前不久，关于外卖APP可能“偷听”用户的猜测引起许多关注和讨论。相关企业很快否认，强调“监听用户日常对话并做信息分析”是一种无端猜测，并没有相应产品设置。虽然如此，但此类讨论依然显示出大多数用户对APP等网络应用的爱与恨：既希望更便捷、“更懂我”，又担心了解太多隐私信息，以至于“太懂我”。

屡禁不止！

近七成用户遭遇APP过度获取隐私权限

在搜索引擎中查看了大量关于雅思考试的内容后，大学生林海手机中的购物APP首页就被雅思相关书籍和材料攻陷了。“开始是惊讶，随后是愤怒，然后又感到害怕。”他这样形容自己的感受。

在当下，此类现象屡见不鲜。另一位大学生杨小叶在手机上安装了一款镜子APP，在无意间，她发现这个APP竟然“合法”地访问了她的通讯录。另一款功能单一的手电筒APP甚至冠冕堂皇地要求获得手机的录音权限。

2018年7月17日至8月13日，中国消费者协会组织开展的“APP个人信息泄露情况”问卷调查显示，85.2%的受访者表示遭遇过APP个人信息泄露情况；67.2%的受访者表示，自己所使用的APP在其功能不必要的情况下获取了手机中的隐私权限。这项调查还显示，读取位置信息权限和访问联系人权限，是安装和使用手机APP时遇到最多的情况，通话记录、短信记录、摄像头等权限也常常被APP要求获取。

中国政法大学传播法研究中心副主任朱巍对APP过度获取隐私权限的行为深有体会。他曾在手机上安装使用过一个著名APP，但因为经常发送广告，他就把这个APP卸载了。但卸载后，他还是能时不时地收到该APP平台发来的短信广告，有时甚至还会根据他所在的城市推送相应的广告。朱巍猜测，这可能是因为，自己在一开始使用这个APP时，就在使用协议中允许其获取过多的隐私权限。

腾讯公司法务部数据及隐私中心负责人黄晓林指出，APP获取用户权限过多、过度的问题由来已久，有些APP超出必要范围获取用户的敏感权限很不应该。但这些现象屡禁不止的原因在于，其所面临的法律风险可能远远小于可以获得的商业利益。

黄晓林还补充说，有很多APP集成了多种功能，甚至在未来的迭代升级中会具备更多功能，为了实现这些功能，APP会要求获取更多权限。在这种情况下，判断其是否过度获取用户权限，是否合规，还需要针对每个APP的具体功能来做具体判断。

成效如何？

APP安全认证开始实施

针对APP过度获取隐私权限等现象，3月15日“国际消费者权益日”当天，国家市场监管总局和中央网信办联合出台了《关于APP安全认证的公告》，指定中国网络安全审查技术与认证中心（ISCCC）为官方认证机构，依据《信息安全技术个人信息安全规范》来制定技术验证规范，对APP进行安全认证。

据了解，上述APP安全认证相关通道已经于3月21日正式开通。认证秉承自愿原则，按照“技术验证+现场核查+获证后监督”的模式进行，对于通过认证的APP，将鼓励搜索平台和应用商店优先推荐。针对APP中涉及个人信息安全的具体技术验证规范已经制定完成，将会对参与验证的机构公开。

作为互联网公司的隐私保护从业者，黄晓林对上述APP认证持相对乐观的态度，“对整个行业，对个体和隐私保护（这方面），都会有更加正向的作用，会引领各家企业更加重视这方面的内容。”

黄晓林也指出，目前市场上APP数量众多，企业能否花费足够的时间和经济成本参与其中还有待观察。但对占据大多数市场份额的APP和企业来说，这是一种自我纠错的过程，可能从源头上推动企业更加合规。他期待，这类APP安全认证工作可以在更多技术手段的帮助下，更加自动化、高效率，甚至像杀毒软件一样普及，从而进一步推动APP合规运营。

中国网络安全审查技术与认证中心（ISCCC）相关人员介绍，目前确无对上述概念的明确定义，将会参照部分个人信息安全相关的评估指南来作为评判的标准。从公开的细则来看，目前对于通过认证的APP主要的监管手段依然是以企业自查为主，辅之以社会监督，但真正交由第三方的监督却十分有限。同时，由于认证是自愿进行，未通过认证的APP如何管理依然没有得到彻底有效的解决。

鼓励制衡！

技术界寻解决方案

对于因大数据技术的发展而带来的隐私保护问题，技术界也在关注并且研究相应的解决办法。

3月23日，在中国计算机学会青年计算机科技论坛（CCF YOCSEF）举办的“人工智能时代，隐私和效率一定是不可调和的吗？”专题讨论中，有技术人员介绍称，在杭州等地已经在尝试基于区块链技术开展隐私保护，大致的思路是利用公有链形式开展数据交易，以联盟链形式开展数据加密保护。

对于区块链技术在隐私保护领域的应用，中国人民大学教授孟小峰指出，去中心化、可溯源的区块链技术是一个可以研究的隐私保护方向，其有利于在隐私泄露之后溯源、追责，但由于技术尚不成熟、效率不高等问题，区块链技术应用于隐私保护领域还处于探索阶段，而且区块链的使用成本也较高，监管部门或者企业会否采用尚无法确定。

作为技术界的实践者，360行业安全研究中心主任裴志勇认为，采用区块链或是大数据技术来监测隐私泄露情况在技术上都是可行的，但是在实际操作中则面临着成本过高和依然需要大量人力资源的问题。

在上述专题讨论会议上，裴志勇提出一个设想，将目前应用于云计算领域的“三方制衡原则”引入到APP安全监管中：将涉隐私的个人数据所有者、运营者和管理者相分离，避免一个主体既是裁判又是运动员，把这种制衡的能力商业化，鼓励一种能够制衡企业利用用户数据的产业快速发展，从而形成长期持续的市场化监管。

作为法律学者，朱巍认可裴志勇提出的上述观点。“不能一个人又当运动员，又当裁判，政府不行，企业也不行。”他认为，即将出台的个人信息保护法需要作出底线规定，让个人信息保护真正回归到个人权利本身，在此基础上，通过企业之间的相互竞争与制衡，寻找更多更可行的办法。摘自《中国青年报》