1月5日，虾米音乐发布公告称，由于业务发展上的调整，虾米音乐播放器业务将于2月5日0点停止服务。
在此期间，虾米音乐为用户开启了“个人资料与资产”处理通道，用户可将创建、收藏的歌单、专辑等通过Excel等方式进行保存。虾米还强调，保存期限到期后将删除或匿名化处理服务过程中收集的用户信息。
专家对隐私护卫队表示，企业在停止服务时能够关注到用户数据处理的问题，这是值得鼓励的。该专家还表示，回想过去其他产品停止服务时，大部分并没有涉及该领域的问题，“这是一个进步”。
用户可将歌单转移到其他音乐App中
“12年的陪伴，说不出的再见！”虾米音乐在公告中表示，2021年1月5日10点，将停止注册账号、会员充值、虾币充值等服务。2月5日0点，虾米音乐将停止所有歌曲试听、下载、评论等功能。3月5日0点，除网页端音螺平台音乐人授权服务运营外，其他运营均将停止，服务器也将关闭，届时及以后将无法登录。
消息一出便引起用户关注。网友“I-LEO”感慨说：“感谢‘小虾米’一直给我静静地陪伴，在行车路上、运动时，以及每一个独处的时刻......实在没料到，就这样要说再见了......”
据了解，虾米音乐是国内最早的数字音乐平台之一，拥有3000万首海量曲库，至今已吸引了4万多原创音乐人入驻，拥有1000多个曲风流派、5亿多个优质歌单。
停止服务后，用户将不能继续查看和使用在虾米音乐创建的歌单、听歌记录、好友关系、数字专辑等。为此，虾米音乐为用户开通“个人资料与资产”处理通道。
比如为了导出歌单，用户可进入歌单点击“分享-复制链接”，然后在其他音乐App中选择“导入外部歌单”，将链接粘贴至输入框，即可完成。
对于购买的数字专辑，安卓用户可在“已购音乐”中进行下载，然后在文件管理器中按照“文件- xiami - audios”路径找到下载的歌曲并转移到其他设备上使用。MAC/PC端用户下载数字专辑后，可点击歌曲更多“...”，选择“打开本地文件夹”即可查看已下载的音乐文件。
此外，针对“收藏的艺人”“收藏的专辑”“收藏的歌曲”等，虾米音乐为用户提供保存为Excel表格等方式。
隐私护卫队提醒，上述导出“个人资料”服务的截止时间为2月5日0点。
虾米音乐承诺到期后将删除或匿名化处理信息
除了歌单等个人数据，查阅虾米音乐的“隐私权政策”文件发现，用户在使用服务过程中还提交了其他信息。
比如创建账户时，虾米音乐需要收集用户的手机号，若使用第三方平台账号登录则会收集用户的身份信息、手机号、头像、昵称等。用户若使用上传音频、照片或发布评论等功能的，则需要提交身份证号、身份证和本人同框的照片。用户使用“添加通讯录好友”或向好友分享歌曲等功能时，虾米音乐会访问用户的通讯录。
此外，为提供个性化服务或为了预防互联网欺诈等目的，虾米音乐还会从第三方平台收集用户信息。比如当用户使用支付宝账号登录时，虾米音乐会核实用户的身份或要求用户将支付宝账号绑定虾米音乐账号信息，涉及支付宝的用户ID、昵称、手机号等。
《个人信息保护法》草案规定，个人信息处理者停止提供产品或者服务时，应当主动或者根据个人的请求，删除个人信息。《信息安全技术 个人信息安全规范》也规定，当个人信息控制者停止运营其产品或服务时，应对其所持有的个人信息进行删除或匿名化处理。
虾米音乐在公告中强调，保存期限到期后，将对用户信息进行删除、注销或匿名化处理。所谓匿名化，《信息安全技术 个人信息安全规范》解释为，通过对个人信息的技术处理，使得个人信息主体无法被识别或者关联，且处理后的信息不能被复原的过程。
虾米音乐发布的公告。
北京安理律师事务所高级合伙人、律师王新锐对隐私护卫队说，企业在停止服务时能够关注到用户数据处理的问题，这是值得鼓励的；回想过去其他产品停止服务时，大部分并没有涉及该领域的问题，“这是一个进步”。
专家：信息委托处理者也需要删除或匿名化处理信息
值得注意的是，在“隐私权政策”文件中，虾米音乐还提及，为了向用户提供某些服务，在用户授权的情况下会与关联公司、授权合作伙伴等共享、转让信息。
比如用户在虾米音乐购买商品时，虾米音乐会将订单信息中与交易有关的必要信息共享给商品提供者。虾米音乐会委托合作伙伴处理与广告覆盖面和有效性相关的信息，除非得到用户许可，否则不会将个人身份信息与广告、分析服务合作伙伴共享。
针对以共享、转让等方式交给第三方的信息，虾米音乐并未在公告中提及如何处理。不过，王新锐对隐私护卫队表示，第三方如何处理这些信息是另一个层面的问题，会受到双方订立的合同约束。
他还强调，《个人信息保护法》草案中规定的“个人信息处理者停止提供产品或者服务时，应当主动或者根据个人的请求，删除个人信息”条款同样适用于第三方，它们也要考虑删除或匿名化处理获得的数据，因为“数据处理的基础已经消失了”。
北京环球律师事务所合伙人孟洁分析说，如果是共享的情况，则第三方属于独立控制者的角色，在用户授权共享个人信息后，第三方平台应遵守自己的隐私政策等处理相关信息，独立承担个人信息保护的责任等。
如果是委托处理的情况，即使双方之间签署的合同未到期，停止运营方一般也会提前终止合作协议，受托方（第三方）需要根据要求将数据归还、删除或进行匿名化处理。
文/南都个人信息保护研究中心研究员 尤一炜