安全软件不安全？ 36款违规安全软件被网信办通报
本报记者/李静/北京报道
5月10日，国家互联网信息办公室（以下简称“国家网信办”）公布了一批违法违规使用个人信息情况的通报。
本次通报主要为安全管理和网络借贷类App，其中腾讯手机管家、猎豹清理大师、360安全卫士、百度手机卫士等安装量较高、知名度较高的安全软件均榜上有名，共计有36款安全管理类软件均存在收集与服务无关的个人信息等行为。
“移动端安全产品几乎一网打尽了。”一位要求匿名的安全公司内部人士对《中国经营报》记者说道。
不过，国家网信办并没有披露安全软件收集与服务无关的个人信息的详细情况。截至发稿前，腾讯、猎豹、百度、360等公司也未针对本报记者的相关采访诉求做出官方回应。
安全软件困局
自今年央视“3·15”晚会曝光手机管家Pro等四款App违规收集手机用户信息以来，相关主管部门一直在加强对手机软件收集个人信息的立法与监管。
国家网信办、工信部、公安部、国家市场监管总局联合制定的《常见类型移动互联网应用程序必要个人信息范围规定》很快就于3月22日对外公布，明确了各类App依据“最小必要”等原则的个人信息收集范围。
两个多月以来，国家网信办和工信部等主管部门也加大对违规App的通报披露力度。
其中，工信部新闻发言人、信息通信管理局局长赵志国于4月20日对外介绍，今年以来已累计完成29万款App技术检测，对1862款违规App提出整改要求，公开通报319款整改不到位的App，组织下架了107款拒不整改的App。
据官方文件，5月10日国家网信办对外通报的这批违规App，是针对人民群众反映强烈的App非法获取、超范围收集、过度索权等侵害个人信息的现象，依据《中华人民共和国网络安全法》《App违法违规收集使用个人信息行为认定方法》《常见类型移动互联网应用程序必要个人信息范围规定》等法律及规定，组织对安全管理、网络借贷等常见类型公众大量使用的部分App的个人信息收集使用情况进行检测之后的披露行动。
在这批被通报的App中，本报记者注意到，腾讯手机管家、360手机卫士、360清理大师、猎豹安全大师、猎豹清理大师、百度手机卫士、鲁大师、91清理大师等多款安装量和知名度较高的安全管理类App位列其中，共计有36款安全管理类App被通报。存在的问题包括违反必要原则和《常见类型移动互联网应用程序必要个人信息范围规定》，收集与其提供的服务无关的个人信息；未经用户同意收集使用个人信息等。
官方通报文件被公开之后，本报记者通过手机应用商店下载腾讯手机管家，打开应用之后自动弹出用户服务及隐私协议，提示用户：“未来向您提供安全保护、骚扰拦截、清理等功能，我们需要收集设备信息、诈骗电话等个人信息；您可以在相关页面访问、更正、删除您的个人信息并管理您的授权”，需要同意用户服务及隐私协议才可以打开腾讯手机管家。后续页面还会提示权限申请，“腾讯手机管家需要获取电话（设备信息）和存储空间权限，以保证手机安全和空间清理功能的使用”，开启权限之后方可以使用App。
打开猎豹清理大师首先也会提示，“为了给您提供全面、深度的清理服务，猎豹大师将向您申请以下权限和信息，手机状态（获取设备识别码，区分和识别用户）、存储空间（全面扫描、清理手机缓存垃圾）”，同意之后，还会跳出弹框“是否允许猎豹清理大师访问您设备上的照片、媒体内容和文件”。360手机卫士则是在点击使用清理加速、微信清理、全面分析存储情况、QQ清理等功能时弹出提示，需要获取存储权限才可以正常使用该功能。
“手机安全软件确实需要的权限多，基本上属于手机端需要用户权限最多的App品类。”上述要求匿名的安全公司内部人士告诉记者，“PC时代的安全软件是需要系统最高权限的软件，到移动互联网时代，安全软件难做的一个原因就是权限受限。”
据透露，一般安全软件都需要联网和存储这两个基本权限，此外还会需要短信（拦截垃圾短信、诈骗短信）、电话（拦截骚扰电话）、通讯录（同前）、位置信息（手机防丢防盗功能）等权限。
合规监管趋严
此次国家网信办通报的36款安全管理类App，基本覆盖大部分移动端安全应用，但并未披露安全软件收集与服务无关的个人信息的详细情况。截至记者发稿，腾讯、猎豹、百度、360等公司也未对相关采访细节作出回应。
“安全管理类App出现非法获取、超范围收集、过度索权等侵害个人信息的现象，用户个人隐私保护意识淡薄是一部分原因，但更多的原因是手机App厂商缺乏商业道德，缺少敬畏精神，企图‘蒙混过关’。”深度科技研究院院长张孝荣说道，“近年来国家有关部门已经三令五申，多部法律和规定已经明确指出了个人隐私保护的重要性和边界。但是一些App厂商依然有目的性地收集用户个人信息，没有做到真正意义上的公开透明，对于公民隐私的保护缺乏责任感，成为数字中国建设的障碍。”
安全管理类App作为免费软件，广告是最主要的变现途径。例如腾讯手机管家除了开屏广告，还集合了信息流推荐，大约五六个信息流中就有一个广告。
此外，现在一些安全软件还推出了会员服务，仍以腾讯手机管家为例，其会员可以享受自动清理、自动加速、去广告、WiFi增强包等特权；又如猎豹安全大师的会员可以享有15大会员专享权益，包括去除广告、全自动清理、自动杀毒、隐私相册等功能。
张孝荣表示，安全管理类App常常推送一些信息广告、推送App下载、推动自身定制信息等。这些行为都跟用户信息和行为高度绑定，以便实现“千人千面”的精准推送。“用户信息越多越细致，就意味着价值越大、利润越高。”
不过，上述要求匿名的安全公司内部人士对记者表示：“广告算法并不需要用户准确的信息，例如设备使用记录等，安全软件并不会这么赤裸裸地获取隐私。
目前对于相关细节，外界尚不得而知。不过，针对检测发现的问题，国家网信办要求相关App运营者应当于本通报发布之日起15个工作日内完成整改，并将整改情况报至国家网信办，逾期未完成整改的将被依法予以处置。
当前，世界各国政府对个人数据保护合规监管日趋严格，企业需要履行好个人数据收集、储存、转移、处理的合规义务，做好个人数据保护合规管理。
中国贸易促进委员会全国企业合规委员会专家丁继华对记者指出：“要解决个人数据保护合规，需要政府、行业与企业共同发力，促进企业加强个人数据保护合规管理。”在政府层面，要加快个人信息保护立法，并加大对违法企业处罚力度。在行业层面，行业协会要积极作为，出台个人数据保护指引，给企业开展个人信息保护合规赋能。同时，企业则要实现三个转变，一是顺应全球个人数据保护趋势，对数据保护合规加强重视；二是要主动建立合规管理体系，加强对个人信息保护的合规管理，提升专业化个人信息保护能力；三是致力于成为行业领导者的安全类App企业应该主动站出来，主动投入资源和精力，带头推动行业合规，防止“劣币驱逐良币”。
