知识管理论坛 >

2022 , Vol. 7 >Issue 6: 662 - 673

DOI: https://doi.org/10.13266/j.issn.2095-5472.2022.053

面向全社会的知识服务新兴模式专辑

《个人信息保护法》对APP隐私政策的影响研究

  • 韩朔 , 1, 2
展开
  • 1. 武汉大学信息管理学院, 武汉 430072
  • 2. 武汉大学知识产权高级研究中心 武汉 430072

韩朔：硕士研究生

收稿日期: 2022-07-04

  网络出版日期: 2025-04-28

收起

Research on the Impact of Personal Information Protection Law on APP Privacy Policy

  • Han Shuo , 1, 2
Expand
  • 1. School of Information Management, Wuhan University, Wuhan 430072
  • 2. Advanced Study Center for Intellectual Property Rights of Wuhan University, Wuhan 430072

Received date: 2022-07-04

  Online published: 2025-04-28

Fold

摘要

[目的/意义] 对《个人信息保护法》实施前后APP隐私政策的变化进行对比，可以有效评估其影响与局限，为后续相关法律法规与政策的制定或修订提供参考。[方法/过程]收集2021年上半年用户活跃度排名前30的APP的隐私政策变化情况，分析其是否受到《个人信息保护法》的影响，对受到影响而发生变化的APP隐私政策，利用建构主义扎根理论的编码方式进行编码、分析，与《个人信息保护法》的内容进行对比，并用未发生变化的APP隐私政策对结论进行验证。[结果/结论]研究表明，随着《个人信息保护法》的实施，大量APP都修改了其隐私政策，显著增加了信息复制权、敏感信息单独同意等权利，但并非所有的条款都带来了显著影响，某些条款缺乏强制力，缺乏详细标准，并未在隐私政策中反映出明显变化。据此，提出后续法律法规的优化策略与关注重点。

关键词： 个人信息保护; APP; 隐私政策; 扎根理论

本文引用格式

韩朔 . 《个人信息保护法》对APP隐私政策的影响研究[J]. 知识管理论坛, 2022 , 7(6) : 662 -673 . DOI: 10.13266/j.issn.2095-5472.2022.053

Abstract

[Purpose/Significance] Comparing the changes of APP privacy policy before and after the implementation of the Personal Information Protection Law can effectively evaluate its impact and limitations, and provide reference for subsequent relevant laws, regulations and policies. [Method/Process] This paper collected the changes in the privacy policy of the top 30 APPs in user activity in the first half of 2021, analyzed whether they were affected by the Personal Information Protection Law, encoded and analyzed the changes affected by the influence by using the coding method of constructivist grounded theory, compared them with the content of the Personal Information Protection Law, and verified the conclusion with the unchanged APP privacy policy. [Result/Conclusion] The research showed that with the implementation of the Personal Information Protection Law, a large number of Apps had revised their privacy policies, significantly increasing the right to copy information, the right to consent to sensitive information, etc., but not all provisions had brought significant impact. Some provisions lacked of coercive force and detailed standards, and had not reflected significant changes in the privacy policy. Accordingly, this paper put forward the optimization strategy and focus of follow-up laws and regulations.

Key words： personal information protection; APP; privacy policy; grounded theory

1 引言

近年来，随着新一代信息技术特别是移动互联网的迅猛发展，APP中的个人信息保护成为党中央国务院高度关注、人民群众广泛关切、经济发展迫切需要、国际社会普遍推进的重要议题[1]。2021年8月20日，十三届全国人大常委会第三十次会议表决通过《中华人民共和国个人信息保护法》[2]（以下简称《个人信息保护法》），从2012年《全国人大常委会关于加强网络信息保护的决定》，到《网络安全法》《消费者保护法》，再到专门性的《个人信息保护法》，我国对个人信息的保护水平逐步提高。
《个人信息保护法》于2021年11月1日生效，而在10月末和11月初，许多APP都更新了自己的隐私政策，并征得用户的重新同意，这显然是受到《个人信息保护法》生效日期的影响。隐私政策的更新说明或更新内容中，多个明确提到《个人信息保护法》，如淘宝隐私政策更新说明中提到“为更好地保障淘宝平台会员的合法权益，结合最新的监管要求，我们对《淘宝网隐私政策》进行了更新”[3]；微博发布公告，为了全面落实《个人信息保护法》相关要求，更新了《微博个人信息保护政策》[4]。《京东隐私政策》[5]《腾讯视频隐私保护指引》[6]等都直接引用了《个人信息保护法》的相关定义。
隐私政策，或称为“个人信息保护政策”，是个人信息控制者遵循公开透明原则，将其收集、使用个人信息范围和规则告知用户的主要方式，是约束自身行为、配合监督管理的重要机制，也是保证个人信息主体知情权的重要手段[7]。因此，隐私政策的变更是运营者保证APP遵循《个人信息保护法》最明显、最快速的表现之一，通过对APP隐私政策的变更的研究，可以了解《个人信息保护法》的实施效果与存在的问题，对《个人信息保护法》的更新完善、实施细则与相关政策的制定有重要的参考作用。

