原標題：APP許可權“越界”
部分APP的許可權訪問記錄。
優酷開啟位置、運動資料等許可權。
拼多多未明示的情況下開啟了多項涉隱許可權。
趕集網索取的手機許可權。
1月11日， 工信部資訊通信管理局約談了百度、支付寶和今日頭條， 指出對照《網路安全法》、《電信和互聯網使用者個人資訊保護規定》等有關規定，
1月12日至17日， 新京報記者使用安卓系統手機測試了市面上使用較多的20款APP， 發現其中16個APP要求讀取位置、通訊錄等較敏感許可權；多個APP開啟的許可權與其主營業務無關；4個APP未經明示提醒就開啟了包括相機、錄音在內的多個敏感許可權。
根據《網路安全法》第四十一條規定， 網路運營者收集、使用個人資訊， 應當遵循合法、正當、必要的原則， 公開收集、使用規則， 明示收集、使用資訊的目的、方式和範圍， 並經被收集者同意。
“APP收集個人資訊應遵循我國《資訊安全技術-個人資訊安全規範》，
5款APP涉及隱私許可權提示不全
今日頭條餓了麼明示“儲存”暗開“定位”
當用戶在安裝一款APP時， 手機介面往往會彈窗提示要求用戶開啟某項許可權，
“APP軟體， 包括PC程式在內， 在使用者行使知情權時彈出的提示屬於‘明示同意’， 如果APP軟體採取非明示同意的隱含同意， 或者以超越法律法規事實上強迫使用者不得不同意的方式獲取使用者個人資訊屬於個人資訊的不當使用。 ”馬兆豐博士稱。
新京報記者從華為應用商店安裝20款主流APP發現， 其中14款APP在首次安裝使用時對可能涉及的敏感許可權進行彈窗提示， 但有5款APP對涉及隱私許可權的提示有“疏漏”。
在這5款APP中， “儲存”許可權是被要求最多的許可權， 但“位置”許可權是最多被默認開啟的許可權。
比如， 今日頭條、喜馬拉雅FM和餓了麼在首次使用時均彈窗提示使用者開啟電話以及儲存許可權， 攜程旅行則在首次使用時只提示使用者開啟儲存許可權，但當記者點擊同意後，卻在後臺發現上述應用實際也開啟了位置許可權。
百度流覽器則在首次安裝時提示要求使用者開啟“儲存”、“位置”、“電話狀態”三項許可權，但實際除上述三項許可權外還開啟了麥克風錄音許可權。
對於這一現象，手機百度高級經理田彪曾表示，有的系統會授予它認為安全的APP一些許可權，安卓系統的許可權授予非常複雜，許可權授予完全取決於手機系統本身，而並非由APP自身判斷和決定的。
在梆梆安全研發中心副總裁方甯看來，這一說法確有其道理。“通過原生安卓系統安裝時，穀歌規定安裝APP時是一定要提示所有權限的。但用戶在品牌手機自帶的應用商店裡安裝APP時，如果該APP處於手機廠商的白名單列表裡，有時應用商店本身會替你忽略掉這一過程。”
但在專家看來，“白名單”不能作為APP對涉敏許可權不進行明示提醒的理由。
馬兆豐表示，一些APP產品廠商和軟體商店有合作，以白名單模式放行本該提示使用者知情的選擇權，從而沒有進行“明示同意”的提示，這也不符合個人資訊安全使用規範和要求。
新京報記者在測試20款APP時發現，蘑菇街未經提示就在後臺開啟了“讀取本機識別碼”許可權。“許多APP需要從手機中讀取識別字來標識使用者，相當於在使用者未登錄的情況下讓伺服器知道使用者身份，屬於較為普遍的許可權要求，相對之下較為‘無害’。由於手機廠商可以二次定制開發安卓系統擁有廠商許可權，所以如果手機廠商認為某些許可權是安全的，有可能會不提示給用戶。”方寧稱。
“而定位功能屬於較為敏感的許可權。”西安郵電大學副教授任方表示，“一般系統不會直接無條件給APP打開，不過由於一些APP開發者在軟體設計時就設置了這樣的條件，你不開放它就不讓安裝，用戶也沒有什麼辦法。”
