App真的在窃听你的生活吗

编者按：本文来自微信公众号“财经十一人”（ID:caijingEleven），36氪经授权发布。

作者 | 柳书琪

编辑 | 谢丽容

关于App带来的不安全感，越来越多人正在感受压力。

国家网络安全宣传周今年9月发布的《App安全意识公众调查问卷报告》显示，32万名受访者中，近三分之一的人表示很反感App的精准推送广告行为，感觉遭到了窥探或偷听。

刚和朋友聊过的产品就出现在推荐里，没有打开定位权限却一直被App推送当地资讯，在这款App上搜过的内容转眼出现在另一款App上……在这个大数据时代里，没有人能逃得过这形形色色的精准推送。

过去，人们用“在互联网上，没人知道你是一条狗”来形容网络的不可琢磨性。但现在，互联网不仅知道你是谁，还知道你喜不喜欢狗，并且给你推送狗粮广告。

英剧《黑镜》里，一个女孩因为过度思念去世的男友，凭借着男友在社交网络上留下的全部痕迹，拼凑出了与他几乎一模一样的AI模型。

“无处可逃。”浙江大学计算机科学与技术学院周亚金教授长期研究网络空间安全，他对《财经》记者说，个人在互联网上的困境越来越明显。

360公司CEO周鸿祎在今年互联网安全大会上说，部分软件会打开用户的摄像头或麦克风，获得手机用户信息，再通过这些收集来的信息找到关键词，来匹配用户的兴趣爱好。

普遍被用户感知到的App偷拍偷录现象，真的存在吗？如果不存在，App又是通过什么方式实现了如此高准确度的智能推送呢？用户数据的滥用与合理使用之间是否有边界？如何在确保数据安全的同时实现人工智能技术的发展？

数据采集、交换和应用的过程对普通用户而言如同一个全封闭式的黑箱，内部的运转机制错综复杂。《财经》记者尝试揭开这个黑箱的一角。

01 世界上最懂你的人，可能是算法

10月13日，备受瞩目的个人信息保护法草案在全国人大常委会上首次亮相。这部专门针对个人信息保护的法律明确，“处理个人信息应当在事先充分告知的前提下取得个人同意，个人有权撤回同意；重要事项发生变更的应当重新取得个人同意；不得以个人不同意为由拒绝提供产品或者服务。”

这反映了个人信息中最关键的原则——告知同意。但在此前的实践中，这项原则不时为互联网公司所忽视。

早在两年前，坊间就有App偷拍偷录的传言，首当其冲的是qq浏览器和百度输入法。当时，vivo Nex手机的前置摄像头藏于手机内部，只有调用时才会升起，而用户使用QQ浏览器时会明显看到，小小的摄像头模块被开启了。同时，在百度输入法界面没有进行任何操作时，手机也会提示正在录音。

随后，QQ浏览器和百度输入法分别解释称，没有偷偷调取用户的录音和拍照功能，而是由于某些网站读取摄像头参数、输入法进行语音麦克风预热优化导致。

但喧嚣并未就此散去，一个忧虑始终萦绕在人们心头：我们的生活是否无时无刻不处于监视之中？但这样的猜疑往往来自于自身的使用感受，而不是确凿的证据。

多位从事网络安全、App开发的专家和资深人士告诉《财经》记者，偷拍偷录在技术上有可能实现，但这种方式经济效益并不划算。这种方式不仅成本高昂、效率低下，还有严重的法律风险。换言之，不必过分担心所谓App会偷拍、偷录。