2 相关研究现状评述

近年来，个人信息保护在管理学、法学、计算机科学等领域得到广泛研究。早在2005年，法学家齐爱民就对《个人信息保护法》立法进行研究并提出建议稿[8-9]。《个人信息保护法》出台以来，学者们对其进行了广泛的讨论，如《个人信息保护法》和《民法典》的关系[10]、个人信息利益损害赔偿规则[11]、个人信息跨境流动规则[12]等。《个人信息保护法》的实施也被关注，大多是从理论层面的分析[13-14]和报纸中的时事新闻15]，还有从特定行业出发，研究《个人信息保护法》的实施对相关行业的影响，如医疗行业[16]、金融行业[17]等，但未有对其实施情况进行具体测度的研究。
隐私政策与《个人信息保护法》有着紧密的联系，其自身早已被广泛研究，如对“告知-同意原则”的解读及优化策略[18]、企业隐私政策的政府规制等[19]。在图书情报领域，有较多学者对APP隐私政策进行文本分析，特别是对移动阅读软件和医疗健康软件进行框架优化、合规性判断[20]、用户友好度测度[21]等方面的分析，以及用户对隐私政策的阅读行为分析[22]；也有对国内外典型隐私政策的变化进行对比分析[23-24]。在对隐私政策的分析中，扎根理论及其编码方式被广泛使用，如文禹衡等[25]对中国头部互联网企业的隐私政策中与“数据”相关的文本资料进行编码，来认知与矫正我国数字市场主体的数据产权观念。张玥等[26]利用扎根理论的方法，通过对23位大学生的访谈，构建了医疗问诊APP隐私政策认知的影响因素，并提出相关建议。这些都在数据分析方法上为本研究提供了借鉴。
通过对相关研究的分析，可以发现研究者对《个人信息保护法》的研究都集中在对《个人信息保护法》的内容和理论探讨，少有对《个人信息保护法》的实施成效进行测度；隐私政策对比的研究多限于单个隐私政策，较少对多个隐私政策的变化规律进行研究。作为《个人信息保护法》的重要应用，还未有研究通过隐私政策的变化来测度《个人信息保护法》的实施效果。

3 研究设计

3.1 研究设计与研究方法

首先选定APP样本，对样本APP的隐私政策进行查询，确定其更改日期，判断该变化是否与《个人信息保护法》的实施有关。然后对样本利用构建型扎根理论的编码方式进行编码，完成开放性编码、聚焦编码后，将提取、选择得到的聚焦代码与《个人信息保护法》中的条款作比较，最终得出《个人信息保护法》对APP隐私政策影响。
构建型扎根理论是扎根理论三大主流派系之一，由K. C. Charmaz在吸收B. G. Glaser“经典扎根理论”和A. L.Strauss“程序化”扎根理论的基础上，融入构建主义理论，形成“构建主义扎根理论”[27]。构建主义扎根理论的编码方式和理论生成方式都具有极高的开放性，该理论认为编码只是工具，不应被固化，可以灵活变动[28]。比如其在编码单位上对逐行、逐句、逐事件都持赞同的态度，在理论构建方式上对经典扎根理论的18种理论基模以及程序化扎根理论的“6C”模型均不排斥[29]。国内也有在构建主义扎根理论的基础上对编码方式进行变更、优化的例子[30]。
由于笔者研究的内容为《个人信息保护法》对隐私政策的影响，所构建的理论的影响因素及被影响概念已经被预设，并处于分离状态。因此，笔者在类属的提取以及理论构建环节与典型的编码过程有所区别：先将隐私政策的变化进行实质性编码，再将《个人信息保护法》每条内容进行总结，然后将上文对隐私政策变化的编码与其对应，最后提取出《个人信息保护法》对隐私政策影响的主要指标，并使用未列入编码样本APP的隐私政策进行验证。

3.2 研究样本与数据来源

选取移动互联网专业研究机构QuestMobile在2021年7月发布的《中国移动互联网2021半年大报告》[31]中《APP用户规模排行榜》榜单排行前30名的APP作为研究样本，收集这些APP隐私政策的当前版本和历史版本，截止日期为2021年12月1日。筛选出在2021年11月1日前后3天内对隐私政策进行修改的APP，或在2021年8月20日到12月1日的其他时间改变隐私政策，有其他证据证明是受到《个人信息保护法》的影响而改变的隐私政策作为编码样本。隐私政策历史版本的获取方式主要是通过APP运营商主动公开的隐私政策历史版本、网页快照网站保留的历史版本等方式获得，隐私政策修改的内容主要通过新版本隐私政策发布时的更新说明，使用word和beyond compare4等文本比较软件识别新旧版本的差别并采用人工筛选等方式完成。
在研究样本中，共有18个APP在2021年11月1日前后3天内更新了隐私政策，其中有5个APP历史版本未被找到，另有3个未在这一时间段更新，但有证据表明是受到《个人信息保护法》的影响而对隐私政策进行了更改。最终得到可以认为受到《个人信息保护法》的影响并且可以得到新旧版本的共16份，将其作为编码依据；对于最新在2021年8月之前更新的隐私政策，其不可能受到《个人信息保护法》的影响，共8个；在2021年11月1日左右更新，明显受到《个人信息保护法》的影响，但暂未找到其历史版本的隐私政策，共6个。这两种隐私政策与《个人信息保护法》的关系明确，但无法对比自身修改，因此用于在编码完成后，对编码结果的隐私政策变化进行验证。各APP隐私政策的更新时间和使用方式如表1所示：
表 1 APP样本列表
序号 APP名称 旧版更新时间 最新更新时间 更改性质 用途
1 微信 2021年8月25日 2021年10月29日 实施前后更新 用于编码
2 淘宝 2021年9月27日 2021年11月1日 实施前后更新 用于编码
3 支付宝 2021年3月8日 2021年3月8日 无更新 用于验证
4 抖音 未找到 2021年11月1日 未找到历史版本 用于验证
5 QQ 未找到 2021年11月1日 未找到历史版本 用于验证
6 高德地图 2021年4月25日 2021年10月30日 实施前后更新 用于编码
7 爱奇艺 2021年8月31日 2021年11月23日 受到影响更新 用于编码
8 百度 2021年3月1日 2021年3月1日 无更新 用于验证
9 搜狗输入法 2021年5月18日 2021年5月18日 无更新 用于验证
10 拼多多 2021年8月19日 2021年8月19日 无更新 用于验证
11 百度地图 2021年8月8日 2021年10月31日 实施前后更新 用于编码
12 微博 2021年8月6日 2021年11月3日 实施前后更新 用于编码
13 百度输入法 2021年2月3日 2021年2月3日 无更新 用于验证
14 QQ浏览器 2020年8月14日 2021年11月9日 实施前后更新 用于编码
15 腾讯视频 2020年9月27日 2021年11月29日 受到影响更新 用于编码
16 快手 未找到 2021年11月2日 未找到历史版本 用于验证
17 WiFi万能钥匙 2021年6月9日 2021年11月1日 实施前后更新 用于编码
18 京东 2021年6月27日 2021年12月1日 受到影响更新 用于编码
19 美团 2019年8月15日 2021年11月4日 实施前后更新 用于编码
20 今日头条 2020年12月31日 2021年11月1日 实施前后更新 用于编码
21. 腾讯新闻 未找到 2021年11月26日 未找到历史版本 用于验证
22. UC浏览器 2021年8月16日 2021年10月30日 实施前后更新 用于编码
23. WPS Office 2021年8月11日 2021年11月1日 实施前后更新 用于编码
24. 酷狗音乐 2021年10月11日 2021年10月11日 无更新 用于验证
25. 华为应用市场 2021年10月18日 2021年10月28日 实施前后更新 用于编码
26. 优酷视频 2021年8月19日 2021年10月31日 实施前后更新 用于编码
27. 芒果TV 未找到 2021年10月29日 未找到历史版本 用于验证
28. 应用宝 2021年10月18日 2021年10月18日 无更新 用于验证
29. QQ音乐 未找到 2021年10月29日 未找到历史版本 用于验证
30. 酷我音乐 2021年10月13日 2021年10月13日 无更新 用于验证

