欧盟GDPR今日生效,这些APP紧跟步伐调整

个人信息保护研究中心研究员冯群星作为发言嘉宾介绍全球知名互联网企业应对GDPR的操作实例与舆情应对。

大会上，中心研究员冯群星结合GDPR新增的数据主体权利，分享了一些大型外企的合规案例。以数据可携权为例，GDPR明确，用户有权以结构化、通用、机器可读的格式获取个人信息副本，并移至其他数据控制者。为此，谷歌、Facebook、Twitter等企业都在A PP中增加了相应的功能，用户可以一键下载账户内的数据。“我们在测评国内A PP时，得到的反馈一般是不能导出账户数据。从用户体验的角度来讲，外国A PP的做法值得参考。”冯群星说。

广告是特别容易泄露个人信息并遭到用户反感的一种商业模式，国内企业在这方面有过不少教训。而GDPR也提出了新的要求，即保障用户的拒绝权。冯群星介绍，包括Facebook在内的多家APP为此调整了隐私政策和产品功能，除了在隐私政策中作出说明和承诺，用户也可以通过偏好设置系统来控制A PP所展示的广告，移除自己不想看的广告，禁止广告主获取自己某方面的信息等。

冯群星表示，GDPR虽然是欧盟的法案，但全球化下，中国企业多少会受到影响。国内的网络安全法、《信息安全技术个人信息安全规范》等也已经有类似规定。结合GDPR和国内法律法规，建议企业进一步优化隐私政策和产品功能设计，保障用户进行数据访问、更正、删除、注销账户、撤回同意、获取个人信息副本的权利。

专家：GDPR的设计体现了“激励相容”原则

“从1995年的《欧盟数据保护指令》到GDPR，不仅是法律形式的变化，也是欧盟在大数据时代，协调个人数据保护与信息自由流动的一个新尝试。”周汉华指出，当今已是人工智能、物联网、云计算的时代，升级已经实施20余年的指令，说明了欧盟想实现发展与保护之间的平衡，突出体现了“激励相容”原则。

“激励相容”原则是指规则如果能够与被管理者激励相容，会极大降低执法成本，提高合规动力。周汉华表示，“激励相容”原则是规则体系设计的核心，也是规范实施的成败关键“互联网企业的核心资产是数据，所以对数据控制者来说，给用户提供差异化、个性化的精准服务能够激励他们使用数据，但保护数据的成本太高，这样就会产生激励不相容，”他说。

中国社会科学院法学研究所研究员周汉华发表演讲。

反观欧盟，从指令到GDPR，一直体现了既保护个人信息决定权利，又促进个人信息自由流动的双重价值。这种双重价值追求，既体现在指令、GDPR的名称中，也体现在立法结构的整体安排上，更体现在指令、GDPR的前言、基本原则与具体规定之中。

周汉华认为，在推动大数据发展方面，GDPR的变化体现在三个地方：一是在个人信息使用目的限制、数据留存期限等方面，尽量为大数据开发利用开辟可能的路径;二是更突出强调责任原则、透明原则的地位和作用，强化信息控制者内部治理机制，调动信息控制者参与数据治理的积极性;三是设计强有力的外部执法威慑机制。

记者对话京东集团副总裁、法务部负责人

京东出版国内首部《欧盟数据宪章-GDPR评述及实务指引》

GDPR的出台将对全球数据保护造成什么影响?中国跨国企业应如何应对?在GDPR正式实施之际，京东出版《欧盟数据宪章- GDPR评述及实务指引》，从全球数据保护现状、GDPR的立法背景、条款评析、影响以及对中国企业的应对建议等方面进行了全方位论述。

京东集团副总裁、法务部负责人焦娇接受南都记者采访。

该书编委会主任、京东集团副总裁、法务部负责人焦娇表示，GDPR适用范围的扩大对中国跨国企业的合规提出了更高的要求，希望通过这本书将欧盟个人信息保护制度立体地呈现给立法机关、监管机构和广大研究人员。

其实在GDPR实施前，很多大型互联网公司早已开始进行合规调整。一个较明显的变化是，不少主流APP纷纷修订隐私政策，并推出了相关的隐私控制工具。

这些APP具体是如何进行调整的?

