我國(guó)《個(gè)人信息保護(hù)法》于2021年11月1日起施行。法律明確了個(gè)人信息處理活動(dòng)中的權(quán)利義務(wù)邊界，以“告知—同意”為核心原則對(duì)平臺(tái)進(jìn)行個(gè)人信息處理予以規(guī)范。

為了解企業(yè)在個(gè)人信息保護(hù)方面的落實(shí)情況，南方財(cái)經(jīng)合規(guī)科技研究院基于《個(gè)人信息保護(hù)法》與《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》的相關(guān)條款，對(duì)平臺(tái)的個(gè)人信息保護(hù)合規(guī)進(jìn)行系列測(cè)評(píng)。測(cè)評(píng)含告知、撤回同意、第三方處理者單獨(dú)告知、個(gè)性化推薦、敏感個(gè)人信息、未成年人個(gè)人信息、數(shù)據(jù)可攜帶權(quán)、信息控制權(quán)、個(gè)人保護(hù)信息負(fù)責(zé)人這9大方面共20個(gè)測(cè)評(píng)項(xiàng)，測(cè)評(píng)總分為100分。

結(jié)合用戶量與功能差異等因素，測(cè)評(píng)選取了20款出行旅行類（含貨運(yùn)）APP進(jìn)行個(gè)人信息保護(hù)合規(guī)實(shí)測(cè)。測(cè)評(píng)結(jié)果顯示，騰訊地圖APP得分在80分以上，實(shí)現(xiàn)了對(duì)個(gè)人信息高等級(jí)的保護(hù)；哈啰出行、途牛旅游、花小豬打車、飛豬旅行、高德地圖等14款A(yù)PP得分在60分至80分，個(gè)人信息保護(hù)處于中等；首汽約車、嘀嗒出行、貨拉拉、如祺出行得分不足60分，對(duì)用戶個(gè)人信息的保護(hù)還需加強(qiáng)。

撤回同意、個(gè)性化推薦、數(shù)據(jù)可攜帶權(quán)、第三方處理者單獨(dú)告知，成為平臺(tái)的高頻合規(guī)問題。對(duì)于用戶授權(quán)的個(gè)人信息處理，14款A(yù)PP無法直接撤回同意；攜程旅行、美團(tuán)打車、貨拉拉等8款A(yù)PP未對(duì)個(gè)性化廣告和內(nèi)容推薦的關(guān)閉明確區(qū)分，或未提供個(gè)性化推薦關(guān)閉按鈕；第三方SDK同是合規(guī)重災(zāi)區(qū)，19款第三方SDK未告知處理方式，僅1款獲取用戶的單獨(dú)同意；數(shù)據(jù)可攜帶權(quán)的實(shí)現(xiàn)也不盡如人意，10款實(shí)現(xiàn)個(gè)人信息“復(fù)制權(quán)”，無APP明示提供個(gè)人信息轉(zhuǎn)移服務(wù)。

（注：因滴滴出行APP尚未在應(yīng)用商店上架，測(cè)評(píng)版本為iOS系統(tǒng)的6.2.4版本）

20款出行旅行類APP合規(guī)測(cè)評(píng)（制圖：張曉鳳）

撤回同意權(quán)難實(shí)現(xiàn)，僅6款可應(yīng)用內(nèi)關(guān)閉

撤回同意權(quán)已成為全球個(gè)人信息保護(hù)立法的趨勢(shì)與共識(shí)，《個(gè)人信息保護(hù)法》中也對(duì)此進(jìn)行了回應(yīng)。第十五條規(guī)定，基于個(gè)人同意處理個(gè)人信息的，個(gè)人有權(quán)撤回其同意。個(gè)人信息處理者應(yīng)當(dāng)提供便捷的撤回同意的方式。 

