6月初，全國信息安全標準化技術委員會發布了《網絡安全實踐指南——移動互聯網應用基本業務功能必要信息規范》(以下簡稱《信息規范》)，依據個人信息收集最少夠用的原則以及不同種類APP的業務范圍，對地圖導航、網上購物、餐飲外賣等16類APP收集個人信息的范圍給出了參考。

6月10日至17日，新京報記者依照《信息規范》中的分類選取了50款常用APP，對其索取的權限以及收集信息的范圍進行實測，發現若嚴格按照《信息規范》中劃定的信息收集范圍，這50個APP中有24個APP索取的權限超出范圍，如智聯招聘索取了相機、位置、通訊錄權限，百合婚戀收集了通訊錄權限。

不過記者發現，部分權限索取范圍超過《信息規范》的APP也有其正當理由。

“《信息規范》對于現在某些APP過度收集個人信息是有幫助的，是一個非常好的方向，但另一方面，很多時候并不是特別好去判斷什么是企業應當收集的個人信息。對于這種情況我認為更重要的是要看企業對數據后續的處理和利用是否規范，是否合規，這應是監管的重點。”6月11日，中國人民大學法學院副教授丁曉東對新京報記者表示。

超半數APP遵守最少夠用原則

京東金融、優信等18款APP“超出規范”索取位置信息

《信息規范》指出，移動互聯網應用個人信息收集活動，主要依據《信息安全技術個人信息安全規范》的“個人信息安全基本原則”，遵循權責一致、目的明確、最少夠用、選擇同意、公開透明、確保安全六個原則。

2018年1月，新京報記者曾根據上述原則對20款主流APP進行測試發現，當時不少APP不僅越界索權，還未向用戶進行明示提醒。

而在此次測試中，50款APP在索取權限時，均向用戶進行了明示提醒，遵循了“選擇同意”原則。但記者發現在“最少夠用”與“目的明確”原則上，有部分APP仍不夠完善。

“最少夠用”原則指的是不收集與APP提供的服務無關的個人信息，不申請打開可收集無關個人信息的權限。只收集滿足業務功能所必需的最少類型和數量的個人信息，自動收集個人信息的頻率不超過業務功能實際所需的頻率。

《信息規范》將APP“非越界”索取的信息分為了通用功能相關必要信息與必要信息兩類。

其中，通用功能相關必要信息是指根據相關法律法規要求，保障移動互聯網應用安全風險管控所必需的個人信息，記者發現這主要包括電話權限等;而必要信息主要包括APP中與基本業務功能直接關聯，一旦缺少會導致基本業務功能無法實現或無法正常運行的個人信息，如位置之于導航類APP，姓名之于票務類APP。

新京報記者按該規定內容測試了50款常用APP發現，有24款APP所開啟的權限違背了“最少夠用”原則，而在多開啟的權限中，位置總共被獲取了18次。

位置是被索取最多次數的權限。根據《信息規范》，位置信息對于地圖導航、網絡約車兩類APP來說屬于必要。而對于快遞配送、網上購物等門類的APP，雖然沒有直接寫明位置信息屬于必要，但表示APP可以記錄收貨地址、購物地址等。

新京報記者測試發現，除上述門類的APP外，新聞資訊、房產交易、汽車交易等門類下共計18款APP也開啟了位置權限。例如建行、京東金融、優信二手車等APP就索取了位置信息。根據《信息規范》，這些APP開啟位置權限的行為屬于“非業務功能所必需”。

這些APP中，部分索取位置權限的APP有其打開后就馬上需要使用的功能，如優信二手車APP在下載后需要馬上提供位置權限以便進行二手車“上門服務”。也有一些APP有相應功能，但并非需要馬上使用，如京東金融內設本地生活欄目，豆瓣則有“豆瓣同城”，但這些APP在打開后立刻向用戶索取了位置權限。

在不少用戶看來，一些APP收集位置信息可以理解，如微信、抖音等發消息時可以“秀定位”。

對此，丁曉東對新京報記者表示，《信息規范》對于現在某些APP過度收集個人信息是有幫助的，是一個非常好的方向，但另一方面，對于什么是企業應當收集的個人信息，很多時候并不是特別好去判斷，因為APP很多業務功能會擴展，很多業務的使用場景也都不同，而且很多時候APP提示用戶同意收集，其實也是給了消費者選擇權。