蒋琳是南都个人信息保护研究中心负责人，她向《财经》记者历数了偷拍偷录不成立的三点原因。

首先，这需要硬件设备支持语音唤醒，并要求在嘈杂的现实环境下分辨方言、提高识别准确度。

其次，上传超大的录音文件需要耗费大量流量，很难躲过用户注意。

更现实的因素是，通过监听来捕捉用户喜好的成本极其高昂，从投入产出比来看公司没有必要为此买单。

“这些技术（指偷拍偷录）通常有特定的应用场景，比如经济侦查、窃听，会定向应用在重要人物上，这么高精尖的技术不会大范围地应用在普通商用领域。”周亚金说。

可是紧接着的问题是，如果不存在普遍的偷拍、偷录，为什么有如此多用户都有相似的被监听的感受？

一位从事iOS系统开发多年的工程师告诉《财经》记者，直接或间接获取用户数据、完善用户画像的方式还有很多。最常见的用户数据来源依然是用户的个人资料和浏览数据，包括搜索记录、各个页面的停留时长、从哪个页面进入哪个页面等，从而为用户建立起一套包含多个标签的画像，比如“男性、本科毕业、30岁、中等收入、已婚、无子女、养猫”。

这套标签体系的形成很可能极为复杂。周亚金举例说，多个用户每晚同一时段连接的Wi-Fi是同一个，那么系统判断大概率他们是一家人，推送的内容很可能会交叉共享。另外，即便用户没有给予一个App定位权限，通过Wi-Fi同样可以判断出他的大致所在地，从而匹配当地的广告。

更不易被察觉的是嵌入在App内的SDK（软件开发工具包）。它是App内提供特定功能或服务的插件，比如广告、支付、地图等。SDK的意义在于，当开发者需要调用某项功能时，不需要从头自行开发，只需要接入SDK即可。

“当App A和App B都采取了同一家广告SDK时，那么A和B内收集的数据都可能上传至这一家SDK上，A与B之间天然形成了数据共享。你在A上的搜索记录和使用习惯有可能就会被反映在B上。”周亚金解释。

正是由于它的隐蔽性，SDK也是数据安全和用户隐私保护上的重难点。

上述不愿具名的工程师还指出了一个容易被忽略的“泄密者”——手机输入法。他表示，许多第三方输入法会统计用户词频数据，而这些数据理论上都可以卖给其他公司。如此一来，很有可能你前脚刚和朋友说完想买某件商品，后脚购物App上就把这件商品推至前排。

即便是原本不属于个人信息的数据，在不断汇聚之后，也可能会被发掘出事物间不为人知的联系，从而分析出用户的私密信息。北京观韬中茂(上海)律师事务所合伙人、首席数据官联盟专家吴丹君告诉《财经》记者，这种结果很可能在进行数据处理前也无法预见。

所谓的App偷拍偷听，“很有可能只是App‘猜你喜欢’猜得很精准而已。”蒋琳说。毕竟，你永远不知道在App后台里你的用户画像详尽到什么程度。算法也许比你还懂你的心。

02 用户已成惊弓之鸟

“过去频频发生的隐私泄露问题，让大家有些过度焦虑和紧张了。”何延哲是四部门App专项治理工作组专家，长期从事App个人信息使用情况评估和相关技术指导文件的编制。在接受《财经》记者采访时，他还在去出差的路上，“最近太忙了。”编写新的行业标准、调研收集操作系统和应用商店的情况、处理App信息安全领域突发事件，何延哲无时无刻不感受着这份工作的压力和调整。

“一方面，用户的隐私保护意识越来越高是好事，但另一方面，很多人陷入了一个误区，似乎一谈到收集个人信息就是完全错误的，但事实上App收集个人信息在很多情况下也是为用户服务。”

何延哲说，他个人其实不是太反感互联网跨平台的广告，因为他知道这中间传递的信息是针对设备的用户画像，而不是个人可识别的信息，比如手机号、身份证号、住址。“我们不是要完全禁止个性化广告，如果不存在个性化广告，那就只能回到传统媒体的广告时代了。”

近日，苹果更新的iOS14系统中新增了用户可查看调用剪切板的App的功能，TikTok、Chrome浏览器、CNN、Google News和星巴克都被海外用户发现，调用了剪切板功能。

