21世纪经济报道 记者诸未静 蔡姝越 吴立洋、实习生张晓凤 上海 广州报道
我国《个人信息保护法》于2021年11月1日起施行。法律明确了个人信息处理活动中的权利义务边界，以“告知—同意”为核心原则对平台进行个人信息处理予以规范。
为了解企业在个人信息保护方面的落实情况，南方财经合规科技研究院基于《个人信息保护法》与《APP违法违规收集使用个人信息行为认定方法》的相关条款，对平台的个人信息保护合规进行系列测评。测评含告知、撤回同意、第三方处理者单独告知、敏感个人信息、未成年人个人信息、数据可携带权、信息控制权、个人保护信息负责人这8大方面共18个测评项，测评总分为100分。
需要特别说明的是，与此前社交资讯类、娱乐类、电商生活类APP测评标准不同，由于大多数游戏不含有个性化推荐选项，本次20款手游APP测评中并未设置这一方面的测评项。而依据近期不断升级的游戏未成年人保护机制，本次测评提高了游戏未成年人个人信息保护的分值比重。
依据用户量与功能差异等因素，测评选取了20款手游类APP进行个人信息保护合规实测。结果显示，《阴阳师》《王者荣耀》《和平精英》《我的世界》《LOL手游》《梦幻西游》《哈利波特魔法觉醒》7款APP得分在80分以上，对个人信息进行了高等级保护。《剑与远征》《少年三国志：零》《明日方舟》等13款APP得分在60分至80分，合规程度处于中等级。《江南百景图》在20款手游类APP中得分最低，为62分。
（图说：20款手游APP个人信息保护合规测评。制图：张晓凤。）
从高频合规问题来看，15款手游类APP存在个人信息授权撤回同意步骤过于繁琐的问题，《开心消消乐》《我的世界》《球球大作战》等游戏甚至无法在APP内撤回个人信息。此外，《摩尔庄园》《梦幻西游》《江南百景图》等15款APP在新用户注册后并未立即在弹窗中给出第三方SDK服务商目录。
值得肯定的是，在未成年人信息保护方面，19款受测手游类APP设有专门的未成年人隐私保护专章，详细说明了未成年人的个人信息处理规则。而合规科技研究员在查阅《原神》APP内提供的隐私政策时发现，米哈游仅给出了未成年人保护政策的相关章节，在章节中并未对如何保护未成年人的个人信息作出具体说明。
显著问题1：撤回同意步骤繁琐，仅有5款回撤步骤少于4步
《剑与远征》关闭照片权限需5步，《球球大作战》等完全没有回撤选项
撤回同意主要是指用户在授予APP相关个人信息的采集、处理权限后，能否在APP内实现对相关授权同意的撤回。《个人信息保护法》第十五条规定：“基于个人同意处理个人信息的，个人有权撤回其同意。个人信息处理者应当提供便捷的撤回同意的方式。”
结合日常手游APP使用经验，测评员将该法条拆分为“是否提供撤回自主同意相关功能”与“撤回同意是否便捷”两个子测评项，前者主要检验APP是否在设置、隐私协议等页面提供停止个人信息相关授权的途径，后者参照《APP违法违规收集使用个人信息行为认定方法》关于“如进入APP主界面后，需多于4次点击等操作才能访问到，则可被认定为‘未公开收集使用规则’”进行界定，即打开APP后如经过四次点击后仍无法进行个人信息授权情况的修改，则视为不便捷。
合规科技研究员在测评20款手游类APP时发现，仅《王者荣耀》《和平精英》《阴阳师》《LOL手游》《原神》等5款APP的撤回同意步骤小于4次点击。研究员实测发现，《LOL手游》内个人信息撤回步骤皆控制在4步以内。以关闭“定位服务”为例，其撤回路径为“设置（图标）”-“其他”-“定位服务（开/关）”，仅3步便可直接跳转至系统设置界面。在《原神》的撤回消息提示时，其撤回路径为“派蒙（头像）”-“设置（图标）”-“消息”-“开关”，控制在4步之内。
（图说：《LOL手游》中的个人信息撤回步骤较为清晰明确，点击“设置（图标）”-“其他”，便可撤回照片、麦克风、定位服务、通知等系统功能。截图时间为11月12日。）
而其余的16款样本，皆存在个人信息撤回步骤大于4次或者完全没有回撤选项的问题。当测评员想要关闭《剑与远征》的照片权限时，其路径为“我（游戏内头像）”-“设置”-“隐私权限”-“照片权限”-“前往设置”，撤回步骤共计5步。
更严重的问题是，《球球大作战》《明日方舟》《江南百景图》《哈利波特魔法觉醒》等APP完全没有提供回撤选项。举例而言，在《开心消消乐》的APP内，包括“隐私设置”多个路径都找不到麦克风和地理位置的回撤选项。《明日方舟》《江南百景图》等多款APP的设置中，也几乎不涉及任何关于系统权限和个人信息处理相关的选项。
