四部委:今年處置7000余款違法違規App

工信部今年累計巡查4.8萬余款App,專項檢查200余款;76.9%受訪者對App收集個人信息存在困擾或擔心

9月20日,2020國家網絡安全宣傳周App個人信息保護主題發布活動在京召開。記者 羅亦丹 攝

9月20日,2020國家網絡安全宣傳周App個人信息保護主題發布活動在京召開。中央網信辦、工信部、公安部、市場監管總局四部委以及App專項治理工作組在會上公布了今年以來App專項治理工作的有關進程。

工信部網絡安全管理局處長尚鐵力表示,工信部2020年累計巡查4.8萬余款App,專項檢查了200余款App,加大了檢查和公開曝光力度。公安部網絡安全保衛局處長趙云霞表示,今年以來,公安部依托網民舉報、巡查發現,依法處置了7000余款存在違法違規行為的App。

會上,App專項治理工作組組長程多福表示,今年工作組主要從標準規范制定、推動自動化檢測工具、宣傳教育三個方面展開工作。“因為現在市場上APP的量是百萬級的,我們要推動自動化檢測的工具作為今年的一個重點方向,下一步這一塊會有比較大的亮點。”

新京報貝殼財經記者了解到,對于App在個人信息保護方面的安全性,除了制定標準、推動自動化檢測工具進行檢測外,進行安全認證也是一大途徑。而2019年3月,市場監管總局和中央網信辦發布了關于APP認證的公告,承擔認證工作的是中國網絡安全審查技術與認證中心。

中國網絡安全審查技術與認證中心主任魏昊表示,2019年3月起,有25家企業的75款產品提出申請,28款產品被接受認證申請,涉及地圖導航、網上購物等行業。“受理后的認證過程中,由于整改方面不合格,有10款產品終止認證過程,最后18款產品通過了認證。”

此外,App專項治理工作組還公布了在網絡安全周活動期間發起的“App安全意識調查”問卷,問卷結果顯示,近半數受訪者會仔細閱讀隱私政策,三成受訪者只會大致閱覽隱私政策,兩成受訪者不閱讀隱私政策。有76.9%的受訪者對App收集使用個人信息的來源、目的、方式、范圍存在困擾或擔心。

會上,App專項治理工作組還邀請各界代表就大眾普遍關心的“追蹤和畫像的度在哪里”展開觀點交鋒。知名歌手、演員王源作為公眾人物代表和青少年倡導者倡導App對于青少年上網行為應當“少一點追蹤、多一點關懷”。21世紀報道系首席運營官虞偉、TalkingData CEO 崔曉波、梆梆安全CEO闞志剛也分別代表媒體、產業界和安全界分享了相關觀點。

問題:公眾人物和普通用戶在App操作的動作都會被App追蹤,你認為這樣的行為是可以被接受的嗎?

王源:作為公眾人物確實會在很多情況下遭到追蹤,包括線上也包括線下。線下的追蹤可以主觀感知到,但APP的追蹤更加緊密,用戶的任意一個操作都可能被記錄甚至被匯總起來,在我不知道且未告知我的情況下,我覺得嚴格來說是侵犯隱私了,這還可能會帶來電話騷擾、短信轟炸甚至個人賬號安全的威脅。我可接受的追蹤是在一定范圍內用戶可知的追蹤。

問題:SDK很多時候就是在追蹤用戶的動作,形成用戶畫像,您如何看待收集信息度的把握?

崔曉波:首先以追蹤個體為目的數據收集行為是不可取的,我們必須遵循法律。而收集數據的過程中有兩個最重要的原則,一個是(目的)正當性,如果侵犯了比如王源同學的行蹤就肯定不存在正當性;第二個是必要性,我們經常會看到有一些App做越權的收集,這也不可取。在應用方面應該遵循最小化的應用原則。

虞偉:想不被追蹤應該是沒有可能的,關鍵是不被追蹤到什么程度。我認為要看公司的商業目的是怎樣的,現在App操作的動作會被匯總,我覺得匯總行為要被嚴格限制,要依法依程序對App收集的信息進行匯總和分析。

闞志剛:從技術角度來講,App匯總信息肯定是可以的,但是從另一個層面,目前越來越多的個人信息都在被做黑產的匯總,當黑產人員把這些信息匯總在一起的時候,有可能會得到比某一個商業公司更加全面的用戶畫像來進行追蹤。這種行為是不可以的,如果用在正常的商業行為上,我作為個人可以接受,因為給我帶來了很多便利性。

問題:現在人臉以及手機設備號成為了容易被追蹤的特征,你怎么看?