在互聯網安全專家劉海。對此，馬兆豐分析稱，如果輸入法獲取了通訊錄資訊後只是為了本地使用方便，不做資料上傳或進一步用於其他目的，獲取許可權的理由也成立，那麼，在很大程度上就不一定能涉及隱私洩露。
“事實上，如果一些應用程式涉嫌非法收集、使用加工使用者隱私資訊，通過深度資料解析、網路通訊行為分析、相關操作訪問等技術手段是可以監測到的，即使在網路傳輸層面是加密的，但在本地資料解析、資料構造層面也是可以分析監測到是否涉嫌用戶隱私侵犯。因此，個人資訊的使用無論是軟體發展者、公司或機構都要遵循相關法律法規，否則，一旦涉嫌使用者資訊不當使用都要承擔相應後果。”馬兆豐指出。
方寧表示，通過做逆向分析、滲透測試等方式可以檢測出一個應用是否上傳了使用者隱私資料，但這需要具備專業的技術能力，普通老百姓不可能做到。“目前主要依靠企業行為自律或尋找專業的安全企業進行合作，以達到為用戶提供安全的使用環境。”
而在任方看來，由於很難取證，目前並沒有有效的懲處制度來約束APP的這種隱私竊取行為，用戶也無法證明APP是否真的竊取了隱私。
20款APP僅京東、蘇甯易購、騰訊視頻、支付寶彈窗提示隱私協議
百度趕集網等未明示隱私協定
根據我國《資訊安全技術-個人資訊安全規範》要求，收集個人敏感資訊時，應取得個人資訊主體的明示同意，確保其在完全知情的基礎上自願給出具體、清晰、明確的願望表示，並且允許個人資訊主體選擇是否提供或同意自動採集。
為了解決許可權安全問題，谷歌公司曾建議開發者在上傳應用時發佈隱私條例，即開發者需要聲明使用者相關的隱私資訊如何被使用、收集或分享，其目的是使使用者瞭解隱私資訊如何被使用，從而更好地保護用戶隱私。
但目前，很多APP並沒有做到明示隱私協議以及給予使用者選擇是否同意的權利。
1月17日，在新京報記者測試的20款APP中，京東、蘇甯易購和騰訊視頻在首次安裝時就將其隱私協議進行了彈窗提示，用戶可以選擇是否同意，支付寶在安裝後不會立即提示隱私協議，而是在使用者登錄時彈窗進行相關提示。
相比之下，滴滴出行、百度流覽器、趕集網、1號店、攜程旅行、美團外賣、西瓜視頻等多數APP都沒有向用戶明示提醒其隱私協議。
此前，南都個人資訊保護研究中心發佈的《關於收集個人資訊“明示同意”的測評報告與建議》顯示，在100款常用APP中，在用戶註冊前，“默認勾選”同意企業使用者協定和隱私政策的情況並不少見，有的甚至存在用戶不可自主選擇同意與否的問題。僅有11%的APP做到了合乎法規及規範的“明示同意”。
新京報記者測試發現，多數APP的隱私協議藏在“設置”選項中，如今日頭條在“設置”的最下方有一行小字才能看到“今日頭條使用者協議”，而百度流覽器的相關隱私協議則在“設置”-“關於流覽器”中才能找到。
相關隱私條款中，今日頭條和百度流覽器均有“使用APP就視為同意條款”的表述。百度流覽器還特別列出了一個免責聲明，表示“您可以選擇不使用百度，但如果您使用百度，您的使用行為將被視為對本聲明全部內容的認可。”這意味著，用戶在安裝並使用該APP時，就已經默認同意了上述條款。
在前不久的支付寶“年度帳單”事件中，也出現了預設勾選隱私協議的事件。
對此，華東政法大學教授、大資料政策法律研究中心主任高富平曾發表文章認為，有效同意的要件需要明確。
在他看來，我國現行法律將同意視為個人資訊收集和使用的一般規則，但在實踐中，“同意”被大量地使用，很難起到保護個人權利的目的。這主要是因為，在實踐中的同意大多數是與服務捆綁的，使用者協定的同意是接受服務的前提，因而要接受服務就必須同意，否則無法享受服務。而使用者協議又是涵蓋經營者可能列舉的各種情形，包括向所有關聯方、業務合作方等提供資訊。這也就是大家通常講到的“概括式同意”。在這種概括式的協議中不乏各種不合理條款。