4 研究过程

4.1 编码过程

4.1.1 开放性编码

根据文本对比软件的比较结果，使用Nvivo软件进行编码，得到开放性编码结果。在编码过程中，采用内容实质变化编码方式，即每处修改进行一次编码。如果更改限于一句话，则将一句话作为编码单位，如果更改较大，涉及多句话，则以能包含单次更改的最小段落为编码单位。某些更改可能带来多个实质内容的变化，则有可能对一处变化进行多次编码。对于挪动位置但实际内容无变化的修改，不作编码；对于更改文字表达使意思表达更准确，但实质内容没有变化的修改，不作编码；对于明显的名词变更，进行编码。经过开放性编码后，共对16个文件进行了882次编码，由于篇幅所限在此不进行罗列，原始数据已上传到科学数据银行中托管[32]。

4.1.2 聚焦编码

聚焦编码是编码的第二个主要过程。聚焦编码意味着使用最重要的或出现最频繁的初始代码，用大量的数据来筛选代码，这些代码要比初始代码更具有指向性、选择性和概念性。从初始编码到聚焦编码并不是一个完全线性的过程，在开放性编码的后期与早期编码的对比、修改和合并，其实已经开始了聚焦编码[28]。在本研究的聚焦编码过程中，不仅考虑其出现的频次，还考虑其实质的内容变化，如新增用户的隐私相关权利、新增数据控制者的义务等。有些变动属于跟随功能变动而改变，不会影响隐私政策的核心内容，更不会是受到《个人信息保护法》的影响而改变，所以在聚焦编码时予以略过。判断功能变更的主要依据为APP在相应时间的版本更新说明。本研究完整的聚焦编码见参考文献[32]，其中括号里面的内容分别为Nvivo中的文件数与参考点数，即进行修改的隐私政策数量与所有样本中的编码出现数量。表中共有133个初级编码（用a表示），53个二级编码（用A表示）和6个三级编码（用B表示）。

4.2 编码结果分析

对编码结果进行分析，从三级编码来看，编码内容最丰富的是B1告知-同意，其次为B5用户权利和B4信息共享。详细规定告知同意原则、加强个人的权利、明确个人信息处理者的义务，也是在各方解读中均认为是《个人信息保护法》带来的最重要提升[32]。在B1告知同意中，最多的修改是扩大了告知用户的内容与条件，如对信息收集内容、信息处理目的、信息使用方式、隐私政策适用范围等详细说明，增加了关于政策变更、使用系统权限等告知用户的条件；其次是增加需要单独同意情形，如处理敏感个人信息、儿童信息、变更处理目的等情形，需要用户单独同意，增加了对敏感信息以及未成年人的保护；还对告知同意的例外情形做出规范，明确了处理个人信息无需告知用户的相关条件。在B5用户权利中，主要修改的是增加用户的复制权、修改权（管理个人信息）、撤回同意权、删除权（账号注销）、近亲属权利等法律权利，以及管理系统权限、管理个性化推荐、管理功能关闭、约束信息系统自动决策等管理权利。在B4信息共享方面，对个人信息使用者本身以及共享者都增加了约束，对共享目的、共享内容、共享条件等进行更为详细的说明，特别是对于信息共享对象说明与信息转让的义务：对共享对象进行整合，并添加共享对象清单；明确信息可以转让的条件，并告知接收方的名称和联系方式。在B3信息安全方面，修改较多的是信息存储，主要增加了信息存储的时间限制和位置限制，对于跨境传输的条件和责任有着更为详细的说明；其次为个人安全事件响应和安全风险联系方式，增加控制者以及个人对于突发安全事件的应急能力。B2中的改变均是隐私政策根据《个人信息保护法》名词以及定义内容而改变了表达方式，如从旧版本的“个人敏感信息”名词改为“敏感个人信息”，并将定义内容与《个人信息保护法》中保持一致。
值得注意的是，隐私政策中有大量与cookie（储存在用户本地终端上的数据）相关的内容，从编码可以看出，cookie相关规定也有着较多的更改，单独形成3级类目，但《个人信息保护法》并未对cookie及相关技术进行专门的规定，这表明即使在《个人信息保护法》实施当天发布新的隐私政策版本，其修订内容也并非全都是受到《个人信息保护法》的影响。因此，下文将编码结果与《个人信息保护法》条款的内容逐条进行对应，以便更好地找出针对于《个人信息保护法》而改变的隐私政策内容。