目的明確原則不夠完善

智聯招聘“多”開位置相機通訊錄權限

在此次測試中，新京報記者發現在“目的明確”原則上，部分APP仍不夠完善。

“目的明確”原則指的是APP向用戶明示收集使用個人信息的目的、方式和范圍，且收集的個人信息及申請的權限應具有合法、正當、必要、明確的收集使用目的和業務功能。

在本次測試中，多數APP只“超出規范”開啟了一個權限，如豆瓣開啟了位置等。智聯招聘、陌陌“多”開啟的權限數量超過兩個。其中，智聯招聘在安裝后第一次運行時向用戶提示索取位置、相機、通訊錄權限;陌陌索取位置、相機、麥克風權限。

對于“超出規范”索取的權限，有不少APP直接在功能中予以體現。也有一些APP對權限的索取雖然與主業不符，但在首次打開后就進行了明確告知。

在本次測試中，新京報記者選取了打開APP后首先提示開啟的權限作為該APP“與主業相關”的權限。在這一測試機制下，有部分APP在首次安裝并打開后就索取了與主業無關的權限，且并未以明顯方式提示用戶其開啟的權限有何用處。

如根據《信息規范》，“求職招聘”類APP可以索取的必要信息包括用戶注冊的手機號碼、賬號信息、求職者基本信息、教育信息和工作經歷信息等。但記者首次安裝并打開智聯招聘后，該APP提示開啟了位置、相機、通訊錄等與上述可索取信息并不相干的權限，且并未提示為何開啟這些權限。

新京報記者在智聯招聘APP中尋找相應功能發現，位置權限與其首頁檢測用戶所在城市并推薦工作有關，相機權限則發現與上傳頭像有關，記者未發現與開啟通訊錄權限所關聯的主要業務功能。

需要注意的是，與智聯招聘同樣屬于“求職招聘”類的Boss直聘與前程無憂只開啟了位置信息，并未在安裝后即向用戶索取相機和通訊錄權限，獵聘則未索取與主業無關的信息。

與之類似的還有百合婚戀。根據《信息規范》，婚戀相親類APP可以收集手機號碼、賬號信息、個人基本資料等信息。但新京報記者首次打開百合婚戀后，該APP明示索取通訊錄權限，相比之下，同屬婚戀相親類APP的世紀佳緣、珍愛網就沒有索取通訊錄權限。

開啟權限有什么風險？

技術上APP可獲取偷窺隱私的“后門”

需要注意的是，不論是當用戶需要時再提示開啟權限，還是在一開始就開啟權限，一旦當安卓用戶開啟權限后，該權限就會一直處于“開啟”狀態，除非用戶再手動關閉。這是因為相比于蘋果ios系統具有權限“只在APP運行時開啟”、“始終開啟”、“不開啟”的三個選項，安卓系統的隱私選項顆粒較粗，絕大多數用戶只能選擇“開啟”或“關閉”，這意味著一旦授予后，該權限并不會隨應用狀態的改變(進入或退出使用狀態)而發生變化。

這就意味著，不論是正當還是非正當的目的，只要安卓用戶向APP打開權限的大門后，APP也擁有了偷窺用戶隱私的技術權限。

“目前，不少APP索取權限雖然過界但有理由，比如導航APP要麥克風權限，其實我個人認為這個理由未必正當。因為當我們需要語音服務的時候，APP是可以錄音的，但如果在我們不需要該服務的時候，它還錄音，那么就侵權了。”中國人民大學法學院教授劉俊海告訴新京報記者。

有安全專家向新京報記者介紹，隨著市場上APP的功能越來越豐富，申請的權限也越來越多，但另一方面，以竊取泄露用戶信息為目的的惡意APP和僅是提供服務的非惡意APP申請的權限交集也更大了。“例如目前許多APP都有‘語音搜索’功能，即便這并非其核心功能，開啟與否區別不大，但一旦開啟，就意味著APP有了窺探用戶隱私的能力。”

在其看來，只要開啟了錄音權限，技術上APP確實可以獲取用戶的錄音;而開啟了通訊錄權限，技術上APP也可以得到你的聯系人名單。換言之，只要拿到相關權限，APP可能在正常提供相關服務的同時，“順手”獲取用戶的隱私數據，不管這些數據是否屬于“服務必需之外”。