这让本就担心隐私泄露的用户再次成为了惊弓之鸟。“读取剪切板是非常正常的功能，剪切板的诞生就是为了读取和粘贴的。”何延哲向《财经》记者解释，只是在用户没有使用、也没有后台运行一款App时，它还是获取并且上传了剪切板信息，这就可能构成了违法违规收集使用个人信息行为。

对个人信息安全的忧虑，折射出的是用户日益敏感的神经，更是用户缺乏对个人数据的知情权和主动权的表现。

今年9月，北京市环球律师事务所、南都个人信息保护研究中心和中国信息通信研究院安全研究所联合发布了《个性化展示安全与合规报告》。这份报告对淘宝、京东、微信、微博、快手、携程等20款常用App进行测评，结果只有5款App设有可编辑、可删除的统一标签管理系统。而即便有这一功能，可供编辑的标签也是系统预设的，而非由个人历史数据生成的标签。

与之形成鲜明对比的是谷歌。在谷歌上，用户可以看到系统基于个人使用偏好生成的一系列标签，包括教育背景、家庭收入、婚姻状况、宠物等，对于谷歌可能推送的内容也能做到心中有数。同时，用户还可以选择一键关闭个性化推送。

种种举措，归根结底是让用户清楚三个问题：App掌握了我的哪些数据？这些数据的用处是什么？我能否不允许它使用我的数据？

用户的需求倒逼手机厂商开始采取行动。今年4月，小米推出的MIUI12系统主打卖点之一即是隐私保护，其中的“照明弹”功能会记录APP的一切敏感行为，包括相机、录音和定位等，用户也可随时查看调用记录。

在9月最新推出的的苹果iOS14正式版中，也有类似的功能。此外，ioS 14将广告标识符（IDFA）从原本的默认开启状态改为默认关闭，而如果关闭了IDFA，那就意味着App无法再追踪用户数据、进行精准的广告投放。

周亚金告诉《财经》杂志，这些技术措施让App获取个人信息变得困难且容易感知。如果改变了操作系统底层，有可能还会引起兼容性问题。

换言之，如果App的隐私保护意识还停留在冗长的、获取用户许可的隐私政策层面，不与时俱进地更新个人信息保护举措，将有可能陷入难以适配操作系统的尴尬境地。

03 隐私保护中的灰色地带

从个人到企业，再到操作系统和法律法规，个人信息保护的重要性已经达到了空前的高度。但与此同时，一些重要问题的模糊不清，加剧了立法和处罚的困难程度。

首先是隐私范围的界定依然很模糊。《民法典》将隐私界定为，自然人的私人生活安宁和不愿为他人知晓的私密空间、私密活动、私密信息。

近日公开的个人信息保护法草案中则明确，“个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等活动。”

值得注意的是，个人信息的范围排除了匿名化后的信息，这相当于为大数据行业的发展留出了空间。不过，蒋琳也指出，不同的人在不同场景下，对隐私的认知是弹性的，仍需要具体场景具体分析。

其次，数据的所有者是谁？一个用户在微信产生的数据是属于他自己还是微信，微信是否有权利将用户数据与其他公司共享？周亚金表示，从常识的角度来看，数据的所有者当然属于用户，但在实践中却很难如此界定。

再次，如何圈定数据共享的范围，也缺乏定论。周亚金举例说，假设一个人使用了A应用，而A应用和B应用属于同一家公司，那么A应用将他的数据授权给B应用是否也需要相应的授权？从用户角度而言，他只使用了A没有使用B，B不应该拥有他的数据；但从公司角度而言，A和B之间数据共享是非常自然的。

更重要的议题是，在信息安全领域，有一项公认的原则叫作“最小必要原则”，即App应该只收集自己必需的信息。只是一些企业的做法恰恰相反，遵循的是“能收集多少就收集多少”的原则。