4.3 与《个人信息保护法》对比

本节对《个人信息保护法》的条款逐条进行分析，提炼出其主要内容，然后从上文的聚焦编码选择相关代码与其对应，对应单位以二级编码和初始编码为主。由于《个人信息保护法》涵盖内容较多，并非是针对隐私政策的专门法律，因此在分析过程中只提取与隐私政策有关的条款。对条款内容的提炼主要参考全国人民代表大会常务委员会法制工作委员会[33]、最高人民法院[34]以及法学学者[35]等对《个人信息保护法》的解读。表2列出了详细的对应情况。对应隐私政策修改一列中编码的后缀代表进行修改的隐私政策数量。
表 2 《个人信息保护法》与APP隐私政策变化对应表
个人信息保护法 对应隐私政策修改
位置 主要内容
第四条 个人信息的定义、个人信息处理定义 a45修改个人信息定义(6)，a51删除“个人信息”定义(2)
第十三条 处理个人信息的条件，包括用户同意和其他情形 a34修改处理个人信息无需同意的条件(9)，a35删除：共享、转让无需同意(5)，a36修改共享信息例外(2)，a37删除：收集、使用个人信息授权同意的例外(2)，a38修改收集个人信息无需同意(3)
第十四条 特殊情形单独同意、目的变更重新同意 a1处理目的变更单独同意（4），a40重大变更重新提醒(4)
第十五条 个人撤回同意权 A45撤回同意权利(13)
第十六条 除必需信息，不得因为拒绝处理信息而不提供产品 A3基本功能(8)
第十七条 需要告知的事项，变更应进行告知 A5适用范围(6)，A8信息处理目的(9)，A9信息使用方式(6)，A10信息收集内容(16)，A17完善个人信息处理者的说明(4)
第十九条 保存期限最小实现目的 a66增加存储期限的限制(5)
第二十条 共同处理个人信息
第二十一条 委托处理个人信息 a3委托处理超出范围单独同意（4），A25整合共享对象(14)，A28明确共享情境（6），A26明确共享目的(4)，a77取消去标识化数据的限制(4)，a78详细规定了共享内容(2)
第二十二条 转让个人信息 a86添加告知接收方的名称和联系方式(8)，a87修改信息转让情境(8)
第二十三条 向其他个人处理者提供个人信息需要单独同意 a2共享个人信息单独同意（2）
第二十四条 进行自动化决策 A46约束信息系统自动决策(3)，A2个性化推荐(8)，A36个性化管理(8,19)
第二十五条 除非单独同意，不得公开个人信息 A69明确信息披露的条件(3)
第二十八条 敏感个人信息定义及处理条件 a50删除“个人敏感信息”定义(2)，a46修改敏感个人信息定义(5)
第二十九条 敏感个人信息需要单独同意 a4处理敏感个人信息单独同意（7）
第三十条 敏感个人信息需要告知的内容 a4处理敏感个人信息单独同意（7）
第三十一条 处理14周岁以下未成年人信息 A6 加强未成年人保护(4)
第三十八条 跨境传输个人信息的条件和义务 a65添加合同必需跨境保存情境(4)，a66增加跨境传输的责任(3)
第四十四条 知情权、决定权、限制权 A43信息接收(4)，A44信息控制(3)
第四十五条 查阅、复制个人信息、转移个人信息 A35增加用户复制权以及行使方式(7)
第四十六条 补充、更正信息 A37增加管理个人信息方式(9)
第四十七条 删除个人信息 A40添加请求信息删除的情境(8)， A48账号注销(8,14)
第四十八条 对规则解释说明 A99扩大用户请求权(2)，a100联系客服验证身份说明(2)，a101增加联系方式说明(6)
第四十九条 自然人死亡后近亲属权利 A39增加其他主体权利(7)
第五十条 提供和响应个人行使权力方式 A41系统权限管理(3)，A42响应请求(8)
第五十一条 保证信息安全应采取措施 A19安全管理措施(5)，A18安全风险联系方式(3)
第五十二条 个人信息保护负责人
第五十三条 专门负责机构 a102专门保护团队说明(6)
第五十七条 个人信息安全事件通知义务 a62增加补救方式(2)，a63简化个人信息安全事件责任(3)
第五十八条 平台特殊义务
第五十九条 受托人义务 A30共享信息安全(2)
第七十三条 个人信息处理者、自动化决策、匿名化信息、去标识化信息的定义 a47修改匿名化定义(3)，a48修改去标识化定义(3)
从表2可以看到，《个人信息保护法》的大部分相关条款都对APP隐私政策带来了影响，根据影响的数量和内容，可将条款分为3类，具体如下：
第一类是带来的影响明显且范围较广的条款，表现为对应的编码类型较多，后缀影响数量也较多。主要包括第13条、17条和21条，均是总则性的表述，影响内容的一致性较小，并且在各隐私政策中极有可能表现为不同形式。如第13条规定了处理个人信息的条件，除用户同意外，还有其他6个情形，在隐私政策中表现为处理个人信息无需同意的例外情形。在旧版本的隐私政策及标准[7]中，处理个人信息无需同意的例外一般分为收集、使用征得同意的例外情形和共享、转让个人信息等无需事先征得同意的例外情形两种。《个人信息保护法》颁布后的隐私政策对13条的理解各不相同：有些隐私政策对这两类例外进行整合（如爱奇艺等），有些只保留收集、使用的例外情形（如WiFi万能钥匙等）或只用于共享（如京东等）；有些将相同的例外条件重复两次（如腾讯视频），还有些分别进行选择性提取（如今日头条、美团等），甚至还有用于跨境传输无需征得用户同意的情形（如UC浏览器）。第17条规定了需要告知的事项，是告知同意原则的总领性条款，隐私政策中表现为对信息处理目的、信息使用方式、收集内容、适用范围和信息处理者身份等一般需要告知内容的完善。第21条则是委托处理个人信息的主要条款，隐私政策中表现为信息共享的目的、条件、内容、对象等信息的丰富。
第二类是影响较为明显，且范围较为集中的条款，表现为对应的编码影响的隐私政策数量较多，但编码类型较少，并且编码的大多为互邻编码，一致性较高，主要包括第4条、14-16、19、22-25、28、29、31、38、44-51、53、51、57、59、73条等条款。其中第4、28、73条款均是对相关概念进行定义，隐私政策也相应对定义进行了更改。第15条规定了个人撤回同意权，在隐私政策中相应增加撤回同意的权利，且仅此一条影响编码；第16条规定不准因拒绝处理信息而不提供产品，因此隐私政策中增加“基本功能”模式，即不提供个人信息也可以使用产品。其他如第19条的信息保存期限、第33条共享个人信息单独同意、第29条处理敏感个人信息单独同意、第31条未成年人信息、第45条复制权、第46条修改信息、第47条删除个人信息、第49条近亲属权利、第53条专门负责机构等都是如此。
第三类是影响较小的条款，表现为没有对应编码或对应编码的影响数量较少，如第20条、第52条、第58条没有对应的改变，第23条、第59条仅有极少的影响。究其原因，可以发现这些条款都有着限制条件，并且没有明确具体条件内容，如第52条规定，“处理个人信息达到国家网信部门规定数量的个人信息处理者应当指定个人信息保护负责人”，但至今并未找到网信部门的规定数量。第58条规定“提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者”需要履行特殊义务，但也并未对具体条件进行定义。另一原因可能是对于条款适用范围以及条款之间的关系不明显，如第20和23条，第20条是两个以上的个人信息处理者共同处理个人信息的规定，第23条是对个人信息处理者向其他个人信息处理者提供其处理信息的规定，从内容上看，两者与第21条、第22条等相似，但带来的影响远小于第20条与第21条。从隐私政策中的义务来看，APP隐私政策把大量的行为都归于第21条规定的委托行为与第23条规定的转让行为，归为第20条和第23条规定行为范围的较少。