此次測(cè)評(píng)對(duì)撤回同意聚焦于APP內(nèi)是否提供了用戶自主撤回同意的相關(guān)功能選項(xiàng)。測(cè)評(píng)發(fā)現(xiàn)，20款出行類APP中，僅騰訊地圖、途牛旅游、高德地圖、美團(tuán)打車、花小豬打車、百度地圖等6款能夠在APP內(nèi)或跳轉(zhuǎn)至手機(jī)系統(tǒng)設(shè)置對(duì)相關(guān)授權(quán)撤回同意，其他14款無相關(guān)按鈕，需直接在手機(jī)設(shè)備中自行關(guān)閉。

途牛旅游可實(shí)現(xiàn)用戶授權(quán)的撤回同意

撤回同意的便捷性值得關(guān)注。《個(gè)人信息保護(hù)法》二審稿中對(duì)撤回同意增加“便捷”的要求，與歐盟《通用數(shù)據(jù)保護(hù)條例》（GDPR）“撤回同意應(yīng)當(dāng)和表示同意一樣簡(jiǎn)單”的宗旨以及《個(gè)人信息安全規(guī)范》等相關(guān)規(guī)定相呼應(yīng)。 

參照國(guó)家網(wǎng)信辦、工信部、公安部、市場(chǎng)監(jiān)管總局2019年11月聯(lián)合制定的《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》中，關(guān)于“隱私政策等收集使用規(guī)則難以訪問，如進(jìn)入App主界面后，需多于4次點(diǎn)擊等操作才能訪問到”的規(guī)定，測(cè)評(píng)將打開APP后如經(jīng)過4次點(diǎn)擊仍無法關(guān)閉相關(guān)授權(quán)，視為不便捷。

測(cè)評(píng)結(jié)果顯示，20款出行類APP在提供應(yīng)用內(nèi)部關(guān)閉授權(quán)或跳轉(zhuǎn)系統(tǒng)關(guān)閉授權(quán)的6款A(yù)PP中，撤回同意功能均不便捷。以途牛旅游的撤回定位授權(quán)為例，需通過“我-設(shè)置-關(guān)于-隱私權(quán)限設(shè)置-開啟地圖定位設(shè)置-權(quán)限管理-定位”路徑進(jìn)行7次操作。

8款未區(qū)分關(guān)閉個(gè)性化推薦，僅7款可便捷關(guān)閉

《個(gè)人信息保護(hù)法》從一審稿到成文，在不斷強(qiáng)化對(duì)自動(dòng)化決策的規(guī)制。第二十四條要求，通過自動(dòng)化決策方式向個(gè)人進(jìn)行信息推送、商業(yè)營(yíng)銷，應(yīng)當(dāng)同時(shí)提供不針對(duì)其個(gè)人特征的選項(xiàng)，或者向個(gè)人提供便捷的拒絕方式。通過自動(dòng)化決策方式作出對(duì)個(gè)人權(quán)益有重大影響的決定，個(gè)人有權(quán)要求個(gè)人信息處理者予以說明，并有權(quán)拒絕個(gè)人信息處理者僅通過自動(dòng)化決策的方式作出決定。

對(duì)于出行類應(yīng)用而言，收集用戶的瀏覽記錄、搜索記錄、地理位置等進(jìn)行算法的自動(dòng)化決策機(jī)制分析形成間接用戶畫像，用以為用戶提供更具有個(gè)性化需求的內(nèi)容或廣告服務(wù)。

針對(duì)個(gè)性化推薦，平臺(tái)是否設(shè)置了關(guān)閉個(gè)性化內(nèi)容推薦及個(gè)性化廣告推薦的功能、是否提供便捷的拒絕方式、關(guān)閉個(gè)性化推薦后是否會(huì)影響產(chǎn)品使用，這三項(xiàng)內(nèi)容成為合規(guī)焦點(diǎn)。

多款A(yù)PP在隱私政策中都同時(shí)提及提供個(gè)性化內(nèi)容和廣告推薦服務(wù)。測(cè)評(píng)發(fā)現(xiàn)，僅飛豬旅行、高德地圖、滴滴出行、哈啰單車、騰訊地圖、神州專車、嘀嗒出行、途牛旅游、百度地圖、花小豬打車、智行火車票和同程旅行12款A(yù)PP在提供相應(yīng)的個(gè)性化推薦時(shí)，分別設(shè)置了關(guān)閉按鈕。

