四部委：100個(gè)APP用戶信息調(diào)查每個(gè)APP都存在強(qiáng)制超范圍索要權(quán)限

楊蓉

據(jù)網(wǎng)信辦官方微信通報(bào)，在中央網(wǎng)信辦、工信部、公安部和市場(chǎng)監(jiān)管總局指導(dǎo)下，APP專項(xiàng)治理工作組開(kāi)通了違法違規(guī)收集使用個(gè)人信息舉報(bào)渠道，認(rèn)真受理網(wǎng)民舉報(bào)。期間，工作組收到大量關(guān)于APP強(qiáng)制超范圍索要權(quán)限等舉報(bào)信息。

APP專項(xiàng)治理工作組對(duì)包括餐飲外賣、地圖導(dǎo)航、網(wǎng)上購(gòu)物、短視頻、金融借貸、工具軟件、即時(shí)通信、交通票務(wù)、瀏覽器、拍照美化、社區(qū)社交、輸入法、網(wǎng)絡(luò)支付、新聞資訊、學(xué)習(xí)教育、網(wǎng)絡(luò)游戲、影音娛樂(lè)以及其他近20大類共計(jì)100個(gè)APP進(jìn)行用戶信息收集情況統(tǒng)計(jì)。我們注意到，網(wǎng)上購(gòu)物類，如京東、淘寶、天貓、閑魚(yú)、小紅書(shū)、趣店、拼多多、唯品會(huì)、蘇寧易購(gòu)以及華為商城，餐飲外賣類，如百度糯米、餓了么和美團(tuán)外賣，交通票務(wù)類，如途牛旅游、攜程旅行、去哪兒旅行和同程旅游等上榜。

統(tǒng)計(jì)結(jié)果顯示，平均每個(gè)APP都有存在強(qiáng)制超范圍索要權(quán)限的情況，平均每個(gè)APP申請(qǐng)收集個(gè)人信息相關(guān)權(quán)限數(shù)有10項(xiàng)，而用戶不同意開(kāi)啟，則APP無(wú)法安裝或運(yùn)行的權(quán)限數(shù)平均僅為3項(xiàng)。

近年來(lái)，信息泄露事件屢屢發(fā)生，而APP過(guò)度索要授權(quán)是個(gè)人信息泄露的導(dǎo)火索之一。2019中央電視臺(tái)3·15晚會(huì)曝光多家科技企業(yè)存在私自采集個(gè)人信息情況，其中包括薩摩耶金服利用探針盒子私自采集用戶信息以及“社保掌上通”APP通過(guò)隱藏的用戶條款竊取用戶社保信息等。

另?yè)?jù)“電子商務(wù)消費(fèi)糾紛調(diào)解平臺(tái)”近年來(lái)受理的全國(guó)數(shù)十萬(wàn)起電商投訴案件大數(shù)據(jù)表明，包括天貓、淘寶、京東、唯品會(huì)、當(dāng)當(dāng)網(wǎng)、蘇寧易購(gòu)、國(guó)美在線和1號(hào)店等在內(nèi)的電商平臺(tái)，以及窩窩團(tuán)、美團(tuán)、大眾點(diǎn)評(píng)、百度糯米、攜程、去哪兒和支付寶等在內(nèi)的生活服務(wù)O2O平臺(tái)，均曾出現(xiàn)用戶信息泄露事件。而僅2018年，就多次出現(xiàn)用戶個(gè)人信息泄露事件，圓通、順豐的十幾億條個(gè)人信息在暗網(wǎng)被出售，以及12306數(shù)百萬(wàn)條旅客信息在網(wǎng)上被出售等。

網(wǎng)經(jīng)社電子商務(wù)研究中心特發(fā)布電商快評(píng)，供參考。

觀點(diǎn)一：互聯(lián)網(wǎng)運(yùn)營(yíng)商不得非法收集用戶信息

網(wǎng)經(jīng)社電子商務(wù)研究中心、上海信本律師事務(wù)所主任高興發(fā)認(rèn)為，互聯(lián)網(wǎng)運(yùn)營(yíng)商不得非法收集用戶信息，從規(guī)范、合法運(yùn)行的角度，建議互聯(lián)網(wǎng)運(yùn)營(yíng)商依法改進(jìn)。

高興發(fā)律師表示，根據(jù)《全國(guó)人民代表大會(huì)常務(wù)委員會(huì)關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》第二條規(guī)定，網(wǎng)絡(luò)服務(wù)提供者和其他企業(yè)事業(yè)單位在業(yè)務(wù)活動(dòng)中收集、使用公民個(gè)人電子信息，應(yīng)當(dāng)遵循合法、正當(dāng)和必要的原則，明示收集、使用信息的目的、方式和范圍，并經(jīng)被收集者同意，不得違反法律、法規(guī)的規(guī)定和雙方的約定收集、使用信息。網(wǎng)絡(luò)服務(wù)提供者和其他企業(yè)事業(yè)單位收集、使用公民個(gè)人電子信息，應(yīng)當(dāng)公開(kāi)其收集、使用規(guī)則。

