Qing调查丨频繁调取位置信息和相册 软件后台在干啥？

11月1日，个人信息保护法正式实施，个人隐私安全问题又重回大众视线。此前，就有博主晒出iPhone手机更新系统后，发现很多主流软件都在后台频繁获取用户信息，对用户隐私安全造成威胁。北青-北京头条记者实测发现，确实有不少软件频繁调用个人位置和图片信息，甚至有社交软件一小时获取定位达到75次，如此频繁调用隐私信息，他们到底想干啥？

现象

不授权不能用APP 授了权却被频繁调信息？ 

市民刘女士向北青-北京头条记者爆料，10月30日，她在淘宝购物后，因频繁被推送“附近商品推荐”，于是便关闭了应用的位置权限。但没想到系统提示“需要同意该隐私权政策才能继续使用”。刘女士选择了“仍不同意”按钮，没想到软件闪退且无法再继续使用。当她再次尝试，并在页面点击“查看协议”，才发现上面写着：“基于您的明示授权，我们可能会获取您的位置，为您提供附近的商品、店铺……您有权拒绝或取消授权”。

当她点下不同意该协议按钮时，软件依旧无法使用。对此，忍无可忍的刘女士向工信部官网的“部长邮箱”进行了投诉。

不过，针对APP过度索取手机权限的问题，网上就一直诟病不断，10月8日，就有用户贴出截图称“iOS版微信在后台反复读取用户相册”。根据用户描述，新版iOS15的“隐私”功能有“记录APP活动”，可以存储7天内APP访问位置或麦克风等数据。上述用户发现，微信在用户未主动激活应用的情况下，在后台数次读取相册，每次读取时间长达40秒至1分钟不等。

该用户同时表示，发现QQ、淘宝等多款国产软件也存在后台频繁读取用户相册的行为。如此频繁的调取隐私数据，让很多网友开始担心自己的隐私安全问题。

体验

团购APP一小时读取修改照片和文件121次

针对刘女士“不授权不能使用APP”的情况，11月2日，记者进行体验，不过，在系统权限管理一栏中，“允许访问位置信息权限”页面发生了改变，与此前刘女士的情况不同，记者在选择“禁止”后，软件依旧能正常使用。

但调用隐私信息的情况却依然明显，记者利用能够监测APP行为记录的手机，在开放权限的情况下，记录了微信、微博、抖音、美团、钉钉、淘宝、高德地图共七款常用软件的用户信息调用情况。

经过一小时的观察，在七款软件皆处于后台状况下，记者发现，高德获取位置信息32次，修改系统设置8次；钉钉获取位置18次，读取剪贴板10次；美团获取位置16次，读取及修改照片和文件121次；抖音获取位置11次，读取修改照片24次；淘宝获取位置24次；微博获取位置32次，读取及修改照片和文件16次；微信获取位置75次，修改系统设置9次，读取及修改照片文件22次，读取剪贴板5次。

此前微信回应称，iOS系统为APP开发者提供相册更新通知标准能力，相册发生内容更新时会通知到APP，提醒APP可以提前做准备，APP的该准备行为会被记录成读取系统相册。

当用户授权微信可以读取“系统相册权限”后，为便于用户在微信聊天中按“+”时可以快速发图，微信使用了该系统能力，使用户发送图片体验更快速流畅。

微信表示，上述行为均仅在手机本地完成，最新版本中将取消对该系统能力的使用，优化快速发图功能。

揭秘

软件在后台调用权限是正常需求吗？  

奇安盘古隐私安全业务负责人赵帅表示，在个人信息保护方面，操作系统的权限设计是为了让APP收集使用个人信息的行为受到限制，让用户能够主动去控制APP能否采集特定类型的个人信息，如通讯录、地理位置等。后台调用权限的行为在特定场景下是合理的，比如我们用手机导航的场景，虽然切换到后台，但我们仍在使用这个APP；也有一些场景是非必要的，比如我们将APP切换到后台，暂时不用这个APP提供服务，那么这种情况下的后台调用权限可能就已经超出正常需求的范围。

民间互联网安全组织网络尖刀创始人曲子龙认为，从技术角度来讲，调用次数其实并不能直接说明问题，还是以它的应用场景实际做了什么才能确认是否合规。以微信读取相册为例，实际上技术分析后确实和微信方面回复的一致，该功能是利用“相册更新通知”实现“快速发图”这个诉求，从这个角度来讲，它确实是一个正常需求。做调研会发现，大家的诉求是不一样的。如果想解决，建议类似这样的需求可以单独设定开关。

社交软件调用定位为什么比导航软件还频繁？

针对微信调用位置信息比高德还频繁的情况，曲子龙介绍，导航软件其实对位置的诉求，只有“起止”及中间的“是否偏航”判断才需要使用位置，看起来很需要，实际确实不需要那么多。社交软件在位置诉求上确实相对要更复杂一些，尤其在加上了小程序之后，社交软件可能本身不需要这个位置信息，但是用户授权的小程序要通过社交软件获取位置，授权的越多那获取的自然也就跟着多了，再加上很多人用完就走可能很多应用授权都没取消，自然就变成了看到的表现。