其中，百度地圖和花小豬打車的個(gè)性化推薦分類明確，按鈕數(shù)量多，用戶能有針對(duì)性地關(guān)閉功能。百度地圖個(gè)性化按鈕齊全，按照各種功能分布：有程序化廣告設(shè)置關(guān)閉按鈕，首頁智能推薦設(shè)置（允許展示首頁個(gè)性化推薦），個(gè)性化推薦設(shè)置分為周邊個(gè)性化內(nèi)容設(shè)置、出行助手智能推薦設(shè)置、公共交通個(gè)性化方案設(shè)置、智行個(gè)性化出行設(shè)置、搜索個(gè)性化推薦設(shè)置，針對(duì)不同個(gè)性化，可逐一關(guān)閉。花小豬打車的個(gè)性化推薦按鈕分類詳細(xì)，有出行建議（常用上下車點(diǎn)）、出行車型推薦、個(gè)性化消息推送，可逐一關(guān)閉。

花小豬打車的個(gè)性化推薦管理頁面

T3出行、去哪兒旅行、首汽約車、曹操出行、美團(tuán)打車、如祺出行、攜程旅行、貨拉拉等8款A(yù)PP在功能設(shè)置上未對(duì)關(guān)閉個(gè)性化廣告推薦和關(guān)閉個(gè)性化內(nèi)容推薦進(jìn)行明確區(qū)分，或未提供個(gè)性化推薦關(guān)閉按鈕。

以攜程旅行為例，隱私政策在“限制自動(dòng)化決策”部分提到，用戶在APP登錄后可通過“我的-設(shè)置-新消息通知與推薦設(shè)置”路徑對(duì)個(gè)性化推送進(jìn)行關(guān)閉。但用戶如未在系統(tǒng)設(shè)置中開啟攜程旅行的“通知”功能，則無法在APP內(nèi)對(duì)個(gè)性化推薦進(jìn)行管理。開啟“通知”后，攜程旅行APP頁面方顯示“新消息通知與推薦設(shè)置”選項(xiàng)，可點(diǎn)擊進(jìn)入對(duì)個(gè)人喜好的推薦消息關(guān)閉或開啟，APP未對(duì)個(gè)性化消息和個(gè)性化廣告推薦的關(guān)閉進(jìn)行區(qū)分。

在“是否提供便捷的拒絕方式”上，測(cè)評(píng)同樣參照《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》，打開APP后如經(jīng)過4次點(diǎn)擊仍無法關(guān)閉個(gè)性化推薦，則視為不便捷。

結(jié)果顯示，20款A(yù)PP中僅7款A(yù)PP在所提供的個(gè)性化推薦上完全實(shí)現(xiàn)了不超過4次點(diǎn)擊即可關(guān)閉，包括哈啰出行、騰訊地圖、神州專車、首汽約車、去哪兒旅行、T3出行、飛豬旅行。

10款實(shí)現(xiàn)個(gè)人信息“復(fù)制權(quán)”，無APP提供個(gè)人信息轉(zhuǎn)移服務(wù)

數(shù)據(jù)可攜帶權(quán)是《個(gè)人信息保護(hù)法》三審新增的一項(xiàng)權(quán)利。第四十五條規(guī)定：“個(gè)人有權(quán)向個(gè)人信息處理者查閱、復(fù)制其個(gè)人信息；有本法第十八條第一款、第三十五條規(guī)定情形的除外。”

可攜帶權(quán)分為兩個(gè)維度：其一，個(gè)人請(qǐng)求查閱、復(fù)制其個(gè)人信息的，個(gè)人信息處理者應(yīng)當(dāng)及時(shí)提供，即個(gè)人可獲得個(gè)人信息副本；其二，個(gè)人請(qǐng)求將個(gè)人信息轉(zhuǎn)移至其指定的個(gè)人信息處理者，符合國(guó)家網(wǎng)信部門規(guī)定條件的，個(gè)人信息處理者應(yīng)當(dāng)提供轉(zhuǎn)移的途徑。

