条款三千丈，读到哪一行？

本文来自微信公众号：RUC新闻坊（ID：rendaxinwenxi），数据：杨凯文、林姗蓉、邓依云、汪瀚、张涵悦，可视化：邓海滢、林子璐、申屠泥，文案：葛书润、申屠泥、林姗蓉、汪瀚，美编：林子璐，头图来自：《黑镜》

7月16日，国家网信办、公安部、国家安全部等七部门联合进驻滴滴，开启网络安全审查。此前，因“严重违法违规收集使用个人信息问题”，网信办曾于4日和9日分别下架“滴滴出行”APP和旗下的25款应用。信息安全再次被推上风口浪尖。

应用市场琳琅满目的APP覆盖生活的方方面面，但与此同时，作为消费者的我们却不得不“与虎谋皮”：间距狭窄、语言晦涩的用户隐私政策让我们“知情”，不打钩就无法继续使用的机制让我们“同意”。这样脆弱的“知情同意”发生在很多场景，让我们不得不怀疑：这就是数字时代，为了便利必须承受的代价。

为什么这些购物APP似乎对我无所不知？一个听歌软件为什么需要知道我长啥样？美颜相机怎么突然有了“好友推荐”的社交功能？……用户对数据收集的感知是模糊的，但用户的画像在运营商那里正逐渐清晰到毛孔。

此种背景下，有关部门廓清何为“必要信息”，避免运营商对非必要个人信息的收集，与督促其保护用户信息、防止用户信息发生泄露同等重要。

2021年5月1日，国家正式实施的《常见类型移动互联网应用程序必要个人信息范围规定》，明确列举了39种常见类型APP必要个人信息收集范围。监管开始有据可依。RUC新闻坊根据该相关规定，对70款热门APP的信息收集现况进行评估。

当个人信息成为商品，作为其主体，我们享有多少知情和议价的权利？

一、新规之后，规范了吗？

新规实施的两个月以来，涉嫌违法违规收集个人信息而遭官方通报的APP高达293款，在数量上已经超过此前一年的总和，其中，实用工具、运动健康和商务三类APP成为重点约束的对象，占违规APP的六成以上，紧随其后的是娱乐影音类（36个），新闻阅读类（27个）与拍摄美化类（19个）。

结合官方的整改通报可见，APP超范围收集个人信息并非错觉，既有APP“申请打开的权限或收集的信息与现有业务功能无关或超出业务功能实际需要”，也有APP“征集用户同意前收集部分个人信息”。网信办的通报整改名单上，不乏抖音、快手、高德地图、百度地图、今日头条、腾讯新闻、Keep这样面熟的“老朋友”。

新规之后，APP们的用户收集行为更规范了吗？

RUC新闻坊将14种、共计70个iOS端最热门APP收集用户信息的情况做了统计，对照《常见类型移动互联网应用程序必要个人信息范围规定》（后简称《规定》）可见，大部分APP依旧在收集大量非必要的用户信息，更重要的是，用户难以取消对这些信息收集的授权。

以“58同城”为例，它收集的用户信息高达28种。但《规定》第二十二条中明确表示，本地生活类APP的“必要信息”仅有用户电话号码。

然而，这个“必要”与否在现实操作中并不容易界定。《规定》中写明“本地生活类”应用基本功能服务为“家政维修、家居装修、二手闲置物品交易等日常生活服务”，但58同城作为一个庞杂的功能聚合平台，涵盖的服务早已远超“本地生活”的范畴，除日常生活服务之外，还有票务卡券、求职招聘、房产出租等业务。

58同城的业务摊子铺得越广，个人信息泄漏的风险便越大。2017年，《21世纪经济报道》的记者经调查发现，只需花700元购买一款数据采集软件，便能肆意采集58同城上的简历数据。2019年4月，媒体又爆出58同城一位前员工非法获取、销售64万余条个人简历，被判处有期徒刑四年六个月的消息。

我国《网络安全法》第四十一条早有规定：“网络运营者不得收集与其提供的服务无关的个人信息，不得违反法律、行政法规的规定和双方的约定收集、使用个人信息，并应当依照法律、行政法规的规定和与用户的约定，处理其保存的个人信息。”

那么，《规定》中的“非必要个人信息”与《网络安全法》中的“与其提供的服务无关的个人信息”，有什么区别？

若按《网络安全法》，“58同城”收集的位置信息可以精准定位，给用户推送更合适的求职公司、家政服务；照片、视频、音频信息可以帮助用户拍摄和上传房产图片、视频；搜索历史记录和浏览记录可以用于算法优化，便于相关服务提供者和用户双方的匹配。这些信息都可以被服务商解释为“与服务相关的个人信息”。这种模糊的“有关”和“无关”之分容易造成管理的难题。