4.4 《个人信息保护法》影响验证

对上节中发现的《个人信息保护法》对隐私政策的典型影响内容进行提取，主要依据为4.2节中第二类条款，选择影响的隐私政策数量较多的条款，确定若干合规项，通过对收集到未进行修改的隐私政策以及2021年11月1日前后修改但未找到旧版本隐私政策进行对比，即对不同的APP隐私政策——被认定为没有受《个人信息保护法》影响的隐私政策和已受其影响的隐私政策进行对比，判断这些合规项在两类隐私政策中的合规情况，并对上节发现进行验证。合规项的选取最终得到基本功能模式、信息复制权、信息携带权、系统自动化决策（关闭个性化推荐）、近亲属权利等12项指标。表3列出了两类隐私政策详细的对比情况。
表3 《个人信息保护法》对隐私政策的影响验证
APP名称


合规项 		百度输入法 百度 支付宝 搜狗输入法 拼多多 酷狗音乐 酷我音乐 应用宝 芒果TV QQ音乐 抖音 QQ 快手 腾讯新闻
是否在《个人信息保护法》颁布后更新 否 是
基本功能 否 否 否 否 否 否 否 否 否 是 是 是 否 是
敏感个人信息提醒 是 是 是 否 否 是 是 否 是 是 是 是 是 是
敏感个人信息单独同意 否 是 否 否 否 否 否 否 是 否 否 是 是 是
目的变更重新同意 是 否 是 是 否 是 是 是 是 是 是 是 是 是
转让个人信息告知 否 否 否 是 否 否 否 否 否 是 否 是 否 是
保存期限 是 是 否 否 是 是 是 是 是 是 是 是 是 是
信息可携权 否 否 否 否 否 否 否 否 否 否 是 否 是 是
信息复制权 否 否 否 否 否 是 否 否 是 否 是 是 是 是
约束系统自动决策 否 是 否 否 否 否 否 否 是 是 是 是 是 是
近亲属权利 否 否 否 否 否 否 否 否 是 否 否 否 否 是
专门保护团队 否 否 是 否 是 否 否 是 是 是 是 是 是 是
总体来看，《个人信息保护法》实施作用显著，更新后的隐私政策合规项变多，颜色明显趋为绿色，其中腾讯新闻APP所有的指标都达到合规。同时，从表3也可以看出某些APP的隐私政策没有进行更新并非是其已经达到《个人信息保护法》的水平，虽然有些隐私政策在《个人信息保护法》实施之前就达到较高的保护水平，但其中合规项最多的百度APP也只有4项符合要求，远未达到《个人信息保护法》的要求。
按照合规项来看，其中最明显变化为约束系统自动决策，主要表现为用户可以关闭个性化推荐，这被认为是《个人信息保护法》最大的亮点之一，其次为不准以用户拒绝收集信息为由拒绝服务（基本功能模式）以及用户的信息复制权。但去世主体近亲属的权利、信息可携权、转让个人信息的告知内容等项在修改后的隐私政策里仍有着半数未提供，影响力有待提高，这也与本研究聚焦编码后的代码数量相符合。

