四部委：100個APP用戶信息調查每個APP都存在強制超范圍索要權限

楊蓉

據網信辦官方微信通報，在中央網信辦、工信部、公安部和市場監管總局指導下，APP專項治理工作組開通了違法違規收集使用個人信息舉報渠道，認真受理網民舉報。期間，工作組收到大量關于APP強制超范圍索要權限等舉報信息。

APP專項治理工作組對包括餐飲外賣、地圖導航、網上購物、短視頻、金融借貸、工具軟件、即時通信、交通票務、瀏覽器、拍照美化、社區社交、輸入法、網絡支付、新聞資訊、學習教育、網絡游戲、影音娛樂以及其他近20大類共計100個APP進行用戶信息收集情況統計。我們注意到，網上購物類，如京東、淘寶、天貓、閑魚、小紅書、趣店、拼多多、唯品會、蘇寧易購以及華為商城，餐飲外賣類，如百度糯米、餓了么和美團外賣，交通票務類，如途牛旅游、攜程旅行、去哪兒旅行和同程旅游等上榜。

統計結果顯示，平均每個APP都有存在強制超范圍索要權限的情況，平均每個APP申請收集個人信息相關權限數有10項，而用戶不同意開啟，則APP無法安裝或運行的權限數平均僅為3項。

近年來，信息泄露事件屢屢發生，而APP過度索要授權是個人信息泄露的導火索之一。2019中央電視臺3·15晚會曝光多家科技企業存在私自采集個人信息情況，其中包括薩摩耶金服利用探針盒子私自采集用戶信息以及“社保掌上通”APP通過隱藏的用戶條款竊取用戶社保信息等。

另據“電子商務消費糾紛調解平臺”近年來受理的全國數十萬起電商投訴案件大數據表明，包括天貓、淘寶、京東、唯品會、當當網、蘇寧易購、國美在線和1號店等在內的電商平臺，以及窩窩團、美團、大眾點評、百度糯米、攜程、去哪兒和支付寶等在內的生活服務O2O平臺，均曾出現用戶信息泄露事件。而僅2018年，就多次出現用戶個人信息泄露事件，圓通、順豐的十幾億條個人信息在暗網被出售，以及12306數百萬條旅客信息在網上被出售等。

網經社電子商務研究中心特發布電商快評，供參考。

觀點一：互聯網運營商不得非法收集用戶信息

網經社電子商務研究中心、上海信本律師事務所主任高興發認為，互聯網運營商不得非法收集用戶信息，從規范、合法運行的角度，建議互聯網運營商依法改進。

高興發律師表示，根據《全國人民代表大會常務委員會關于加強網絡信息保護的決定》第二條規定，網絡服務提供者和其他企業事業單位在業務活動中收集、使用公民個人電子信息，應當遵循合法、正當和必要的原則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意，不得違反法律、法規的規定和雙方的約定收集、使用信息。網絡服務提供者和其他企業事業單位收集、使用公民個人電子信息，應當公開其收集、使用規則。

《民法總則》第一百一十一條規定，個人信息受法律保護，自然人的個人信息受法律保護。任何組織和個人需要獲取他人個人信息的，應當依法取得并確保信息安全，不得非法收集、使用、加工、傳輸他人個人信息，不得非法買賣、提供或者公開他人個人信息。

觀點二：互聯網運營商不能過度收集用戶信息

對此，網經社電子商務研究中心法律權益部分析師姚建芳認為，互聯網APP運營者不能過度收集用戶信息，同時應保證個人信息的安全，企業最好建立健全用戶個人信息安全內控機制，采取一切合理可行的措施，保護用戶個人信息。

姚建芳表示，《電子商務法》第二十三條規定，電子商務經營者收集、使用其用戶的個人信息，應當遵守法律、行政法規有關個人信息保護的規定。違反《電子商務法》個人信息保護規定的主要表現形式為過度收集、秘密收集、誘騙收集、強制收集、非法收集、從黑市上購買個人信息、無期限存儲使用個人信息、隨便變更目的使用個人信息、未經授權同意對外提供個人信息、非法披露個人信息、內部人員非法對外倒賣個人信息、平臺對商戶收集和使用個人信息行為缺乏管控等。

《消費者權益保護法》也對用戶信息安全明確規定，經營者及其工作人員對收集的消費者個人信息必須嚴格保密，不得泄露、出售或者非法向他人提供。姚建芳提醒，經營者應當采取技術措施和其他必要措施，確保信息安全，防止消費者個人信息泄露、丟失。