《民法總則》第一百一十一條規(guī)定，個(gè)人信息受法律保護(hù)，自然人的個(gè)人信息受法律保護(hù)。任何組織和個(gè)人需要獲取他人個(gè)人信息的，應(yīng)當(dāng)依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個(gè)人信息，不得非法買賣、提供或者公開(kāi)他人個(gè)人信息。

觀點(diǎn)二：互聯(lián)網(wǎng)運(yùn)營(yíng)商不能過(guò)度收集用戶信息

對(duì)此，網(wǎng)經(jīng)社電子商務(wù)研究中心法律權(quán)益部分析師姚建芳認(rèn)為，互聯(lián)網(wǎng)APP運(yùn)營(yíng)者不能過(guò)度收集用戶信息，同時(shí)應(yīng)保證個(gè)人信息的安全，企業(yè)最好建立健全用戶個(gè)人信息安全內(nèi)控機(jī)制，采取一切合理可行的措施，保護(hù)用戶個(gè)人信息。

姚建芳表示，《電子商務(wù)法》第二十三條規(guī)定，電子商務(wù)經(jīng)營(yíng)者收集、使用其用戶的個(gè)人信息，應(yīng)當(dāng)遵守法律、行政法規(guī)有關(guān)個(gè)人信息保護(hù)的規(guī)定。違反《電子商務(wù)法》個(gè)人信息保護(hù)規(guī)定的主要表現(xiàn)形式為過(guò)度收集、秘密收集、誘騙收集、強(qiáng)制收集、非法收集、從黑市上購(gòu)買個(gè)人信息、無(wú)期限存儲(chǔ)使用個(gè)人信息、隨便變更目的使用個(gè)人信息、未經(jīng)授權(quán)同意對(duì)外提供個(gè)人信息、非法披露個(gè)人信息、內(nèi)部人員非法對(duì)外倒賣個(gè)人信息、平臺(tái)對(duì)商戶收集和使用個(gè)人信息行為缺乏管控等。

《消費(fèi)者權(quán)益保護(hù)法》也對(duì)用戶信息安全明確規(guī)定，經(jīng)營(yíng)者及其工作人員對(duì)收集的消費(fèi)者個(gè)人信息必須嚴(yán)格保密，不得泄露、出售或者非法向他人提供。姚建芳提醒，經(jīng)營(yíng)者應(yīng)當(dāng)采取技術(shù)措施和其他必要措施，確保信息安全，防止消費(fèi)者個(gè)人信息泄露、丟失。

【典型案例】注銷賬號(hào)需提供身份證照片？用戶質(zhì)疑摩拜單車過(guò)度獲取信息

李先生計(jì)劃停用摩拜單車，注銷手機(jī)號(hào)。因當(dāng)初注冊(cè)摩拜使用了身份證號(hào)，擔(dān)心手機(jī)號(hào)注銷后運(yùn)營(yíng)商二次銷售會(huì)被直接登陸摩拜賬戶，特申請(qǐng)注銷摩拜用戶并解綁身份證。

摩拜客服受理后要求李先生提供身份證照片及手持身份證的照片。李先生認(rèn)為摩拜此行為具有強(qiáng)行獲取個(gè)人敏感信息的嫌疑，注銷賬號(hào)的目的是減少個(gè)人信息泄露，而摩拜卻要求我先透露更多個(gè)人信息才銷戶，無(wú)法接受。

觀點(diǎn)三：互聯(lián)網(wǎng)運(yùn)營(yíng)商收集與使用用戶信息不得違反法律法規(guī)

《網(wǎng)絡(luò)安全法》加大了對(duì)網(wǎng)絡(luò)詐騙等不法行為的打擊力度，特別對(duì)網(wǎng)絡(luò)詐騙嚴(yán)厲打擊的相關(guān)內(nèi)容，切中了個(gè)人信息泄露亂象的要害，充分體現(xiàn)了保護(hù)公民合法權(quán)利的立法原則。

【典型案例】現(xiàn)金貸逾期未還“有用分期”恐嚇用戶通訊錄好友

譚先生2018年8月1日在“有用分期”辦理一筆現(xiàn)金貸，當(dāng)時(shí)本金14 500元，分六個(gè)月歸還每個(gè)月還3 102元。已經(jīng)還了五期，最后一期因過(guò)年身上沒(méi)有錢處理，正月初七接到催收電話要求一點(diǎn)之前處理完，不然就升級(jí)催收。

但是因?yàn)樵卩l(xiāng)下不方便去銀行，所以沒(méi)按照他們規(guī)定的時(shí)間處理，結(jié)果譚先生的通訊錄好友都被騷擾，說(shuō)譚先生借錢不還。之后每天都可以接到他們的電話，辱罵威脅和恐嚇。

觀點(diǎn)四：互聯(lián)網(wǎng)運(yùn)營(yíng)商有義務(wù)保護(hù)用戶信息安全

網(wǎng)經(jīng)社電子商務(wù)研究中心特約研究員、北京盈科（杭州）律師事務(wù)所方超強(qiáng)律師認(rèn)為，電商平臺(tái)在獲取個(gè)人信息的同時(shí)也有義務(wù)保護(hù)信息安全。