记者选取了6款国外知名APP分析发现，为满足GDPR的合规要求，绝大多数的APP隐私政策透明度更高，不仅文本通俗易懂，呈现方式多样，且上线了特殊的隐私保护功能。

相比于国外企业积极应对GDPR，国内涉及欧洲客户的跨国公司似乎还在观望。但即便不受GDPR限制，这些APP在隐私保护上的合规实践，仍可供国内企业借鉴和思考。

隐私政策化繁为简 增加视频和注解

不久前，谷歌给用户发送了这样一封邮件，称正在更新隐私政策和上线了隐私保护的小工具。这些调整面向谷歌的全球用户，适用于YouTube等旗下多款产品。

谷歌发给用户的邮件内容。

最近两个月，和谷歌一样，不少互联网公司均调整了隐私政策，并宣布更新后的条款将在GDPR实施当天，即5月25日生效。

据南都记者了解，2016年4月，欧盟通过的GDPR确立了个人数据处理的统一规范，增加了用户个人数据保护的权利，同时对企业收集和使用个人数据，提出了更高的透明度要求。一旦违反相关规定，有些公司甚至可能面临高达全球年营业额4%的罚款，堪称史上最严格的数据保护条例。

为遵循GDPR规定，各大企业早已开始着手应对。近日，南都记者选取了Facebook、爱彼迎、领英、eBay、YouTube和Twitter等6款知名APP，对其隐私政策文本和隐私控制设置进行分析。

记者发现，为了让用户知晓协议变更，上述APP基本采用邮件或弹窗的方式告知。以国内APP常见的弹窗为例，今年5月1日《个人信息安全规范》生效前，知乎也选择以此告知隐私政策变更，但由于弹窗页面的“不同意”选项经常是摆设，引起了很大争议。

此次，在产品设计上，爱彼迎通知协议变更的方式，有值得借鉴之处。因为它充分保障用户说“不”的权利。当点击“不同意”选项，页面再次向用户提示是否“不同意条款并退出”。如用户坚持退出，那么页面将跳转到爱彼迎官网，平台表示，“对于您的离开，我们表示遗憾!”，且再次给予用户多种选择，比如“准备回来”，“注销房源”，或者“取消账号”等，并附上。尽管最终的结果仍是不同意条款即无法继续使用服务，但至少给用户提供了一个清晰的退出途径。

爱彼迎的隐私政策弹窗页面

根据GDPR规定，信息主体有权要求数据控制者以清晰易懂的语言，透明简洁的形式及时提供相关信息。

记者对比发现，相比于旧版，上述6款APP的新版隐私政策在呈现方式上均有很大的改变。过去一年，南都个人信息保护研究中心测评了将近2000家网站和APP的隐私政策，其中普遍存在冗长晦涩，通篇法律术语的问题。有国内大型互联网企业代表曾表示困惑，一方面用户的接受时间有限，隐私政策只好尽可能简略，但另一方面，隐私政策里又需尽可能多地涵盖平台如何收集使用用户信息的所有内容。

针对上述问题，自称以“会员为先”宗旨撰写隐私权政策的领英，尝试给出了解决之道。去年底，南都个人信息保护研究中发布《2017年个人信息保护报告》。结果显示，领英的隐私政策透明度得分高，在设计上也对用户较为友好。比如，在查阅条款目录前，用户首先可观看时长一分半的《隐私政策》视频，在内文部分摘要概括重点条款，同时领英对部分术语和相关操作指示进行颜色区分，并提供注解和跳转链接。

