从App中“复制”自己的个人信息，有多难？( 二 ) 在未来

拿到手的个人信息副本，内容大多较为精简
尽管部分App提供了个人信息副本，但内容都比较简单。澎湃新闻梳理发现，基本涵盖五种类型的个人信息，分别为个人资料、账号信息、实名认证信息、设备和App信息、使用信息。多数App提供的个人信息副本集中在前四种类型，相比App收集的大量个人信息，这些不过是九牛一毛。
相对来说，唯品会提供的个人信息副本内容较为丰富，除了基础的个人资料、尺码等，唯品会还会提供订单记录、收藏记录等使用信息。测评过程中，京东金融客服表示，为了用户个人资产安全等问题，暂时不向用户提供白条、订单记录等信息。

文章图片

文章图片

“目前除了部分头部的App以外，大部分App都没有准备好把这些个人信息的副本提供给用户” ，王新锐说，当前， App能提供的复制内容主要是用户自行填写的信息，但个人信息更多来自App的主动获取，比如地理位置、语音、照片、设备标识符等。
方禹认为，用户只有先知道App获取了自己的哪些个人信息，才能行使更正、删除个人信息等行为的决定权。这很大程度是因为，个人信息处理者和个体之间存在明显的信息落差，技术能力等方面的不均衡导致两者的地位不平等，个人信息处理者在大规模、组织化和结构化地处理个人信息，而个体“可能会忘记给予某个App什么个人信息，这势必影响个体行使其他的权利” 。
不过，关于App是否需要提供其收集的所有个人信息，乃至用户画像等衍生数据，目前仍无定论。方禹表示，这涉及互联网市场结构的问题，如果某个App在市场上没有另一个同质化的对手，那转移该App衍生数据的意义不大。
此外，测评结果显示，不同App的个人信息副本下载方式、身份验证流程等方面有所不同。有7个App提供直接导出个人信息副本的选项，其余则需用户通过邮箱、电话、在线客服等方式进行申请。“没有办法，只能通过邮件或客服的方式来响应用户的请求， ”一位不愿具名的头部互联网企业数据合规员工接受《财经》E法采访时说，目前很少有用户会申请复制其个人信息，如果要实现“用户可自行导出”的选项，将增加企业成本。

文章图片

文章图片

实现查阅复制权和数据可携带权的过程中，身份验证是至关重要的环节，涉及到信息泄露等风险。GDPR规定，控制者应当使用所有合理的措施在数据主体要求访问数据时验证数据主体身份，尤其是使用线上服务和线上识别器。控制者不应仅以回应潜在数据主体的请求为目的保留个人数据。
一名从事数据合规行业的业内人士告诉澎湃新闻，实现个人信息转移更加困难，各家企业的数据接口、模式、内容都不一样，数据合规成本和数据泄漏风险相当高。
此次测评中，唯品会、WPS Office和酷狗音乐的验证方式较为不同。唯品会需要用户提供唯品会App“个人中心-设置-账号与安全”界面的截图；WPS Office要求用户拍摄手持身份证正反面的照片，发送至App邮箱；酷狗音乐则有一份专门的身份验证表格，用户需要填写基本申请信息和至少提供一项身份验证信息，比如注册时间、注册地点、手机号、登录过的常用设备型号、常登录地。