方式，僅3款獲取用戶的單獨同意。數(shù)據(jù)可攜帶權的實現(xiàn)也不盡如人意，近一半APP未提可獲取個人信息副本，僅有6款明示可提供個人信息的轉移服務。
20款社交資訊類APP個人信息保護合規(guī)測評。制圖：張曉鳳
一半APP無法應用內撤回同意，QQ、百度等撤回不便捷
撤回同意權已成為全球個人信息保護立法的趨勢與共識，《個人信息保護法》中也對此進行了回應。第十五條規(guī)定，基于個人同意處理個人信息的，個人有權撤回其同意。個人信息處理者應當提供便捷的撤回同意的方式。
此次測評對撤回同意聚焦于APP內是否提供了用戶自主撤回同意的相關功能選項。測評發(fā)現(xiàn)，20款社交資訊類APP中有10款無法在應用內或通過APP直接跳轉至系統(tǒng)設置關閉授權。在提供應用內部關閉授權或跳轉系統(tǒng)關閉授權的APP中，僅有今日頭條、虎撲操作便捷，步驟簡單。
多款APP獲取用戶權限時，會有單獨彈窗提示，但關閉授權卻需要用戶自行前往手機設置中操作。例如，在小紅書APP使用拍照或相冊功能時，頁面會彈窗提示“去開啟相冊權限”，用戶可選擇“拒絕”或“去開啟”的選項，如點擊“去開啟”會自動跳轉至手機系統(tǒng)設置，讓用戶選擇是否允許小紅書訪問。但小紅書APP中卻沒有關閉授權的功能按鈕，如需關閉授權，用戶只能自行打開手機系統(tǒng)設置關閉。
除小紅書外，QQ空間、豆瓣、網(wǎng)易LOFTER等也無法在APP內找到撤回此前同意權限的按鈕，只能在手機設備的設置中關閉。積目的撤回同意在Android系統(tǒng)與iOS系統(tǒng)設置不一，在iOS系統(tǒng)中，可以通過應用“推送通知管理”跳轉至手機系統(tǒng)關閉授權，但在Android系統(tǒng)中無法實現(xiàn)。
符合規(guī)定的知乎、Soul、百度、QQ等10款APP，則在“設置”頁面提供了“隱私中心”或“隱私設置”等專區(qū)，內含“應用權限”或“撤回授權”等選項。
知乎“撤回授權”頁面。
《個人信息保護法》二審稿中對撤回同意增加“便捷”的要求，與歐盟《通用數(shù)據(jù)保護條例》GDPR“撤回同意應當和表示同意一樣簡單”的宗旨以及《個人信息安全規(guī)范》等相關規(guī)定相呼應。
測評參照國家網(wǎng)信辦、工信部、公安部、市場監(jiān)管總局2019年11月聯(lián)合制定的《App違法違規(guī)收集使用個人信息行為認定方法》中，關于“隱私政策等收集使用規(guī)則難以訪問，如進入App主界面后，需多于4次點擊等操作才能訪問到”的規(guī)定，將打開APP后如經過4次點擊仍無法關閉相關授權，視為不便捷。
撤回同意方式便捷程度也值得關注。測評發(fā)現(xiàn)，18款APP在應用內關閉授權或跳轉系統(tǒng)關閉授權的APP操作繁瑣，并不便捷。以百度為例，在應用內通過點擊“我的-設置-隱私設置-應用權限說明-前往應用權限設置”這5個按鈕后，將自動跳轉至手機系統(tǒng)設置頁面供用戶選擇是否關閉麥克風、相機等相關權限，整個撤回同意的步驟需要6次。QQ的情況類似，參考其隱私政策的提示，需點擊6次方可進入APP內的“授權管理”功能，但實際體驗發(fā)現(xiàn)需要點擊更多次才能真正關閉相關授權。
脈脈、世紀佳緣無關閉個性化廣告功能，僅4款可便捷關閉
算法是互聯(lián)網(wǎng)平臺處理海量用戶數(shù)據(jù)、繪制用戶畫像、精準定價與個性化推送的“生產工具”，已成為平臺運行的核心動力?！秱€人信息保護法》從一審稿到成文，在不斷強化對自動化決策的規(guī)制。
《個人信息保護法》第二十四條要求，通過自動化決策方式向個人進行信息推送、商業(yè)營銷，應當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。通過自動化決策方式作出對個人權益有重大影響的決定，個人有權要求個人信息處理者予以說明，并有權拒絕個人信息處理者僅通過自動化決策的方式作出決定。
