原标题：京东金融APP监测结果发布：未见用户非授权情况下上传图片
3月8日，针对京东金融app的检测报告发布。据京东金融官网发布信息，京东金融特邀请工信部下属中国信息通信研究院中国泰尔实验室已经完成对京东金融APP的安全性定向检测，结论为：京东金融APP Android版本“客服截屏反馈功能”未见用户非授权情况下上传图片缓存文件夹中的拍照或截屏图片。我们会以此次事件为戒，建立长期的安全自律审查和外部监督机制，为用户创造更加安全、更加放心的使用环境。
从技术上，一张反馈图片窃取用户隐私的可能性多大？中国计算机取证专委会委员万涛表示，从技术上看，一张反馈图片与窃取用户隐私的可能性取决于反馈图片的信息内容，比如，一张订单的反馈截图里有订单号、用户配送地址、姓名、联系方式等信息，一个贷款信息截图里贷款额度、相应金融机构、还款方式和状态等信息。孤立的图片信息的信息量如果不结合普遍意义的批量用户基础数据（比如账号、手机号等）或者用户个人数据的深度纬度交叉数据（如社交网络、联系人、通话记录信息等），窃取用户隐私的可能性是相对有限的，这和站在用户角度的隐私敏感度存在一定偏离（站在用户角度，每一个个体都是独一无二而珍贵的，站在大数据角度，用户数据只是有时间行为和角色画像标签的细分群落）。但用户有理由对一切涉及自己敏感性的数据的所有权和解释权行为产生关切感。
中国政法大学知识产权中心特约研究员、北京志霖律师事务所副主任赵占领在接受经济日报记者采访时表示，就这个事件而言，用户的截图如果只是储存在用户手机本地，不上传到APP,则不构成用户的侵权。是否侵权要看APP有没有对用户的图片做上传。
赵占领认为，这起事件的真实情况很可能是京东金融APP存在技术BUG，而非非法收集用户隐私。一是因为用户对其他应用软件界面的截图，多数情况下与京东金融APP之间没有关系，对其实际意义不大；二是如果真的要通过这种方式收集用户个人信息或隐私，应该也不会把用户的截图放在京东金融APP的文件目录里，这容易留下明显的证据；三是用户的截图被放置于京东金融APP的文件目录里，这个可能只是代表存储于用户手机本地，只有用户自身可以获取，只有上传到服务器才涉及到被非法收集。
目前国内有哪些APP带有客服反馈截图功能？为什么他们没有引起侵犯隐私的争论？据悉，国内带有客服反馈的APP很多，比如，天猫淘宝、京东、小米有品等电商的售前售后都有客服反馈截图，都会要求相册访问权限、截图。万涛认为，这些截图多属于消费生活领域，从移动互联网用户体验便利性和非线下客服的模式基于反馈和评价角度，需要用图片来说明问题是比较直观和便捷，所以在侵犯隐私的关注点上会更集中在用户订单信息和消费行为等存储在电商平台的数据。而作为第三方互联网金融APP，涉及到用户资金信息，容易引起公众敏感，一旦被发现有涉侵犯隐私的可疑行为，即使被证明是开发技术方式手段BUG也很容易引起争论。事实上，隐私固然重要，但从技术角度看，截图导致侵犯隐私进而损失利益的可能性不应被过分夸大。
客户截屏反馈功能在很多APP上都存在，此前并未引起轩然大波。京东金融此事的本质是什么？赵占领认为，最主要的原因是，此前其他APP的截屏功能仅限于用户操作该款APP，收集用户个人信息甚至隐私的前提和关键是遵循正当、合法、必要原则且经过用户知情、同意等原则。
类似的APP开发过程中，如何避免BUG、更好地合理合法保护公民隐私？赵占领建议，近年来，用户对个人信息保护的意识明显提升，国家有关个人信息保护的立法不断，依法收集、使用和存储用户个人信息已经成为社会各界共识，也是互联网企业合规性审查的重要内容。因此，在开发或运营APP或网站的过程中，从产品设计到业务经营都需要树立个人信息相关的合规意识，构建完善的个人信息收集、利用规则，建立严格的个人信息保护制度，在技术和管理方面加大投入，充分保障用户个人信息的安全。
针对第三方检测相关问题，万涛认为，安全第三方检测，是互联网安全非常重要的一环。一方面，金融APP开发者自身的资质需要遵从符合用户权益的法律法规合规要求，另一方面，其技术能力和权威性也要受市场和同业的竞争挑战，比如，移动APP的安全检测包括防二次打包、植入木马、恶意代码、敏感权限调用、广告、恶意扣费、与服务器通信被劫持等问题。从流程角度来说，依靠专业第三方机构对其产品安全性的验证，这是回应质疑的正确姿势，应当肯定与鼓励。
针对本次京东金融APP自身反映的问题，万涛认为，其官方回复中采取的措施，特别是措施3（我们将赋予内部安全技术团队对产品功能的直接否决权，将投入更多资源，建立更为严谨的安全审核机制，对每一项技术应用和业务功能进行更加严格、全面的安全测试），都是一种很阳光并有利于长远的积极举措。如果再结合第三方检测来持续改进和加强监督，对于强调监管和风控的金融科技产品来说，绝对是“良药苦口”。
（经济日报-中国经济网记者：周琳）
