APP超范围采集个人隐私屡禁不绝，怎样才能避免“裸奔”？

我们的生活跟手机、网络越来越亲近，但它们是否安全呢？本周，国家网络安全宣传周，一份来自权威机构对20万中国网民的调查报告披露：我国近一半网民认为网络不是那么安全。其中得分比较低的两个指标，一个是近40%的网民认为个人信息泄露非常多和比较多，另一个是，近20%的网民认为互联网企业履行安全责任情况不太好或非常不好。同样是这一天，网信办、工信部、公安部、市场监管总局点名京东金融、云闪付等一批我们常见、常用的手机应用，超范围采集公民的个人隐私。而类似的点名批评，从今年1月开始已经开展了22次。力度算大，但为何仍屡禁不绝？我们的个人信息，怎样更好保护，避免裸奔？企业和个人，又都该做些什么？

被过分授权的APP

本周五上午，在天津参观网络安全博览会的张小姐，被记者邀请参加了一项手机应用是否过度获取权限的检测。张小姐的手机里有96款应用，结果发现92款获取了与个人信息相关的敏感权限。比如，一个用于电子消费的信用卡APP，获取了定位、摄像头、麦克风、通讯录等权限，甚至一款用来看视频的APP也拿到了定位权限，随时知道她在哪儿。

工作人员介绍，这些被过度获取的敏感权限，有些是因为用户没有仔细阅读须知，大意授予的，还有一些是被悄悄获取的。针对这一现象，今年1月，中央网信办、工信部、公安部、市场监管总局等四部门，联合开展为期1年的专项治理工作，定期对市面上的APP进行评估，并每隔1到2周，将违规、超范围收集使用用户信息的APP，向社会通报。在最近公布的名单中，金山词霸、云闪付、京东金融等，都榜上有名。

国家计算机病毒应急处理中心 常务副主任 陈建民： 有一种就是说它隐私文件压根就没有，它上来就是你安装，然后直接采集。还有一种就是说我有声明文件，但是声明的文件权限我申请了五项，可能实际过程中它会采集十项。中央网信办一直在研究核心必要的功能，约谈这些知名的APP的这种开发者，到底哪些是你必要的功能。

时至今日，个人信息已不再仅仅是定位、通话记录等传统内容。随着电子支付、人脸识别的盛行，面容ID、虹膜、指纹等生物特征成为新的个人敏感信息。本月初，一款号称“和偶像同演一台戏”的换脸APP，受到了网友追捧。但仅过一天，公司被曝光将上传的肖像据为己有，可随意使用、再授权，瞬间跌下神坛。更有人一度怀疑：会不会有人借此换了我的脸，去盗刷我的钱？支付宝紧急辟谣，假脸无法突破他们的风控手段，不影响安全，但还是借此向行业提出倡议，采集用户信息时，应遵循最少、够用的原则。

支付宝隐私保护研究中心主任 李海英： 要尽最大可能尽量少地采集用户信息，同时能够保证我们业务顺利进行。我们对于这些信息的授权不会进行一揽子授权，捆绑授权，同时也通过像能够删除授权等等这样一些情况，提供用户一个退出方式。

对于互联网的头部企业来说，保护用户个人信息安全，关乎声誉、命脉，相关的人力、技术投入一直不低。但对于一些创业期的新兴APP，可能就不会如此乐观。如今，大部分APP都在向支付宝、微信等聚合，入住的小程序、服务会申请调用平台采集的用户信息，如何在授权时，不发生泄密，也是必须解决的难题。

本周，在网络安全宣传周新闻发布会上，中央网信办相关负责人表示新的国家标动互联网应用（APP）收集个人信息基本规范，已完成征求意见，很快就将出台。规范明确规定APP收集个人信息时，应遵从“最少信息、最少权限”原则。即每一类应用，只可收集规范中列出的必要信息和权限，除此之外的任何信息和权限，用户都有权拒绝提供。并且APP不得以这些拒绝为由，阻碍用户使用APP主要功能。比如，地图导航APP，除了网络日志和定位外，其它信息和权限都不需要获取。

中国传媒大学政治与法律学院副院长 王四新：等于说监管方和被监管方，都有一个参照。保护消费者的数据，以什么标准来保障国家要监管，也不能说我想怎么监管就怎么监管，也不能完全根据你的主观愿望，当然对于广大网民来讲，哪些是不当使用的，哪些是被过度收集的，还有它使用到什么程度，算是对我权益的侵犯，有了这个标准以后，网民心中也有数。