王源:我也發現這兩年人臉識別越來越普遍了,帶來了很多便利,但是很多人臉識別的結果是面向大眾的,應用場景并不是涉及公共安全的場景,現在很多攝像頭都具備了這樣的功能,幾乎每一個人都會遇到被人臉識別的場景,但是每天遮上臉也不是辦法。現在戴口罩都能被識別出來,在這種情況下,要通過人臉識別的方法追蹤個人行為,對個人的隱私來說是有很大的影響,這種方式如果是大范圍地應用于日常的話我不太贊成。

虞偉:無論是人臉還是手機設備號,這兩個其實是一類性質,應該嚴格被限制,沒有非特定的需要不應該進行收集,尤其是人臉。即使是在特定場景下,收集了人臉的信息,我們也要特別關注它保存多長期限會進行刪除,比如說以前正常的攝像頭也有一周或兩個月自動刪除的設置,此外,收集完的人臉數據不能再共享。

問題:目前商家會使用用戶畫像對人群進行分類,你是否知道你粉絲成員的大概畫像?你怎么看待用戶畫像?

王源:說到粉絲,我經常會聽到別人說媽媽粉、姐姐粉之類的,我覺得這就是給一些特定的粉絲人群畫像。因為我不是相關的網絡企業,所以我沒有辦法去特別準確地給我的粉絲畫像,但我覺得畫像就像是給粉絲貼標簽,比如說你年紀大一點,已經結婚了有孩子就叫媽媽粉,或者你比我年紀大一點就叫姐姐粉。如果標簽貼得適當的話,可以幫助朋友了解興趣愛好,幫助商家了解需求。但我感覺現在的大數據畫像好像已經超過了普通標簽的概念,我生活中遇到過此類情形,就是剛剛聊到什么或者剛剛搜過什么,馬上購物軟件就會推送什么,剛開始用我還覺得挺方便的,但是到后來想想會覺得有一點后怕,即:這種畫像的積累次數越多,會不會個人信息就暴露越多?會不會有一些個人信息會被惡意的人員去利用了?而軟件不會因為你是青少年而對你減少畫像。青少年在網絡空間中相對是更脆弱的,更應得到保護。

問題:App會不會監聽?可否從安全角度分析一下聊一個天馬上就推送類似的東西這種情況?

闞志剛:監聽不但包括對用戶操作動作的監聽,例如今天用了什么手機,什么時間用的,還包括對用戶所看的瀏覽內容的監聽,例如今天看了什么新聞、廣告;而對說話或者通信、語音的監聽則是非常之可怕,這被稱作間諜軟件。正當的企業對客戶畫像可以理解,但必須把畫像的結果進行很強的保護。比如說我們四家企業分別對一個用戶進行畫像,都要有義務跟責任把畫像的數據保存好,而不是說四家企業一商量把畫像進行匯總,這樣的話就形成一個畫像的疊加,最終在用戶身上的標簽就有可能有兩千多個,甚至把用戶身上的一些特點“畫出來”,這非常之可怕。

問題:既然給用戶畫像、貼標簽不可避免,能不能給用戶一個權力去控制這個標簽的顆粒度,甚至刪除某些標簽呢?你覺得怎樣是合適的?

崔曉波:我覺得現在核心的問題是沒有標準、不透明。很多互聯網公司出于商業方面的考慮不愿公開標準,整個環節不透明,所以把畫像開放給消費者或者個人去看不現實。為什么?因為同樣的標簽可能在不同的公司代表不同的含義。我覺得最有可能的還是以政府或者行業協會為主導,對于某一類行業標簽里的定義還得做一些分級或者分類的管理。此外,在應用環節還要進行監管,因為現在大數據殺熟很明顯,打了標簽之后會存在各種價格歧視,可能會出現各種各樣的問題,需要監管部門進行管理。解決了上述問題后,才能談把更多的控制權交還給消費者。

問題:對于青少年的標簽控制,你有什么期待?

王源:我覺得青少年相對于成年人,對于網絡世界還是缺乏一些判斷和識別能力的,如果是明知道青少年是這樣的情況還是去引誘他們上網,就是把用戶標簽純粹作為利益最大化的工具,這不太好。現在也有很多App上線了青少年模式,避免對青少年進行大量的畫像,這是很好的。我覺得App要對青少年上網少一點追蹤多一點關懷,每一位青少年在上網的過程中也要在家長的指導下保護好自己的個人隱私,避免自己受到傷害。(記者 羅亦丹)