数字时代，信息技术与生产生活紧密交织。手机应用(App)因其便捷性和专业性被广泛应用于日常生活、专业服务、社会治理等诸多领域，给人们带来便利的同时也带来了信息安全风险。近年来，app非法收集和使用用户信息的事件频发。有报告显示，超七成app存在过度主张，即在不必要的情况下获取用户的隐私权，增加了个人信息泄露的风险。如何平衡信息化、数字化发展的需求与个人信息安全之间的矛盾，成为亟待解决的问题。对此，光明日报、武汉大学法学院、网络治理研究院组成联合课题组，对1036人进行了问卷调查和深度访谈，对15大类150款app的隐私协议进行了分析，对个人用户使用app隐私协议的体验、app隐私协议侵害用户信息权益的具体表现、深层原因进行了深入调查，并就如何进一步完善平台监管、保护个人信息提出了建议。

打开新安装的App，首先弹出的是隐私协议。一页页的协议条款，你是不是抓在指尖不留痕迹？你是否在没有点击内容的情况下快速勾选了“同意，我已经阅读了这些条款”？但你有没有想过，从你点击“同意”的那一刻起，你就开始在信息洪流中“裸奔”了？

App隐私协议(又称“隐私保护指南”、“隐私政策”等。)，即用户与企业就个人信息的收集和处理达成的协议，主要包括App如何收集、存储和使用用户的个人信息及相关安全措施，以及个人对数据享有的权利及其实现方式。

隐私协议作为App平台收集和使用用户信息的第一道关口，既是收集和使用个人信息服务的“手册”，也是保护用户利益的“安全阀”。然而现实中，App平台对用户隐私保护的情况并不乐观。5月，国家网信办发布通知称，84款app存在违法违规收集和使用个人信息的问题，其中安全管理类app 36款，P2P借贷类and 48款。

一纸协议，如何看待，如何规范？

1.隐私协议标准化程度低，侵权风险高。

用户缺乏风险意识。小王是法学专业的大二学生。她的手机里全是各种app。“目前社交、学习、娱乐都绑定在手机上，生活的点点滴滴都离不开这些方格之间的屏幕。”当被问及是否认真看过隐私协议时，她满不在乎:“我觉得这种事情不会有人注意到。我看到就直接跳过。”

调查显示，77.8%的用户在安装App时“很少或从不”阅读隐私协议，69.69%的用户会忽略App隐私协议的更新提示。一般用户对App隐私协议关注度不高，对个人信息权益不太敏感，存在隐私被侵犯的风险。

App隐私协议不太规范。罗女士在一家国企工作，经常使用新闻类app:“很多时候，我就是想快点安装使用。当我看到隐私协议时，我只需点击“同意”。偶尔心血来潮打开，发现协议真的太长了，肯定有几万字。我怎么看得懂？”

在调查中，43.53%的用户认为隐私协议的文字太小、太密而无法阅读。在被调查的150款app中，有近三成(46/150)的app制造障碍、故意隐藏、诱导用户跳过隐私协议，如字体颜色过浅、字号过小无法阅读；不能直接点击文字链接，需要取消默认同意跳转界面等等。受访者对隐私协议的认可度处于较低水平。

App侵犯个人信息隐私的现象普遍存在。“最近陌生电话越来越多。之前有个推销电话打过来，给了我名字，吓了我一跳。我不知道我的个人信息是从哪里得到的。”许多受访者在调查中表示，他们有过类似的麻烦。各年龄段用户中超过60%受到垃圾短信和骚扰电话的威胁，这与非法app窃取用户信息并出售给灰色产业链中下游密切相关。一些app多收了数据调用权，窃取了本不该获取的信息，如地理位置、通讯录等。，并私自提供给第三方，在中下游进行处理，导致个人信息流向不良商家。相关部门也表示，网络侵权案件与App的结合越来越紧密，通过窃取个人通讯录、短信等隐私信息进行敲诈勒索、网络诈骗等案件频发。

2.不规范的隐私协议可能导致哪些侵权行为？

“不同意就退出”，授权无法有效撤回，侵犯了用户的个人信息自主权。“下载新的App时，我也尝试过点击‘不同意’。结果我只能退出，不能用App，只能点击同意。”朱女士说。然而，轻松点击“同意”也给朱女士带来了麻烦。她无意中发现一个导航App在看她的图库，吓坏了，就去找关闭授权权限的方法。无果后，她只能卸载App。“我真的很害怕，因为照片是私人信息。我根本没有注意到它会有图库权限，我也不知道我的照片会流向哪里。”

“我也想拒绝，但是拒绝不了。”这种“同意”的单一选择，变成了一种没有选择的形式。调查发现，负面选项并不明显，点击“不同意”会迫使用户退出，这大大挫伤了用户仔细阅读隐私协议的积极性。即使你看完对协议内容有质疑，也不能以“不同意”为由继续使用。这种毫无意义的所谓“选择”成为了人们放弃阅读隐私协议的主要动力。