目前，由權限開啟與否來判斷企業是否竊取隱私確實存在一定爭議。新京報記者發現，目前APP為正常運行基本都需要獲取儲存權限，但根據APP治理工作組5月14日發布的文章，給予APP儲存權限后，APP將可以訪問安卓手機的“公共儲存區”，按照安卓系統的設計，“公共儲存區”包括手機拍照的照片、拍攝的視頻;各種下載的文件;微信、QQ等即時通信接收的文件等。因此，獲取存儲權限后，APP理論上就可以收集用戶存儲在手機上的所有照片、文件等個人的數據和文件，“不排除APP申請該權限后進行濫用的可能。”

“事實上，如果一些應用程序涉嫌非法收集、使用加工用戶隱私信息，通過深度數據解析、網絡通訊行為分析、相關操作訪問等技術手段是可以監測到的。因此，個人信息的使用無論是軟件開發者、公司或機構都要遵循相關法律法規，否則，一旦涉嫌用戶信息不當使用都要承擔相應后果。”北京郵電大學移動互聯網與大數據安全聯合實驗室主任馬兆豐博士告訴新京報記者，“個人信息的使用、保存、委托處理、共享、轉讓或公開披露等必須滿足個人信息安全基本原則和規范，個人信息的不當獲取、使用、加工處理涉嫌違法犯罪要負法律責任。”

有安全專家對新京報記者表示，“由于很難取證，目前并沒有有效的懲處制度來約束APP的這種隱私竊取行為，用戶也無法證明APP是否真的竊取了隱私。”

專家：關注APP信息處理是否合規或更正確

前不久，騰訊科恩實驗室發布了《安卓應用安全白皮書》，選取2018年下載量較高的1404個APP為樣本檢測發現，92%的安卓應用過度獲取核心隱私權限。白皮書顯示，這些APP過度收集或使用的隱私數據主要包括位置信息、通訊錄信息、手機號碼等個人信息。

新京報記者發現，在法律法規上，目前針對APP中個人隱私保護的條例有逐漸細化與嚴厲的趨勢。

如5月28日，網信辦發布《數據安全管理辦法(征求意見稿)》，其中第十七條規定，網絡運營者以經營為目的收集重要數據或個人敏感信息的，應當明確數據安全責任人。并規定“數據安全責任人由具有相關管理工作經歷和數據安全專業知識的人員擔任，參與有關數據活動的重要決策，直接向網絡運營者的主要負責人報告工作。”

但在一些業界專家看來，過于嚴苛的保護條例或將影響大數據產業的發展。

“《征求意見稿》中有一些條文規定不太完善。如第26條，網絡運營者接到相關假冒、仿冒、盜用他人名義發布信息的舉報投訴時，應當及時響應，一旦核實立即停止傳播并作刪除處理。如何保證舉報投訴的真實性、緊急性?如何防范惡意投訴?這條缺乏恢復措施。”6月11日，中央民族大學法學院副教授熊文聰表示。

在他看來，如果規定過細的事先預防規則，網絡運營者或難以做到。且監管成本與監管者的選擇也是難題之一。此外，要求網絡運營者做太多或會壓制技術創新和商業模式的創新。“是不是不用規定這么細，而是通過事后的懲戒和給予權利人(個人信息主體)的隱私權或一般人格權遭受損害后的救濟途徑能更好地解決問題，并能平衡各方利益?”

而在丁曉東看來，與其把注意力完全放在對APP收集信息上進行限制，更重要的可能是看企業對于數據的處理和利用是否符合全流程的周期，或者說使用是不是規范。“大數據的發展本身就依賴于數據的合理使用，而且消費者也會感到很多困擾，例如很多時候弄不清哪些時候需要開啟權限，哪些時候不需要開啟，所以應該給企業一定的收集信息的自主性。另一方面，在給予自主性的同時，要更加嚴格地去看企業對信息的收集和使用的流程，是否有數據倫理，或者對數據后續的處理和利用是否規范，是否合規，這才是監管的重點。”

“現在監管重點放在了消費者對APP開啟權限的知情和同意上，但實際上知情同意原則在學界中批判聲音非常多。若國家對企業開啟哪些權限有強制性的要求，這其實已經超越了知情同意的原則，所以，某種程度上把注意力放在權限上本身就是一種問題，應該把注意力更多地放在后續的環節上。”丁曉東對新京報記者表示。

關鍵詞：

責任編輯：Rex_08