摘要：爲遏制App強制授權、過度索權、超範圍收集個人信息現象，5月28日，國家互聯網信息辦公室發佈《數據安全管理辦法（徵求意見稿）》（下稱《辦法》），對公衆關注的個人信息安全問題直接回應。專家表示，App運營者不能過度收集用戶信息。

這些天，來自北京的譚先生在一款理財App上還完自己所欠借款後，立即將App刪除了。原來，去年下半年，他在該App上辦理了一筆1萬多元的現金貸，分6期歸還。在還完前5期後，他因回鄉未能在規定時間內還款，結果對方每天打電話騷擾其通訊錄好友，還通過辱罵、威脅、恐嚇等方式催促還款。回想起這段經歷，譚先生仍然心有餘悸：“現金貸很可怕，這個App能輕鬆獲得我通訊錄好友信息更可怕。”

如今，人們幾乎都使用智能手機並下載各類App。這些App在提供方便的同時，也可能“偷竊”手機號、通訊錄、通話記錄、短信記錄等隱私信息。5月24日，App專項治理工作組發佈的《百款常用App申請收集使用個人信息權限列表》顯示，在10大類26項個人信息相關權限中，平均每個App申請收集數目達10項。這些信息很容易落到不法分子手裏，成爲敲詐勒索等違法犯罪活動的工具。

爲遏制App強制授權、過度索權、超範圍收集個人信息現象，5月28日，國家互聯網信息辦公室發佈《數據安全管理辦法（徵求意見稿）》（下稱《辦法》），對公衆關注的個人信息安全問題直接回應。專家表示，《辦法》着眼於公衆反映強烈的個人信息泄露問題，對“任性”的App立規矩，將對該行業產生重大影響，倒逼網絡經營者加強對用戶個人信息安全保護。

App的套路讓用戶“很受傷”

你有沒有過這樣的經歷——剛在購物App上瀏覽完一些商品，隨後另一個新聞資訊客戶端就向你推送類似商品廣告；剛在社交App上說想出去聚餐，稍後就收到一堆餐館廣告推薦；剛在購房App上瀏覽完畢，信用貸款電話就打了進來……如果有類似遭遇，那你的隱私信息很可能已經泄露。

誰動了我們的個人信息？就是這些你剛剛瀏覽過的App。這些App收集用戶隱私信息，給用戶帶來很大影響。總結起來，可按程度輕重分以下幾類：

一是給用戶“畫像”，幫助商家精準推送廣告。所謂精準推送，就是App通過收集、分析用戶上網瀏覽記錄，結合用戶定位和性別等身份信息，繪製成用戶肖像，從而實現廣告精準推送。信息收集方式多爲強迫用戶授權或默認勾選，否則無法使用該App。

爲測試是否被“畫像”，記者下載並註冊了一款社交App，先後發佈論文寫作、信用貸款、兒童攝影等3條信息，記者此前並未在其他終端發佈或檢索過類似信息。隔1個小時，記者登錄自己手機上其他幾款新聞類App，赫然出現了和這3條信息相關的廣告。

專家表示，這種廣告被稱爲“程序化廣告”。平臺根據用戶行爲給其打上對應“標籤”後，在後臺以競價或自動個性化方式爲廣告主做精準投放。按照規定，投放此類廣告可事先不經用戶明確授權，但應確保用戶有拒絕權利。不過，大部分App目前並未設置相應關閉按鈕，或者將按鈕藏在多個操作步驟之後。

二是把用戶信息視爲“資產”，許進不許出，註銷賬號和刪除個人信息難。很多用戶發現，註冊一個App賬號只需一個手機號及其註冊碼，而想要註銷一個賬號往往很難。即便註銷了賬號，想清空個人信息更難。

網經社電子商務研究中心法律權益部向記者提供了一個用戶投訴案例：李先生計劃停用某共享單車，註銷手機號。因爲當初註冊該App時使用了個人身份證號，擔心信息泄露的李先生申請註銷用戶賬號並解綁身份證。該App客服人員要求他提供個人身份證照片及手持身份證照片。李先生認爲這種行爲具有強制獲取個人敏感信息嫌疑，讓人無法接受。

專家表示，App運營者不能過度收集用戶信息。在收到用戶請求時，App運營者應當在合理時間和代價範圍內予以查詢、更正、刪除或註銷賬號。

三是泄露用戶隱私信息，導致用戶利益受損。用戶信息泄露存在很多情況，比如App用戶隱私信息數據庫被黑客入侵、平臺出現漏洞等導致信息泄露；比如App將用戶信息“打包”出售或用戶信息經公司“內鬼”竊取售賣，被不法分子利用等。

網經社電子商務研究中心法律權益部分析師姚建芳對記者表示，目前接到的用戶投訴案例集中在信息泄露方面，主要爲購物類、金融服務類App，用戶因此遭到恐嚇、電信詐騙、資產被盜刷等損害。

北京盈科（杭州）律師事務所方超強律師對記者表示，根據《網絡交易管理辦法》，電商平臺在獲取個人信息的同時有義務保護信息安全。但在現實中，對“平臺存在漏洞導致信息泄露”缺乏相應判斷標準，用戶因此很難對平臺進行追責。