（图说：《球球大作战》中的“语音设置”中，选择关闭语音后，并不会跳转到系统设置页面关闭麦克风授权。截图时间为11月12日。）
显著问题2：仅有5款在初次开启后的弹窗中给出第三方SDK服务商目录
《原神》《球球大作战》等9款无明确处理方式，《明日方舟》未提供信息类型
大部分APP在实际运行中为了保证相关功能的实现或数据分析等其他商业目的，往往会向第三方合作者提供用户的个人信息。这些第三方应用、服务嵌入App中，不知不觉地收集个人信息，存在诸多隐患。
《个人信息保护法》第二十三条规定：“个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。”近日，工信部信息通信管理局就《关于开展信息通信服务感知提升行动的通知》进行解读，其中提到，为了让用户清晰掌握个人信息在APP、SDK（软件开发工具包）及其他第三方间的共享情况，工信部要求企业在二级菜单中列出APP与第三方共享的用户个人信息基本情况，包括与第三方共享的个人信息种类、使用目的、使用场景和共享方式等。
鉴于实测的可操作性，本次测评主要考察APP的SDK信息披露和单独同意情况。在具体测评中，本次测评将法规要求划分为“是否列明第三方处理者相关信息”与“是否获取用户单独同意”两项，前者主要检验APP是否在隐私协议或单独名单中完整列举其所包含的第三方信息处理者及其目的、处理方式联系方式等；后者则检验APP是否通过初次开启后弹窗等方式，明确提出存在向第三方处理者提供用户信息的情况，并给出相关名单链接征求用户同意。
结果显示，20款受测APP中，仅有《王者荣耀》《和平精英》《阴阳师》《我的世界》《LOL手游》这5款在初次开启后的弹窗中明确向用户展示第三方处理者提供用户信息的情况，并给出第三方SDK类服务商目录。
值得一提的是，相比于南财合规科技研究院系列测评中已完成的社交资讯、娱乐、电商类APP，此次样本中的20款手游均在隐私政策中列明了单独的SDK服务商目录。
不过，《原神》《球球大作战》《剑与远征》《闪耀暖暖》《恋与制作人》《斗罗大陆：武魂觉醒》《小花仙》《少年三国志·零》《江南百景图》等无明确列明处理方式。《明日方舟》未提供第三方个人信息处理者收集的信息类型和处理方式。
显著问题3：数据可携带权难落实，仅阴阳师等4款同时提供个人信息副本和转移服务
《阴阳师》《原神》等7家仅提供个人信息副本，《我的世界》《梦幻西游》4款提供个人信息转移服务
数据的可携带权是在《个人信息保护法》三审稿中加入的条款，其第四十五条规定，“个人有权向个人信息处理者查阅、复制其个人信息……个人请求查阅、复制其个人信息的，个人信息处理者应当及时提供。个人请求将个人信息转移至其指定的个人信息处理者，符合国家网信部门规定条件的，个人信息处理者应当提供转移的途径。”
与该概念相关的法规最早落实于欧盟2018年颁布的《通用数据保护条例》，初衷是大批信息垄断与不充分竞争的格局，促进信息共享流动，但在具体实践中存在适用范围不明确，不同数据模式之间难以互通，数据安全缺乏有力保障等难点，目前各国都还在摸索其具体落实途径。
本次测评从推动制度与规则建设的角度出发，主要考察APP是否在隐私协议中对数据可携带权的相关要求做出规定，具体检验其“是否提供用户获得个人信息副本的途径”与“是否提供个人信息转移的服务”。此外，少量APP直接提供了生成个人信息服务的功能按钮，该方式也计为得分。
测评发现，《阴阳师》《原神》《江南百景图》《少年三国志：零》等7款游戏在隐私政策中明确了用户对其个人信息的“复制权”。例如，若要在《原神》中获取个人信息副本时，可以通过应用内“账户界面（游戏等级）-账户-用户中心”界面，进入“米哈游通行证账号系统”界面，进行查询并获取副本。
但可携带权的另一维度——个人信息的转移服务，执行的情况则不容乐观。受测的20款APP中仅有《阴阳师》《我的世界》《梦幻西游》《哈利波特魔法觉醒》这4款APP在隐私政策中提到为用户提供将个人信息转移的服务。
令人惊喜的是，合规科技研究员在实际测评过程中发现，受测手游类APP所属的公司中，网易、腾讯、阿里特别设置了独立的个人信息保护平台，即用户可以在专属的平台网页上寻找单一APP的隐私政策。在网易提供的个人信息保护平台中，向用户提供了查阅、复制、撤回、转移等处理个人信息方式的操作路径以及咨询的联络方式。