測(cè)評(píng)發(fā)現(xiàn)，10款A(yù)PP未明確提及可提供個(gè)人信息復(fù)制服務(wù)，僅去哪兒旅行、貨拉拉、花小豬打車、同程旅行、哈啰出行、騰訊地圖、途牛旅游、攜程旅行、滴滴出行、美團(tuán)打車等10款A(yù)PP為用戶提供了對(duì)其個(gè)人信息的“復(fù)制權(quán)”。獲取的便捷程度有所區(qū)別，一般可通過功能按鍵自主或通過郵件、電話等方式可獲得個(gè)人信息的副本。

美團(tuán)打車可提供個(gè)人信息下載服務(wù)

其中，花小豬打車APP內(nèi)可導(dǎo)出的信息副本分為信息副本（不含金融業(yè)務(wù)）和金融信息副本，用戶可以在個(gè)人信息管理中心自行導(dǎo)出信息副本。不含金融業(yè)務(wù)的信息副本導(dǎo)出將于24小時(shí)內(nèi)完成導(dǎo)出，結(jié)果將發(fā)送至用戶個(gè)人郵箱，每日限提交一次。金融信息副本導(dǎo)出需要認(rèn)證用戶身份證號(hào)。

但可攜帶權(quán)的另一維度——個(gè)人信息的轉(zhuǎn)移服務(wù)，執(zhí)行的情況則不容樂觀，僅攜程旅行、曹操出行2款A(yù)PP在隱私政策中提到為用戶提供將個(gè)人信息轉(zhuǎn)移的服務(wù)。例如，曹操出行的隱私政策在用戶權(quán)利中包含“轉(zhuǎn)移個(gè)人信息”，在法律法規(guī)許可且技術(shù)可行的前提下，例如數(shù)據(jù)接口匹配，曹操出行可將用戶個(gè)人信息傳輸給其指定的第三方。

19款第三方SDK未告知處理方式，僅1款獲單獨(dú)同意

《個(gè)人信息保護(hù)法》第二十三條規(guī)定，個(gè)人信息處理者向其他個(gè)人信息處理者提供其處理的個(gè)人信息的，應(yīng)當(dāng)向個(gè)人告知接收方的名稱或者姓名、聯(lián)系方式、處理目的、處理方式和個(gè)人信息的種類，并取得個(gè)人的單獨(dú)同意。接收方應(yīng)當(dāng)在上述處理目的、處理方式和個(gè)人信息的種類等范圍內(nèi)處理個(gè)人信息。

APP內(nèi)通常會(huì)接入多個(gè)SDK（軟件開發(fā)工具包），利用SDK技術(shù)為用戶提供多樣化的服務(wù)。目前，所測(cè)20款電商類APP都在隱私政策中明示了接入相關(guān)合作方SDK的目錄，但因詳細(xì)度不同而存在一定合規(guī)問題。依據(jù)法律要求，APP應(yīng)向個(gè)人告知第三方的“名稱或者姓名、聯(lián)系方式、處理目的、處理方式和個(gè)人信息的種類”。

測(cè)評(píng)發(fā)現(xiàn)，大多數(shù)APP告知了第三方的名稱或者姓名、個(gè)人信息的種類、處理目的，以及第三方的隱私政策鏈接。除騰訊地圖外，其他19款A(yù)PP對(duì)處理方式均未明確告知。

騰訊地圖首頁彈窗第三方信息收集的告知

針對(duì)“取得個(gè)人的單獨(dú)同意”，僅騰訊地圖在首次下載APP后的授權(quán)同意彈窗中，包含第三方SDK列表的鏈接。多款A(yù)PP雖在首次彈窗中提到“未經(jīng)您的授權(quán)同意，我們不會(huì)將上述信息共享給第三方或用于您未授權(quán)的其他用途”，但第三方SDK的詳細(xì)信息需要APP內(nèi)的隱私管理中查閱。

