6月初，全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會發(fā)布了《網(wǎng)絡(luò)安全實踐指南——移動互聯(lián)網(wǎng)應(yīng)用基本業(yè)務(wù)功能必要信息規(guī)范》(以下簡稱《信息規(guī)范》)，依據(jù)個人信息收集最少夠用的原則以及不同種類APP的業(yè)務(wù)范圍，對地圖導(dǎo)航、網(wǎng)上購物、餐飲外賣等16類APP收集個人信息的范圍給出了參考。

　　6月10日至17日，新京報記者依照《信息規(guī)范》中的分類選取了50款常用APP，對其索取的權(quán)限以及收集信息的范圍進(jìn)行實測，發(fā)現(xiàn)若嚴(yán)格按照《信息規(guī)范》中劃定的信息收集范圍，這50個APP中有24個APP索取的權(quán)限超出范圍，如智聯(lián)招聘索取了相機、位置、通訊錄權(quán)限，百合婚戀收集了通訊錄權(quán)限。

　　不過記者發(fā)現(xiàn)，部分權(quán)限索取范圍超過《信息規(guī)范》的APP也有其正當(dāng)理由。

　　“《信息規(guī)范》對于現(xiàn)在某些APP過度收集個人信息是有幫助的，是一個非常好的方向，但另一方面，很多時候并不是特別好去判斷什么是企業(yè)應(yīng)當(dāng)收集的個人信息。對于這種情況我認(rèn)為更重要的是要看企業(yè)對數(shù)據(jù)后續(xù)的處理和利用是否規(guī)范，是否合規(guī)，這應(yīng)是監(jiān)管的重點。”6月11日，中國人民大學(xué)法學(xué)院副教授丁曉東對記者表示。

　　超半數(shù)APP遵守最少夠用原則

　　京東金融、優(yōu)信等18款A(yù)PP

　　“超出規(guī)范”索取位置信息

　　《信息規(guī)范》指出，移動互聯(lián)網(wǎng)應(yīng)用個人信息收集活動，主要依據(jù)《信息安全技術(shù)個人信息安全規(guī)范》的“個人信息安全基本原則”，遵循權(quán)責(zé)一致、目的明確、最少夠用、選擇同意、公開透明、確保安全六個原則。

　　2018年1月，記者曾根據(jù)上述原則對20款主流APP進(jìn)行測試發(fā)現(xiàn)，當(dāng)時不少APP不僅越界索權(quán)，還未向用戶進(jìn)行明示提醒。

　　而在此次測試中，50款A(yù)PP在索取權(quán)限時，均向用戶進(jìn)行了明示提醒，遵循了“選擇同意”原則。但記者發(fā)現(xiàn)在“最少夠用”與“目的明確”原則上，有部分APP仍不夠完善。

　　“最少夠用”原則指的是不收集與APP提供的服務(wù)無關(guān)的個人信息，不申請打開可收集無關(guān)個人信息的權(quán)限。只收集滿足業(yè)務(wù)功能所必需的最少類型和數(shù)量的個人信息，自動收集個人信息的頻率不超過業(yè)務(wù)功能實際所需的頻率。

　　《信息規(guī)范》將APP“非越界”索取的信息分為了通用功能相關(guān)必要信息與必要信息兩類。

　　其中，通用功能相關(guān)必要信息是指根據(jù)相關(guān)法律法規(guī)要求，保障移動互聯(lián)網(wǎng)應(yīng)用安全風(fēng)險管控所必需的個人信息，記者發(fā)現(xiàn)這主要包括電話權(quán)限等;而必要信息主要包括APP中與基本業(yè)務(wù)功能直接關(guān)聯(lián)，一旦缺少會導(dǎo)致基本業(yè)務(wù)功能無法實現(xiàn)或無法正常運行的個人信息，如位置之于導(dǎo)航類APP，姓名之于票務(wù)類APP。

　　記者按該規(guī)定內(nèi)容測試了50款常用APP發(fā)現(xiàn)，有24款A(yù)PP所開啟的權(quán)限違背了“最少夠用”原則，而在多開啟的權(quán)限中，位置總共被獲取了18次。

　　位置是被索取最多次數(shù)的權(quán)限。根據(jù)《信息規(guī)范》，位置信息對于地圖導(dǎo)航、網(wǎng)絡(luò)約車兩類APP來說屬于必要。而對于快遞配送、網(wǎng)上購物等門類的APP，雖然沒有直接寫明位置信息屬于必要，但表示APP可以記錄收貨地址、購物地址等。

　　記者測試發(fā)現(xiàn)，除上述門類的APP外，新聞資訊、房產(chǎn)交易、汽車交易等門類下共計18款A(yù)PP也開啟了位置權(quán)限。例如建行、京東金融、優(yōu)信二手車等APP就索取了位置信息。根據(jù)《信息規(guī)范》，這些APP開啟位置權(quán)限的行為屬于“非業(yè)務(wù)功能所必需”。

　　這些APP中，部分索取位置權(quán)限的APP有其打開后就馬上需要使用的功能，如優(yōu)信二手車APP在下載后需要馬上提供位置權(quán)限以便進(jìn)行二手車“上門服務(wù)”。也有一些APP有相應(yīng)功能，但并非需要馬上使用，如京東金融內(nèi)設(shè)本地生活欄目，豆瓣則有“豆瓣同城”，但這些APP在打開后立刻向用戶索取了位置權(quán)限。