但赵帅认为，APP实际获取定位信息的频率与产品功能设计、用户使用习惯等均有一定关系，在个体上的表现会有一些差异。但如果存在过高频率收集地理位置信息的话，是一种超出合理必要范围的行为。

软件收集用户隐私权限的边界在哪？

关于APP手机用户数据，赵帅表示，从技术角度上看应分为几种不同的情况：包括系统权限保护的个人信息，如通讯录、录音、定位等；未受用户权限保护的个人信息，如用户主动录入的身份证号码、病历、婚姻状况等；用户在使用APP过程产生的一些使用偏好信息，这些可能由APP主动记录产生，如喜欢听的歌曲、经常去的餐馆等。

对于系统权限保护的个人信息，软件应充分明示并征得用户同意后，才能调用这些权限获取个人信息，并应确保获取的范围、频率、方式符合最小必要的原则。对于用户主动录入的信息，应当充分说明录入的合理性及可能造成的影响，给予用户选择是否录入的权利。对于软件使用过程中收集的数据，应该做到明确告知用户，并说明后续的用处。

用户信息被收集有哪些风险？

赵帅表示，用户信息收集后，企业运营者如果对数据进行不合理的使用，则会对用户造成生活上的困扰，比如推销电话、骚扰短信、大数据杀熟等现象。企业运营者如果不能有效保障数据的安全性，出现数据泄露事件后，可能被黑灰产利用，进一步导致网络诈骗等犯罪行为发生。

曲子龙说，正规的软件获取用户隐私信息，大部分都是用于“用户画像”用途，对某个用户了解得越具体，画像越精准，那潜在或者直达的“商机”就可以更明确，大部分是通过自营亦或者售卖广告的方式进行变现。隐私泄露之后被精准推送广告并不是最大的风险，不良企业会通过大数据杀熟，甚至不法软件装入手机后获取通讯录及相册权限，经过分析提取用于实现“个人身份信息盗用”、“定向网络诈骗”等用途。建议用户不要轻易让第三方软件获取通讯录及相册权限，相册中也尽量不要存放身份证、银行卡等包含敏感信息的照片内容。

曲子龙则认为，必要权限按照行业区分，法律上国家已经规定的很明确了，大部分产生争议的是一些个性化的内容，比如支付宝是一个支付软件，但是里面加了小程序后就变成了“公众应用平台”，属性发生变化获取的权限也自然跟着发生变化，最好的方式是应用内的第三方服务如果仅是偶尔使用的应用，都采用二次授权、并且即用即授权原则，如果长期使用的应用则制定权限开关，用户随时可以手动关闭停止授权，可能会是一个较好的解决方案。

说法

调权限属正常行为 但要掌握好度 

中国电子技术标准化研究院网络安全研究中心测评实验室副主任何延哲表示，此前权限强制、滥用的问题突出，用户不想用这个功能，平台却强制使用，个人信息保护法出台以后，这个问题基本解决了，用户可以自由选择。他表示，如果权限被开通后，获取的信息是否在合理范围内使用，是需要考虑的问题。

APP索要相机权限一般是为了拍照、扫二维码，要地理位置就是定位导航，这些在相关隐私协议里都写得很清楚，但目前仍有些细节确实存在问题，比如读取的次数，本来可能只需要10次，最后获取了20次。

此前的情况更严重，读取次数能达到几百次上千次，如今次数只是个位数和十位数之间，这在检测过程中一般不会判定成违规，“需要调权限有很多是因为安全风控的问题，比如账户异地登录，平台会拿这个去判断，原因非常复杂，只要控制在十几次内，基本上都不是什么问题。” 何延哲表示，后台读取也是同样的道理，也是需要看频率，如果账户存在异常会通过后台读取进行探测，不一定会将数据读走。“这要看是单纯验证位置，还是上传数据，后台的事情不合理因素更多，需要具体问题具体分析。”

律师解读

APP应当遵循必要原则 不得过度收集个人信息

北京骅之韬律师事务所金剑南律师认为，诸如此类要求权限过多的软件、过度收集信息现象，在最新出台的《个人信息保护法》中有了进一步明确规定：个人信息处理规则，确立处理个人信息应当遵循合法、正当、必要和诚信原则；处理个人信息应当与处理目的有直接相关，采取对个人权益影响最小的方式；收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。

对于不同意就不能用的霸王条款，《个人信息保护法》中确立以“告知-同意”为核心的个人信息处理规则，要求处理个人信息应当在事先充分告知的前提下取得同意，并且个人有权撤回同意，不得以不同意处理个人信息或者撤回同意为由，拒绝提供产品或者服务，处理个人信息属于提供产品或者服务所必需除外。

互联网时代，个人隐私信息的商业价值日益凸显，我国对于个人信息保护的力度也不断在加大，不仅明确个人信息保护部门的职责，且赋予个人信息处理活动中个人的权利和处理者的义务，及相关的法律责任。最后，金剑南律师提醒，我们每个公民也需提升隐私安全意识和自我保护意识，不要轻易泄露个人隐私，对于有关个人信息安全的事项应当谨慎处理。

文/北青-北京头条记者 董振杰 宋霞

编辑/白龙

[超站]友情链接：

四季很好，只要有你，文娱排行榜：https://www.yaopaiming.com/
关注数据与安全，洞悉企业级服务市场：https://www.ijiandao.com/