5 研究结论

5.1 《个人信息保护法》的影响概述

在30个研究样本中，有18个隐私政策在实施时间前后3天进行更新，4个在颁布后进行更新，影响数量超过三分之二，并且都表示为了符合最近的法律法规，有些还明确了主要依据为《个人信息保护法》。在对修改的内容进行分析发现，大部分的修改都能在《个人信息保护法》中找到来源，如对个人信息的收集内容、使用方式、个人信息处理者进行了明确；使用敏感个人信息进行单独同意，并进行特殊提示；增加个人的复制权；设立个人信息保护的专门部门等，其中个人信息、敏感个人信息、匿名化、去标识化等定义等更与《个人信息保护法》保持高度一致。在4.3节中，利用剩余14个隐私政策对相关改变指标的验证中也可以发现，修改后的隐私政策合规比例明显上升。
同时，虽然有超过三分之二的APP对隐私政策进行了更新，但更新时间并不都早于11月1日这一实施时间，部分APP在11月下旬甚至12月初《个人信息保护法》实施1个月之后才更新自己的隐私政策以符合法律要求。并且仍有将近三分之一的APP至今未针对《个人信息保护法》做出改变，而根据本文4.3节的研究，未更新隐私政策的APP并非已经达到新法律要求无需改动，这体现出《个人信息保护法》的强制力不足。

5.2 《个人信息保护法》存在的问题

虽然《个人信息保护法》的实施促成大量APP更新了自身的隐私政策，但更新后的隐私政策并非完全严格遵守新法律的要求，如《个人信息保护法》第45条规定用户可以复制个人信息并转移到指定的个人信息处理者，大多数隐私政策都规定用户都可以对其个人信息进行复制，但鲜有APP提供转移个人信息的方式；第49条规定的信息主体去世后，近亲属享有查阅、复制、更正、删除等权利，也只有少数隐私政策更新后赋予用户近亲属这项权利；而《个人信息保护法》第20条提出的共同处理信息、第30条提出的敏感个人信息的影响告知等都未在隐私政策中看到其身影。
此外，还有若干条款因为暂时没有具体标准，所以导致影响较为轻微，如第52条、第58条等；若干APP隐私政策变化并未在《个人信息保护法》种找到对应条款（如cookie相关条款），导致标准不统一并存在简化行为；若干条款因为缺乏适用范围的具体解释，导致没有带来应有的影响，如第22条向其他个人信息处理者提供用户个人信息需要用户单独同意，隐私政策并未将自身任何行为归为向其他个人信息处理者提供的行为，因此未向用户征得单独同意；若干条款在各隐私条款有着不同甚至相反的解读形式，如第13条对于无需用户同意就可以处理个人信息的条件在隐私政策中的处理个人信息例外情形有着多种规定形式。

5.3 《个人信息保护法》配套措施关注重点建议

上节中发现的存在问题并非《个人信息保护法》立法水平问题，而是作为基本性法律，其条文内容有限，需要制定配套法律政策，才能更好地将相关条款进行实施。因此，笔者根据隐私政策的修改变化发现，提出《个人信息保护法》配套政策需要重点注意的方向，供后续法律法规与政策参考。

5.3.1 特殊处理者标准

如第45条第3款“符合国家网信部门规定条件的”个人信息处理者应提供转移个人信息的途径、第52条规定的“达到国家网信部门规定数量的个人信息处理者”、第58条规定的“提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者”，但网信部门至今并没有出台配套的“相关规定”[36]，所以几乎没有APP的隐私政策对这几项规定主动进行合规处理。因此，应尽快出台特殊处理者的标准与认定程序，将上述规定落到实处。

5.3.2 信息共享条件

第20条到第23条均是对于非单个个人信息处理者处理个人信息的规定，分别是共同处理个人信息、委托处理个人信息、转让个人信息、向其他处理者提供个人信息。从对个人信息处理者的要求上来看，共同处理个人信息需要约定各自的权利和义务，并对用户承担连带责任；委托处理个人信息无需单独同意；信息转让需要告知接收方名称和联系方式；向其他处理者提供个人信息需要取得用户单独同意。但对于适用范围和相关关系，并未有具体的划分标准，特别是对于共同处理、委托处理、向他人提供三者的关系，从字面意义上来看难以区分，导致隐私政策在信息共享一章大量采用委托处理的信息和大量的“关联公司共享”，而根据隐私政策的规定，委托处理并不需要个人的单独同意，而“关联公司共享”这种将个人信息与其他个人信息处理者共享并且无需个人单独同意的行为不符合第20-23条中的任一条。因此对于不同共享模式下的范围和限制，需要进一步明确规定，特别是对于隐私政策中频频出现的“关联公司”共享的模式，需要明确其法律性质，以免造成APP中隐私流通的灰色地带。