在实践中，如何认定“最小必要”却不仅仅是技术层面的问题。有时候这种判定可以基于常识，例如一款外卖App如果要求授权通讯录，通常没有太大的必要性。

但周亚金指出，如果一款App本身只需要获取模糊的定位，却获取了精确的地址，那么它是否在遵循最小必要原则就值得打一个问号了。但另一方面，它也可以声称，获取最精确的地址有助于给用户提供更好的服务。

更何况，即便是一款简单的工具类的App，比如天气预报、指南针，有时也会附加多个“鸡肋”功能，从而光明正大地索要更多权限。

“在常识与规范之间，其中有很多模糊地带，这就像法官判案一样，依然需要很多专家知识的参与。”周亚金说。

04 隐私保护与行业发展如何两全

早期的移动互联网、大数据行业呈现着一股野蛮生长的态势，企业和用户对于个人信息安全的理解都是一片混沌。甚至有观点认为，中国互联网行业之所以能够迅速崛起并成为世界一极，其中一项重要原因正是大量用户数据的反哺。

“大数据产业就像是一辆车。”何延哲说，“过去加速太猛了，超速了，现在需要踩刹车、做保养，这也是为了以后能更好地跑起来。”

周亚金向《财经》记者强调，虽然人工智能和大数据的发展，必然以获取多维度、多角度、多用户的数据为基础，但并不意味着就一定要侵犯用户的隐私。多位受访者都表示，目前联邦学习、安全多方学习等技术能够在不公开数据的前提下，完成数据建模、提升AI水平。

例如，一家公司拥有用户的信用卡数据，另一家公司拥有购房数据，二者可以在不知道对方用户数据的情况下，完成两套数据的综合和匹配，这在技术上完全可以实现。

但现实是，很多中小企业没有动力采用这些前沿的技术。相对高的技术门槛、不菲的成本投入、有限的处罚措施，都是中小企业的合规阻碍。

何延哲为《财经》记者算了一笔账，在国内一家公司要做到信息安全合规，至少需要聘请律师团队、购置安全设备、进行相关测评。其中任何一条，都是成本。

欧盟的《通用数据保护条例》GDPR目前是世界上最严厉的数据保护条例。据隐私管理平台DataGrail今年2月发布的报告显示，74%中小企业在遵守GDPR上花费了超过10万美元。有20%的公司开支在100万美元以上，仅有6%的公司支出少于5万美元。

反观国内，通常一家小公司在网络安全上一年的花费不到10万元，资金远远不够。

“合规成本太高昂，相当于给小公司的发展又制造了一道障碍。很多时候连生存都成问题，哪里有合规的余地？”何延哲说。因此，隐私安全保障不到位，不一定等同于这家公司是故意“作恶”，也有可能是“心有余而力不足”，怀有侥幸心理。一旦触碰红线，必然面临被追责。

何延哲的理念是，尽可能不“逼”着公司做合规，而要“帮”着公司做合规。他所在的App专项治理工作组新推出了一款合规评估工具上，这项工具完全免费，可以为App提供在线自评、帮助中小企业发现合规问题。“它还没那么完美，但对中小企业来说已经很有用了，以后这个产品的功能还会陆续更新。”

吴丹君长期为企业提供网络安全、数据合规法律服务，她感受到越来越多的公司愿意事前寻求律师协助，或委托律师起草隐私政策，而非出了问题再整改。如何编写和展示隐私政策、从第三方获取个人信息的合法性，都是企业法律咨询的常见问题。

蒋琳所在的南都个人信息保护研究中心，从2017年起就在对100款常用App进行个人信息保护的合规测评。她亲身感受到，重视个人信息保护越来越成为互联网行业普遍共识。

与2017年相比，2019年对100款App的隐私政策透明度测评报告中，透明度在较高级别以上的企业从不到10%上升至超过60%，而不合格的App比例从80%以上下降至17%。“这是历次测评中表现最好的一次。”蒋琳强调，这很可能是好的开始。