@济南人 快看你手机上装这些app了没？位置信息、通讯录等隐私可能泄露

@济南人 快看你手机上装这些app了没？位置信息、通讯录等隐私可能泄露

6月初，全国信息安全标准化技术委员会发布了《网络安全实践指南——移动互联网应用基本业务功能必备信息规范》（以下简称《信息规范》），以最少为原则充分收集个人信息和不同类型的APP。 地图导航、网购、外卖等16类APP业务范围参照个人信息收集范围。

6月10日至17日，新京报记者根据《信息规范》中的分类，选取了50款常用APP，对其申请的权限和信息采集范围进行了实测。 在这50款APP中，50款APP中有24款超出规定的信息收集范围提出了权限请求。 比如智联招聘要摄像头、位置、通讯录权限，百合征集通讯录权限。

不过，记者发现，一些权限请求范围超出《信息规范》的APP也有其正当理由。

《信息规范》对一些APP过度收集个人信息有帮助，是一个很好的方向，但另一方面，对于公司应该收集哪些个人信息，往往也不是特别好判断。对于这种情况，我觉得更重要的是看企业后续对数据的处理和利用是否规范合规，这应该是监管的重点。” 6月11日，中国人民大学法学院副教授丁晓东告诉记者。

超过一半的应用程序遵循最少足够的原则

京东金融、优信等18款APP

“超出规格”的位置信息请求

《信息规范》指出，移动互联网应用程序收集个人信息主要依据《信息安全技术个人信息安全规范》中的“个人信息安全基本原则”，遵循权利一致、信息安全的原则。责任、明确目的、最低限度使用、同意和披露。 透明和安全的六项原则。

2018年1月，记者基于上述原则测试了20款主流APP发现，不少APP不仅越界维权，而且没有明确提醒用户。

本次测试中，50款APP在请求权限时均以“选择同意”为原则，对用户进行了明确提示。 但记者发现，部分APP在“最少够用”和“目的明确”的原则上还不够完善。

“最少够用”原则是指不收集与APP提供的服务无关的个人信息，不申请收集无关个人信息的许可。 仅收集满足业务功能所需的最少种类和数量的个人信息，自动收集个人信息的频率不超过业务功能实际需要的频率。

《信息规范》将APP“不可逾越”请求的信息分为两类：与通用功能相关的必要信息和必要信息。

其中，与通用功能相关的必要信息是指根据相关法律法规的要求，为保障移动互联网应用安全风险管控所必需的个人信息。 记者发现，这主要包括电话权限等； 必要信息主要包括与基本业务功能直接相关的APP。 如果缺少个人信息，则无法实现或正常运行基本业务功能，例如导航应用程序的位置和票务应用程序的名称。

记者根据规定内容对50款常用APP进行测试发现，24款APP开启的权限违反了“最少够用”原则，在多次开启的权限中，一共获得了18次位置信息。

位置是请求次数最多的权限。 根据《信息规范》，地图导航和网约车两类APP需要位置信息。 对于快递、网购等APP，虽然没有必要直接声明位置信息，但意味着APP可以记录收货地址、购物地址等。

记者测试发现，除了上述类别的APP外，新闻资讯、房产交易、汽车交易等类别下共有18款APP也开启了定位权限。 例如建行、京东金融、优信二手车等APP请求位置信息。 根据《信息规范》，这些APP开启位置权限的行为是“非业务功能所必需”。

在这些应用程序中，部分需要位置权限的应用程序具有打开后需要立即使用的功能。 例如优信二手车APP，二手车“上门服务”需要下载后立即提供位置权限。 也有一些应用程序有相应的功能，但并不需要立即使用。 例如，京东金融有本地生活栏目，豆瓣有“豆瓣同城”，但这些应用程序在打开后立即向用户请求位置权限。

在很多用户看来，一些APP收集位置信息无可厚非，比如微信、抖音等，在发送消息时可以“显示位置”。

对此，丁晓东告诉记者，《信息规范》对一些APP过度收集个人信息有帮助，是一个很好的方向，但另一方面，对于企业应该收集哪些个人信息不是特别好判断，因为app的很多业务功能都会被拓展，很多业务的使用场景也不同，而且很多时候app提示用户同意收藏，其实是给了消费者选择的权利。

目的明确原则并不完善

智联招聘“多重”定位、摄像头和通讯录权限

在此次测试中，记者发现，部分APP在“目的明确”的原则下手机本地联系人，还不够完善。

“目的明确”原则是指APP向用户明确说明收集、使用个人信息的目的、方式和范围，所收集的个人信息及请求的权限应当合法、正当、必要、明确收集和使用。使用目的和业务功能。

在本次测试中，大部分APP只开启了一个“超规格”的权限，比如豆瓣开启位置。 智联招聘和陌陌开启了两个以上的权限。 其中，智联招聘在安装后首次运行时提示用户请求定位、摄像头、通讯录权限； 陌陌请求位置、摄像头和麦克风权限。

对于“越轨”要求的权限，很多APP直接体现在功能上。 也有一些应用请求的权限与主营业务不符，但在首次打开后会明确提示。

本次测试中，记者选择了打开APP后最先提示打开的权限作为APP“与主营业务相关”的权限。 在这种测试机制下，部分应用在安装并首次打开后，会请求与主业务无关的权限，并且不会以明显的方式提醒用户所启用权限的用处。

例如，根据《信息规范》，“求职招聘”APP可以要求提供的必要信息包括用户注册手机号码、账户信息、求职者基本信息、学历信息、工作经历信息等。 然而，记者首次安装并打开智联招聘后，该APP提示开启位置、相机、通讯录等与上述可索取信息无关的权限，并没有提示为什么要这些权限已启用。

记者在智联招聘APP中搜索相应功能发现，位置权限与其主页相关，用于检测用户所在城市和推荐工作，相机权限与上传头像相关。 记者并未找到与开通通讯录权限相关的主要业务功能。

需要注意的是，与智联招聘同属“求职招聘”类的老板直聘和51job，安装后只开启位置信息，不向用户询问相机和通讯录权限。 与主营业务无关的信息。

与之类似的还有《百合婚》。 根据《信息规范》，婚恋交友APP可以收集手机号码、账户信息、个人基本信息等信息。 不过，记者首次打开百合婚恋时，该APP明确要求通讯录权限。 相比之下，世纪家园和珍爱网这两款交友APP，都没有征求通讯录的权限。

启用权限有哪些风险？

技术上，APP可以获得偷窥隐私的“后门”

需要注意的是，无论是在用户需要的时候提示用户启用权限，还是一开始就开启权限，用户一旦开启权限，权限就会一直处于“开启”状态除非用户手动关闭它。 这是因为相对于苹果的iOS系统有“只在应用运行时打开”、“一直打开”、“不打开”三种权限选项，安卓系统的隐私选项更加粗糙，大多数用户可以只选择“On”或“Off”，表示一旦授予手机本地联系人，权限不会随着应用状态的改变（进入或退出使用状态）而改变。

这意味着，无论是出于正当目的还是不正当目的，只要安卓用户打开APP的大门，APP同样拥有窥探用户隐私的技术权限。

一位安全专家告诉记者，随着市面上APP的功能越来越丰富，申请的权限也越来越多。 恶意应用申请的权限交集也更大。 “比如，目前很多APP都有‘语音搜索’功能，即使这不是它的核心功能，开不开也没什么区别，但一旦开着，就意味着APP具备了窥探的能力。”用户的隐私。”

一位安全专家告诉记者，“由于取证困难，目前还没有有效的惩戒制度来约束APP这种窃取隐私的行为，用户也无法证明APP是否真的窃取了隐私。”