领英隐私政策视频，文本附标注

和领英一样，Facebook、Twitter和YouTube也在新版隐私政策内文中，提供示例和注解。

谷歌和Twitter的隐私政策页面小框出现的注解。

Facebook以页面跳转的方式提供注解。

在呈现方式上，美国两大社交APP：Facebook和Twitter不约而同选择使用颜色区分隐私政策的章节标题，谷歌和eBay则采用形象化的配图加以区分，同时各自有另有创新之处。

比如，谷歌的隐私政策新增了4个短视频，分别从整体条款、收集的信息、为什么要收集数据、您的隐私控制项等方面，对文本进行可视化呈现。

谷歌隐私政策视频截图

而eBay隐私政策设计的巧妙之处在于，每个章节页面呈现的是一份简单的概要，如果用户对此感兴趣可以点击“learn more”了解更多信息。

eBay的隐私政策

如此化繁为简，采用示例、图片和视频的方式辅助说明，不仅文本画面感极佳，而且更方便用户阅读。据南都记者观察，这样的隐私政策呈现方式在国内APP中基本不多见，目前国内企业更多注重的是文本上的合规，在呈现方式上仍欠思考。

谷歌可查29版隐私政策 脸书30天后删除身份证副本

具体到文本，在被考察的6款APP中，均可以找到新旧版隐私政策全文。谷歌更是对所有隐私政策文本都作了归档处理，用户可在隐私权政策选项中，点击“更新”查看过往28个版本的隐私政策，上可追溯至1999年6月9日，彼时谷歌仅成立不到一年。

记者发现，过半APP告知用户隐私政策的更新内容，比如领英、爱彼迎、YouTube等。其中较为简便的是领英，不仅在醒目位置提供了修订摘要，而且当用户点击查看重大修订说明，页面自动滑至更新的条款部分并配有注解。

点下一页，可自动滑至领英修订说明，

对比新旧版隐私政策可以看到，为适应GDPR规定，6款APP在文本上新增了不少内容。仅从目录来看，Facebook在旧版的基础上新增了一章“旗下公司如何协同工作”。

左为Facebook新版隐私政策目录，右为旧版。

结合GDPR规定，南都记者拎出隐私政策的9项内容进行比较分析，由图可知，6款APP在定义个人敏感信息、未成年人保护和数据保护专员等方面，略有差异，其余都有相关说明。

6款APP隐私政策内容对比。

值得注意的是，有4款APP均提到了未成年人保护的问题，其中YouTube有专门针对儿童的隐私声明。南都未成年人网络保护中心今年5月发布的《未成年人网络保护报告》显示，鲜少有APP像YouTube这样提供单独的儿童隐私政策，且近两成平台缺乏相关的儿童信息保护条款。(此前报道：未成年人网络使用调查：保护条款缺失，软色情、暴力元素普遍存在)

据记者了解，GDPR的一大亮点在于增加了数据主体的权利，规定用户享有访问权、更正权、删除权、限制处理权、数据可携权和拒绝权等。其中备受争议的是删除权(又称被遗忘权)和数据可携权，前者允许数据主体在特定情形下，有权要求数据控制者立即清除相关的个人数据。而数据可携权是指，用户有权以结构化、通用、机器可读的格式获取个人信息副本，并移至其他数据控制者。

6款APP隐私政策提及的用户权利对比。

被测的6款APP中，基本上都提到了GDPR里赋予用户的八大权利。以可携权和被遗忘权为例，领英称，用户有权访问和索取您的数据，要求提供和索取一份个人数据的副本，并承诺通常可在30天注销账号。谷歌表示，用户可以随时从谷歌账号中导出和删除信息副本。

相比之下，爱彼迎在“数据访问与转移”说明中，较为谨慎，多了在某些司法管辖区的前提条件，称适用法律使得您有权要求获得个人信息副本。同时界定在技术可行的情况下，用户可要求将这些信息传输至其他服务商。

