SDK涉竊隱私工信部責(zé)成“地毯式”排查

羅克研

SDK是軟件開發(fā)工具的英文縮寫。

2019年11月，上海市消費(fèi)者權(quán)益保護(hù)委員會(huì)委托第三方公司對50多款手機(jī)軟件中的SDK插件進(jìn)行了專門的測試，包括國美易卡、遙控器、最強(qiáng)手電、全能遙控器、91極速購、天天回收、閃到、蘿卜商城、紫金普惠等50多款手機(jī)軟件。

監(jiān)測人員發(fā)現(xiàn)這些App中有上海氪信信息技術(shù)有限公司和北京招彩旺旺信息技術(shù)有限公司兩家公司的SDK插件。這兩個(gè)插件，都在用戶不知情的情況下，偷偷竊取用戶隱私，涉及到用戶設(shè)備的IMEI、IMSI、運(yùn)營商信息、電話號(hào)碼、短信記錄、通訊錄、應(yīng)用安裝列表和傳感器信息。

這些SDK獲得用戶隱私信息后，還會(huì)悄悄地將數(shù)據(jù)傳送到指定的服務(wù)器存儲(chǔ)起來。北京招彩旺旺信息技術(shù)有限公司的SDK，甚至涉嫌通過菜譜、家長幫、動(dòng)態(tài)壁紙等多款軟件，竊取用戶更加隱私的信息。

此外，監(jiān)測人員還發(fā)現(xiàn)一些知名手機(jī)APP也有收集用戶隱私。

隨著央視“3.15”晚會(huì)的曝光，7月17日，氪信科技發(fā)布公告稱就這一問題的影響已經(jīng)成立調(diào)查小組，內(nèi)部啟動(dòng)調(diào)查。

工信部隨后也啟動(dòng)應(yīng)用商店聯(lián)動(dòng)處置機(jī)制，責(zé)成阿里、騰訊、百度、華為、小米、OPPO、VIVO、360等國內(nèi)企業(yè)應(yīng)用商店，第一時(shí)間對類似問題進(jìn)行“地毯式”排查，對發(fā)現(xiàn)問題一律立即下架，同時(shí)要求各企業(yè)應(yīng)用商店及時(shí)通知APP運(yùn)營開發(fā)者自查自糾，及時(shí)發(fā)現(xiàn)、處理違規(guī)收集用戶個(gè)人信息的SDK。

據(jù)悉，SDK非常的常見，現(xiàn)在的所有APP軟件當(dāng)中，基本上都會(huì)使用SDK來完成各種功能，比如，APP廣告、支付、在線聊天、拍照美顏美圖等都會(huì)帶有SDK。

比如QQ快捷登錄，那就是QQ提供sdk服務(wù)，微信登錄就是微信SDK服務(wù)，微博就是微博SDK……，也就是為了簡化注冊流程，讓大家可以不用注冊就直接登錄。

雖然SDK只是一個(gè)看似普通的插件，但是因?yàn)樗鼘λ械氖謾C(jī)APP具有通用性，很多手機(jī)軟件可能都嵌入了同一個(gè)SDK，因此一旦某個(gè)SDK竊取用戶個(gè)人隱私，將會(huì)涉及眾多手機(jī)軟件。在此次檢測當(dāng)中除了內(nèi)嵌SDK插件以外，工作人員還發(fā)現(xiàn)一些知名手機(jī)APP也有收集用戶隱私的現(xiàn)象，涉及酷音鈴聲、手機(jī)鈴聲、鈴聲大全等多款軟件。

此外，SDK“隱蔽”收集個(gè)人信息的問題逐漸顯現(xiàn)，它包括兩種情況，一是APP知道SDK在收集信息，而用戶不知道;另一方面，APP和用戶都不知道SDK在收集信息。

