“我的手機軟件在偷偷監視我？”4月某天，網友程薇偶然間發現，她手機中的某應用軟件在“16分鐘內獲取了2639次手機位置信息”。這條記錄把程薇“嚇了一跳”，她告訴央視網《新聞+》記者，自己只在當天中午打開該軟件搜索過一次路線，使用十幾分鐘后就退出了。而記錄顯示，當天11：58至12：14期間，App持續以每分鐘上百次的頻率讀取她的定位信息，“這是想干什么”？
不久前，某社交軟件被曝3天內訪問一位用戶個人信息1.7萬次，讀取了定位、照片、視頻、日程、剪貼板等內容。這些消息引起了程薇的注意。她在手機設置中找到了“應用行為記錄”，這才發現了一些軟件的“全天候監控”行為。“我可以接受軟件通過算法向我推薦我喜歡的內容，但在我已經不需要服務的時候，它還一直頻繁刷新我的位置是要做什么用？”
“細想下來這是很驚悚的一件事。”網友付茜茜向央視網《新聞+》記者表示：“我不知道自己的信息會被用到哪里，是否會被用到一些傷害我的場景，它的危險性在于未知。”近三天中，某社交軟件共獲取了4032次付茜茜的位置信息。“我很驚訝，最近有這么頻繁地用到它嗎？如果軟件在后臺運行時或關閉狀態下，還調用我的信息，我覺得有點侵犯個人隱私了。”
為什么手機軟件如此“關心”用戶的個人信息？北京郵電大學網絡安全與治理中心副主任、中國電子學會網絡空間安全專委會委員鄧小龍向央視網《新聞+》記者表示，這是軟件背后的廠家為了做大數據分析，或者完善平臺的推薦算法而采取的策略。“算法的運行需要很多參數，并且參數越詳細越好。”
“應用軟件開發企業希望全方位了解用戶，他們會使用一切可能的方法豐富、完善用戶畫像，以提高用戶的注冊率、留存率、平均消費額等指標。”一位從業多年的某公司產品技術負責人楊飛（化名）告訴央視網《新聞+》記者，這些企業往往會極力獲取實時性、個性化、私密性較強的用戶數據，如對話內容、搜索記錄、位置信息等。
高頻讀取用戶信息暗藏風險
“現在一些軟件企業的數據庫安全保護系統其實不夠完善，有被黑客從外部入侵突破的風險。”楊飛介紹，若應用開發商的操作系統、數據庫、第三方API（應用程序編程接口）或SDK（軟件開發工具包）存在漏洞，就可能導致用戶敏感信息被泄露。此外，也有個別企業或者員工為了商業利益，主動將用戶數據出售給第三方公司，或用于其他用途。
鄧小龍認為，過度高頻獲取用戶信息可能泄露用戶個人隱私。“3天讀取上萬次用戶信息，顯然超過了合理范圍。”他表示，通過高頻獲取用戶位置信息，軟件完全可以準確描繪出用戶的行為軌跡和路線。“軟件只需要高頻定位用戶一兩天，就可以很清楚地知道你住什么地方、在哪兒工作、有哪些常去的餐館和運動場所等。”
“當敏感個人信息被高頻采集時，數據泄露的可能性呈指數級增長。”首都經濟貿易大學法學院副院長尹少成告訴央視網《新聞+》記者，行蹤軌跡、金融賬戶等敏感個人信息遭到泄露后，可能被用于為精準電信詐騙提供數據支持，也可能被用于跟蹤、騷擾甚至人身侵害，增加財產損失和人身傷害風險。同時，用戶也將面臨算法操控風險。“企業可基于數據標簽對特定群體進行精準廣告推送，甚至實施差異化定價、大數據殺熟。”
尹少成表示，部分軟件高頻定位用戶的行為，已涉嫌違反相關法律的規定，應當引起監管部門的重視。《中華人民共和國個人信息保護法》等法律法規對收集和處理個人信息有嚴格限制，收集處理個人信息應當限于實現處理目的的最小范圍，遵循目的明確、合理和最小化處理原則。“如果應用軟件收集的個人信息明顯超過了其提供服務的需要，就可能違反相關法律的規定。”
“求關閉權限教程”，手機軟件過度獲取個人信息怎么辦？
在朋友的建議下，程薇已經將軟件的位置信息權限設置成“每次使用詢問”，并關閉了定位“精確位置”的功能。“關閉不需要的權限，可以對權限進行最小化管理。”尹少成表示，“當發現個人信息被過度收集甚至已經被侵權時，應當及時固定證據并向平臺投訴。若平臺不及時處理，可以向網信辦等監管部門進行舉報。”同時，鄧小龍提示，從官方應用商城等正規渠道下載應用軟件，能夠降低個人信息被違規使用的風險。
不過，目前用戶個人進行維權存在較大難度。“用戶在首次使用應用軟件時，往往給予了‘一攬子’整體授權。那么，后續高頻數據讀取是否屬于過度數據收集，就可能會存在爭議。”尹少成表示。“用戶很難知道自己的信息被過度采集，也不清楚數據被用在哪里。這些信息只有在企業的數據庫中才能查到。”一名參與過網絡安全案件偵查工作的刑警向央視網《新聞+》記者表示。
“App給你一個長長的用戶授權說明，更多就像一個免責聲明。”付茜茜表示，“沒有用戶會完整地讀完全篇，即使看完了，也很難知道平臺會如何使用自己的個人信息。”在她看來，這并不公平。可是，“當你不同意讓渡自己的一些權利，你就無法使用這個軟件”。
尹少成認為，解決軟件高頻讀取用戶信息問題，還需要國家、企業和個人三方共同努力。“國家層面應加強個人信息保護的立法與執法，加強對數據監控等違法行為的執法力度。”企業在獲取用戶數據時，應當遵循“告知—同意”原則、必要性原則和最小化原則，做好個人信息收集、儲存、處理等全流程的信息保護合規建設。“只有各方形成合力，讓違法者付出高額違法成本，才能讓過度數據監控無處遁形。”
鄧小龍建議：“有關部門可以根據每一款App的特點，測出它正常使用時讀取數據的邊界值，比如說每分鐘或者每小時讀取多少次定位是正常的，并依據測試結果對軟件廠商進行嚴格管理。”他認為，“很多應用軟件不用獲取用戶的位置信息也可以提供服務”，應建立一個曝光和違約機制，“如果應用軟件非法獲取了用戶隱私信息，對用戶的生命、財產和其他權益造成明顯的侵犯，就應該督促軟件廠商把相關功能關掉，或者把相關廠商加入黑名單”。
（應受訪者要求，文中程薇、付茜茜、楊飛皆為化名）
