实测50款APP 24款权限超出规范

部分APP权限“超出范围”情况测试结果

（根据《 络安全实践指南——移动互联 应用基本业务功能必要信息规范》APP权限获取范围）

智联招聘“多”开启位置、相机、通讯录权限。

百合婚恋索取通讯录权限。

APP收集信息规范发布；测试APP在索取权限时均进行了提示，部分超出范围的权限索取有其合理性

6月初，全国信息安全标准化技术委员会发布了《 络安全实践指南——移动互联 应用基本业务功能必要信息规范》（以下简称《信息规范》），依据个人信息收集最少够用的原则以及不同种类APP的业务范围，对地图导航、 上购物、餐饮外卖等16类APP收集个人信息的范围给出了参考。

APP收集个人信息遵循原则

权责一致

目的明确

最少够用

选择同意

公开透明

确保安全

超半数APP遵守最少够用原则

18款APP“超出规范”索取位置信息

《信息规范》指出，移动互联 应用个人信息收集活动，主要依据《信息安全技术个人信息安全规范》的“个人信息安全基本原则”，遵循权责一致、目的明确、最少够用、选择同意、公开透明、确保安全六个原则。

“最少够用”原则指的是不收集与APP提供的服务无关的个人信息，不申请打开可收集无关个人信息的权限。只收集满足业务功能所必需的最少类型和数量的个人信息，自动收集个人信息的频率不超过业务功能实际所需的频率。

《信息规范》将APP“非越界”索取的信息分为了通用功能相关必要信息与必要信息两类。

位置是被索取最多次数的权限。根据《信息规范》，位置信息对于地图导航、 络约车两类APP来说属于必要。而对于快递配送、 上购物等门类的APP，虽然没有直接写明位置信息属于必要，但表示APP可以记录收货地址、购物地址等。

这些APP中，部分索取位置权限的APP有其打开后就马上需要使用的功能，如优信二手车APP在下载后需要马上提供位置权限以便进行二手车“上门服务”。也有一些APP有相应功能，但并非需要马上使用，如京东金融内设本地生活栏目，豆瓣则有“豆瓣同城”，但这些APP在打开后立刻向用户索取了位置权限。

在不少用户看来，一些APP收集位置信息可以理解，如微信、抖音等发消息时可以“秀定位”。

目的明确原则不够完善

智联招聘“多”开位置相机通讯录权限

“目的明确”原则指的是APP向用户明示收集使用个人信息的目的、方式和范围，且收集的个人信息及申请的权限应具有合法、正当、必要、明确的收集使用目的和业务功能。

在本次测试中，多数APP只“超出规范”开启了一个权限，如豆瓣开启了位置等。智联招聘、陌陌“多”开启的权限数量超过两个。其中，智联招聘在安装后第一次运行时向用户提示索取位置、相机、通讯录权限；陌陌索取位置、相机、麦克风权限。

对于“超出规范”索取的权限，有不少APP直接在功能中予以体现。也有一些APP对权限的索取虽然与主业不符，但在首次打开后就进行了明确告知。

需要注意的是，与智联招聘同样属于“求职招聘”类的Boss直聘与前程无忧只开启了位置信息，并未在安装后即向用户索取相机和通讯录权限，猎聘则未索取与主业无关的信息。

开启权限有什么风险？

技术上APP可获取偷窥隐私的“后门”

需要注意的是，不论是当用户需要时再提示开启权限，还是在一开始就开启权限，一旦当安卓用户开启权限后，该权限就会一直处于“开启”状态，除非用户再手动关闭。这是因为相比于苹果ios系统具有权限“只在APP运行时开启”、“始终开启”、“不开启”的三个选项，安卓系统的隐私选项颗粒较粗，绝大多数用户只能选择“开启”或“关闭”，这意味着一旦授予后，该权限并不会随应用状态的改变(进入或退出使用状态)而发生变化。

这就意味着，不论是正当还是非正当的目的，只要安卓用户向APP打开权限的大门后，APP也拥有了偷窥用户隐私的技术权限。

在其看来，只要开启了录音权限，技术上APP确实可以获取用户的录音；而开启了通讯录权限，技术上APP也可以得到你的联系人名单。换言之，只要拿到相关权限，APP可能在正常提供相关服务的同时，“顺手”获取用户的隐私数据，不管这些数据是否属于“服务必需之外”。

专家

关注APP信息处理是否合规或更正确

前不久，腾讯科恩实验室发布了《安卓应用安全白皮书》，选取2018年下载量较高的1404个APP为样本检测发现，92%的安卓应用过度获取核心隐私权限。白皮书显示，这些APP过度收集或使用的隐私数据主要包括位置信息、通讯录信息、手机 码等个人信息。

如5月28日， 信办发布《数据安全管理办法（征求意见稿）》，其中第十七条规定， 络运营者以经营为目的收集重要数据或个人敏感信息的，应当明确数据安全责任人。并规定“数据安全责任人由具有相关管理工作经历和数据安全专业知识的人员担任，参与有关数据活动的重要决策，直接向 络运营者的主要负责人 告工作。”

但在一些业界专家看来，过于严苛的保护条例或将影响大数据产业的发展。

“《征求意见稿》中有一些条文规定不太完善。如第26条， 络运营者接到相关假冒、仿冒、盗用他人名义发布信息的举 投诉时，应当及时响应，一旦核实立即停止传播并作删除处理。如何保证举 投诉的真实性、紧急性？如何防范恶意投诉？这条缺乏恢复措施。”6月11日，中央民族大学法学院副教授熊文聪表示。

在他看来，如果规定过细的事先预防规则， 络运营者或难以做到。且监管成本与监管者的选择也是难题之一。此外，要求 络运营者做太多或会压制技术创新和商业模式的创新。“是不是不用规定这么细，而是通过事后的惩戒和给予权利人（个人信息主体）的隐私权或一般人格权遭受损害后的救济途径能更好地解决问题，并能平衡各方利益？”

而在丁晓东看来，与其把注意力完全放在对APP收集信息上进行限制，更重要的可能是看企业对于数据的处理和利用是否符合全流程的周期，或者说使用是不是规范。“大数据的发展本身就依赖于数据的合理使用，而且消费者也会感到很多困扰，例如很多时候弄不清哪些时候需要开启权限，哪些时候不需要开启，所以应该给企业一定的收集信息的自主性。另一方面，在给予自主性的同时，要更加严格地去看企业对信息的收集和使用的流程，是否有数据伦理，或者对数据后续的处理和利用是否规范，是否合规，这才是监管的重点。”

luoyidan@xjbnews.com