【典型案例】注銷賬號需提供身份證照片？用戶質疑摩拜單車過度獲取信息

李先生計劃停用摩拜單車，注銷手機號。因當初注冊摩拜使用了身份證號，擔心手機號注銷后運營商二次銷售會被直接登陸摩拜賬戶，特申請注銷摩拜用戶并解綁身份證。

摩拜客服受理后要求李先生提供身份證照片及手持身份證的照片。李先生認為摩拜此行為具有強行獲取個人敏感信息的嫌疑，注銷賬號的目的是減少個人信息泄露，而摩拜卻要求我先透露更多個人信息才銷戶，無法接受。

觀點三：互聯網運營商收集與使用用戶信息不得違反法律法規

《網絡安全法》加大了對網絡詐騙等不法行為的打擊力度，特別對網絡詐騙嚴厲打擊的相關內容，切中了個人信息泄露亂象的要害，充分體現了保護公民合法權利的立法原則。

【典型案例】現金貸逾期未還“有用分期”恐嚇用戶通訊錄好友

譚先生2018年8月1日在“有用分期”辦理一筆現金貸，當時本金14 500元，分六個月歸還每個月還3 102元。已經還了五期，最后一期因過年身上沒有錢處理，正月初七接到催收電話要求一點之前處理完，不然就升級催收。

但是因為在鄉下不方便去銀行，所以沒按照他們規定的時間處理，結果譚先生的通訊錄好友都被騷擾，說譚先生借錢不還。之后每天都可以接到他們的電話，辱罵威脅和恐嚇。

觀點四：互聯網運營商有義務保護用戶信息安全

網經社電子商務研究中心特約研究員、北京盈科（杭州）律師事務所方超強律師認為，電商平臺在獲取個人信息的同時也有義務保護信息安全。

方超強律師認為，根據《網絡交易管理辦法》第25條第二款規定，第三方交易平臺經營者應當采取必要的技術手段和管理措施保證平臺的正常運行，提供必要、可靠的交易環境和交易服務，維護網絡交易秩序。電商平臺在獲取個人信息的同時，就有保護個人信息的義務。

方超強律師進一步表示，信息泄露存在不同的情況，如果電商平臺提供了符合其規模的保護措施，但在這種情況之下還是被黑客入侵了系統，這種情況屬于不可抗力，電商不用承擔責任，但如果最終發現因平臺存在漏洞而導致信息泄露，那么平臺就要負責。方超強律師指出，在現實中很難有一個標準去判斷什么叫做“平臺存在漏洞導致信息泄露”，若消費者向法院投訴平臺，平臺只要舉證證明其盡到了安全責任保護義務，就很難對平臺進行追責。

【典型案例一】小紅書下單后信息被泄露

蘭女士1月15日在“小紅書”購買“滋色”品牌口紅，出現了信息泄漏問題，被詐騙35 000多元。4月22日蘭女士接到一個聲稱是小紅書理賠中心服務人員的電話，告知購買的口紅有問題，并詳細說出了蘭女士的姓名、電話、訂單號及地址，蘭女士隨之就放松了警惕被騙光卡里的錢之后，對方又告訴說要有個匹配、征信問題，隨之又誘導蘭女士在借唄、小米金融，分30期貸款共借出14 500元打過去。

【典型案例二】“55海淘”用戶賬號余額被無故提現

張先生在“55海淘”購物并獲得現金返利，之后將余額存放在賬戶內。2019年1月15日，張先生的賬戶被非法提現405美元（合2 685.15元），期間原綁定的郵箱未收到任何提示，并被篡改綁定郵箱和手機號。聯系“55海淘”被告知要更改郵箱，必須包括：1.通過原注冊郵箱修改；2.使用新的注冊郵箱發送3張不同商家、非問題訂單的完整截圖至客服郵箱。

張先生表示他的郵箱在沒收到任何相關郵件，并于1月21日發現并與客服聯系，當時顯示提現詳情是“審核通過，待付款”，但是被客服告知已經打款成功無法追回。他認為“55海淘”存在系統不完善（變更手機、郵箱后立刻可以提現轉賬），有信息泄露嫌疑（郵箱變更未通過原注冊郵箱修改），未盡到及時通知義務（郵箱被變更沒有任何郵件提示）等過錯。

【典型案例三】“愛又米”疑似信息泄露用戶險遭詐騙

張先生于2018年8月18號，接到自稱愛又米客服電話說要幫我注銷賬戶，轉移取現額度。根據操作在支付寶安逸花取現6 400元后（產生利息128元），對方讓他提現微信，發來個人微信收款碼。

張先生發現有問題沒有轉賬，騙子隨后威脅并說出他的手機號、身份證、家庭聯系人電話和學校信息，由此可以判斷他的信息被泄露。

隨后他致電愛又米官方客服，客服一口否決泄露信息，并且無法注銷賬戶，只能進行賬號凍結，當初注冊的時候，只用了手機注冊，他的身份證信息和學校信息就出現了，愛又米是如何通過手機號就獲取他的信息是值得探討的問題。