我國《個人信息保護法》于2021年11月1日起施行。法律明確了個人信息處理活動中的權利義務邊界，以“告知—同意”為核心原則對平臺進行個人信息處理予以規范。

為了解企業在個人信息保護方面的落實情況，南方財經合規科技研究院基于《個人信息保護法》與《App違法違規收集使用個人信息行為認定方法》的相關條款，對平臺的個人信息保護合規進行系列測評。測評含告知、撤回同意、第三方處理者單獨告知、個性化推薦、敏感個人信息、未成年人個人信息、數據可攜帶權、信息控制權、個人保護信息負責人這9大方面共20個測評項，測評總分為100分。

結合用戶量與功能差異等因素，測評選取了20款出行旅行類（含貨運）APP進行個人信息保護合規實測。測評結果顯示，騰訊地圖APP得分在80分以上，實現了對個人信息高等級的保護；哈啰出行、途牛旅游、花小豬打車、飛豬旅行、高德地圖等14款APP得分在60分至80分，個人信息保護處于中等；首汽約車、嘀嗒出行、貨拉拉、如祺出行得分不足60分，對用戶個人信息的保護還需加強。

撤回同意、個性化推薦、數據可攜帶權、第三方處理者單獨告知，成為平臺的高頻合規問題。對于用戶授權的個人信息處理，14款APP無法直接撤回同意；攜程旅行、美團打車、貨拉拉等8款APP未對個性化廣告和內容推薦的關閉明確區分，或未提供個性化推薦關閉按鈕；第三方SDK同是合規重災區，19款第三方SDK未告知處理方式，僅1款獲取用戶的單獨同意；數據可攜帶權的實現也不盡如人意，10款實現個人信息“復制權”，無APP明示提供個人信息轉移服務。

（注：因滴滴出行APP尚未在應用商店上架，測評版本為iOS系統的6.2.4版本）

20款出行旅行類APP合規測評（制圖：張曉鳳）

撤回同意權難實現，僅6款可應用內關閉

撤回同意權已成為全球個人信息保護立法的趨勢與共識，《個人信息保護法》中也對此進行了回應。第十五條規定，基于個人同意處理個人信息的，個人有權撤回其同意。個人信息處理者應當提供便捷的撤回同意的方式。 

此次測評對撤回同意聚焦于APP內是否提供了用戶自主撤回同意的相關功能選項。測評發現，20款出行類APP中，僅騰訊地圖、途牛旅游、高德地圖、美團打車、花小豬打車、百度地圖等6款能夠在APP內或跳轉至手機系統設置對相關授權撤回同意，其他14款無相關按鈕，需直接在手機設備中自行關閉。

途牛旅游可實現用戶授權的撤回同意

撤回同意的便捷性值得關注。《個人信息保護法》二審稿中對撤回同意增加“便捷”的要求，與歐盟《通用數據保護條例》（GDPR）“撤回同意應當和表示同意一樣簡單”的宗旨以及《個人信息安全規范》等相關規定相呼應。 

參照國家網信辦、工信部、公安部、市場監管總局2019年11月聯合制定的《App違法違規收集使用個人信息行為認定方法》中，關于“隱私政策等收集使用規則難以訪問，如進入App主界面后，需多于4次點擊等操作才能訪問到”的規定，測評將打開APP后如經過4次點擊仍無法關閉相關授權，視為不便捷。

測評結果顯示，20款出行類APP在提供應用內部關閉授權或跳轉系統關閉授權的6款APP中，撤回同意功能均不便捷。以途牛旅游的撤回定位授權為例，需通過“我-設置-關于-隱私權限設置-開啟地圖定位設置-權限管理-定位”路徑進行7次操作。

8款未區分關閉個性化推薦，僅7款可便捷關閉

《個人信息保護法》從一審稿到成文，在不斷強化對自動化決策的規制。第二十四條要求，通過自動化決策方式向個人進行信息推送、商業營銷，應當同時提供不針對其個人特征的選項，或者向個人提供便捷的拒絕方式。通過自動化決策方式作出對個人權益有重大影響的決定，個人有權要求個人信息處理者予以說明，并有權拒絕個人信息處理者僅通過自動化決策的方式作出決定。

