華為小米商店多款APP隱私提示不全

根據《網絡安全法》第四十一條規定，網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，公開收集、使用規則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。

中國國家標準化管理委員會發布的《信息安全技術 個人信息安全規范》(下稱《規范》)對個人敏感信息做出了定義，也明確了收集信息的原則。其中重要的一條是“選擇同意原則”，即APP方需要向個人信息主體明示信息處理目的、方式、范圍等，征求其授權同意。規范自2018年5月1日正式開始實施。

《規范》指出，收集個人敏感信息時，應取得個人信息主體的明示同意。明示同意則指個人信息主體通過書面聲明或主動做出肯定性動作，對其個人信息進行特定處理做出明確授權的行為。

“APP使用過程中，用戶在看到權限要求彈窗時點擊了同意，這就是肯定性動作。”李宇稱，“具體來說，肯定性動作包括用戶主動做出聲明(電子或紙質形式)、主動勾選、主動點擊同意、注冊、發送、撥打等。”

但目前市面上并非所有APP都按規定對所要求的權限進行了明示提醒。此前江蘇省消保委就曾以手機應用侵犯消費者個人信息，兩次約談無整改為由，向百度公司提起民事訴訟。手機百度高級經理田彪此前回應稱，有的系統會授予它認為安全的APP一些權限，安卓系統的權限授予非常復雜，權限授予完全取決于手機系統本身，并非由APP自身判斷和決定的。

為驗證權限授予究竟是否會因手機系統的差異產生變化，1月24日至2月8日，新京報記者分別在華為、小米、OPPO、vivo四部安卓系統手機上安裝了相同的十一款APP。這十一款APP分別是天貓、攜程旅行、百度地圖、騰訊視頻、百度、京東、58同城、今日頭條、優酷、愛奇藝和趕集網。

測試結果顯示，同一款APP，在不同品牌手機應用市場下載時，所進行的明示提醒也不相同。其中，部分APP在vivo、OPPO手機安裝后對敏感權限進行了明示提醒，在華為、小米手機安裝后則并未對敏感權限索取進行明示提醒。

其中，百度、百度地圖、京東、騰訊視頻四款APP在上述4個品牌手機下載并首次打開時，都會對用戶進行明示提醒，而其余七款APP所明示提醒的權限則根據手機品牌的不同產生了不同的結果。

以天貓為例，當記者通過華為、小米、OPPO手機的內置應用商店下載該APP時發現，首次安裝使用時其并未出現任何明示提醒，而通過后臺的權限設置則發現，天貓在小米手機安裝后，默認開啟了定位、相機、錄音權限；在華為手機安裝后，默認開啟了定位、相機、讀取通話記錄權限；OPPO手機安裝后，未開啟任何權限；vivo手機安裝后，明示提醒并開啟了定位權限。

記者測試發現，天貓、攜程、58同城、優酷、愛奇藝、今日頭條、趕集網七款APP在華為和小米手機內置應用商店下載時均在沒有明示提醒的條件下默認開啟了定位等敏感權限，而在vivo和OPPO手機內置應用商店下載時，除優酷在OPPO安裝時默認開啟了攝像頭和錄音外，其余APP均做到了明示提醒。

從上述實例來看，11款APP中，百度、京東等4款APP在小米和華為做到了所有敏感權限的明示提醒，10款APP在OPPO上做到了所有敏感權限的明示提醒，11款APP都在vivo上做到了所有敏感權限的明示提醒。

手機應用商店“代”用戶“審核”APP權限

“造成不同手機品牌上APP權限索取情況不一樣的原因，是每家手機品牌應用市場上線APP的審核策略不同導致的。”李宇稱，“作為APP方，肯定要老老實實的申請權限，再根據應用市場商家審核的要求有所改變。”

2月6日，新京報記者以開發者身份聯系華為應用市場負責審核的相關人士，想要了解自身APP能否以默認開啟通訊錄權限的方式上架華為應用市場。得到的答復是，“權限是否選擇默認開啟，開發者可以在自己的SDK(軟件開發工具包)中‘自行實現’。”但該人士同時表示，若應用索取權限過高，可能存在讀取用戶通話記錄、讀取用戶通訊錄、讀取用戶短信記錄、獲取用戶手機號碼、通知欄推送廣告等情況，就不符合華為應用市場審核標準。

“應用市場一般執行最低權限策略，除非權限是剛需，比如讀取通訊錄是為了實現加通訊錄好友。”李宇解釋稱，“至于APP具體能夠開啟哪些權限，要看應用商店的審核要求。如果應用商店覺得你索取的權限出于正當目的，就可以上架，至于默認開啟權限的功能，只能是與應用商店有關。”

需要注意的是，應用商店本身就具備審核功能，如《小米應用商店應用審核規范》明確規定應用未提示用戶或未經用戶授權情況下不得搜集、傳輸或者使用用戶的位置信息。而《OPPO應用市場審核規則》也規定未經用戶授權，不得搜集、傳輸或者使用用戶的位置信息。