中國消費者報報道(記者武曉莉) 每個使用智能手機的人可能都遇到過相似的問題：下載后，APP就強制、頻繁、過度索取權限，超范圍收集個人信息，強制用戶使用定向推送功能，欺騙誤導用戶下載APP……

而從相關部門通報的APP侵權情況來看，還有很多用戶并未感知的隱性問題，如APP違規收集個人信息、違規使用個人信息、應用分發平臺上的APP信息明示不到位、不授權無法使用APP等。《網絡安全法》規定：個人信息收集必須遵循合法、正當、必要的原則。今年以來開展的各項整治行動，尤其是針對個人信息收集的“最小必要”原則，就是為了擋住APP伸得太長的手，用標準化方式強化個人信息保護。

APP個人信息保護難在哪兒

“APP侵害用戶權益是中央關心、群眾關切、社會關注的焦點問題，關系到人民群眾能否安心放心享受信息通信業發展帶來的各項美好成果。”工業和信息化部副部長劉烈宏指出。

2019年以來，工信部連續兩年開展專項行動。2020年7月，工信部發布《縱深推進APP侵害用戶權益專項整治通知》，重點聚焦APP和SDK違規處理個人信息、設置障礙、頻繁騷擾用戶、欺騙誤導用戶以及應用分發平臺落實責任不到位等問題。

據工信部信息通信管理局副局長魯春叢介紹，截至2020年第三季度末，國內市場檢測到的APP數量超過350萬款。截至目前，已完成44萬款的技術檢測工作，責令1336款違規APP進行整改，公開通報377款整改不到位的APP，下架94款拒不整改的APP。

魯春叢介紹說，APP個人信息保護工作面臨兩方面挑戰。一是商業模式變革的挑戰。我國互聯網產業普遍采用前端免費、后端獲利的模式，營利模式從在線廣告向基于大數據的定向推送、精準營銷轉變。企業違規成本低，個人信息保護能力良莠不齊，為逐利違規侵害用戶權益的情況時有發生，同時“灰黑產”也加速向違規收集使用甚至非法買賣個人信息聚集。二是APP版本迭代頻繁的挑戰。我國境內APP上架總量已超過350萬款，頭部應用更新頻繁，幾乎每兩周就會進行版本更新，中小應用層出不窮，新技術應用更具備在線迭代“熱更新”功能，APP總量在不斷增加。龐大的APP數量，豐富的應用場景，需要加大監督檢查和技術檢測力量。

部分頭部企業推諉拖延且技術對抗

APP治理工作組專家何延哲指出：“所謂必要個人信息，就是指保障APP基本功能正常運行所必需的個人信息，缺少該信息，APP無法提供基本功能服務。只要用戶同意收集必要個人信息，APP不得拒絕用戶安裝使用。”

據了解，專項行動期間，工信部對市場上八大主流分發平臺華為、小米、OPPO、vivo、百度、應用寶、360、豌豆莢等上架的APP進行了抽測。存在的主要問題是主體責任缺位、信息明示不到位、誘導用戶下載等。今年8月26日，工信部通報了部分APP審核把關不嚴、存在問題較多、移動應用分發平臺管理主體責任缺位等問題。

劉烈宏指出，前期APP個人信息保護工作推進中，有部分問題沒得到徹底解決，一些企業在整改過程中存在推諉、阻撓、故意拖延的現象。

“部分頭部APP在個人信息保護整改上存在思想漠視、僥幸心理、技術對抗等問題。”魯春叢說，“最大的問題是有的企業找不到管理層，管理層互相推諉，有120家企業的APP問題反復出現過兩次以上。”

強化個人信息保護須標準先行

“強化個人信息保護，必須標準先行。只有標準化，才能實現監管檢測的自動化、智能化。”劉烈宏說。為此，工信部制定了《APP用戶權益保護測評規范》10項標準。對于消費者特別關心的“最小必要化”等收集使用用戶個人信息原則，也制定了《APP收集使用個人信息最小必要評估規范》等11項系列標準，涉及通信錄、錄音、人臉、位置、圖片、軟件列表、設備、錄像等信息收集使用規范等。

據電信終端產業協會秘書長謝毅介紹，上述標準性文件已經正式發布，標準將適用于移動互聯網應用提供者規范個人信息收集活動，也適用于監管部門、第三方評估機構等組織對移動互聯網應用收集個人信息行為進行監督、管理和評估。

“應加快制定出臺相關標準，將APP個人信息保護要求轉化為APP開發者、運營者可理解、可執行的具體要求。”中國信息通信研究院泰爾終端實驗室主任魏然說。

據魏然介紹，該系列標準按照信息分類，明確不同場景下個人信息收集使用的“最小必要”原則。例如，《APP收集使用個人信息最小必要評估規范位置信息》中明確，電商購物類APP在基于位置展示商品信息時，不需收集精準位置信息。《APP收集使用個人信息最小必要評估規范人臉信息》中明確，圖像美化、圖像合成、圖像聚類、皮膚檢測、情感分析等場景下的人臉信息處理僅應在本地完成，不應傳輸至遠程服務器，且人臉信息不應用于身份認證。

魏然指出，企業可對照“最小必要”系列標準要求，設計開發符合“最小必要”原則的APP產品。測評機構也可依據該標準開展“最小必要”符合性評估。

何為“最小必要”消費者說了算

為進一步驗證APP相關38種常見服務類型的“最小必要”個人信息范圍標準內容合理性，保障標準在評估APP等方面實施的效果，APP專項治理工作組聯合全國信安標委秘書處對每批(3-5類)服務類型收集的最小必要信息范圍，以投票形式進行了社會調研。“這種用戶可以直接參與的征求意見方式比較新穎。”何延哲說。國家標準的出臺都需要征求意見，但以前征求意見的方式比較死板，就是把全文發出來，然后大家去提意見。這次的征求方式比較專業，又因為是個人信息收集的基本規范，老百姓很關心，而且也不是特別難懂。因此，為了讓消費者能夠直接表達對收集個人信息最小必要性的態度，就做了這樣一個類似調研的征求意見的工作。在此基礎上制定的標準，有利于充分尊重用戶的選擇權。

何延哲指出，從涵蓋內容上來看是比較廣泛全面的，能夠代表與普通用戶息息相關的絕大部分APP的類型。用戶也可以通過這次調研了解相關部門的管理思路，從用戶層面真正厘清必要和非必要，并以此為依據，給用戶一個自由選擇的權利。然后再去判斷什么是過度數據、什么是強制索要。“這就相當于劃了一條線。”他說，“后續可能會向比較強制性的方向進一步演化，以達到更好的效果。標準落實之后，用戶的選擇權會得到一個大幅度的提高。”