對于社交平臺，個性化推薦常被用于社區(qū)及交友等板塊，平臺通過收集用戶各類信息通過算法等自動化決策機制分析形成間接用戶畫像，用以為用戶提供更具有個性化需求的內容或廣告服務。
針對個性化推薦問題，平臺是否設置了關閉個性化內容推薦及個性化廣告推薦的功能、是否提供便捷的拒絕方式、關閉個性化推薦后是否會影響產品使用，這三項內容成為合規(guī)焦點。
小紅書的個性化內容與廣告推薦可關閉。
多款APP在隱私政策中都同時提及提供個性化內容和廣告推薦服務。測評顯示，世紀佳緣、Taptap在提供這兩項推薦的情況下，均未設置關閉個性化推薦的按鍵；脈脈可以關閉個性化內容推薦，但無法關閉個性化廣告推薦。
在“是否提供便捷的拒絕方式”上，測評同樣參照《App違法違規(guī)收集使用個人信息行為認定方法》，打開APP后如經過4次點擊仍無法關閉個性化推薦，則視為不便捷。
結果顯示，20款APP中僅4款APP在所提供的個性化推薦上完全實現(xiàn)了不超過4次點擊即可關閉，包括微博、探探、天涯社區(qū)、脈脈。其它應用的個性化推薦關閉操作則較為繁瑣。以QQ空間為例，關閉個性化廣告推薦需跳轉多次，具體步驟為“我的-設置-關于空間-隱私政策-廣告-關于廣告-關閉個性化推薦廣告”。
多款APP在隱私政策中提及，關閉個性化推薦僅會降低推送內容或廣告的相關度，并不會影響其他功能使用。
8款APP未提個人信息副本可獲取，僅6款提供個人信息轉移
數(shù)據(jù)可攜帶權是《個人信息保護法》三審新增的一項權利。第四十五條規(guī)定：“個人有權向個人信息處理者查閱、復制其個人信息;有本法第十八條第一款、第三十五條規(guī)定情形的除外。”
可攜帶權分為兩個維度：其一，個人請求查閱、復制其個人信息的，個人信息處理者應當及時提供，即個人可獲得個人信息副本;其二，個人請求將個人信息轉移至其指定的個人信息處理者，符合國家網(wǎng)信部門規(guī)定條件的，個人信息處理者應當提供轉移的途徑。
測評發(fā)現(xiàn)，多數(shù)APP在隱私政策中明確了用戶對其個人信息的“復制權”。知乎、小紅書、Soul、QQ、微博及網(wǎng)易LOFTER在隱私政策提到可獲取個人信息副本，陌陌、探探等則在隱私政策中明確了用戶可復制其個人信息。百度、脈脈、Taptap等8款APP則未在隱私政策中提及用戶可獲取個人信息副本。
盡管多個APP明確個人信息副本的獲取權利，但執(zhí)行情況各有差異。有些APP界面開發(fā)了專門的按鍵，可供用戶直接復制個人信息。例如，微信的交互界面設計了專門獲取個人信息副本的按鍵“個人信息瀏覽與導出”;知乎在《個人信息保護指引》中“獲取您的個人信息副本”部分顯示，用戶可在“我的-設置-隱私中心-個人信息下載”頁面聯(lián)系“知乎小管家”后申請下載知乎已收集的用戶個人信息;豆瓣則要求用戶提出書面請求，并可能會要求用戶驗證身份之后才為其提供個人信息副本，平臺將在15個工作日內做出答復。與之做法類似的還有網(wǎng)易LOFTER，平臺要求用戶聯(lián)系APP相關負責人，平臺在核實用戶身份后提供個人信息副本。
微信提供個人信息瀏覽與導出服務
但可攜帶權的另一維度——個人信息的轉移服務，執(zhí)行的情況則不容樂觀，僅有微信、豆瓣、知乎、小紅書、Soul、虎撲這6款APP在隱私政策中提到為用戶提供將個人信息轉移的服務。
以小紅書為例，在隱私政策的“您如何管理您的個人信息”章節(jié)提到“附條件的個人信息轉移權”，如用戶需要將個人信息轉移至其他平臺、企業(yè)或組織可以聯(lián)系小紅書，小紅書會對用戶的請求進行審核，在符合網(wǎng)信部門規(guī)定的條件下，小紅書將提供轉移相應個人信息的途徑。豆瓣也在隱私政策中提出，其將響應用戶請求，在符合國家網(wǎng)信部門規(guī)定的條件的情況下，將用戶個人信息轉移至指定的個人信息處理者。
值得一提的是，在“數(shù)據(jù)可攜帶權”方面執(zhí)行欠佳的APP，多數(shù)的隱私政策也尚未根據(jù)《個人信息保護法》出臺進行更新，例如Taptap、脈脈這兩個APP隱私政策最新版本的更新時間依舊停留在今年1月26日、8月30日。