方超強(qiáng)律師認(rèn)為，根據(jù)《網(wǎng)絡(luò)交易管理辦法》第25條第二款規(guī)定，第三方交易平臺(tái)經(jīng)營(yíng)者應(yīng)當(dāng)采取必要的技術(shù)手段和管理措施保證平臺(tái)的正常運(yùn)行，提供必要、可靠的交易環(huán)境和交易服務(wù)，維護(hù)網(wǎng)絡(luò)交易秩序。電商平臺(tái)在獲取個(gè)人信息的同時(shí)，就有保護(hù)個(gè)人信息的義務(wù)。

方超強(qiáng)律師進(jìn)一步表示，信息泄露存在不同的情況，如果電商平臺(tái)提供了符合其規(guī)模的保護(hù)措施，但在這種情況之下還是被黑客入侵了系統(tǒng)，這種情況屬于不可抗力，電商不用承擔(dān)責(zé)任，但如果最終發(fā)現(xiàn)因平臺(tái)存在漏洞而導(dǎo)致信息泄露，那么平臺(tái)就要負(fù)責(zé)。方超強(qiáng)律師指出，在現(xiàn)實(shí)中很難有一個(gè)標(biāo)準(zhǔn)去判斷什么叫做“平臺(tái)存在漏洞導(dǎo)致信息泄露”，若消費(fèi)者向法院投訴平臺(tái)，平臺(tái)只要舉證證明其盡到了安全責(zé)任保護(hù)義務(wù)，就很難對(duì)平臺(tái)進(jìn)行追責(zé)。

【典型案例一】小紅書(shū)下單后信息被泄露

蘭女士1月15日在“小紅書(shū)”購(gòu)買“滋色”品牌口紅，出現(xiàn)了信息泄漏問(wèn)題，被詐騙35 000多元。4月22日蘭女士接到一個(gè)聲稱是小紅書(shū)理賠中心服務(wù)人員的電話，告知購(gòu)買的口紅有問(wèn)題，并詳細(xì)說(shuō)出了蘭女士的姓名、電話、訂單號(hào)及地址，蘭女士隨之就放松了警惕被騙光卡里的錢之后，對(duì)方又告訴說(shuō)要有個(gè)匹配、征信問(wèn)題，隨之又誘導(dǎo)蘭女士在借唄、小米金融，分30期貸款共借出14 500元打過(guò)去。

【典型案例二】“55海淘”用戶賬號(hào)余額被無(wú)故提現(xiàn)

張先生在“55海淘”購(gòu)物并獲得現(xiàn)金返利，之后將余額存放在賬戶內(nèi)。2019年1月15日，張先生的賬戶被非法提現(xiàn)405美元（合2 685.15元），期間原綁定的郵箱未收到任何提示，并被篡改綁定郵箱和手機(jī)號(hào)。聯(lián)系“55海淘”被告知要更改郵箱，必須包括：1.通過(guò)原注冊(cè)郵箱修改；2.使用新的注冊(cè)郵箱發(fā)送3張不同商家、非問(wèn)題訂單的完整截圖至客服郵箱。

張先生表示他的郵箱在沒(méi)收到任何相關(guān)郵件，并于1月21日發(fā)現(xiàn)并與客服聯(lián)系，當(dāng)時(shí)顯示提現(xiàn)詳情是“審核通過(guò)，待付款”，但是被客服告知已經(jīng)打款成功無(wú)法追回。他認(rèn)為“55海淘”存在系統(tǒng)不完善（變更手機(jī)、郵箱后立刻可以提現(xiàn)轉(zhuǎn)賬），有信息泄露嫌疑（郵箱變更未通過(guò)原注冊(cè)郵箱修改），未盡到及時(shí)通知義務(wù)（郵箱被變更沒(méi)有任何郵件提示）等過(guò)錯(cuò)。

【典型案例三】“愛(ài)又米”疑似信息泄露用戶險(xiǎn)遭詐騙

張先生于2018年8月18號(hào)，接到自稱愛(ài)又米客服電話說(shuō)要幫我注銷賬戶，轉(zhuǎn)移取現(xiàn)額度。根據(jù)操作在支付寶安逸花取現(xiàn)6 400元后（產(chǎn)生利息128元），對(duì)方讓他提現(xiàn)微信，發(fā)來(lái)個(gè)人微信收款碼。

張先生發(fā)現(xiàn)有問(wèn)題沒(méi)有轉(zhuǎn)賬，騙子隨后威脅并說(shuō)出他的手機(jī)號(hào)、身份證、家庭聯(lián)系人電話和學(xué)校信息，由此可以判斷他的信息被泄露。

隨后他致電愛(ài)又米官方客服，客服一口否決泄露信息，并且無(wú)法注銷賬戶，只能進(jìn)行賬號(hào)凍結(jié)，當(dāng)初注冊(cè)的時(shí)候，只用了手機(jī)注冊(cè)，他的身份證信息和學(xué)校信息就出現(xiàn)了，愛(ài)又米是如何通過(guò)手機(jī)號(hào)就獲取他的信息是值得探討的問(wèn)題。