5.3.3 无需获得同意的例外情形

第13条对于处理个人信息条件的规定，除了获得个人的同意，还有6条其他情形，并且根据第4条的规定，处理个人信息包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。这意味着如果符合其他6条规定，便可以在不获得用户同意的情况下，对个人信息进行收集、存储、使用、加工、传输、提供、公开、删除，但个人信息的收集、存储、传输、公开、删除等行为对隐私权的侵犯风险并不相同，如在《个人信息保护法》第3章中，专门对个人信息跨境传输的条件、义务等进行规定，作为个人信息处理的特殊条件，其效力明显要高于第13条规定的处理个人信息条件的一般规定。根据4.2节中的分析，隐私政策对第13条有着不同的解读，并未都将跨境传输作为特殊条件。因此，相关配套法规需要对处理个人信息的条件，即无需获得同意的例外情形做出详细规定，对于跨境传输等特殊情形，需要在符合特定条件后，才能适用第13条的无需个人同意处理信息的“一般规定”。

5.3.4 cookie及同类技术

cookie是一个小文本文件，由网站浏览器创建，保存在用户计算机中，主要用于识别用户身份以及其他信息，以提高用户与服务器的交互效率[37]。由于cookie中包含用户身份信息和行为偏好，并且可以被网站提供商控制，因此cookie有着较大的隐私风险[38]，值得监管者进行特殊关注，如欧盟的《电子隐私指令》[39]甚至由于对cookie的关注而被称为“cookie法案”[40]。《个人信息保护法》对“告知同意原则”、用户权利等都有规定，但这并没有涵盖隐私政策的全部内容。如cookie相关说明，导致大量隐私政策简化了cookie的相关说明。因此，需要对cookie及相关技术做进一步规定，以保证APP使用cookie和相关技术时对个人信息的保护。

6 结语

对法律的实施效果与实际影响进行评估，有助于检验法律是否实现立法目标，发现法律存在问题[41]。隐私政策是我国《个人信息保护法》实施效果的主要体现之一，笔者通过对隐私政策变化的研究可以对《个人信息保护法》实施影响进行评估并发现不足之处。为了避免学者解读和个人主观影响，笔者先在没有对《个人信息保护法》详细分析的情况下进行编码，得到结果后再与《个人信息保护法》逐条比对，从而为隐私政策的变化找到来源，对《个人信息保护法》的影响进行评估，同时也发现了存在的问题，如一些规定没有实施到位、某些规定缺乏具体表述，导致解读不统一等情况，并据此提出了后续配套法律法规的优化方向。值得指出的是，这些问题并非是《个人信息保护法》存在的问题，而是其作为个人信息保护的基本法律，涵括范围有限，需要实施细则或相关法律法规的进一步深化，而本研究发现的上述问题可以为《个人信息保护法实施细则》、国家网信部门的相关规定、工信部《APP个人信息保护暂行规定》等政策文件提供参考。但同时，本研究还存在一些局限性，如研究内容仅限于APP自身公布的隐私政策，而根据《个人信息保护规范》的建议，隐私政策不宜被认为是格式合同，因此隐私政策本身的法律性质和有效性还有待研究；而《个人信息保护法》也并非仅影响到APP的隐私政策，通过APP隐私政策进行测度只能反映其部分条款的部分成效，对《个人信息保护法》的实施效果还可以从其他方面进行全面评估。

参考文献

原文顺序 | 文献年度倒序 | 文中引用次数倒序
[1]
中国信息通信研究院. 移动互联网应用程序（APP）个人信息保护治理白皮书[R]. 北京: 中国信息通信研究院, 2021.

[2]
中国人大网. 中华人民共和国主席令[EB/OL].[2022-03-19].http://www.npc.gov.cn/npc/c30834/202108/5891377866c04fd78df8d76d9b76338e.shtml.

[3]
淘宝. 淘宝网规则中心-《淘宝网隐私政策》变更公示通知[EB/OL].[2021-11-27].https://rulechannel.taobao.com/#/rule/detail?ruleId=11004810&cId=176.

[4]
微博管理员. 微博社区公告[EB/OL]. [2021-12-17]. https://m.weibo.cn/status/4700169407565686?.

[5]
京东.京东隐私政策[EB/OL].[2021-11-27]. https://about.jd.com/privacy/.

[6]
腾讯视频. 腾讯视频隐私保护指引[EB/OL].[2021-12-17].https://privacy.qq.com/document/preview/3fab9c7fc1424ebda42c3ce488322c8a.

[7]
全国信息安全标准化技术委员会.信息安全技术 个人信息安全规范：GB/T 35273-2020[S]. 北京:国家市场监督管理总局,国家标准化管理委员会, 2020.

[8]
齐爱民. 个人信息保护法研究[J].河北法学, 2008(4):15-33.

[9]
齐爱民. 中华人民共和国个人信息保护法示范法草案学者建议稿[J]. 河北法学,2005(6):2-5.

[10]
石佳友. 个人信息保护的私法维度——兼论《民法典》与《个人信息保护法》的关系[J].比较法研究,2021(5):14-32.

[11]
杨立新. 侵害个人信息权益损害赔偿的规则与适用——《个人信息保护法》第69条的关键词释评[J].上海政法学院学报(法治论丛),2022,37(1):1-15.

[12]
刘晓春, 胡笳.《个人信息保护法》为我国跨境数据流动提供制度基础[J].中国对外贸易, 2021(12): 42-45.