對于出行類應用而言，收集用戶的瀏覽記錄、搜索記錄、地理位置等進行算法的自動化決策機制分析形成間接用戶畫像，用以為用戶提供更具有個性化需求的內容或廣告服務。

針對個性化推薦，平臺是否設置了關閉個性化內容推薦及個性化廣告推薦的功能、是否提供便捷的拒絕方式、關閉個性化推薦后是否會影響產品使用，這三項內容成為合規焦點。

多款APP在隱私政策中都同時提及提供個性化內容和廣告推薦服務。測評發現，僅飛豬旅行、高德地圖、滴滴出行、哈啰單車、騰訊地圖、神州專車、嘀嗒出行、途牛旅游、百度地圖、花小豬打車、智行火車票和同程旅行12款APP在提供相應的個性化推薦時，分別設置了關閉按鈕。

其中，百度地圖和花小豬打車的個性化推薦分類明確，按鈕數量多，用戶能有針對性地關閉功能。百度地圖個性化按鈕齊全，按照各種功能分布：有程序化廣告設置關閉按鈕，首頁智能推薦設置（允許展示首頁個性化推薦），個性化推薦設置分為周邊個性化內容設置、出行助手智能推薦設置、公共交通個性化方案設置、智行個性化出行設置、搜索個性化推薦設置，針對不同個性化，可逐一關閉?；ㄐ∝i打車的個性化推薦按鈕分類詳細，有出行建議（常用上下車點）、出行車型推薦、個性化消息推送，可逐一關閉。

花小豬打車的個性化推薦管理頁面

T3出行、去哪兒旅行、首汽約車、曹操出行、美團打車、如祺出行、攜程旅行、貨拉拉等8款APP在功能設置上未對關閉個性化廣告推薦和關閉個性化內容推薦進行明確區分，或未提供個性化推薦關閉按鈕。

以攜程旅行為例，隱私政策在“限制自動化決策”部分提到，用戶在APP登錄后可通過“我的-設置-新消息通知與推薦設置”路徑對個性化推送進行關閉。但用戶如未在系統設置中開啟攜程旅行的“通知”功能，則無法在APP內對個性化推薦進行管理。開啟“通知”后，攜程旅行APP頁面方顯示“新消息通知與推薦設置”選項，可點擊進入對個人喜好的推薦消息關閉或開啟，APP未對個性化消息和個性化廣告推薦的關閉進行區分。

在“是否提供便捷的拒絕方式”上，測評同樣參照《App違法違規收集使用個人信息行為認定方法》，打開APP后如經過4次點擊仍無法關閉個性化推薦，則視為不便捷。

結果顯示，20款APP中僅7款APP在所提供的個性化推薦上完全實現了不超過4次點擊即可關閉，包括哈啰出行、騰訊地圖、神州專車、首汽約車、去哪兒旅行、T3出行、飛豬旅行。

10款實現個人信息“復制權”，無APP提供個人信息轉移服務

數據可攜帶權是《個人信息保護法》三審新增的一項權利。第四十五條規定：“個人有權向個人信息處理者查閱、復制其個人信息；有本法第十八條第一款、第三十五條規定情形的除外?！?/p>

可攜帶權分為兩個維度：其一，個人請求查閱、復制其個人信息的，個人信息處理者應當及時提供，即個人可獲得個人信息副本；其二，個人請求將個人信息轉移至其指定的個人信息處理者，符合國家網信部門規定條件的，個人信息處理者應當提供轉移的途徑。

測評發現，10款APP未明確提及可提供個人信息復制服務，僅去哪兒旅行、貨拉拉、花小豬打車、同程旅行、哈啰出行、騰訊地圖、途牛旅游、攜程旅行、滴滴出行、美團打車等10款APP為用戶提供了對其個人信息的“復制權”。獲取的便捷程度有所區別，一般可通過功能按鍵自主或通過郵件、電話等方式可獲得個人信息的副本。

美團打車可提供個人信息下載服務

其中，花小豬打車APP內可導出的信息副本分為信息副本（不含金融業務）和金融信息副本，用戶可以在個人信息管理中心自行導出信息副本。不含金融業務的信息副本導出將于24小時內完成導出，結果將發送至用戶個人郵箱，每日限提交一次。金融信息副本導出需要認證用戶身份證號。

但可攜帶權的另一維度——個人信息的轉移服務，執行的情況則不容樂觀，僅攜程旅行、曹操出行2款APP在隱私政策中提到為用戶提供將個人信息轉移的服務。例如，曹操出行的隱私政策在用戶權利中包含“轉移個人信息”，在法律法規許可且技術可行的前提下，例如數據接口匹配，曹操出行可將用戶個人信息傳輸給其指定的第三方。