　　在不少用戶看來，一些APP收集位置信息可以理解，如微信、抖音等發(fā)消息時可以“秀定位”。

　　對此，丁曉東對記者表示，《信息規(guī)范》對于現(xiàn)在某些APP過度收集個人信息是有幫助的，是一個非常好的方向，但另一方面，對于什么是企業(yè)應(yīng)當(dāng)收集的個人信息，很多時候并不是特別好去判斷，因為APP很多業(yè)務(wù)功能會擴展，很多業(yè)務(wù)的使用場景也都不同，而且很多時候APP提示用戶同意收集，其實也是給了消費者選擇權(quán)。

　　目的明確原則不夠完善

　　智聯(lián)招聘“多”開位置相機通訊錄權(quán)限

　　在此次測試中，記者發(fā)現(xiàn)在“目的明確”原則上，部分APP仍不夠完善。

　　“目的明確”原則指的是APP向用戶明示收集使用個人信息的目的、方式和范圍，且收集的個人信息及申請的權(quán)限應(yīng)具有合法、正當(dāng)、必要、明確的收集使用目的和業(yè)務(wù)功能。

　　在本次測試中，多數(shù)APP只“超出規(guī)范”開啟了一個權(quán)限，如豆瓣開啟了位置等。智聯(lián)招聘、陌陌“多”開啟的權(quán)限數(shù)量超過兩個。其中，智聯(lián)招聘在安裝后第一次運行時向用戶提示索取位置、相機、通訊錄權(quán)限;陌陌索取位置、相機、麥克風(fēng)權(quán)限。

　　對于“超出規(guī)范”索取的權(quán)限，有不少APP直接在功能中予以體現(xiàn)。也有一些APP對權(quán)限的索取雖然與主業(yè)不符，但在首次打開后就進(jìn)行了明確告知。

　　在本次測試中，記者選取了打開APP后首先提示開啟的權(quán)限作為該APP“與主業(yè)相關(guān)”的權(quán)限。在這一測試機制下，有部分APP在首次安裝并打開后就索取了與主業(yè)無關(guān)的權(quán)限，且并未以明顯方式提示用戶其開啟的權(quán)限有何用處。

　　如根據(jù)《信息規(guī)范》，“求職招聘”類APP可以索取的必要信息包括用戶注冊的手機號碼、賬號信息、求職者基本信息、教育信息和工作經(jīng)歷信息等。但記者首次安裝并打開智聯(lián)招聘后，該APP提示開啟了位置、相機、通訊錄等與上述可索取信息并不相干的權(quán)限，且并未提示為何開啟這些權(quán)限。

　　記者在智聯(lián)招聘APP中尋找相應(yīng)功能發(fā)現(xiàn)，位置權(quán)限與其首頁檢測用戶所在城市并推薦工作有關(guān)，相機權(quán)限則發(fā)現(xiàn)與上傳頭像有關(guān)，記者未發(fā)現(xiàn)與開啟通訊錄權(quán)限所關(guān)聯(lián)的主要業(yè)務(wù)功能。

　　需要注意的是，與智聯(lián)招聘同樣屬于“求職招聘”類的Boss直聘與前程無憂只開啟了位置信息，并未在安裝后即向用戶索取相機和通訊錄權(quán)限，獵聘則未索取與主業(yè)無關(guān)的信息。

　　與之類似的還有百合婚戀。根據(jù)《信息規(guī)范》，婚戀相親類APP可以收集手機號碼、賬號信息、個人基本資料等信息。但記者首次打開百合婚戀后，該APP明示索取通訊錄權(quán)限，相比之下，同屬婚戀相親類APP的世紀(jì)佳緣、珍愛網(wǎng)就沒有索取通訊錄權(quán)限。

　　開啟權(quán)限有什么風(fēng)險?

　　技術(shù)上APP可獲取偷窺隱私的“后門”

　　需要注意的是，不論是當(dāng)用戶需要時再提示開啟權(quán)限，還是在一開始就開啟權(quán)限，一旦當(dāng)安卓用戶開啟權(quán)限后，該權(quán)限就會一直處于“開啟”狀態(tài)，除非用戶再手動關(guān)閉。這是因為相比于蘋果ios系統(tǒng)具有權(quán)限“只在APP運行時開啟”、“始終開啟”、“不開啟”的三個選項，安卓系統(tǒng)的隱私選項顆粒較粗，絕大多數(shù)用戶只能選擇“開啟”或“關(guān)閉”，這意味著一旦授予后，該權(quán)限并不會隨應(yīng)用狀態(tài)的改變(進(jìn)入或退出使用狀態(tài))而發(fā)生變化。

　　這就意味著，不論是正當(dāng)還是非正當(dāng)?shù)哪康模�只要安卓用戶向APP打開權(quán)限的大門后，APP也擁有了偷窺用戶隱私的技術(shù)權(quán)限。

　　有安全專家向記者介紹，隨著市場上APP的功能越來越豐富，申請的權(quán)限也越來越多，但另一方面，以竊取泄露用戶信息為目的的惡意APP和僅是提供服務(wù)的非惡意APP申請的權(quán)限交集也更大了。“例如目前許多APP都有‘語音搜索’功能，即便這并非其核心功能，開啟與否區(qū)別不大，但一旦開啟，就意味著APP有了窺探用戶隱私的能力。”

　　有安全專家對記者表示，“由于很難取證，目前并沒有有效的懲處制度來約束APP的這種隱私竊取行為，用戶也無法證明APP是否真的竊取了隱私。”