在未來，假設你突然不想用某個App，你是否能從這個App要回你的個人資料等個人信息？又或者你看到另一個App有相似的功能，你是否能直接將原有App的個人信息轉移到另一個App上？

《個人信息保護法》（下稱“個保法”）給出了肯定的答案。2021年11月1日，個保法生效，明確個體的查閱復制權和數據可攜帶權——前者旨在保證個人對其個人信息處理的知情權和決定權，后者賦予個體轉移個人信息的權利，被認為有助于解決數據壟斷等問題。

國內，不少企業聞風而動，有App已經更新隱私政策以適配個保法。但是，目前監管部門尚未出臺具體的細則，仍沒有明確規定個人信息處理者應以何種形式和流程來滿足上述權利。我們測試了50款熱門App，看看是否能從這些App要回個人信息或實現個人信息轉移。結果發現，盡管部分App已經將上述權利寫入隱私條款中，但真正的落實仍需要時間和進一步的探討。

被測50款App中，僅有11個提供了個人信息副本

“所謂復制，就是要求個人信息處理者為個人提供所要求的復制的其個人信息的副本”，清華大學法學院教授程嘯和清華大學法學院助理研究員王苑曾就查閱復制權撰文寫道，此種副本的形式應是書面形式，包括紙介質或者電子介質。

為何要賦予用戶查閱復制權和數據可攜帶權？世輝律師事務所合伙人王新銳接受澎湃新聞采訪時說，查閱復制權是為了讓用戶實現知情的權利，即明確App獲取了哪些個人信息；數據可攜帶權更多是為了實現個體的自決權，用戶發起的數據流動也能促進企業間公平競爭，解決數據平臺的數據壟斷問題。

此次進行測評的50款熱門App中，有19個App的隱私政策明確提及用戶能復制個人信息，而在記者發出復制個人信息的申請后，僅有11個App提供了個人信息副本。測評過程中，多名客服表示不清楚此項權利，6個App在十五天內沒有回復。此外，部分App對“復制”概念有不同的解釋，例如，微博和京東金融讓用戶自行查看App界面的個人資料，而其他App提供的是單獨的文件。

如何“復制”個人信息才算合理？歐盟的《一般數據保護條例》(General Data Protection Regulation, GDPR)提供了一種參考，GDPR認為個人信息副本應是結構化、普遍使用、可機讀的形式。王新銳說，個保法沒有規定App提供給用戶的副本的格式，該項權利的落地會在后續的配套規則如《網絡數據安全管理條例》中加以細化。目前，《網絡數據安全管理條例》處于征求意見階段。

在個人信息轉移申請方面，當下提供此項服務的App數量更少。在50個App中，僅有5個App的隱私政策明確提及提供個人信息轉移的服務，比如，抖音的隱私政策寫著，“如果你需要轉移我們收集存儲的個人信息，我們將根據法律法規的要求，為你提供轉移路徑”。

在實際測試過程中，抖音等3個App在十五天內沒有回復，快手表示用戶需自行轉移自己的個人信息，小紅書則表示需要用戶按照相應聯系方式提出申請，并且滿足網信部門規定的條件，小紅書才會提供轉移相應個人信息的途徑。實際上，我國仍未出臺個人信息轉移配套的網信部門規定，這也意味小紅書提及的“滿足網信部門規定的條件”暫時無從談起。

需要指出的是，圍繞查閱復制權和數據可攜帶權的關系等問題，仍有待進一步的探討。程嘯等人在《論我國個人信息保護法中的查閱復制權》一文中寫到，兩者存在明顯區別，涉及權利目的、法律關系主體等的不同。中國信息通信研究院互聯網法律研究中心主任方禹認為，兩者應是相輔相成的關系，可以查閱和復制的個人信息才是能夠攜帶的，反之亦然。

拿到手的個人信息副本，內容大多較為精簡

盡管部分App提供了個人信息副本，但內容都比較簡單。澎湃新聞梳理發現，基本涵蓋五種類型的個人信息，分別為個人資料、賬號信息、實名認證信息、設備和App信息、使用信息。多數App提供的個人信息副本集中在前四種類型，相比App收集的大量個人信息，這些不過是九牛一毛。

相對來說，唯品會提供的個人信息副本內容較為豐富，除了基礎的個人資料、尺碼等，唯品會還會提供訂單記錄、收藏記錄等使用信息。測評過程中，京東金融客服表示，為了用戶個人資產安全等問題，暫時不向用戶提供白條、訂單記錄等信息。

“目前除了部分頭部的App以外，大部分App都沒有準備好把這些個人信息的副本提供給用戶”，王新銳說，當前，App能提供的復制內容主要是用戶自行填寫的信息，但個人信息更多來自App的主動獲取，比如地理位置、語音、照片、設備標識符等。

方禹認為，用戶只有先知道App獲取了自己的哪些個人信息，才能行使更正、刪除個人信息等行為的決定權。這很大程度是因為，個人信息處理者和個體之間存在明顯的信息落差，技術能力等方面的不均衡導致兩者的地位不平等，個人信息處理者在大規模、組織化和結構化地處理個人信息，而個體“可能會忘記給予某個App什么個人信息，這勢必影響個體行使其他的權利”。

不過，關于App是否需要提供其收集的所有個人信息，乃至用戶畫像等衍生數據，目前仍無定論。方禹表示，這涉及互聯網市場結構的問題，如果某個App在市場上沒有另一個同質化的對手，那轉移該App衍生數據的意義不大。

此外，測評結果顯示，不同App的個人信息副本下載方式、身份驗證流程等方面有所不同。有7個App提供直接導出個人信息副本的選項，其余則需用戶通過郵箱、電話、在線客服等方式進行申請。“沒有辦法，只能通過郵件或客服的方式來響應用戶的請求，”一位不愿具名的頭部互聯網企業數據合規員工接受《財經》E法采訪時說，目前很少有用戶會申請復制其個人信息，如果要實現“用戶可自行導出”的選項，將增加企業成本。

實現查閱復制權和數據可攜帶權的過程中，身份驗證是至關重要的環節，涉及到信息泄露等風險。GDPR規定，控制者應當使用所有合理的措施在數據主體要求訪問數據時驗證數據主體身份，尤其是使用線上服務和線上識別器。控制者不應僅以回應潛在數據主體的請求為目的保留個人數據。

一名從事數據合規行業的業內人士告訴澎湃新聞，實現個人信息轉移更加困難，各家企業的數據接口、模式、內容都不一樣，數據合規成本和數據泄漏風險相當高。

此次測評中，唯品會、WPS Office和酷狗音樂的驗證方式較為不同。唯品會需要用戶提供唯品會App“個人中心-設置-賬號與安全”界面的截圖；WPS Office要求用戶拍攝手持身份證正反面的照片，發送至App郵箱；酷狗音樂則有一份專門的身份驗證表格，用戶需要填寫基本申請信息和至少提供一項身份驗證信息，比如注冊時間、注冊地點、手機號、登錄過的常用設備型號、常登錄地。

酷狗音樂的用戶個人信息副本申請表