多款应用被指频繁定位，实测：王者荣耀支付宝美团有类似行为

“太恐怖了，美团App连续24小时定位我，每5分钟一次，这是要干什么？”近日，一名数码博主在微博上发帖写道。

微博截图。来源：@轩宁轩Sir
继前几日微信被网友曝出频繁读取用户相册后，美团也被指频繁访问位置信息。10月11日，美团一名工程师回应媒体称，系该隐私记录App读取系统操作日志后进行了选择性展示，还表示对大部分主流App监测也会得到相似结果。
南都记者实测发现，除这两款App外，支付宝、中国农业银行、王者荣耀、大众点评等App均有连续访问用户位置信息的记录。对此，有专家分析认为，企业此举可能是为了“预处理”，及时反馈客户需要，但高频率收集地理位置信息可能会形成行踪轨迹，使数据变得更敏感。
1
微信、美团分别被指频繁访问相册、地理位置
10月10日，数码博主@轩宁轩Sir发帖称美团“24小时”读取位置信息。“太恐怖了，美团App连续24小时定位我，每5分钟一次，这是要干什么？”

@轩宁轩Sir录屏截图。
从该博主录制的视频中可以看到，**检测软件隐私洞见App读取系统操作日志后显示，从10月6日10时起到10月8日15时许，美团连续访问其位置信息，访问的频次从1分钟到5分钟不等，即便是10月8日凌晨亦存在访问记录。
对此，10月11日，据新快报报道，美团的一位技术工程师接受采访时表示，之所以出现这种情况，是因为这类软件在单方面读取系统操作日之后，进行了选择性展示。
上述工程师称，经测试，在相关权限开启且App后台仍处于活跃状态时，大部分主流App均会被该软件检测出频繁读取用户信息，且监测结果高度相似。他还提醒，其未对检测软件的安全性和保密性做测试，建议大家谨慎下载。
博主@轩宁轩Sir似乎对美团工程师的回应“不买账”。他反驳称，隐私洞见App只是把iOS15的数据可视化而已，并贴出了iOS15的App行为日志作为证明。

博主@轩宁轩Sir贴出的iOS15的App行为日志。
而就在上周，微信、QQ、淘宝等多款App被爆在后台反复读取用户相册。博主@Hackl0us称，发现微信App在用户未主动激活的情况下数次读取相册，每次读取时间40秒至1分钟，且QQ、淘宝等App也存在后台频繁读取用户相册的行为。
微信方面在10月8日通过媒体回应称，iOS系统为App开发者提供相册更新通知标准能力，为便于用户在微信聊天中按‘+’时可以快速发图，微信使用了该系统能力，使用户发送图片体验更快速流畅。微信方面还强调，上述行为均仅在手机本地完成，最新版本中将取消对该系统能力的使用，优化快速发图功能。
2
实测：不止微信美团，多款App均频繁访问位置信息
南都记者了解到，当iPhone更新到iOS15后，隐私设置中多了一项功能——记录App活动。据介绍页面显示，该功能“可以记录App何时访问了用户的位置或麦克风等数据，同时了解App或用户在App内访问的网站何时联系了域”，并存储记录结果。
南都记者发现，点击iOS15中的记录App活动中的“存储App活动”可以选择多种导出方式，既可以选择像隐私洞见App这样的**软件打开，也可以直接导出文档，将后缀更改为“txt”格式后，可以看到代码形式的App访问记录。

多种导出方式。

代码形式的App访问记录。
值得注意的是，除美团外，其他App是否存在频繁访问用户个人信息的情况？
开启iOS15中的记录App活动功能后，10月12日下午，南都记者测试发现，不止美团，多款App均有连续访问用户个人信息的记录。
仅就访问地理位置信息来说，测试结果显示，美团在10月12日19时24分、19时25分、19时32分等时间获取定位；支付宝在11日17时34分、17时35分、17时40分等时间获取定位；中国农业银行在9日13时46分、13时48分、13时50分获取定位。

支付宝在11日17时34分、17时35分、17时40分等时间获取定位。
另外，测试结果显示，王者荣耀和大众点评曾在2分钟内连续获取3次位置信息。淘宝、闲鱼均曾有多次读取用户相册的记录。

大众点评曾在2分钟内连续获取3次位置信息。
3
专家：频繁定位或成行踪轨迹，技术黑盒需透明度
为何这么多App频繁访问用户个人信息？这种做法合规吗？企业如何权衡“便利”与“隐私”？
在中国电子技术标准化研究院网络安全研究中心测评实验室副主任何延哲看来，App收集个人信息的频率需要控制在个人保护法所规定的必要性范畴之下，高频率收集个人信息可能会让数据变得更敏感。
“比如地理位置本身不是敏感个人信息，但是高频率地收集地理位置信息后可能会形成行踪轨迹，用户的行踪轨迹就是敏感个人信息。”他说。
至于企业为何频繁访问用户信息，何延哲分析认为，App为了提升用户体验，用到了一个可能会影响到用户隐私，或者说可能影响到用户安全感的一个功能，然后在决定是否告知同意时，并未考虑进去，而最后被网友发现反过来质问。因为在平衡好体验和隐私的环节，企业替网友做了决定，大家不买账了。
“所有互联网企业在技术层面上都会面临一个问题，即客户需要及时性的反馈。事实上，如果没有预处理，这种反馈效率会很低，因此通过读取数据进行预处理是有必要的。”对外经济贸易大学数字经济与法律创新研究中心执行主任许可说。
许可认为，分析这类事件都要基于事实认定。如果App在读取数据之后没有上传、泄露，那就是合法的；如果将数据上传了但并未做出后续处理，这类情况在国内法律中尚无定论，但他认为是合理的，毕竟没有给个人带来真正意义上的损害。但如果不仅上传备份了，还做了进一步的处理，那无论企业怎么声称是为了用户的利益或便利进行该操作，都违反了相关规定。
在何延哲看来，企业通过评估保护个人信息，可以有三个方面需要考虑：一是需要进行相关方咨询，也就是征询消费者的意见，但是实践层面还很少有人这么做；第二，评估的结论是轻微影响、低风险的处理活动是可以接受的，也就是说如果评估人员认为App的行为事实上没有侵害到隐私，那么可能也会选择直接上线功能而不事先告知；第三，影响评估本身也是一个自反馈机制，发现问题，解决问题，优化机制也是评估的一部分。这也充分体现了风险管理中的动态平衡机制，合理利用影响评估不是彻底避免隐私问题，而是使其趋向于动态平衡。
许可提出企业可以采取告知措施。比如告知用户为何要读取数据进行预先处理。“很重要的一点是，用户的知情权通常都应该得到保障，透明是最好的‘防腐剂’；倘若不告知用户，这个问题就变成了一种欺诈。因此，如果企业操作的目的确实是为了给用户更好的体验和便利，就应当明确告知用户。”他说。
“隐私是数字社会人们敏感而又脆弱的一根神经，每个企业，每个人都应当思虑周全，审慎对待。”何延哲认为，技术也不能盲目推崇“中立论”“无罪论”，技术的黑盒子需要一定的透明度，需要事前评估，事中监督，事后弥补，需要被监管，这样才能不断修正技术的合理利用方向，而如何把握好这个“度”正是当下需要探索的重要命题。
采写：南都记者孙朝

---