企业信息收集 人民日报海外版：App哪些收集用户信息行为“越界”了

这些天，来自北京的谭先生在一款理财App上还完自己所欠借款后，立即将App删除了。原来，去年下半年，他在该App上办理了一笔1万多元的现金贷，分6期归还。在还完前5期后，他因回乡未能在规定时间内还款，结果对方每天打电话骚扰其通讯录好友，还通过辱骂、威胁、恐吓等方式催促还款。回想起这段经历，谭先生仍然心有余悸：“现金贷很可怕，这个App能轻松获得我通讯录好友信息更可怕。”

如今，人们几乎总是使用智能手机，下载各种应用。这些应用程序在提供便利的同时，还可能“窃取”手机号码、通讯录、通话记录和短信记录等私人信息。5月24日，app专项治理工作组发布的《100款常用App收集使用个人信息权限清单》显示，在10大类涉及个人信息的26项权限中，平均每个App收集的应用数量达到10项。这些信息很容易落入犯罪分子手中，成为敲诈勒索等违法犯罪活动的工具。

制表:彭训文数据来源:App专项治理工作组“100款常用App个人信息收集使用权限清单”

为遏制App强制授权、过度索权、超范围收集个人信息现象，5月28日，国家互联网信息办公室发布《数据安全管理办法》，对公众关注的个人信息安全问题直接回应。专家表示，《办法》着眼于公众反映强烈的个人信息泄露问题，对“任性”的App立规矩，将对该行业产生重大影响，倒逼网络经营者加强对用户个人信息安全保护。

用户正在阅读新闻应用的隐私政策。彭迅吐温

App的套路让用户“很受伤”

你有过这样的经历吗——只是在购物App上浏览一些产品，然后另一个新闻资讯客户端就会推给你类似的产品广告；刚在社交App上说想出去吃饭，后来收到一堆餐厅广告推荐；就在浏览购买应用程序后，信贷电话打了进来...如果有类似的经历，你的私人信息可能已经泄露。

谁动了我们的个人信息？就是这些你刚刚浏览过的App。这些App收集用户隐私信息，给用户带来很大影响。总结起来，可按程度轻重分以下几类：

一是给用户“画像”，帮助商家精准推送广告。所谓精准推送，是指App通过收集分析用户的在线浏览记录，结合用户定位、性别等身份信息，绘制用户画像，从而实现广告的精准推送。大部分信息采集方式都是强制用户授权或者默认勾选，否则App无法使用。

为测试是否被“画像”，记者下载并注册了一款社交App，先后发布论文写作、信用贷款、儿童摄影等3条信息，记者此前并未在其他终端发布或检索过类似信息。隔1个小时，记者登录自己手机上其他几款新闻类App，赫然出现了和这3条信息相关的广告。

专家说这种广告叫“程序化广告”。平台根据用户的行为进行标注后，在后台通过竞价或自动个性化的方式为广告主进行精准投放。根据规定，这种广告可以在事先没有用户明确授权的情况下投放，但用户应该有权拒绝。但是目前大多数应用都没有设置对应的关闭按钮，或者将按钮隐藏在多个操作步骤后面。

二是把用户信息视为“资产”，许进不许出，注销账号和删除个人信息难。很多用户发现，注册一个App账号只需一个手机号及其注册码，而想要注销一个账号往往很难。即便注销了账号，想清空个人信息更难。

互联网经济学会电子商务研究中心法律权益部向记者提供了一个用户投诉案例:李先生计划停止使用一辆共享单车，注销手机号。由于注册App时使用了个人身份证号，担心信息泄露的李先生申请注销用户账号，解除身份证绑定。App客服人员要求他提供个人身份证照片和手持身份证照片。李先生认为，这种行为涉嫌强制获取敏感个人信息，不能接受。

专家表示，App运营者不能过度收集用户信息。在收到用户请求时，App运营者应当在合理时间和代价范围内予以查询、更正、删除或注销账号。

第三，泄露用户隐私信息导致用户利益受损。用户信息泄露的案例很多，比如App用户隐私信息数据库被黑客入侵，平台存在漏洞，导致信息泄露；比如App“打包”用户信息出售，或者用户信息被公司“内鬼”窃取出售，被不法分子利用。

网经社电子商务研究中心法律权益部分析师姚建芳对记者表示，目前接到的用户投诉案例集中在信息泄露方面，主要为购物类、金融服务类App，用户因此遭到恐吓、电信诈骗、资产被盗刷等损害。

北京盈科律师事务所律师方超强告诉记者，根据《网络交易管理办法》，电商平台在获取个人信息的同时，有保护信息安全的义务。但现实中对于“平台漏洞导致信息泄露”并没有相应的判断标准，用户很难追究平台的责任。