根據(jù)《APP違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》，APP若未逐一列出有關(guān)收集使用規(guī)則，或者內(nèi)容晦澀難懂、冗長繁瑣，用戶難以理解，如使用大量專業(yè)術(shù)語等，仍然會(huì)被認(rèn)為是“私自收集信息”。

這意味著，APP若在隱私保護(hù)協(xié)議中簡明扼要的寫明其集成了哪些SDK，就可以增加用戶對APP內(nèi)置SDK的信任。

資料顯示，早在2018年起，上海市消保委對消費(fèi)者使用度最高的62款頭部APP開展了三期評測。

2018年3月-7月，上海市消保委開展第一期地圖類手機(jī)APP涉及個(gè)人信息權(quán)限評測，反映出申請的敏感權(quán)限與實(shí)際功能不完全對應(yīng)的問題。5款頭部應(yīng)用相關(guān)企業(yè)積極回應(yīng)，并提交情況說明及整改報(bào)告，通過取消獲取、功能優(yōu)化、版本更新等形式進(jìn)行改進(jìn)，相關(guān)問題得到解決。

2018年8月-11月，上海市消保委又開展第二期針對瀏覽器、輸入法、綜合視頻等手機(jī)APP涉及個(gè)人信息權(quán)限評測，再次引起社會(huì)廣泛關(guān)注。問題主要集中在部分應(yīng)用所申請的敏感權(quán)限存在無實(shí)際對應(yīng)功能以及部分應(yīng)用所采用的Android目標(biāo)API版本過低方面。18家頭部應(yīng)用相關(guān)企業(yè)積極跟進(jìn)問題，在敏感權(quán)限的申請、使用方面均做到了合理申請、自主授權(quán)，充分保證了用戶的知情權(quán)、選擇權(quán)。

2019年，上海市消保委又推出了第三期39款手機(jī)APP的個(gè)人信息權(quán)限評測，主要涉及網(wǎng)購平臺(tái)、旅游出行、生活服務(wù)等類別。通過與企業(yè)的技術(shù)溝通和督促，所涉應(yīng)用全部整改，在敏感權(quán)限申請及使用方面實(shí)現(xiàn)合理申請、自主授權(quán)。

現(xiàn)今，收集用戶隱私問題成了日益關(guān)注的普遍性問題。在歷年315晚會(huì)中可以看到，不少企業(yè)都因收集用戶隱私被曝光。

像去年曝光的聲牙科技有限公司研發(fā)的一款探針盒子，通過無線局域網(wǎng)，收集手機(jī)的MAC地址，并與公司掌握的6億個(gè)人信息配對，就可以查到手機(jī)號(hào)。薩摩耶互聯(lián)網(wǎng)金融服務(wù)有限公司將這款探針盒子，放置在很多便利店里，偷偷收集周邊用戶手機(jī)號(hào)碼。

今年7月初，工業(yè)和信息化部信息通信管理局公布《關(guān)于侵害用戶權(quán)益行為的App通報(bào)（2020年第二批）》。

記者梳理該局今年通報(bào)的前兩批31款A(yù)pp同樣發(fā)現(xiàn)，其中涉及“私自收集個(gè)人信息”的App有23款，如果算上“過度索取權(quán)限”等問題，比例則更高。

此外，國家計(jì)算機(jī)病毒應(yīng)急處理中心上半年通報(bào)下架的違法有害移動(dòng)App達(dá)638款，其中，涉及隱私違規(guī)的有531款，占八成以上。上半年，直播、社交、外賣、醫(yī)療、在線教育等App涉嫌侵犯個(gè)人隱私占到很大比重。

互聯(lián)網(wǎng)及大數(shù)據(jù)時(shí)代背景下，個(gè)人信息泄露的途徑變得更加多樣化。

專家認(rèn)為，要針對互聯(lián)網(wǎng)企業(yè)的體量加大經(jīng)濟(jì)處罰力度。鑒于一些重要App與網(wǎng)民生活息息相關(guān)，已經(jīng)成為手機(jī)的“基礎(chǔ)設(shè)施”，下架有一定難度，監(jiān)管部門可以大幅提高罰款金額，既讓企業(yè)有痛感，又不會(huì)影響網(wǎng)民生活。同時(shí)，監(jiān)管機(jī)構(gòu)要細(xì)化裁量基準(zhǔn)，做出相應(yīng)處罰。