“同意”只是失去信息自主权的第一步。超过一半的用户表示，一旦他们使用的应用程序同意隐私协议，他们就不得撤销他们的部分或全部授权。被调查的150个App隐私协议文本中，只有52.7%允许用户撤回同意，撤回只能通过注销账号才能实现，但注销账号非常困难，甚至没有明确标注注销方式。何先生打算停止使用购物应用程序。他注册账号的时候用的是身份证号和手机号。因为害怕信息泄露，他申请注销了账号，解绑了身份证。但app客服要求他提供手持身份证照片进行审核。何先生觉得不能接受提供这么敏感的信息，最后也无法注销账户。

隐私协议内容含糊不清或缺失的现象普遍存在，侵犯了用户的知情同意权。平台运营者需要明确告知个人信息收集、系统权限申请、隐私协议更新/生效日期、隐私协议变更的通知方式。但在调查中，仅有60.7%的app对隐私协议中包含的专业术语(如个人敏感信息、常用设备信息、网络连接信息、明示同意、cookies)进行了明确说明，其中很多app将用途表述为“确保正常使用”、覆盖不全、省略等模糊术语。，这些都对用户的理解造成了障碍。在调查中，很多用户认为隐私协议充满了专业的法律术语，即使想看也看不懂，干脆放弃了。

此外，当隐私协议内容发生变化时，很多app并没有标明协议更新的通知方式，用户无法及时了解内容是否已经更新。在被调查的美妆app中，40%没有标明更新状态，规范性较差。

模糊使用、超范围收集和过度使用侵犯了用户的隐私。部分app在收集信息时使用all-in-one子句，包括但不限于“包括但不限于”“例如”“XXX需要的用户的其他信息”“相关信息”等扩展表达或一般表达。这些没有明确规定用户个人信息收集和使用目的，且表述笼统的协议，都为侵犯隐私提供了巨大的空空间。

此外，25个App隐私协议中包含了很多明显与合法业务无关的采集项目，这也是侵犯隐私的重灾区。比如地图导航app必须授权的信息中出现通讯录权限，回答者说:“地图需要定位是合理的，但它不止一次向我索要通讯录内容”。

数据共享规范笼统，信息泄露风险高。在手机上和朋友聊天时，吴女士说起了自己近期想去某地露营的愿望。她甚至几个小时后在几个购物app里反复收到山地露营产品的广告，甚至出现了这个景点的门票广告。“我查了，软件明明说不会分析我的聊天内容，我却觉得app不仅看了，还分享给了其他软件”，这让她感到震惊和担忧。

由于业务发展的需要，很多app会和多方共享信息。企业经常要求用户同意向第三方提供信息。用户个人信息在多个app间转移共享，信息泄露风险不可预知。据调查，App隐私协议存在一些情况，如第三方对象表述不清(一般表述为“关联公司”、“可信第三方合作伙伴”)、共享目的表述不清、共享信息范围表述不清等。通用表达式使企业在数据共享层面享有更大的自由空。

3.哪些因素「纵容」了隐私协议对个人信息安全的侵害？

个人信息保护立法仍存在困难和空空白。目前，我国个人信息保护制度还处于发展阶段，规定笼统，缺乏细节。立法往往以同质化、无差别化的方式保护个人信息，忽略了各类app的行业特性。例如，美妆类app和电商类app在收集和利用个人信息的范围和方式上存在显著差异。美妆类app会涉及到一些生物信息比如五官，而电商类app会要求更多的个人信用、支付权限等等。

同时，个人信息缺乏分级“一揽子”授权，有待细化。在某大学任教的王先生，曾被授权一次性“作弊”。有一次打开某阅读App的包月会员，发现有月租费扣。经过多次检查，发现是第一次打开，很难找到界面下方默认勾选的“自动续费”，并且开启了免密支付，导致他在不知情的情况下被多次扣费。虽然目前的“知情同意”制度贯穿于信息采集、处理、利用的全过程，但在使用App之初就已经完成了一次性的充分授权。在调查的150个应用隐私协议中，只有22个描述了请求用户第二次授权的场景。

监管权责分配需要进一步完善。App监管涉及多个部门，“九龙治水”的分散监管导致交叉分工，导致重复监管，监管缺失。之前成立的一些App专项治理工作组，通过定期公布违法违规App名单的方式，通知企业下架整改。这种不可持续的“运动式治理”，耗时长，反应慢，审查模式弱。同时，对于这种专项治理的新闻宣传不足，用户不主动查询很难知道App治理的结果和隐私风险。

此外，行政部门的技术水平落后于市场整体水平，难以满足当前的监管需求。部分App技术专业门槛较高，监管部门在履职过程中，因技术能力不足而陷入两难境地，自身监管能力有限。