南財(cái)合規(guī)建議

1、對(duì)于相機(jī)、位置信息、麥克風(fēng)等授權(quán)的撤回同意，APP內(nèi)可設(shè)權(quán)限管理專區(qū)，并明確在何種場(chǎng)景下使用及用以哪些目的等。為實(shí)現(xiàn)便捷性的要求，關(guān)閉授權(quán)的點(diǎn)擊步驟不應(yīng)超過４次，建議在應(yīng)用內(nèi)可直接關(guān)閉。

2、部分APP的個(gè)性化推薦管理雖然較為全面，但僅能從隱私政策內(nèi)點(diǎn)擊進(jìn)入，從用戶的操作體驗(yàn)來說并不便捷，建議在設(shè)置頁面的顯著位置明確提供相應(yīng)個(gè)性化推薦的關(guān)閉選項(xiàng)，操作步驟不應(yīng)超過4次。

3、第三方單獨(dú)告知問題方面，目前大多數(shù)APP提供了第三方SDK信息收集的單獨(dú)列表，應(yīng)對(duì)當(dāng)前未落實(shí)的聯(lián)系方式、處理方式進(jìn)行明確告知。在取得個(gè)人的單獨(dú)同意上，可在首次開啟APP的彈窗中設(shè)計(jì)。

4、對(duì)于用戶的個(gè)人信息可攜帶權(quán)，APP應(yīng)在隱私政策明確列明《個(gè)人信息保護(hù)法》中賦予用戶的權(quán)利，并提供實(shí)現(xiàn)路徑。企業(yè)應(yīng)為此提供專門的聯(lián)系方式獲取或在APP內(nèi)設(shè)計(jì)直接獲取導(dǎo)出按鈕。

5、因出行類APP與用戶人身安全密切相關(guān)，多家企業(yè)在運(yùn)營(yíng)時(shí)采取了錄音錄像功能。出于對(duì)公共安全的考慮并平衡司乘雙方的權(quán)益，APP應(yīng)設(shè)有專門的錄音錄像信息收集及隱私保護(hù)協(xié)議，更詳細(xì)地告知用戶相關(guān)信息的授權(quán)情況，并在采集申請(qǐng)授權(quán)的同時(shí)，獲得用戶的單獨(dú)同意。

6、由于《個(gè)人信息保護(hù)法》11月1日生效，不少應(yīng)用在前后時(shí)間節(jié)點(diǎn)更新了隱私政策，完善了對(duì)用戶個(gè)人信息的規(guī)定與表述。但部分APP在產(chǎn)品設(shè)計(jì)功能上，并未與隱私政策的內(nèi)容同步更新，建議企業(yè)及時(shí)排查并落實(shí)產(chǎn)品設(shè)計(jì)的個(gè)人信息保護(hù)相關(guān)功能。

測(cè)評(píng)補(bǔ)充說明

測(cè)評(píng)時(shí)間：11月11日至12日

APP所測(cè)版本（括號(hào)內(nèi)為隱私政策更新或生效時(shí)間）：

IOS版：滴滴出行6.2.4（2021.7.8），攜程旅行8.41.6（2021.11.4），高德地圖11.11.1.2639（2021.10.30），如祺出行2.15.0（2021.8.5），曹操出行5.2.6（2021.11.5），美團(tuán)打車2.7.0（2021.10.31），飛豬旅行9.9.4（2021.11.5），去哪兒旅行5.0.21（2021.10.29），百度地圖15.10.1（2021.10.31），貨拉拉6.5.85（2021.11.15），T3出行2.1.26（2021.10.11）、花小豬打車1.3.18（2021.11.8）、智行火車票9.8.0（2021.10.3），同程旅行10.2.2.0（2021.11.5）

Android版：哈啰出行6.2.1（2021.6.28），騰訊地圖9.16.2.1251.1（2021.11.1），神州專車7.0.7_135_35（2021.8.31），嘀嗒出行8.16.2（2021.10.16），途牛旅游10.58.2（2021.9.26），首汽約車9.1.5（2021.8.23）

出品：南方財(cái)經(jīng)全媒體集團(tuán)合規(guī)科技研究院

統(tǒng)籌：曹金良

研究員：張雅婷，李潤(rùn)澤子，郭美婷