高富平認為，法律尚沒有明確否定概括式同意，實踐中的做法並不違反法律。但涉及具體的個案糾紛，法院有權對不合理條款進行實質審查，否定其效力。“何為有效的同意，需要今後法律予以明確。”
“通過APP或者網站提供的相關協議屬於格式合同，APP方在格式合同中肯定會弱化用戶的權利。”盈科律師事務所律師方超強告訴新京報記者，“這一個格式條款算不算用戶承諾值得商榷。事實上，如果該格式條款過於限制用戶權益，可以認定無效。例如目前很多APP都在隱私協定中表示會把使用者資料提供給合作方或協力廠商，但卻沒有提及協力廠商的身份，在這種情況下默許使用者‘同意’的格式條款就涉嫌侵害了用戶的權益。”
新京報記者 羅亦丹 實習生 李曉麗
攜程旅行則在首次使用時只提示使用者開啟儲存許可權，但當記者點擊同意後，卻在後臺發現上述應用實際也開啟了位置許可權。百度流覽器則在首次安裝時提示要求使用者開啟“儲存”、“位置”、“電話狀態”三項許可權，但實際除上述三項許可權外還開啟了麥克風錄音許可權。
對於這一現象，手機百度高級經理田彪曾表示，有的系統會授予它認為安全的APP一些許可權，安卓系統的許可權授予非常複雜，許可權授予完全取決於手機系統本身，而並非由APP自身判斷和決定的。
在梆梆安全研發中心副總裁方甯看來，這一說法確有其道理。“通過原生安卓系統安裝時，穀歌規定安裝APP時是一定要提示所有權限的。但用戶在品牌手機自帶的應用商店裡安裝APP時，如果該APP處於手機廠商的白名單列表裡，有時應用商店本身會替你忽略掉這一過程。”
但在專家看來，“白名單”不能作為APP對涉敏許可權不進行明示提醒的理由。
馬兆豐表示，一些APP產品廠商和軟體商店有合作，以白名單模式放行本該提示使用者知情的選擇權，從而沒有進行“明示同意”的提示，這也不符合個人資訊安全使用規範和要求。
新京報記者在測試20款APP時發現，蘑菇街未經提示就在後臺開啟了“讀取本機識別碼”許可權。“許多APP需要從手機中讀取識別字來標識使用者，相當於在使用者未登錄的情況下讓伺服器知道使用者身份，屬於較為普遍的許可權要求，相對之下較為‘無害’。由於手機廠商可以二次定制開發安卓系統擁有廠商許可權，所以如果手機廠商認為某些許可權是安全的，有可能會不提示給用戶。”方寧稱。
“而定位功能屬於較為敏感的許可權。”西安郵電大學副教授任方表示，“一般系統不會直接無條件給APP打開，不過由於一些APP開發者在軟體設計時就設置了這樣的條件，你不開放它就不讓安裝，用戶也沒有什麼辦法。”
在互聯網安全專家劉海。對此，馬兆豐分析稱，如果輸入法獲取了通訊錄資訊後只是為了本地使用方便，不做資料上傳或進一步用於其他目的，獲取許可權的理由也成立，那麼，在很大程度上就不一定能涉及隱私洩露。
“事實上，如果一些應用程式涉嫌非法收集、使用加工使用者隱私資訊，通過深度資料解析、網路通訊行為分析、相關操作訪問等技術手段是可以監測到的，即使在網路傳輸層面是加密的，但在本地資料解析、資料構造層面也是可以分析監測到是否涉嫌用戶隱私侵犯。因此，個人資訊的使用無論是軟體發展者、公司或機構都要遵循相關法律法規，否則，一旦涉嫌使用者資訊不當使用都要承擔相應後果。”馬兆豐指出。
方寧表示，通過做逆向分析、滲透測試等方式可以檢測出一個應用是否上傳了使用者隱私資料，但這需要具備專業的技術能力，普通老百姓不可能做到。“目前主要依靠企業行為自律或尋找專業的安全企業進行合作，以達到為用戶提供安全的使用環境。”