尚未形成统一的行业规范和合规指引。据调查，App隐私协议在技术规范和配套服务方面尚未形成统一严格的行业标准。隐私政策不够规范、各大应用商店审查制度差异、个人信息泄露等问题长期存在。不同行业或同一行业不同规模的企业受经济规模和合规能力的影响，做出的隐私协议有显著差异。在150款app中，处理更敏感信息的移动金融app的隐私协议比市场平均水平更完善。这种实力差异也体现在行业标准的制定过程中。行业巨头利用影响力参与制定，中小企业缺乏话语权。随着app数量的日益膨胀，需要形成一套普遍适用于app隐私政策合规性审查的操作指南。

商业利用与信息服务的矛盾困境。在武汉上学的陈女士，曾经浏览过一个网贷App，然后连续几个月，在不同的App上收到大量的网贷广告。“app推给我的网贷广告太多了，一不小心就越陷越深。”在广告的诱惑下，她在多个平台借钱，不知不觉中掉进了网贷陷阱，损失巨大。个人信息已成为产业创新和市场竞争的新“黄金”，也是欺诈、信息泄露和数据垄断的“快捷键”。

在接受调查的150个应用中，只有3个隐私协议明确指出如何关闭个性化算法。购物车记录、信用信息、观看聊天、位置方位等线索全方位勾勒出每个人的喜好，比如免费传播的书籍，一目了然。提醒短信一来，下一秒就可能收到借书方法的短信；如果你考砸了，我马上给你介绍培训机构。如果你想美白，你的手机很快就会被美白产品信息覆盖。

特别是随着指纹、人脸等生物认证信息的采集，一些工业企业在数据使用上已经超出了个人授权，用于技术开发、资源交换等操作。行业对数据的高度依赖与公众对基础服务和个人信息安全的基本需求之间存在矛盾。仅仅依靠企业自律，很难突破商业使用和隐私泄露之间的困境。

4.隐私协议治理体系有待全面完善。

从政府综合治理、互联网平台义务、用户信息主体权利三个层面，构建App个人信息合理使用与保护的制度框架。应完善相关法律法规，设立专门的监管机构。此前，有关部门已表示，将在充分吸收社会各界意见的基础上，发布实施《移动互联网应用程序个人信息保护管理暂行规定》。从呈现方式、企业权责等方面对App隐私协议文本进行统一细化的规定，进一步构建切实可行的合规审查指引，将为隐私协议的困局打开突破口。

平台方要把经营者及时义务的落实和隐私保护技术的提升提上日程。具体来说，首先，隐私协议中要明确写明对个人信息的保护。其次，在修改或终止服务条款或免除责任时，必须以合理的方式提示用户，并利用隐私增强技术将实质性的隐私保护融入企业运营。再者，在用户体验方面，要落实“知情同意”原则，完善选择机制，设置合理的同意和退出机制。应该充分保证用户的主体地位。用户应该有权拒绝App提出的信息收集等请求。用户拒绝授权后，App应继续提供其他基础服务功能，不得设置“不同意即退出”的捆绑授权方式，强制用户同意所有请求。对不同敏感程度的个人信息进行分类，对不同级别的信息获取授权的数量、时间和方式要进行不同的设计。

完善个人信息保护专项立法和市场监管规则，通过设立保护弱势群体专章、新增数据权利等方式，推动构建新型个人信息保护和数据安全体系。由于认知水平等原因，老年人和未成年人的个人信息更容易受到不规范隐私协议的侵害，需要加强立法保护。对于未满14周岁的未成年人的个人信息处理，个人信息保护法草案已规定适用“未成年人加父母”的原则。同时，也应该为老年人等弱势群体设立类似的倾斜保护制度，加强对特定使用者的保护。业内学者认为，立法应与民法典的相关规定相衔接，明确个人信息处理活动中的各类新型数据权利，包括知情权、查询权、更正权、删除权等。，并建立个人行使权利的申请受理和处理机制。

制定App隐私协议指引，为企业、个人和市场监管机构提供操作指南。指南应规定隐私协议在不同情况下应遵守的规范，既能为执法部门审查监管提供科学依据，又能为App开发者和运营者提供清晰可靠的参考，帮助企业降低信息合规成本，快速对标国家和行业安全规范。个人也可以根据本指南判断隐私协议的潜在侵权风险，增强信息安全的自我保护意识，有利于监管者、企业和个人之间的良性互动。

前置审核监管，从App下载分发源头，净化市场环境。7月4日，因滴滴出行App存在严重违法违规收集使用个人信息问题，国家网信办依据《中华人民共和国网络安全法》相关规定，通知应用商店下架滴滴出行App，要求其认真整改，切实保护用户个人信息安全。据调查，目前已上架应用商店的app，主要是在变现后进行监控，应考虑将审核重点从事后监控转向事前监控，并在应用商店下载前端进行规范。建议相关部门联合应用商店，研究制定App在线审核管理标准，运用大数据、人工智能等技术，不断提升App技术检测平台的自动检测能力、监控能力和数据分析能力。

(作者:光明日报与武汉大学联合课题组成员:袁康、张、、、王、、崔畅)

来源:光明日报