[13]
郭锋,陈龙业,贾玉慧.《个人信息保护法》具体适用中的若干问题探讨——基于《民法典》与《个人信息保护法》关联的视角[J].法律适用,2022(1):12-22.

[14]
王利明, 丁晓东.论《个人信息保护法》的亮点、特色与适用[J].法学家,2021(6): 1-16.

[15]
郜小平, 叶丹.个人信息保护，互联网企业准备好了吗？[N].南方日报, 2021-01-01(B02).

[16]
吴凌放.《个人信息保护法》实施下的医疗数据管理和应用探讨[J].卫生软科学, 2022,36(1): 5-7.

[17]
张坤.《个人信息保护法》对保险行业的影响与应对建议[J].清华金融评论, 2021(12): 88-92.

[18]
万方. 隐私政策中的告知同意原则及其异化[J].法律科学(西北政法大学学报), 2019,37(2): 61-68.

[19]
高秦伟.个人信息保护中的企业隐私政策及政府规制[J].法商研究,2019,36(2): 16-27.

[20]
赵杨,严周周,沈琪琦,等.基于机器学习的医疗健康APP隐私政策合规性研究[J].数据分析与知识发现,2022,6(5):112-126.

[21]
姚胜译, 吴丹. APP隐私政策用户友好度评价研究[J]. 信息资源管理学报, 2021,11(1): 30-39.

[22]
朱侯, 张明鑫, 路永和.社交媒体用户隐私政策阅读意愿实证研究[J]. 情报学报, 2018,37(4): 362-371.

[23]
李凤. 微信隐私政策发展研究[D].湘潭:湘潭大学,2020.

[24]
董琳. 英国国家图书馆用户隐私政策修订给我国的启示研究[D].大连: 辽宁师范大学,2020.

[25]
文禹衡, 贺亚峰. 数据产权市场主体的认知调查与矫正[J]. 图书馆论坛, 2022(3): 1-12.

[26]
张玥, 王坚, 朱庆华. 医疗问诊APP隐私政策的认知影响因素框架模型研究——基于扎根理论方法[J]. 情报理论与实践, 2019,42(6): 105-110.

[27]
CHARMAZ K C. Constructing grounded theory: a practical guide through qualitative analysis[J]. International journal of qualitative studies on health and well-being, 2006,1(3): 284-287.

[28]
凯西·卡麦兹. 建构扎根理论:质性研究实践指南[M].边国英,译. 重庆: 重庆大学出版社, 2009.

[29]
贾旭东,衡量.扎根理论的“丛林”、过往与进路[J]. 科研管理,2020,41(5):151-163.

[30]
吴毅,吴刚,马颂歌.扎根理论的起源、流派与应用方法述评——基于工作场所学习的案例分析[J]. 远程教育杂志, 2016,35(3): 32-41.

[31]
QUESTMOBILE. QuestMobile中国移动互联网2021半年大报告[EB/OL]. [2021-12-15]. http://mp.weixin.qq.com/s?__biz=MjM5MDk2NzM0Ng==&mid=2651531075&idx=1&sn=7b21e97dcf8da83d249594b3bdb8de22&chksm=bd43341e8a34bd086dad12480044c00b1e8d7d67fd9ee04b5c12a7c669d2c804435581e62946#rd.

[32]
韩朔. 《个人信息保护法》对APP隐私政策的影响研究-隐私政策原始数据及编码过程[DS/OL]. Science Data Bank, 知识管理论坛[2022-12-29]. DOI:10.57760/sciencedb.07011.

[33]
程啸. 专家解读｜全面保护个人信息权益的重要法律-中共中央网络安全和信息化委员会办公室[EB/OL].[2022-03-04].http://www.cac.gov.cn/2021-08/25/c_1631491543035763.htm.

[34]
杨合庆. 大数据时代，给个人信息加上法律“保护锁”[EB/OL]. [2021-12-22]. https://m.gmw.cn/baijia/2021-08/23/1302504877.html.

[35]
最高人民法院司法案例研究院.《个人信息保护法》适用要点解读[EB/OL]. [2021-12-21]. http://mp.weixin.qq.com/s?__biz=MzIxNTYzNzU4NA==&mid=2247525745&idx=1&sn=dcd9936dd6674e5ce9be9c838fde49e8&chksm=97976e4ea0e0e7582ed18087520a5e850eb4a36b2add0e59bde16a9d4b33b33ee86d7630ac89#rd.

[36]
张新宝, 申卫星, 程潇, 等.《个人信息保护法》的多维解读与思考[J]. 中国法律评论, 2021, 41(5): 17.

[37]
中共中央网络安全和信息化委员会办公室.办公室发布[EB/OL].[2021-12-25].http://www.cac.gov.cn/qwfb/bgsfb/A090302index_1.htm.

[38]
Pinsent Masons Limited Liability Partnership. About cookie[EB/OL].[2022-03-18].https://www.aboutcookies.org/.

[39]
Pinsent Masons Limited Liability Partnership. Cookie FAQ's[EB/OL].[2022-03-07].https://www.aboutcookies.org/cookie-faq.

[40]
Publications Office of the Union. EUR-Lex - 02002L0058-20091219 - EN - EUR-Lex[EB/OL].[2022-03-19].https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A02002L0058-20091219.

[41]
Proton Technologies Ag. Cookies, the GDPR, and the ePrivacy Directive-GDPR.eu[EB/OL].[2022-03-19].https://gdpr.eu/cookies/.

[42]
张晓斌. 法律实施效果的定量评价方法[J]. 法商研究, 2006(2): 154-160.

Options
文章导航

/

〈 〉