哪些收集用戶信息行爲“越界”了

在中央網信辦、工信部、公安部、市場監管總局指導下，App專項治理工作組近日發佈的《百款常用App申請收集使用個人信息權限列表》顯示，餐飲外賣、地圖導航、網上購物、短視頻、金融借貸等近20類共100個App，基本都會收集用戶26項個人信息中的某幾項；超過九成App獲取用戶精準定位；金融借貸類、工具軟件類App獲取用戶信息項目相對較多。其中，360手機衛士收集使用個人信息相關權限數最高，達到23項，用戶不同意開啓則App無法安裝或運行的權限數達11項。

需要說明的是，App不是不能收集用戶個人信息，但不能“越界”、過度，不能強制、超範圍索要權限。

那麼，App目前收集的個人信息裏，哪些屬於不宜收集的隱私信息？中國消費者協會此前發佈的《100款App個人信息收集與隱私政策測評報告》顯示，多達91款App列出的權限涉嫌“越界”過度收集用戶個人信息。其中，用戶位置信息、通訊錄信息、手機號碼等個人信息是被過度收集或使用的主要內容。此外，用戶照片、財產信息、生物識別信息、工作信息、交易賬號信息、交易記錄、上網瀏覽記錄、教育信息、車輛信息以及短信信息等均存在被過度使用或收集的現象。

不過，對於企業收集這些隱私信息是否屬於“越界”行爲，也有不同聲音。騰訊社會研究中心和DCCI互聯網數據中心今年1月發佈的《2018年度網絡隱私及網絡欺詐行爲研究分析報告》顯示，安卓端“越界”獲取用戶隱私權限的App正在逐漸減少，到2018年下半年，僅有2%的App存在“越界”行爲。該報告認爲，判斷App是否“越界”獲取隱私權限的標準是App向用戶提供的功能是否必須用到相應權限。也就是說，如果確屬App功能需要，且經用戶授權同意，那麼，App相關收集行爲就不算“越界”。

中國社科院信息化研究中心祕書長姜奇平對記者表示，App索權是否“越界”，應以用戶是否需要而非企業是否需要爲界。他說：“很多收集的數據並不是App自己需要的；有些甚至打着倒賣的壞主意，這對消費者個人隱私、信息安全來說是很大隱患和傷害。”

用戶黏性不是企業違規的“底氣”

爲切實解決App過度索權造成的用戶信息安全問題，5月28日，國家互聯網信息辦公室發佈《數據安全管理辦法（徵求意見稿）》，對公衆關注的諸多問題進行了直接回應。

比如，對於規範個人敏感信息收集方式，《辦法》規定，網絡運營者以經營爲目的收集重要數據或個人敏感信息的，應向所在地網信部門備案；爲約束定向精準推送廣告，《辦法》規定，網絡運營者應當以明顯方式標明“定推”字樣；針對App強迫授權或默認勾選等，《辦法》規定，網絡運營者不得以默認授權、功能捆綁等形式強迫、誤導個人信息主體同意其收集個人信息；針對用戶註銷賬號和刪除個人信息難、小程序泄露用戶信息後平臺責任問題等，《辦法》也進行了明確規定。違規者根據情節輕重將面臨關閉網站、吊銷相關業務許可證或吊銷營業執照等處罰；構成犯罪的，依法追究刑事責任。

由App專項治理工作組起草的《App違法違規收集使用個人信息行爲認定方法（徵求意見稿）》也在5月26日結束意見反饋。這份《認定方法》對App運營商7種違規收集使用個人信息情形進行了規定，被認爲是判定App是否“越界”的重要標準。

“把信息採集主導權、選擇權交給消費者，是信息服務的原則性問題。爲了收集信息採取脅迫或者誤導行爲，都是堅決不能被允許的。”姜奇平認爲，App治理此前長期收效不大，根本上說是因爲一些經營者處理不好社會責任和商業利益的關係。“這不是簡單的技術問題，甚至不完全是產業問題，是企業態度問題，現在提升到一定高度來解決很有必要。”

隨着相關規定落地，更嚴格的監管措施勢必會對衆多App運營商產生影響。相對來說，很多大型互聯網企業因爲在用戶隱私保護方面投入較早、公衆監督更多，受到衝擊較小。一些中小型App運營商則在個人信息保護方面問題較爲突出。這意味着，相關以算法推薦爲主要機制的App，對接入的第三方應用監管不力不到位的平臺，存在強制授權、過度索權、超範圍收集個人信息的App運營商將面臨整改命運，嚴重違規的將被清理出市場。

北京億達（上海）律師事務所律師董毅智對記者表示，多年來，用戶基於對App服務的信任而建立起的黏性，如今卻成爲某些App進行差別定價、數據反覆買賣的“底氣”，這亟須警惕。同時，這些發佈的規定也對同行業、跨行業之間企業聯手利用用戶個人信息劃出了“紅線”。

對此，相關政府部門將建立App個人信息安全認證制度，由具備資質的認證機構依據國家標準對App收集、存儲、處理、使用個人信息等行爲進行評價，對符合要求的產品頒發證書和標識；同時鼓勵搜索引擎和應用商店優先推薦認證App。

相關監管是否會束縛技術創新呢？姜奇平認爲，這個問題需要具體分析。他說，對App的治理涉及市場治理、社會治理、政府監管等多個層次，是一個綜合問題。在市場配置資源失靈、行業自律不佳等情形下，完善相關法律法規、開展專項整治就極爲必要。

“當然，如何平衡好保護與開發利用的關係，這是衡量互聯網相關立法和監管質量的重要標準。比較好的做法是既不影響企業技術創新，又能夠制止相關歪門邪道行爲。這需要各方彙集足夠智慧、形成治理合力。”姜奇平說。