針對個(gè)人信息保護(hù)，消費(fèi)者自身應(yīng)養(yǎng)成良好的習(xí)慣，對于手機(jī)上的一些APP權(quán)限要謹(jǐn)慎授權(quán)。

監(jiān)管查處典型案件

防疫物資產(chǎn)品質(zhì)量和市場秩序?qū)ｍ?xiàng)整治在行動(dòng)整理/本刊記者李穎

記者從國家市場監(jiān)管總局獲悉，全國防疫物資產(chǎn)品質(zhì)量和市場秩序?qū)ｍ?xiàng)整治行動(dòng)開展以來，市場監(jiān)管總局深入貫徹落實(shí)習(xí)近平總書記重要指示批示精神，按照黨中央、國務(wù)院決策部署，要求各地市場監(jiān)管部門全面排查防疫物資產(chǎn)品質(zhì)量和市場秩序存在的隱患，全面整治生產(chǎn)、流通、消費(fèi)中存在的突出問題。各地市場監(jiān)管部門迅速行動(dòng)，持續(xù)加大監(jiān)管力度，依法從嚴(yán)從重從快查處了一批違法案件，切實(shí)維護(hù)了防疫物資市場秩序?，F(xiàn)公開曝光一批相關(guān)典型案例。

1

北京市延慶區(qū)市場監(jiān)管局查處未經(jīng)許可從事第三類醫(yī)療器械經(jīng)營活動(dòng)和經(jīng)營未依法注冊醫(yī)療器械案。

5月18日，北京市延慶區(qū)市場監(jiān)管局依法對北京美正生物科技有限公司未經(jīng)許可銷售冠狀病毒核酸檢測試劑盒行為實(shí)施行政處罰。經(jīng)查，當(dāng)事人未取得《醫(yī)療器械經(jīng)營許可證》，銷售及捐贈(zèng)“冠狀病毒核酸檢測試劑盒”和“七種冠狀病毒核酸檢測試劑盒”共計(jì)95盒，貨值共計(jì)93322.42元，違反了《醫(yī)療器械監(jiān)督管理?xiàng)l例》第三十一條第一款和第四十條的規(guī)定。鑒于當(dāng)事人及時(shí)召回“冠狀病毒核酸檢測試劑盒”65盒，召回比例較大，依法對當(dāng)事人罰沒合計(jì)1408476.30元。

2

浙江省臺(tái)州路橋區(qū)市場監(jiān)管局查處某工藝公司哄抬價(jià)格案。4月28日，臺(tái)州市路橋區(qū)市場監(jiān)管局根據(jù)線索，依法對臺(tái)州市路橋某工藝公司進(jìn)行執(zhí)法檢查。經(jīng)查，疫情期間口罩需求量大，生產(chǎn)口罩用無紡布比較緊俏，當(dāng)事人為獲取更大利潤，從今年4月份起開始提價(jià)銷售不同批次購進(jìn)的生產(chǎn)口罩用無紡布，其中4月7日以48000元/噸的價(jià)格銷售給口罩生產(chǎn)廠家，進(jìn)銷差率160.97%，4月12日以80000元/噸的價(jià)格銷售，進(jìn)銷差率189.19%，4月17日以110000元/噸的價(jià)格銷售，進(jìn)銷差率366.47%，以上銷售額共計(jì)335000元。

當(dāng)事人的上述行為，違反了《價(jià)格法》第十四條第（三）項(xiàng)的規(guī)定，構(gòu)成哄抬價(jià)格的違法行為，6月8日對當(dāng)事人處以罰款250000元。

