安卓应用获取用户手机隐私权限比例数据来源：《2017年度网络隐私安全及网络欺诈行为分析报告》

　　前段时间，一款问世不久的全面屏手机vivo NEX，成了网友口中的“流氓软件鉴别神器”。

　　原因在于它自动升降摄像头的设计。有用户发现，在使用一些软件时，这款摄像头会突然默默升起，又默默缩回去，实力诠释了何为“暗中观察”。

　　难道是软件偷拍被抓了现行？被指偷偷调用摄像头的QQ浏览器已经发出了声明，解释这是一个常规操作，此时软件并没有进行拍照。

　　虽然是“虚惊一场”，但“顽皮”的摄像头，也再次带出了一个老问题——移动互联网时代的隐私保护。

　　“偷拍”“偷录”均系常规技术操作

　　涉事手机应用称并未采集相关信息

　　QQ浏览器在其公开发表的声明中指出，为实现用户对一些功能如扫描二维码的使用需求，W3C（万维网联盟）规范有一个前端标准接口，可以遍历媒体设备，获取摄像头参数。QQ浏览器选择的是camera1这一套应用程序接口来操作摄像头。其需要调用Camera.Open()函数进行初始化，“导致vivo NEX手机用户体验上会出现摄像头‘升降’动作”。

　　网易考拉一位工程师告诉科技日报记者，“遍历媒体设备”要获取设备支持的媒体硬件信息，如摄像头、麦克风等，因为有些网页可能会需要使用到这些设备。而确认摄像头参数，是要了解设备是否支持前置或者后置摄像头、摄像头像素有多少等，以应对用户后续的相机使用需求。

　　“摄像头没有做出任何拍摄或采集行为，手机QQ浏览器并不会采集用户任何隐私。该网页只调用了接口，并没有其他任何操作。”QQ浏览器方在声明中强调。

　　上述工程师表示，对相机的操作需要获得用户授权，不过授权是一次性行为，用户授权后该应用就可以永久获得相机权限。vivo NEX也在版本更新中，增加了“在出现潜在不明确调用行为时，向用户弹出窗口，进行二次确认授权”这一环节。

　　之后，百度手机输入法也“中了招”。vivo NEX用户发现，在输入界面未进行操作时，系统仍会提示百度输入法正在录音。百度方解释，这是输入法做了语音麦克风预热的优化，被误认为正在录音。

　　虽然都是误会，不过，如果真有软件没事偷偷录个音、拍个照，需要承担什么法律责任？

　　中国法学会网络与信息法学研究会副秘书长周辉说，使用一般器材偷拍、偷照的，限于条件，危害不会太大，一般不认为是犯罪。构成行政违法，或者民事侵权的，应承担相应的行政责任或民事责任。

　　越界获取权限的应用比例正在下降

　　发现信息被窃可投诉、举报或提起诉讼

　　腾讯社会研究中心与DCCI互联网数据中心曾联合发布《2017年度网络隐私安全及网络欺诈行为分析报告》，通过对1129款手机APP获取手机用户隐私权限情况的统计，评估移动端隐私安全性。

　　研究团队共选取了852个安卓手机APP、275个iOS手机APP，对3类隐私权限的获取情况进行逐一分析，即核心隐私权限（访问联系人、获取手机号等）、重要隐私权限（发送短信、拨打电话、录音、开摄像头等）及普通隐私权限（打开蓝牙、打开Wi-Fi等）。隐私安全测试结果显示，2017年下半年，852个安卓手机APP中，有98.5%都要获取用户隐私权限。

　　智能手机应用要正常使用，确实需要用到一些权限。但应用越界获取隐私权限的情况也时有发生。不过，DCCI互联网数据中心创始人胡延平介绍，2017年下半年越界获取用户隐私权限的安卓应用比例有了明显下降，从上半年的25.3%下降到了9%。

　　情况在好转，但用户若要保护自己隐私，仍要多留个心眼。

　　胡延平支了5招：下载软件选择正规渠道,如应用宝、安卓市场等;谨慎填写个人隐私信息,防止信息被无谓的采集;管理手机软件中的隐私权限,了解软件权限行为,关闭不必要的授权; 防范公共Wi-Fi,转账与支付时改用数据流量; 彻底清理旧手机信息,即恢复出厂设置—格式化—反复拷入大文件并删除。

　　如果用户发现手机应用在未经授权的情况下窃取自己的隐私信息，可以向消费者协会或有关行业自律机构如中国互联网协会个人信息保护工作委员会投诉。

　　周辉说，根据《移动互联网应用程序信息服务管理规定》要求，移动互联网应用程序提供者和互联网应用商店服务提供者应当配合有关部门依法进行监督检查，自觉接受社会监督，设置便捷的投诉举报入口，及时处理公众投诉举报。如果公众对处理结果不满意或投诉举报不畅的，还可以向互联网违法和不良信息举报中心投诉举报。“也可以向工信部门举报。如果有初步的证据，可以对应用程序的开发者提起民事诉讼。”他补充表示。

　　一些请求授权行为如同“走过场”

　　管住“搞事情”的APP还需多管齐下

　　用户要站出来维护自己的权益，但要管住“搞事情”的APP，监管必不可少。

　　周辉表示，对手机应用的监管，主要部门为国家互联网信息办公室、工业和信息化部和公安部门。

　　国家和地方网信办根据《移动互联网应用程序信息服务管理规定》进行移动互联网应用程序信息内容的监督管理执法工作；工信部和各省、自治区、直辖市通信管理局根据前述规定依法对互联网信息服务活动实施监督管理；公安部门可根据《治安管理处罚法》等的规定进行处罚。

　　虽然三管齐下，但周辉坦言，部门之间职责仍有一定交叉，主管部门还有待进一步明确。“此外，有关违规行为难以被发现，用户个人举证难度和成本都很高。”

　　的确，个人提起诉讼，实在需要些勇气，毕竟耗时耗力。

　　2017年年底，江苏省消保委就百度涉嫌违规获取消费者个人信息且未及时回应一事提起了民事公益诉讼。这也是全国首例针对个人信息安全提起的公益诉讼。

　　立案后，百度公司立即采取了整改措施，之后江苏省消保委撤诉。“由消费者协会提起公益诉讼对于发挥他们的公益性、专业性作用来说是很好的尝试。”周辉说。

　　如前文所说，手机应用越界获取隐私权限的比例正在下降。一些应用确实会乖乖地在收集数据前向用户请求授权，但这种请求就是“走个过场”——如果不同意，你甚至无法正常打开应用。

　　《规范互联网信息服务市场秩序若干规定》第四条指出，互联网信息服务提供者应当遵循平等、自愿、公平、诚信的原则提供服务。“这种不授权就不给用的行为显然违反该规定的原则，但是该规定对此并未明确相应的行政责任。未来立法上可以进一步完善。”周辉建议，除了完善法律，还可以发挥第三方专业机构和媒体舆论的监督职责，对这种现象予以曝光和谴责。（记者张盖伦)

来源：科技日报

作者：张盖伦

编辑：曾映雪