哪些收集用户信息行为“越界”了

在中央网信办、工信部、公安部、市场监管总局的指导下，App专项治理工作组近日发布了《100款常用App个人信息收集使用权限清单》，展示了餐饮外卖、地图导航、网购、短视频等，金融借贷等100款App有近20大类，基本收集了部分用户的26条个人信息；90%以上的应用获得了用户的精准定位；金融借贷和工具软件应用中获取用户信息的项目相对较多。其中，360名移动卫士与收集和使用个人信息相关的权限数量最高，达到23项，用户不同意打开App无法安装或运行的权限数量达到11项。

需要说明的是，App不是不能收集用户个人信息，但不能“越界”、过度，不能强制、超范围索要权限。

那么，App目前收集了哪些个人信息，哪些是不应该收集的隐私信息？中国消费者协会此前发布的《100款app个人信息收集及隐私政策评估报告》显示，多达91款app涉嫌“过度收集”用户个人信息。其中，用户位置信息、通讯录信息、手机号码等个人信息是被过度收集或使用的主要内容。此外，用户照片、财产信息、生物特征信息、工作信息、交易账户信息、交易记录、在线浏览记录、教育信息、车辆信息和短信信息都被过度使用或收集。

不过，对于企业收集这些隐私信息是否属于“越界”行为，也有不同声音。腾讯社会研究中心和DCCI互联网数据中心今年1月发布的《2018年度网络隐私及网络欺诈行为研究分析报告》显示，安卓端“越界”获取用户隐私权限的App正在逐渐减少，到2018年下半年，仅有2%的App存在“越界”行为。该报告认为，判断App是否“越界”获取隐私权限的标准是App向用户提供的功能是否必须用到相应权限。也就是说，如果确属App功能需要，且经用户授权同意，那么，App相关收集行为就不算“越界”。

中国社会科学院信息研究中心秘书长蒋启平告诉记者，App是否主张权利“出界”，应该以用户是否需要为标准，而不是企业是否需要。他说:“收集的很多数据不是App需要的；有的甚至使用倒卖的不良思想，对消费者的个人隐私和信息安全是极大的隐患和危害。"

用户黏性不是企业违规的“底气”

为有效解决因过度主张App权利导致的用户信息安全问题，5月28日，国家互联网信息办公室发布《数据安全管理办法》，直接回应了众多公众关切。

比如，对于规范个人敏感信息收集方式，《办法》规定，网络运营者以经营为目的收集重要数据或个人敏感信息的，应向所在地网信部门备案；为约束定向精准推送广告，《办法》规定，网络运营者应当以明显方式标明“定推”字样；针对App强迫授权或默认勾选等，《办法》规定，网络运营者不得以默认授权、功能捆绑等形式强迫、误导个人信息主体同意其收集个人信息；针对用户注销账号和删除个人信息难、小程序泄露用户信息后平台责任问题等，《办法》也进行了明确规定。违规者根据情节轻重将面临关闭网站、吊销相关业务许可证或吊销营业执照等处罚；构成犯罪的，依法追究刑事责任。

5月26日，App专项治理工作组起草的《App非法收集使用个人信息认定办法》也结束了反馈。该《认定办法》规定了App运营者非法收集、使用个人信息的七种情形，被认为是判断App是否“出界”的重要标准。

“把信息采集主导权、选择权交给消费者，是信息服务的原则性问题。为了收集信息采取胁迫或者误导行为，都是坚决不能被允许的。”姜奇平认为，App治理此前长期收效不大，根本上说是因为一些经营者处理不好社会责任和商业利益的关系。“这不是简单的技术问题，甚至不完全是产业问题，是企业态度问题，现在提升到一定高度来解决很有必要。”

随着相关法规的实施，更加严格的监管措施势必会对很多App运营商产生影响。相对而言，很多大型互联网企业因为早期投入用户隐私保护，更多的是公众监督，受到的冲击较小。部分中小App运营商在个人信息保护方面存在突出问题。这意味着，以算法推荐为主要机制的App，对被访问的第三方应用监管不力的平台，以及强制授权、过度主张权利、超范围收集个人信息的App运营者将面临整改的命运，严重违规将被清除出市场。

北京亿达律师事务所律师董毅智对记者表示，多年来，用户基于对App服务的信任而建立起的黏性，如今却成为某些App进行差别定价、数据反复买卖的“底气”，这亟须警惕。同时，这些发布的规定也对同行业、跨行业之间企业联手利用用户个人信息划出了“红线”。

对此，政府相关部门将建立App个人信息安全认证体系，有资质的认证机构将按照国家标准对App个人信息的收集、存储、处理和使用进行评估，对符合要求的产品颁发证书和标识；同时，鼓励搜索引擎和App stores优先推荐认证应用。

相关监管是否会束缚技术创新呢？姜奇平认为，这个问题需要具体分析。他说，对App的治理涉及市场治理、社会治理、政府监管等多个层次，是一个综合问题。在市场配置资源失灵、行业自律不佳等情形下，完善相关法律法规、开展专项整治就极为必要。

“当然，如何平衡保护与开发利用的关系，是衡量互联网相关立法和监管质量的重要标准。更好的办法不仅是影响企业的技术创新，还要杜绝相关的歪门邪道。这需要各方凝聚足够的智慧，形成治理合力。”江启平说。