白岩松：在互联网法律逐渐完善的过程中，哪些用户信息是企业可以获取的，哪些是不能碰的，获取到的信息要尽到怎样的保护责任，类似的规定当然是在不断细化，有了规则，企业就要去遵守。而另一方面，互联网用户对自己个人信息要有保护意识，这也很重要。有这么一组数据，我国6-14岁的未成年网民大概是1.7亿，互联网的普及率超过93%，对于00后的他们来说，学习、娱乐、社交等等，基本都在互联网上完成。2019年青少年蓝皮书给出提醒：因为防范意识不强，未成年人相关数据已经被大量采集并通过网络获取、储存。针对这一问题，今年10月1日，我国首部针对儿童网络保护的立法，《儿童个人信息网络保护规定》将实施，这里面具体有哪些信息？能否让这些互联网的小用户和监护人真正培养起安全保护意识？又能让成年人在网络安全上学到些什么？

朋友圈晒娃，涉及隐私吗？

截至2018年7月31日，我国6至14岁的未成年网民，规模达1.69亿，未成年人的互联网普及率达到93.7%，今年五月底，中国社会科学院新闻与传播研究所、中国少年儿童发展服务中心等机构合作发布了最新的《中国未成年人互联网运用报告》，其中隐私侵害被纳入了未成年人互联网运用中最常见的问题之一。

中国社会科学院新闻与传播研究所 副所长 季为民：我认为它的最大危害，是有些互联网平台会利用未成年人的隐私，获得不法利益。比方说美国的脸书，在今年7月12日，就被美国贸易联邦委员会处予50亿美元的罚款，主要是他们泄露了用户的信息，并且用这些信息，来换得他们的商业利益。这其中，就有一部分案例，是未成年人的信息泄露。

未成年人个人信息不能被大范围交易，不能涉及暴力和色情，否则将受到法律的制裁，这是全世界通用且明确的底线，但在触碰到法律的红线之前，隐私侵犯的标准存在许多争议，取决于人们的容忍度和对隐私的认知。有人觉得只有触犯法律才是侵犯隐私，有人觉得未经同意在朋友圈或群里，发别人家的娃就是侵犯隐私。

何女士在一家英国教育咨询机构工作，也是一位自媒体运营者，经常分享一些海外育儿的经验，在中英两国生活，她深刻感受到两地对未成年人隐私保护上存在的差异。

育儿博主何女士：我觉得朋友圈晒娃这件事情，其实中西方之间的观点差距还蛮大的。出国之前，我在朋友圈上面发发自己和别的孩子照片，也没有觉得有什么不妥。但是出国以后，我对于隐私的这种敏感度会更高，你涉及到其他孩子的肖像权，还是一些个人信息数据也好，都是需要经过对方家长的同意。

英国人对于隐私的保护，是比较严格的，一方面也是来自于他们自己的意识，另一方面也来自法律的规定。我女儿在英国上过三个私立学校，每一个学校都有自己关于照片，影片如何使用，这些都有非常细致规定，比如说学校里面的演出，这个是绝对不可以录像的，只有学校官方录像录完了以后，他可能会刻成DVD，但是家长也不可以把里面的视频翻录上传到网上。

不久前，《儿童个人信息网络保护规定》出台，这是我国在儿童个人信息网络保护方面制定的首部专门立法，将在十月一日正式实施，其中明确提到，儿童监护人应当正确履行监护职责，教育引导儿童增强个人信息保护意识和能力，保护儿童个人信息安全。但专家表示，有些情况下，未成年人是在监护人的允许下，将个人信息发布在网络空间。

中国社会科学院新闻与传播研究所 副研究院 杨斌艳：母婴社交网站会希望妈妈持续发孩子的，所以会是一个孩子到出生，到孩子长很大纪录的东西，全部都有。你觉得，我只是片断，零散供了那些，但是5年、10年以后，可能通过这些，他得到的远远不是你想象的信息内容。

中国社会科学院新闻与传播研究所 副所长 季为民：在互联网素养方面，我们国家还有很多，亟待提高的地方。比方说我们未成年人在学校应该加强他们未成年人网络素养的课程培养，以培养他们自我保护的意识，另外也要提高家长和教师网络保护的这种意识。

