App過度索取權(quán)限的邏輯與風(fēng)險(xiǎn)

葉健++周琳

很多App都違背了“必要”原則，獲取了很多不必要的權(quán)限以搜集用戶個(gè)人信息

聊天App必須開放位置信息，云筆記App默認(rèn)讀取用戶通訊錄，就連孩子做個(gè)培訓(xùn)、寫個(gè)作業(yè)的App，也要讀取位置……在給用戶提供便利的同時(shí)，App也在大肆索取一些“并不必要”的用戶信息。在個(gè)人信息保護(hù)愈加重要的時(shí)代，該如何為這些App的權(quán)限劃界？

位置、聯(lián)系人等權(quán)限受關(guān)注

安裝App時(shí)，都會(huì)被要求象征性地同意一則用戶協(xié)議后，才能安裝成功，但是這個(gè)協(xié)議中有多少“坑”，恐怕很多人并不知曉。

在本刊記者安卓手機(jī)上安裝的61款軟件中，所有App都有“讀取已安裝應(yīng)用列表”權(quán)限，由此可以了解用戶的行為習(xí)慣及分析同行情況；第二受關(guān)注的權(quán)限就是“讀取本機(jī)識(shí)別碼”，這用于確定用戶，因?yàn)槊總€(gè)手機(jī)的識(shí)別碼都是獨(dú)一無二的；第三則是“讀取位置信息”權(quán)限，以此可搜集用戶的活動(dòng)范圍。

是否申請(qǐng)某種權(quán)限，似乎并無可循之規(guī)。

一是同類App，共同“越界”。本刊記者在一款安卓手機(jī)的應(yīng)用商店中搜索了“手電筒”App，排名靠前的10個(gè)App，除相機(jī)等基本權(quán)限外，有8個(gè)都請(qǐng)求發(fā)送和查看短信、撥打電話和管理通話以及位置信息等三大權(quán)限。

二是同一App，不同系統(tǒng)中需要不同權(quán)限。以微信為例，如果在安卓手機(jī)中關(guān)掉其位置權(quán)限，則無法使用這一App；但如果是在蘋果手機(jī)上關(guān)掉這一權(quán)限，使用仍然是正常的。

三是同類App，不同權(quán)限。以最近火熱的共享單車為例，本刊記者調(diào)閱安卓手機(jī)應(yīng)用權(quán)限發(fā)現(xiàn)，摩拜單車、優(yōu)拜單車、永安行等App，就比OFO共享單車多要求了通訊錄的權(quán)限。

沒人知道哪些數(shù)據(jù)會(huì)成為重點(diǎn)，

足夠多的數(shù)據(jù)才是重點(diǎn)

北京志霖律師事務(wù)所副主任趙占領(lǐng)表示，《全國人民代表大會(huì)常務(wù)委員會(huì)關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》明確規(guī)定，收集、使用公民個(gè)人電子信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則。但現(xiàn)在很多App都違背了“必要”原則，獲取了很多不必要的權(quán)限以搜集用戶個(gè)人信息。

例如，“調(diào)用攝像頭”和“啟用錄音”是很多App熱衷獲取的權(quán)限?！鞍俣刃侣劇笨蛻舳司湍J(rèn)獲取了相機(jī)、電話等7項(xiàng)權(quán)限，但是本刊記者反復(fù)查閱“百度新聞”客戶端，卻沒有發(fā)現(xiàn)有用得著相機(jī)或電話的地方。

實(shí)際上，監(jiān)管部門對(duì)此也有所關(guān)注。2016年5月，安徽省工商局曾對(duì)市面上20款左右的手機(jī)進(jìn)行質(zhì)量抽檢。其中，6款來自金立、Vivo、斐訊等品牌手機(jī)預(yù)置的應(yīng)用軟件存在未經(jīng)消費(fèi)者允許通過wifi網(wǎng)絡(luò)、GPS和基站等定位技術(shù)收集消費(fèi)者位置信息的行為，侵犯了消費(fèi)者個(gè)人隱私。