新规将APP进行分类，并按大类给出了具体的“必要”与“非必要”的信息指标，无疑提升了管理的精度。

但据观察，指标根据类别细分后，管理依然存在着一些落地之难。

首先，部分类别的“必要”与“非必要”信息之间存在一些交叉和重合。以智联招聘为例，此类APP的必要信息包括“联系电话”和“个人简历”，然而被定义为“必要信息”的个人简历，实际包含了大量“非必要个人信息”，甚至其他更为具体、敏感的信息。今年央视的3.15晚会曝光了“智联招聘、猎聘平台简历给钱就可随意下载，大量流向黑市”一事，暗访的记者被智联招聘客服告知，用户“注册完账号，创建完简历，默认就是公开的”，简历可以在本人毫不知情的情况下被付费用户下载。

另一个问题是，虽然《规定》专门提到了“游客”的权益：“APP不得因为用户不同意提供非必要个人信息，而拒绝用户使用其基本功能服务”，但很多情况下，如果只按“必要”的最低限度提供个人信息，在APP中获得的将是“处处碰壁”的糟糕使用体验，无法使用其大部分功能。

以运动APP“Keep”为例，按照新规，用户理应无须提供任何个人信息，即可使用它作为运动健身类APP的基本功能服务。根据小编的尝试，用户的确可以以游客的身份在Keep开始训练。但通报名单中，Keep赫然在列：它正在向用户收集20多项“非必要个人信息”，且只有“位置”“照片”和“运动与健身”三项可以在设置中自行关闭（iOS系统）。想要获得更丝滑、更丰富的服务，就不得不一点点拱手交出更多的隐私。

举例而言，想要在Keep商城买付费的课时或健身餐，就不得不付出付费信息，以及收货地址；想要通过Keep记录锻炼前后的变化，就要交出健康与健身信息……尤其是在微信、美团等横跨多个领域的平台式APP、“SuperApp”（超级应用）中，“必要”很难成为一个固定的范畴，必要与否的判断发生在每一次微小的功能拓展中。

同时，“非必要信息”中很大一部分应该仅被用于产品优化。崩溃数据、性能数据和其他诊断数据是非必要信息吗？搜索历史记录和浏览记录等可以用来提供个性化定制服务的信息到底能不能收集？过度限缩“必要”的范围，同样可能导致用户利益受损。

这也是为什么，《规定》虽然要求APP应当为“游客”也提供基础性的服务，但并未禁止APP收集非必要信息，也没有明确规定APP要在收集非必要信息前征求用户同意。

于是，难题又回到了用户手里。但作为使用者，在不同的场景下判别何为合规的“必要”基本不可能，更糟糕的是，信息往往流失在判断之前：如果APP没有提示，用户甚至意识不到这些信息被收集，更毋论提出抗议。

二、太长长长长长的隐私条例，能不看吗？

当你想庄严地行使自己知情同意的权利时，有没有一口气读完隐私条例的顺畅体验？

据统计，70款热门APP中，隐私条款最长的“贝乐虎儿歌”全文21210个字，如果使用iPhone12，并采用大小适中的字号阅读，需要划34屏才能读完。热门APP中隐私条款最短的嘀嗒出行，也有2116字，按普通人的认真阅读速度每分钟200~400字计算，读懂它也至少要消耗7分钟。

平均来看，70款热门APP的隐私条款字数在13000字左右，约21屏。如果以新闻坊5000字左右的推送长度计，则约2.5坊。

而且，仔细看条款内容会发现：虽然大部分隐私条例的内容条理清晰、表述明确，但不可避免地出现SDK、IMEI、OAID等术语，“看了，但没完全看”。而且，各大APP的隐私条例大同小异，即便是有阅读隐私条例的意识的用户，在阅读时也可能因为惯性，忽视了语言中的“陷阱”。

有学者提出，“告知-同意”这个框架现存的问题，一是隐私政策冗长、晦涩，二是用户迫切想使用产品或服务，很可能会直接点“同意”或“下一步”。而企业应当主动承担起隐私政策被“太长不看”的责任。^[1]

2017年，国家在“个人信息保护提升行动”的专项工作中，对“如何有效提升告知的效果”作了详尽的考虑，要求隐私政策不仅要“完整、清晰地描述产品和服务提供者收集、保存、使用、对外提供个人信息的实践”，为了保障用户的知情权更好地实现，避免“太长不看”，服务商还需进行“增强式告知”，即在注册账号、安装程序、首次使用时向用户展示的关于个人信息的提示，对隐私政策的核心内容进行浓缩、突出。尤其是在涉及个人敏感信息的授权之前，运营商有义务进行二次提醒。^[2]

但根据我们的统计，在70款热门APP中，只有35款APP在用户初次使用时弹出的隐私政策里对可能收集的隐私数据进行了简要列举或者突出显示。如何让用户真正“知情”，运营商们仍路漫漫其修远兮。

