過度索權的APP和被濫用的使用者個人資訊

中國經營報《等深線》記者 李甜 馬秀嵐 北京報道

2021年2月1日，春節將至，李元忽然收到某應用商城的通知，他開發的APP被工信部發現問題，他需要去一個網站領取通知，按要求整改。當時，李元已回老家準備過年，手頭沒有公章，也不熟悉線上操作流程。工信部給他的私下整改機會這樣流失。2月5日，工信部公開通報包括李元的APP在內的26款APP，它們存在違規呼叫麥克風、通訊錄、相簿等許可權的問題，整改期限是2月10日前，心急的李元找到知情人士口頭瞭解大概情況後，他嘗試向檢測系統提交了新的電子版本。

3月3日，工信部下發通知，對26款中，10款拒不整改的APP下架處理，李元的APP正是其中之一。顯然，李元也未能把握住第二次整改機會，並受到重罰。截至3月15日，李元的APP在安卓系的應用商店及蘋果應用商城仍未上架。同時，這10款APP目前均未在安卓系主流商城上架，但在蘋果應用商城，有6款應用在架。

對於被下架的原因，李元近日才搞清楚。李元告訴《等深線》（ID：depthpaper）記者，他的APP是一款智慧語音類應用，由個人獨自開發，上線2年，擁有幾十萬名使用者，但是從未設定過使用者隱私協議，使用者在下載之後，能夠直接使用APP，但在此過程中，APP會呼叫使用者手機的一些功能，比如錄音，而使用者並不知情。至於能否再上架，他表示未知且擔心。

李元的APP作為中國市場數百萬個APP之一，被工信部一再點名，似乎有點“倒黴”。近年來，智慧手機的普及將使用者帶入“演算法”時代，我國APP數量井噴。截至2019年初，我國市場上移動應用程式數量達449萬款，但在增長的同時，許多APP廠商在獲取使用者許可權方面顯得無所顧忌。使用者在下載使用一些APP時，提示需要獲取地理位置，讀取通訊錄、簡訊及相簿，開啟麥克風或攝像頭等，已經變得很常見。同時，使用者若不授權，一些APP會自動關閉，拒絕使用者使用。儘管有些APP需要調取的許可權在使用者看來無明顯獲取必要。

面對隱私不“隱”，監管層面已經出手。2019年11月，工信部正式開展APP侵害使用者權益專項整治活動。截至2021年1月26日，工信部已檢測過62萬款APP，責令2234款違規APP整改，公開通報500款，未按要求整改的APP被堅決下架，共132款。另外，在2020年，央視3。15晚會曝光手機軟體外掛（SDK）竊取使用者隱私資訊，並悄悄儲存。2021年3月15日，工信部選擇發聲，新通報136款侵害使用者權益APP，獵豹清理大師、訊飛配音等在列。

APP開發端的現狀

3月3日被工信部點名下架的10款APP，包括橘兔語音、小智同學、聲吧、純純語音、uni語音、WoFit、WiiWear、語聲、暖心語音、KK鍵盤，大多具有語音功能。

“橘兔語音”APP的資訊保護負責人張乾告訴記者，其產品下架的原因是：使用者在使用過程中，有時會用到GPS定位許可權，但使用者隱私協議卻沒有充分提醒。“可能在跟使用者做互動時，提示不夠。”他說。

對於為何被再次通報，他表示，首次被通報時，臨近2021年春節，公司忙著放假，團隊工作效率低，對軟體進行修改的時間顯得緊張，另外，他提到，自己在對接上級部門相關負責人上也花費了一些時間。“不知道跟誰溝通”，因此延誤了整改。

張乾認可工信部做出這種處理的合理性，但是提出，希望在他提交APP新版本後，稽核流程可以加快一些，以使APP儘快上架，恢復經營活動。

張乾認為，監管層面看重APP廠商對實際獲取到哪些使用者資訊的明確展示，“類似於步驟流程，你必須把協議放在這裡，像搭積木一樣。”他說。

開發者隱私觀念薄弱亦導致違規獲取使用者許可權情形發生。

李元的APP是這10款被強制下架的APP中，另一款語音類產品，功能接近於小米旗下的“小愛同學”。

李元對記者說，根據產品功能設計，需要獲取錄音、相機閃光燈等許可權，以及瞭解手機型號等資訊。他承認：“可能在這方面設計上存在一些問題，比如說，我首先直接去一次性獲取，拿到這些許可權，也沒有告知使用者，用這些許可權來幹什麼。”他向記者坦承，可能存在一些設計上的不完善。

李元表示，他平時在某物聯網公司工作，業餘時間獨自開發與運營這款APP。在他原先的觀念中，自己獲取的使用者許可權，屬於APP本身功能執行所需要的，那麼就不算“越界”收集。另外，軟體使用者規模小，又是初創企業，讓他覺得離監管部門距離很遠。“我都覺得，我的產品好像跟隱私掛不上鉤。”他表示，最近才知道微信頭像、手機型號資訊等都屬於使用者個人資訊，他違反了相關規定。