19款第三方SDK未告知處理方式，僅1款獲單獨同意

《個人信息保護法》第二十三條規定，個人信息處理者向其他個人信息處理者提供其處理的個人信息的，應當向個人告知接收方的名稱或者姓名、聯系方式、處理目的、處理方式和個人信息的種類，并取得個人的單獨同意。接收方應當在上述處理目的、處理方式和個人信息的種類等范圍內處理個人信息。

APP內通常會接入多個SDK（軟件開發工具包），利用SDK技術為用戶提供多樣化的服務。目前，所測20款電商類APP都在隱私政策中明示了接入相關合作方SDK的目錄，但因詳細度不同而存在一定合規問題。依據法律要求，APP應向個人告知第三方的“名稱或者姓名、聯系方式、處理目的、處理方式和個人信息的種類”。

測評發現，大多數APP告知了第三方的名稱或者姓名、個人信息的種類、處理目的，以及第三方的隱私政策鏈接。除騰訊地圖外，其他19款APP對處理方式均未明確告知。

騰訊地圖首頁彈窗第三方信息收集的告知

針對“取得個人的單獨同意”，僅騰訊地圖在首次下載APP后的授權同意彈窗中，包含第三方SDK列表的鏈接。多款APP雖在首次彈窗中提到“未經您的授權同意，我們不會將上述信息共享給第三方或用于您未授權的其他用途”，但第三方SDK的詳細信息需要APP內的隱私管理中查閱。

南財合規建議

1、對于相機、位置信息、麥克風等授權的撤回同意，APP內可設權限管理專區，并明確在何種場景下使用及用以哪些目的等。為實現便捷性的要求，關閉授權的點擊步驟不應超過４次，建議在應用內可直接關閉。

2、部分APP的個性化推薦管理雖然較為全面，但僅能從隱私政策內點擊進入，從用戶的操作體驗來說并不便捷，建議在設置頁面的顯著位置明確提供相應個性化推薦的關閉選項，操作步驟不應超過4次。

3、第三方單獨告知問題方面，目前大多數APP提供了第三方SDK信息收集的單獨列表，應對當前未落實的聯系方式、處理方式進行明確告知。在取得個人的單獨同意上，可在首次開啟APP的彈窗中設計。

4、對于用戶的個人信息可攜帶權，APP應在隱私政策明確列明《個人信息保護法》中賦予用戶的權利，并提供實現路徑。企業應為此提供專門的聯系方式獲取或在APP內設計直接獲取導出按鈕。

5、因出行類APP與用戶人身安全密切相關，多家企業在運營時采取了錄音錄像功能。出于對公共安全的考慮并平衡司乘雙方的權益，APP應設有專門的錄音錄像信息收集及隱私保護協議，更詳細地告知用戶相關信息的授權情況，并在采集申請授權的同時，獲得用戶的單獨同意。

6、由于《個人信息保護法》11月1日生效，不少應用在前后時間節點更新了隱私政策，完善了對用戶個人信息的規定與表述。但部分APP在產品設計功能上，并未與隱私政策的內容同步更新，建議企業及時排查并落實產品設計的個人信息保護相關功能。

測評補充說明

測評時間：11月11日至12日

APP所測版本（括號內為隱私政策更新或生效時間）：

IOS版：滴滴出行6.2.4（2021.7.8），攜程旅行8.41.6（2021.11.4），高德地圖11.11.1.2639（2021.10.30），如祺出行2.15.0（2021.8.5），曹操出行5.2.6（2021.11.5），美團打車2.7.0（2021.10.31），飛豬旅行9.9.4（2021.11.5），去哪兒旅行5.0.21（2021.10.29），百度地圖15.10.1（2021.10.31），貨拉拉6.5.85（2021.11.15），T3出行2.1.26（2021.10.11）、花小豬打車1.3.18（2021.11.8）、智行火車票9.8.0（2021.10.3），同程旅行10.2.2.0（2021.11.5）

Android版：哈啰出行6.2.1（2021.6.28），騰訊地圖9.16.2.1251.1（2021.11.1），神州專車7.0.7_135_35（2021.8.31），嘀嗒出行8.16.2（2021.10.16），途牛旅游10.58.2（2021.9.26），首汽約車9.1.5（2021.8.23）

出品：南方財經全媒體集團合規科技研究院

統籌：曹金良

研究員：張雅婷，李潤澤子，郭美婷