而在任方看來，由於很難取證，目前並沒有有效的懲處制度來約束APP的這種隱私竊取行為，用戶也無法證明APP是否真的竊取了隱私。
20款APP僅京東、蘇甯易購、騰訊視頻、支付寶彈窗提示隱私協議
百度趕集網等未明示隱私協定
根據我國《資訊安全技術-個人資訊安全規範》要求，收集個人敏感資訊時，應取得個人資訊主體的明示同意，確保其在完全知情的基礎上自願給出具體、清晰、明確的願望表示，並且允許個人資訊主體選擇是否提供或同意自動採集。
為了解決許可權安全問題，谷歌公司曾建議開發者在上傳應用時發佈隱私條例，即開發者需要聲明使用者相關的隱私資訊如何被使用、收集或分享，其目的是使使用者瞭解隱私資訊如何被使用，從而更好地保護用戶隱私。
但目前，很多APP並沒有做到明示隱私協議以及給予使用者選擇是否同意的權利。
1月17日，在新京報記者測試的20款APP中，京東、蘇甯易購和騰訊視頻在首次安裝時就將其隱私協議進行了彈窗提示，用戶可以選擇是否同意，支付寶在安裝後不會立即提示隱私協議，而是在使用者登錄時彈窗進行相關提示。
相比之下，滴滴出行、百度流覽器、趕集網、1號店、攜程旅行、美團外賣、西瓜視頻等多數APP都沒有向用戶明示提醒其隱私協議。
此前，南都個人資訊保護研究中心發佈的《關於收集個人資訊“明示同意”的測評報告與建議》顯示，在100款常用APP中，在用戶註冊前，“默認勾選”同意企業使用者協定和隱私政策的情況並不少見，有的甚至存在用戶不可自主選擇同意與否的問題。僅有11%的APP做到了合乎法規及規範的“明示同意”。
新京報記者測試發現，多數APP的隱私協議藏在“設置”選項中，如今日頭條在“設置”的最下方有一行小字才能看到“今日頭條使用者協議”，而百度流覽器的相關隱私協議則在“設置”-“關於流覽器”中才能找到。
相關隱私條款中，今日頭條和百度流覽器均有“使用APP就視為同意條款”的表述。百度流覽器還特別列出了一個免責聲明，表示“您可以選擇不使用百度，但如果您使用百度，您的使用行為將被視為對本聲明全部內容的認可。”這意味著，用戶在安裝並使用該APP時，就已經默認同意了上述條款。
在前不久的支付寶“年度帳單”事件中，也出現了預設勾選隱私協議的事件。
對此，華東政法大學教授、大資料政策法律研究中心主任高富平曾發表文章認為，有效同意的要件需要明確。
在他看來，我國現行法律將同意視為個人資訊收集和使用的一般規則，但在實踐中，“同意”被大量地使用，很難起到保護個人權利的目的。這主要是因為，在實踐中的同意大多數是與服務捆綁的，使用者協定的同意是接受服務的前提，因而要接受服務就必須同意，否則無法享受服務。而使用者協議又是涵蓋經營者可能列舉的各種情形，包括向所有關聯方、業務合作方等提供資訊。這也就是大家通常講到的“概括式同意”。在這種概括式的協議中不乏各種不合理條款。
高富平認為，法律尚沒有明確否定概括式同意，實踐中的做法並不違反法律。但涉及具體的個案糾紛，法院有權對不合理條款進行實質審查，否定其效力。“何為有效的同意，需要今後法律予以明確。”
“通過APP或者網站提供的相關協議屬於格式合同，APP方在格式合同中肯定會弱化用戶的權利。”盈科律師事務所律師方超強告訴新京報記者，“這一個格式條款算不算用戶承諾值得商榷。事實上，如果該格式條款過於限制用戶權益，可以認定無效。例如目前很多APP都在隱私協定中表示會把使用者資料提供給合作方或協力廠商，但卻沒有提及協力廠商的身份，在這種情況下默許使用者‘同意’的格式條款就涉嫌侵害了用戶的權益。”
新京報記者 羅亦丹 實習生 李曉麗