為了符合整改要求，李元近日翻看了淘寶、酷狗音樂、小愛同學等許多大公司旗下APP的使用者隱私協議，參照製作。接受記者採訪時，他的APP首版隱私協議剛撰寫完成，並將APP的APK檔案提供給官方評估機構，以供測試。“一個是擔心不能上架，另一個擔心就是說這個流程要走多長時間。”他表示。

主管部門的監管要求

記者查閱全國資訊保安標準化技術委員會的官方檔案獲悉，“個人資訊”的界定範圍劃分地較為細緻，大致可包含13類，其中，通訊記錄和內容、簡訊、彩信、電子郵件，以及描述個人通訊的資料等，被劃分在“個人通訊資訊”類別；通訊錄、好友列表、群列表、電子郵件地址列表等被劃分在“聯絡人資訊”類別。

在諸多個人資訊中，可能會給個人帶來重大風險的資訊屬於個人敏感資訊，通訊記錄和內容、通訊錄、好友列表、群組列表、行蹤軌跡、網頁瀏覽記錄、精準定位資訊等都屬於“敏感資訊”。而這些資訊，如今廣泛被多類APP收集的範圍。

2019年11月起工信部開展的專項整治工作，重點針對違規收集個人資訊，不合理索取使用者許可權、為使用者登出賬號設定障礙四個方面的八類問題開展規範整治工作。

八類問題具體指：私自收集個人資訊、超範圍收集個人資訊、私自共享給第三方使用者資訊、強制使用者使用定向推送功能、不給許可權不讓用、頻繁申請許可權、過度索取許可權、為使用者賬號登出設定障礙等8類情況。

記者獲悉，工信部資訊通訊管理局負責對APP存在的侵害使用者隱私的行為不定期進行通報，具體由第三方檢測機構來檢查。

在2019年12月19日工信部發布的侵害使用者權益APP第一批名單中，共計41款，QQ、新浪體育、小米金融、搜狐新聞等多款知名APP赫然在列。工信部同時通報了APP所屬企業、版本來源的應用市場、以及每款APP所涉及的問題。例如，工信部提出QQ存在“強制使用者使用定向推送功能、不給許可權不讓用、賬號登出難”這3個問題，新浪體育存在“私自收集個人資訊”問題。

截至目前，工信部公開通報總12批名單，約800款。有媒體據前總11批資料統計，超過50%所涉問題為“違規收集使用者個人資訊”，“APP強制頻繁過度索取許可權”、“違規使用使用者個人資訊”各佔20%左右。

2021年2月5日，工信部副部長劉烈宏談及當前使用者反映強烈的熱點問題，包括“麥克風許可權濫用”“未經使用者同意擅自讀寫相簿”“過度索取通訊錄”“隱藏個推關閉選項”等。劉烈宏表示，將高效推進全國APP技術檢測平臺建設，形成全年檢測180萬款的覆蓋能力。

“最小必要原則”落地難

《等深線》記者獲悉，圍繞各類APP收集使用者個人資訊，監管層面提倡的是“最少夠用”或稱“最小必要”原則。2019年堪稱監管治理的分水嶺年份，國家相關部門對APP收集個人資訊，加大介入管理力度，並嘗試制定規則。

記者瞭解到，自2017年6月1日正式施行的《中華人民共和國網路安全法》，在第四十一條對APP收集使用者個人資訊的法律原則，進行了明確。“網路運營者收集、使用個人資訊，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用資訊的目的、方式和範圍，並經被收集者同意。”同時，“網路運營者不得收集與其提供的服務無關的個人資訊”。另外還強調，監管要求“應當依照法律、行政法規的規定和與使用者的約定，處理其儲存的個人資訊。”

不過，直到2019年，APP收集個人資訊才算迎來一份相對細緻的指導檔案。

2019年6月1日，全國資訊保安標準化技術委員會秘書處編制釋出《網路安全實踐指南——移動網際網路應用基本業務功能必要資訊規範（V1。0）》。

該規範針對“移動網際網路應用中存在的超範圍收集、強制授權、過度索取等個人資訊保安問題”，嘗試給出移動網際網路應用收集個人資訊的6項原則，包括“目的明確原則”“最少夠用原則”“選擇同意原則”“確保安全原則”等。並將移動應用分為16類基本業務功能，並分別設定了必要的資訊收集範圍，即保障移動網際網路應用基本業務功能正常執行所需的個人資訊。如，網路支付應用需要手機號碼和賬號資訊、身份資訊等6項個人資訊；地圖導航類應用的必要資訊僅1項，即使用者位置資訊。

2020年1月20日，該委員會又釋出關於國家標準《資訊保安技術 移動網際網路應用程式（App）收集個人資訊基本規範》徵求意見稿，將移動應用常用服務型別從16種擴至30種，新增如“輸入法”“電子圖書”“問診掛號”“婚戀相親”等細分應用。