在删除信息方面，Facebook隐私政策新增说明，“我们存储数据，直至我们不再需要这些数据来提供服务和 Facebook 产品或直至用户的帐户被删除——以较早发生者为准。”Facebook举例称，如果用户提交政府发放的身份证件的副本用于帐户验证，平台将在提交30天后删除该副本。

除此之外，记者对比各家新旧版隐私政策发现，在与第三方共享和披露信息方面，6款APP基本都作了补充说明。

以不久前深陷数据外泄事件的Facebook为例，在旧版隐私政策，Facebook所罗列的第三方类型包括“广告、衡量和分信息服务”、“供应商、服务商和其他合作伙伴”。新版隐私政策则进一步细化，涵盖“使用我们分析服务的合作伙伴”、“广告主”、“供应商和服务提供商”、“研究机构和学术机构”等。

Facebook新旧版隐私政策关于第三方的说明对比

与此同时，在信息的分享方式中，Facebook特别以倾斜字体强调，正在进一步限制开发者的数据访问，以帮助防止违规行为。比如，用户在三个月内如果未使用开发者的应用，将取消他们对该用户 Facebook 和 Instagram 数据的访问权。

部分平台上线隐私功能：用户可拒绝个性化广告

除了在文本上适应GDPR的要求，南都记者发现，在隐私政策里，多数APP还提供了隐私工具链接或操作路径。

部分APP的隐私设置

在3月爆出数据外泄丑闻后，Facebook在设置中新增“隐私快捷设置”，允许用户一个集合的菜单里，来控制个人信息显示、管理接收到的广告推送、调整个人页面访问权限等。

Facebook的隐私功能

同时，Facebook也引导用户通过3个步骤进行隐私设置检查。具体而言，用户可选择动态消息发布的分享对象，比如公开，好友，部分好友，指定好友，仅限自己等。此外，用户还能在该设置中移除使用脸书登录的第三方应用和网站。比如，当南都记者选择移除爱彼迎后，Facebook称爱彼迎将不再能获取账号信息。

和Facebook一样，Twitter、谷歌和领英也有相似的隐私功能。

比如Twitter承诺，用户可自主决定是否让Twitter与业务伙伴分享用户的数据，用于广告和品牌影响等用途。不仅如此，在“兴趣与广告数据”设置中，用户能查看Twitter平时根据用户的行为标记出来的用户兴趣爱好、Twitter合作伙伴标记的用户的兴趣爱好，以及用户自身添加的广告商猜测的兴趣爱好。这些数据相当于各方平台对用户的数据画像，不仅可以查看，用户还能自主删减被收集的特征值。

Twitter个人数据页面及其给用户的标签

谷歌则提供专门的“隐私控制项”视频，告知用户可以开启哪些设置增强自身数据安全，称用户可以掌控自己的隐私。

谷歌的个人信息与隐私功能

同样的，领英的隐私设置里也向用户明确怎么去控制它们被使用的数据，用户甚至可选择不允许领英向其推送更个性化的推广职位和广告。

领英的隐私功能

不难发现，各大平台推出隐私工具的目的，旨在让用户掌控自己的数据。具体包括，由用户决定信息分享的范围，广告推送内容以及个人数据的查看或下载。在隐私政策里，这些隐私工具的链接被嵌入其中，在APP内也有明显的进入路径提示，便于用户熟悉和操作。

从这点来看，企业隐私政策从原本的书面承诺，变成实际可感的功能操作，这对于增强用户体验感，提高平台的美誉度都具有积极意义。

如今，虽然信息时代发展迅速，但是与此同时，隐私信息泄漏、病毒木马、黑客攻击等安全隐患也随之而来。那么，个人信息泄露会给我们生活造成怎样的危害？我们要如何保管好个人信息安全呢？下面佰佰安全网就给您讲述下相关的信息泄露安全小知识。

( 责任编辑: 孟洋洋 )