15款第三方SDK未告知處理方式，僅3款獲取單獨同意
《個人信息保護法》第二十三條規(guī)定，個人信息處理者向其他個人信息處理者提供其處理的個人信息的，應當向個人告知接收方的名稱或者姓名、聯(lián)系方式、處理目的、處理方式和個人信息的種類，并取得個人的單獨同意。接收方應當在上述處理目的、處理方式和個人信息的種類等范圍內處理個人信息。
APP內通常會接入多個SDK(軟件開發(fā)工具包)，利用SDK技術為用戶提供多樣化的服務。目前，所測20款社交資訊類APP都在隱私政策中明示了接入相關合作方SDK的目錄，但因詳細度不同而存在一定合規(guī)問題。
依據(jù)法律要求，APP應向個人告知第三方的“名稱或者姓名、聯(lián)系方式、處理目的、處理方式和個人信息的種類”。測評發(fā)現(xiàn)，15款APP都未明確第三方SDK對個人信息的處理方式，包括網(wǎng)易LOFTER、天涯社區(qū)、虎撲、小紅書、百度、百度貼吧、探探、今日頭條、豆瓣、陌陌、微信、微博、世紀佳緣、Taptap和脈脈等。
針對“取得個人的單獨同意”，多款APP亦未實現(xiàn)?；涞炔糠諥PP在彈窗中雖提及了“我們的產品介入的第三方SDK的相關信息”，但未提供更多詳情或相關鏈接。僅有微信、QQ、Taptap3款APP在首次下載應用后彈窗中顯示了第三方SDK或信息共享鏈接。
《QQ第三方信息共享清單》彈窗。
例如，下載QQ后的彈出的用戶協(xié)議及隱私政策概要中，有第三方信息共享清單的鏈接：“未經你的授權同意，我們不會主動向任何第三方共享你的個人信息，你可以通過《QQ第三方信息共享清單》了解本軟件接入的第三方SDK服務商”，微信中亦有類似設置。Taptap則直接在首次打開APP的彈窗中呈現(xiàn)整篇隱私政策，第三方SDK的相關信息即在其中。
測評補充說明
測評時間：11月2日至4日
APP所測版本(括號內為隱私政策更新或生效時間)：
IOS版：QQ8.8.38.705(2021.10.29)、LOFTER6.19.0(2021.9.29)、QQ空間8.7.5、天涯社區(qū)7.1.5(2021.5.31)、虎撲7.5.53(2021.9.30)、微信8.0.16(2021.10.29)、微博11.11.0(2021.11.1)、脈脈6.1.28(2021.8.30)、Taptap1.1.17.3(2021.1.26)、世紀佳緣9.2.2(2021.11.2)、知乎7.34.0(2021.10.29)、百度貼吧12.21.1(2021.8.11)、百度12.27.0.12(2021.3.1)、小紅書7.14(2021.10.25)、Soul4.5.0(2021.10.29)
Android版：豆瓣7.16.0(2021.11.1)、探探4.8.8.2(2021.11.3)、陌陌9.1.1.1(2021-10-25)、今日頭條8.4.8(2021.11.1)、積目5.0.30(2021.8.5)
出品：南方財經全媒體集團合規(guī)科技研究院
統(tǒng)籌：曹金良
研究員：張雅婷，黃婉儀，郭美婷，李潤澤子
(作者：張雅婷,黃婉儀,郭美婷,李潤澤子 編輯：曹金良)
（免責聲明：本網(wǎng)站內容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準確性及可靠性，但不保證有關資料的準確性及可靠性，讀者在使用前請進一步核實，并對任何自主決定的行為負責。本網(wǎng)站對有關資料所引致的錯誤、不確或遺漏，概不負任何法律責任。
任何單位或個人認為本網(wǎng)站中的網(wǎng)頁或鏈接內容可能涉嫌侵犯其知識產權或存在不實內容時，應及時向本網(wǎng)站提出書面權利通知或不實情況說明，并提供身份證明、權屬證明及詳細侵權或不實情況證明。本網(wǎng)站在收到上述法律文件后，將會依法盡快聯(lián)系相關文章源頭核實，溝通刪除相關內容或斷開相關鏈接。 ）