記者依據上述監管檔案統計，地圖導航、新聞資訊、電子圖書、拍攝美化、應用商店等5種業務型別的APP只需要1種使用者個人資訊。網頁瀏覽器、輸入法、安全管理等3種業務型別的APP，不需要使用者提供任何個人資訊。

據悉，工信部正在起草《移動網際網路應用程式個人資訊保護管理暫行規定》，該檔案將明確知情同意和最小必要兩項個人資訊保護基本原則。劉烈宏近日指出，將加快檔案出臺程序。

浙江墾丁律師事務所主任張延來對《等深線》記者解釋說：“總的來說，APP不能收集與本服務無關的個人資訊，應當按照最小化原則，以滿足相關服務為準。”收集與功能無關的資訊，例如影片類的應用卻收集使用者通訊錄資訊；APP透過設定超長cookie有效期，收集使用者行為軌跡資訊等，這些行為均屬於“過度收集”。

隱私政策，有時也有“打幌子”之嫌。

奇安信安全專家韓爭光表示，很多APP在隱私政策中會說明收集個人資訊的目的，如提升使用者體驗，根據使用者個人興趣愛好進行定向推送等，“以此為由，在使用者使用過程中會收集手機識別碼、地理位置、購物時的瀏覽及搜尋記錄、使用者手機號碼、家庭地址、通訊錄等。”韓爭光對記者說。

韓爭光談及當前存在的“過度收集”情形：根據“我們”的觀察分析，移動應用在過度收集個人隱私資訊時有很多種情況，比較常見的過度收集個人隱私資訊的情況包括：

其一，收集與業務完全無關的個人隱私資訊，如一個桌布應用，收集地理位置、通訊錄等這些個人資訊，與其業務沒有任何關係，不存在收集的合理性。

其二，雖然業務需要，但APP收集個人隱私資訊時未遵循最小必要原則，如一些應用中有提供“分享給聯絡人好友”相關的業務，可以給通訊錄中的某個聯絡人發訊息，此時應僅獲取選中的聯絡人資訊，而非收集整個通訊錄內容。

其三，在使用者不知情、未授權的情況下收集個人資訊，如APP在後臺執行時收集位置資訊等。

另外，韓爭光表示，過度收集，還包括高頻採集、頻繁索權、不給許可權不讓用等情況。“APP違規收集使用個人資訊的現象經過一段時間的治理後，有所改善，但目前仍普遍存在。”韓爭光表示。

資料被濫用之殤

一位長期關注隱私安全的人士對《等深線》記者談到，APP在收集到使用者資訊之後，商業廣告用途已經是公開的秘密。

據他介紹，APP廠商一般會把使用者資訊進行脫敏，描繪使用者“畫像”，並打上一些標籤，比如“女、22歲、北京白領”，廣告商根據這些標籤來精確推送廣告。“這個已經是公開的事實了。”該人士說，廠商一般會對廣告的商業行為給出說法：脫敏的資料不屬於使用者資料。

記者梳理被點名APP中，6款蘋果商城在架應用的隱私協議發現，對於這些收集來的資料用途，大多包括分析產品使用情況、實現廣告推廣與統計的共享、幫助使用者參加營銷推廣活動。

張延來認為，企業超範圍收集個人資訊，目的還是希望掌握更多資料資源。資料資源具有高價值，在不同資料當中，能夠指向個人身份的個人資訊資料更具價值。此外，個人資訊的集合又可以衍生為資料產品，企業可以拓展業務。

韓爭光亦表示：“個人資訊屬於資料資產，依靠這些資料資產，結合所需的演算法，可以很大程度上支撐產品研發和運營，個人資訊種類越多、量越大，可能給企業帶來直接或間接收益越大，所以很多企業會透過多種渠道收集大量的不同種類的個人資訊。”

通訊錄被讀取，會產生哪些價值？韓爭光表示：“有些企業會透過收集的通訊錄好友的關聯關係，向你發一些營銷簡訊推薦他們的應用以增加使用者量，有些企業會根據使用者的瀏覽或購物喜好推薦相關的產品和服務來獲利。”

實際上，當用戶在談及對APP獲取隱私資訊的介意時，一定程度上，是在談及個人資料萬一被廠商洩露，或被廠商出於商業目的而濫用之後，對個人造成不可控影響的擔憂。韓爭光表示，企業在收集個人資訊後，在儲存、使用、流轉等過程中，如果對個人資訊的管理措施和技術保護手段不足，可能會造成資料洩漏的風險。

李元告訴記者，使用者資訊被濫用的“灰產”，他在金融類相關應用中見過，獲知豐富的個人資訊，有利於催收。

另外，韓爭光提到，普通使用者在一些APP上註冊登入後，經常會收到一些營銷垃圾簡訊，或者收到一些騷擾電話，可能是由於個人資訊被濫用、非法倒賣等原因導致。

（文中李元、張乾為化名）