除了来自国家的监管，今年年初，苹果也在APP Store上线了隐私信息功能，要求APP开发者提供隐私惯例摘要，向用户说明它们搜集信息的内容和用途，尤其是这些信息是否会被提供给第三方或用于广告“追踪”等。然而，APP标注的隐私信息苹果公司并未审核。是否尽到该义务，只能依靠开发者们的自觉：一些APP在隐私条例里琳琅满目地写明了可能获取用户标识码、电话号码或麦克风、摄像头等权限，但在APP Store里只标注了一个孤零零的“用户ID”。

苹果APP Store里的隐私信息提示卡片

三、不“同意”，又如何？

同意，或不同意，这是一个问题。

许诺隐私，便能在琳琅满目的功能里畅通无阻；犹豫迟疑，则会被平台的各种话术拒之门外：“我们将无法为您提供更好的服务”“放弃使用”“再考虑一下”……运营商和用户的地位天生不平等。

据我们对网信办通报的173款APP存在的个人信息收集使用问题的统计可以发现，七成的违规APP在申请个人敏感信息的权限时没有告知用户这是做什么用的；近一半的违规APP未列出第三方SDK（软件开发工具包）收集使用个人信息的目的和类型；18%的违规APP“无隐私政策”；17%的违规APP一旦用户不同意打开非必要权限或提供非必要信息，便拒绝提供对应或所有业务功能；约16%的违规APP“默认”用户同意隐私政策；约12%的违规APP在用户明确表示不同意开放部分权限后仍频繁征求用户同意，干扰用户正常使用；约3%的违规APP在用户拒绝授权后依旧通过其他渠道收集信息。

“不同意”的威力，因为难以割舍的便利而缩水。对很多用户来说，只有必要的功能，没有必要的隐私。当我们急着打车，急着导航，急着支付……不同意，又能如何呢？

在这场注定不对等的拉锯中，只有公权力的介入才有望达到某种平衡。这在世界范围内亦是大势所趋。2018年5月25日，“史上最严格”的数据保护法律《通用数据保护条例》在欧盟正式实施，规定违规企业可被判处其全球年度营业额4%或2000万欧元的罚款，选择二者中较高的数值判罚。

在今年的五一新规中，对违规APP的处罚通常是责令改正、警告、没收违法所得、罚款，情节严重才会责令暂停相关业务、停业整顿、关闭网站或吊销营业执照。虽然新规中，罚款的最高金额只有100万，相较谷歌在欧盟《通用数据条例》下缴纳的5000万欧元罚款，显得微乎其微，但在各类APP的隐私政策“霸王条款”面前，作为用户的我们，似乎又增加了一点底气。

7月19日，工信部发布关于2021年第6批侵害用户权益行为的APP通报。截至目前，尚有145款APP未完成整改，下厨房、凤凰新闻、抖音极速版、迅雷、虎牙直播、安居客、东方财富等在列，工信部要求上述145款APP应在7月26日前完成整改，否则，将依法依规组织开展相关处置工作。监管的决心和力度可见一斑。

但愿不久后的某一天，在点开任何一款APP时，我们对所有个人信息的收集和使用行为，都是真的“知情”，也是真的“同意”。

参考文献：[1][2]洪延青：《隐私条款评审提升信息保护水平》，http://www.cac.gov.cn/2017-09/15/c_1121667458.htm

数据说明

1.数据获取时间：2021年7月13~15日

2.数据来源：七麦数据iOS榜单（大陆地区）、APP Store、各APP提供的隐私协议/政策。

3.样本选取规则为：本文样本APP共计70款。选取App Store下“影音娱乐”“实用工具”“社交通讯”“教育”“新闻阅读”“拍摄美化”“出行导航”“旅游住宿”“购物比较”“儿童”“运动健康”“便捷生活”“美食”“商务”共计14类下各自日活量前5名的应用作为样本。如果出现同一应用的不同版本，优先择取主要版本（例如“抖音”与“抖音极速版”同时出现，择取“抖音”）。

4.由于安卓端没有相对统一的APP下载平台以及隐私数据类型划分。本文主要参考iOS端APP Store对隐私数据类型的划分进行整理。需要注意，APP Store中各APP收集的隐私数据由开发者自行表明，APP Store官方未进行验证，部分APP在APP Store的隐私数据收集声明与其隐私协议存在差异。此外，“抖音”“快手”“百词斩”“中国移动”“KFC”等APP中显示的隐私协议为最新版，但由于不能复制，无法收集，这几款App的隐私协议采用可获取的相对旧版进行分析。

5.“必要信息”分类标准参照国家网信办等机构出台的《常见类型移动互联网应用程序必要个人信息范围规定》。

6.“是否提供隐私政策摘要”是指，在初次打开APP时弹出的隐私条例中，是否简要列举或重点突出了该APP可能收集的数据。

本文来自微信公众号：RUC新闻坊（ID：rendaxinwenxi），数据：杨凯文、林姗蓉、邓依云、汪瀚、张涵悦，可视化：邓海滢、林子璐、申屠泥，文案：葛书润、申屠泥、林姗蓉、汪瀚，美编：林子璐