3

安徽省滁州市市場監(jiān)管局查處楊某非法生產(chǎn)加工熔噴布案。4月30日，滁州市市場監(jiān)管局聯(lián)合公安機(jī)關(guān)，查處一非法生產(chǎn)加工熔噴布窩點(diǎn)。

經(jīng)查，2020年4月，該窩點(diǎn)負(fù)責(zé)人楊某租用南譙區(qū)烏衣鎮(zhèn)某公司生產(chǎn)廠房，從江蘇丹陽購進(jìn)二手機(jī)器設(shè)備，并購進(jìn)原材料聚丙烯生產(chǎn)熔噴布。執(zhí)法人員現(xiàn)場查扣熔噴布3噸，原材料聚丙烯（包裝）1.3噸、聚丙烯（散裝）1噸，熔噴布生產(chǎn)設(shè)備4臺(tái)（套），案值200余萬元。該生產(chǎn)商生產(chǎn)現(xiàn)場無廠家標(biāo)識(shí)，未辦理營業(yè)執(zhí)照。原材料無采購憑證、檢驗(yàn)報(bào)告，成品無產(chǎn)品標(biāo)識(shí)，無廠名廠址、合格證。執(zhí)法人員現(xiàn)場查封了生產(chǎn)機(jī)器設(shè)備，將成品熔噴布及“三無”原料予以異地扣押，并對該窩點(diǎn)生產(chǎn)的成品熔噴布進(jìn)行抽樣，經(jīng)檢測結(jié)果為不合格。目前此案正在進(jìn)一步查辦中。

4

廣東省惠州市市場監(jiān)管局查處曹某無照生產(chǎn)隔離衣案。4月28日，惠州市市場監(jiān)管局聯(lián)合公安機(jī)關(guān)對曹某無照生產(chǎn)隔離衣行為開展檢查。經(jīng)查，當(dāng)事人曹某在未取得相關(guān)營業(yè)執(zhí)照，未按規(guī)定向藥品監(jiān)督管理部門備案情況下，受惠州市新俊達(dá)塑料制品有限公司的委托代生產(chǎn)加工隔離衣，由惠州市新俊達(dá)塑料制品有限公司提供原材料。從4月26日開始生產(chǎn)到4月28日被查處為止，生產(chǎn)加工活動(dòng)共持續(xù)3天。依據(jù)（（醫(yī)療器械監(jiān)督管理?xiàng)l例》第六十五條和《無證無照經(jīng)營查處辦法》第十三條，責(zé)令其改正違法行為，并對當(dāng)事人處以罰款5000元。

5

四川省大竹縣市場監(jiān)管局查處福建雙力紡織有限責(zé)任公司涉嫌銷售不合格熔噴布案。4月27日，大竹縣市場監(jiān)管局接獲轄區(qū)某口罩制造公司舉報(bào)，對其采購的熔噴布進(jìn)行了現(xiàn)場檢查，發(fā)現(xiàn)該批熔噴布無廠名、廠址、生產(chǎn)日期、檢驗(yàn)合格證等標(biāo)識(shí)，數(shù)量共24件，合計(jì)706.70千克。該公司提供了該批產(chǎn)品的“采購訂單”，產(chǎn)品由福建雙力紡織有限責(zé)任公司供應(yīng)，聯(lián)系人為黃某某，質(zhì)量約定BFE≥90%，單價(jià)為288.15元/千克，貨值金額合計(jì)為203635.61元。

執(zhí)法人員現(xiàn)場對該批產(chǎn)品進(jìn)行了監(jiān)督抽樣，經(jīng)送法定檢驗(yàn)機(jī)構(gòu)檢驗(yàn)，結(jié)論為細(xì)菌過濾效率、顆粒過濾效率不符合YY 0461-2011標(biāo)準(zhǔn)要求，BFE達(dá)不到約定質(zhì)量要求。大竹市場監(jiān)管局將該案涉嫌犯罪線索移送大竹縣公安局。