DCCI互聯(lián)網(wǎng)數(shù)據(jù)中心的《2016年中國Android手機(jī)隱私安全報(bào)告》顯示，非游戲類App獲取隱私權(quán)限普遍增多，越界行為增長(zhǎng)明顯。例如，高達(dá)13%的非游戲類App越界獲取“位置信息”權(quán)限，9.1%的非游戲類App越界獲取“訪問聯(lián)系人”權(quán)限；高達(dá)26%的App越界獲取“位置信息”權(quán)限。

越界獲取權(quán)限的背后，涉及當(dāng)前互聯(lián)網(wǎng)企業(yè)的商業(yè)邏輯。一位資深業(yè)內(nèi)人士告訴本刊記者，互聯(lián)網(wǎng)企業(yè)通過免費(fèi)模式吸引用戶后，后續(xù)的變現(xiàn)模式就是精準(zhǔn)營(yíng)銷，要想做到精準(zhǔn)就必須盡可能多地掌握用戶的數(shù)據(jù)?！八鸭臄?shù)據(jù)多一點(diǎn)，營(yíng)銷價(jià)值就會(huì)提升很多。大數(shù)據(jù)時(shí)代，沒人知道哪些數(shù)據(jù)會(huì)成為重點(diǎn)，足夠多的數(shù)據(jù)才是重點(diǎn)?！?/p>

法規(guī)雖有，知名判例鮮見

第三方數(shù)據(jù)機(jī)構(gòu)TalkingData提供的數(shù)據(jù)顯示，2016年，我國App數(shù)量超過1700萬個(gè)。數(shù)量如此龐大的App，如果越界索取了用戶權(quán)限，將大大增加用戶信息泄露的風(fēng)險(xiǎn)。

對(duì)于App索取用戶權(quán)限的現(xiàn)象，有關(guān)部門早已明文禁止。2016年8月起生效的《移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序信息服務(wù)管理規(guī)定》中就明確規(guī)定，未向用戶明示并經(jīng)用戶同意，不得開啟收集地理位置、讀取通訊錄、使用攝像頭、啟用錄音等功能，不得開啟與服務(wù)無關(guān)的功能，不得捆綁安裝無關(guān)應(yīng)用程序。

但是在操作中，很多企業(yè)都無視這條規(guī)則。對(duì)此，資深互聯(lián)網(wǎng)法律研究者劉春泉告訴本刊記者，“很多互聯(lián)網(wǎng)企業(yè)都是盡可能多地搜集信息，我對(duì)這個(gè)問題也抗議了很久，但由于既得利益非常大，不僅大企業(yè)不聞不問，連很多小企業(yè)都無所畏懼?！?/p>

一方面是企業(yè)利益驅(qū)使，另一方面則是鮮有處罰案例。劉春泉告訴本刊記者，對(duì)于個(gè)人信息保護(hù)，雖然目前已有的法律法規(guī)早有明確規(guī)定，但是對(duì)于不守法者的懲罰缺乏明確規(guī)定，至今仍缺少知名判例或罰則。

同時(shí)，多位業(yè)內(nèi)人士表示，相關(guān)部門還要加大監(jiān)管和執(zhí)法力度。趙占領(lǐng)認(rèn)為，雖然管理諸多App不太現(xiàn)實(shí)，但是監(jiān)管部門還是可以從應(yīng)用商店入手，通過管理平臺(tái)間接管理App，加強(qiáng)應(yīng)用商店的審核標(biāo)準(zhǔn)，以不斷改善App過度索取用戶信息的局面。

面對(duì)App系統(tǒng)性的過度索取權(quán)限，用戶能夠做的不多，但是也可以有所作為。對(duì)此，多位技術(shù)人員告訴本刊記者，“現(xiàn)在無論是安卓還是iOS的安全管理都在提升。通過設(shè)置，用戶可以禁止App調(diào)取不必要的權(quán)限，并且仍能正常使用應(yīng)用?！?