白岩松：我们大多知道手机上的各种应用程序对我们个人信息和隐私的获取已经非常过分了，但现实是：比我们想象的更加过分。比如根据我们看手机的角度，能了解我们的视力状况，比如根据我们每天拿手机，行走等等很多因素确定我们的运动习惯和健康。还有麦克风授权扮演着对我们一定的监听角色，然后推荐你感兴趣的东西等等等等。这次被点名的应用程序当中还有金融领域的，这就格外让我们担心与财产有关的安全问题。其实往深了说，企业越来越多的信息数据都上了云，这会不会成为黑客公布攻击的新目标，连带着我们都成为受害者？

正在完善的法律体系

今年8月底，北京某互联网公司的法人代表、股东以及5名员工被提起公诉，罪名是涉嫌非法获取计算机信息系统数据。据了解，从2014年开始，该公司先后与全国十多个省市的电信、移动、联通、铁通、广电等大型运营商，签订了通过数据分析进行精准广告营销的协议，在获取运营商服务器的远程登录权限后，开始通过黑客手段，盗取服务器中的用户数据。

有调查报道称，这96家被窃取信息的受害者，几乎是涵盖了国内所有核心互联网企业，用户在网上浏览过什么信息，去过哪儿，买了什么东西等等，一举一动都在该公司的掌控之中，他们甚至还会随意登陆用户的社交账号，利用加粉、刷量、加群、推广等手段获取利润。

据《2018中国企业上云报告》显示，近10年时间，中国企业上云率从2009年的3%已经增长到2018年的超过30%，这意味着企业通过云端可以积累大量的用户数据，而从这起号称是“国内最大规模的数据窃取”案件中，我们也不难想象，这些聚合在一起的用户数据和个人信息，已经成为网络犯罪团伙眼中的一座座金山。

中国传媒大学政治与法律学院副院长 王四新：各种各样的数据，各种各样的信息，汇聚到一个平台，这也是互联网发展的一个产业现象，在2012年，(法律建设)就转向对个人数据，就是网络上数据的保护，到了2013年，2014年以后，我们在互联网立法工作，开始往体系化方向发展，代表就是(2017年)《网络安全法》的制定。

2015年，侵犯公民个人信息罪列入我国《刑法修正案（九）》，2017年，《中华人民共和国网络安全法》正式实施，其中明确要求，网络运营者应当确保其收集的个人信息安全，防止信息泄露、毁损、丢失，并对收集的个人信息数据进行匿名化处理，保证脱敏后的数据不能再识别出特定个人，并且信息不可通过技术手段复原。

个人信息和用户数据，在进入大数据时代后，所产生和附加的商业价值不断增值，这也意味着，企业收集个人信息的原动力在增加，而构建完善的法律体系就必须跟得上网络技术发展速度，2018年，《个人信息保护法》、《数据安全法》两部法律已经被明确列入立法规划。

从移动支付到智能家居，从智慧城市到数字政府建设，我们希望生活越来越便捷，前提是个人信息的安全有效防护，代价则是企业对用户数据价值的不断挖掘开发。鱼和熊掌，我们能兼得吗？

中国传媒大学政治与法律学院副院长 王四新：国家来讲，它肯定是要完善相关的法律制度，从企业这个角度来讲，它需要对标国家的这种要求，有一个相对完善的预警，还有风险管控的机制，当然对于个人来讲，不要过分泄露个人信息，不要随随便便就搞一揽子授权等等这些，做好信息的防范工作，它还是要形成一个全网合力的这种状态，也是一个全社会的一种系统工程。

白岩松：这一次对一些知名公司的点名是来自于一个专项行动。这个专项行动，始于今年的1月份，主要针对的是违法违规收集使用个人信息。这4个部门都具有相当大的影响力：是网信办，工信部，公安部和市场监管总局，但4个部门联合起来，却似乎没对有关公司产生足够的震慑力。1月份以来，点了22次名，一共有180多个网站被点名，但真正改变的有多少？这一次点名的除了其中的一个应用程序，其它的连回应都很少有。如果犯了错的，惩治时不能让它真疼，毫无疑问错会再犯。而个人隐私保护，我们现在如何看重它都不为过，因为有些应用程序对我们个人信息的采集已经超乎了我们的想象，也有着更大的危险。所以对违法违规者，请真正的惩治，请让他们真的疼。

来源：检察日报正义网