个人信息可复制、可转移，为未成年人制定专门规则，死者权利……这些旨在回应社会关切得数据规则，都出现在于11月起施行得个人信息保护法（下称“个保法”）中。一个多月过去，企业合规做得如何？
12月17日，南方都市报个人信息保护研究中心在北京召开“2021啄木鸟数据治理论坛”，并发布《个人信息安全年度报告（2021）》（下称“报告”）。
报告显示，在来自十个行业得150款被测App中，隐私政策透明度处于“高”层级得App数量为零，但App之间得分数差距较往年明显变小。在落实个人信息可携权方面，不到四成App承诺提供个人信息副本，仅一成称提供转移途径。
1
没有App透明度高，仅5款披露非SDK第三方
从2017年开始，南都个人信息保护研究中心连续五年发布隐私政策透明度测评，测评标准根据法律法规不断修改。隐私政策透明度越高，代表其关于企业如何收集、使用、存储和保护个人信息得描述越清晰和全面。
今年报告选取十大行业共计150款App作为测评样本，其中每个行业头、中、尾各五款。测评结果显示，知乎、叮当快药以89分位居第壹，快手、携程旅行以两分之差并列第二。得分“不及格”得App共有27款。各行业平均分相差不大。
排名靠前得App及其得分
值得注意得是，透明度高得App数量为零。报告分析认为，这是由于大多数App得蕞新版隐私政策都尚未落实个保法中得创新性规定，因此失分较多。比如只有40款App提供了专门得未成年人隐私政策，不到10款App提及死者权利。
个保法施行同日，发布《信息通信服务感知提升行动得通知》，提出今年12月底前，相关互联网企业应建立个人信息保护“双清单”——“已收集个人信息清单”和“与第三方共享个人信息清单”。
测评结果显示，150款App中有135款都列出了嵌入得第三方SDK（软件开发工具包），并告知其名称、处理目得、个人信息类型和链接。不过，报告认为，第三方SDK并不是App共享用户个人信息得唯一对象，还包括广告主及其代理商、关联公司、授权合作伙伴等。但只有“知乎”“唯品会”等五款App披露了部分上述信息，如唯品会App列出了承运商、支付、广告商、等第三方。
尽管隐私政策告知不清晰、抄袭、头尾部App得分差距大等问题依然存在，今年得平均分仍达到了70.1分，在测评标准更加严格得情况下，几乎与前年年持平。这意味着，App得隐私政策透明度有了明显提升。
2
不少App客服称不知何为个人信息副本
根据个保法第四十五条，个人有权向个人信息处理者查阅、复制其个人信息，还有权请求将个人信息转移至其指定得个人信息处理者。报告仿照欧盟《通用数据保护条例》，将上述规定简称为“可携权”。
报告发现，App落实可携权得做法通常是提供个人信息副本并承诺可转移。150款App中，57款明确用户可要求获取个人信息副本，占比38%。但截至测评结束，仅收到14款App提供得个人信息副本。
就收到得少数个人信息副本内容来看，绝大多数是用户主动提供得信息和设备信息等，如用户、昵称，注册手机号，注册时间等。此外，不少App得承诺“有名无实”，如“作业帮”虽为用户获取个人信息副本列举了多种联系方式，但无一回复。
对于何为个人信息副本，各App客服得理解不尽相同。比如学而思网校、斑马App称获取个人信息副本得方式为自行“截屏”。还有不少App得客服直言“不知道什么是个人信息副本”。
好不容易联系上，有得App又设置了身份验证门槛，要求用户提供除注册时提供得个人信息之外得信息。比如叮当快药App要求用户提交手机营业厅缴费凭证、手持身份证照片，转移个人信息需提供接收方个人信息证明，愿意接收个人信息得证明材料、接收方式。
报告指出，150款App中承诺提供个人信息转移服务得仅有15款，基本都要求用户提供对方App得接收方式、接口等信息。然而，没有任何一款App明示告知用户如何获取上述信息。报告认为，这进一步增加了用户履行可携权得难度。
3
所有应用商店都在隐私政策链接上失分
今年1月，点名腾讯应用宝、小米应用商店、豌豆荚、OPPO软件商店、华为应用市场场五大应用商店平台管理主体责任落实不到位。4月，发布《移动互联网应用程序个人信息保护管理暂行规定（征求意见稿）》，明确了应用商店等提供App下载、升级服务得软件服务平台得八大个人信息保护义务。
报告对OPPO软件商店、华为应用市场、360手机助手、小米应用商店、vivo 应用商店、腾讯应用宝、百度手机助手、PP助手、豌豆荚、三星应用商店十大常见应用商店进行了审核机制测评。
测评结果显示，OPPO软件商店、华为应用市场、360手机助手分别以82.4、79.1、70分位居前三名，而PP助手、三星应用商店和豌豆荚得分不及格。整体平均分不足60。
应用商店审核机制得分
值得注意得是，应用商店审核机制测评存在两个普遍失分点。一是被测得10家应用商店均存在隐私政策链接问题，包括未提供隐私政策链接、隐私政策链接无法打开、隐私政策版本与App内不一致等。
比如，OPPO软件商店有七款App得展示页面没有隐私政策链接，其中不乏优健康、华医通等知名App；vivo应用商店中，携程旅行App展示页面得隐私政策链接为隐私设计文档，而非隐私政策；小米应用商店中有九款App在应用商店展示页得隐私政策与App内版本不一致。
值得注意得是，绝大多数应用商店展示App将获取得权限列表时，通常使用得是“允许该应用……”等系统默认表述。只有小米应用商店得权限详情页允许App开发者自行更改权限获取目得。
如海豚优惠-购物返利平台App就修改了其应用商店展示页面定位、手机信息、相机、录音 四项权限得获取目得——如获取定位是为了“定位城市，让用户购买电影票”，获取手机 信息是为了“防止非法分子使用软件进行违法违规行为，使用相机是为了“，上 传支持”，录音则是为了“，上传录音”。
海豚优惠-购物返利平台App截图
报告认为，系统默认表述得权限说明是为大多数App服务，通常为概括性描述，无法精准地照顾到每一个App得权限申请目得。允许App开发者修改可以让用户更加清楚地了解App为什么要获取这项权限，有助于保障用户得知情权。
出品：南都个人信息保护课题组
采写：南都见习感谢樊文扬 感谢孙朝
