央广网北京12月16日消息（总台中国之声记者韩雪莹）据中央广播电视总台中国之声《新闻纵横》报道，移动互联时代，手机App早已融入人们的日常生活——指尖划过屏幕，就能下单一份热腾腾的早餐；在导航的指引下，穿行于城市的大街小巷；沿着公园、河边慢跑，会形成一份运动轨迹图……
依托用户安装手机App时授权提供的位置信息，这些不经意间的点击与滑动，为我们带来了实实在在的便利，也在数字世界留下了一连串足迹。实际上，轨迹数据能绘制出超出想象的宏观图景，但也可能潜藏风险。近日，国家安全部就发文提醒，手机App非必要不授予位置权限。这两天，中国之声记者实测了不同种类共计40款App，App的位置信息授权究竟是否明晰？守护数字足迹，各方如何形成合力？
这两天，记者对主流电商、外卖、出行、社交、影音、办公、金融理财、摄影绘画、游戏娱乐、新闻资讯等不同门类的共计40款App展开了位置信息授权路径测评。经实测发现，其中近半数App在首次启用后，会在不同环节向用户告知将申请位置权限，并以征求意见的方式索要不同程度的位置权限；而需要用户授予位置权限的这些App，以电商、外卖、出行类为主。
某出行App位置信息授权
那么，什么样的App收集用户位置信息是合理合法的？中国政法大学知识产权中心特约研究员赵占领解释，《中华人民共和国网络安全法》明确规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，2021年发布的《常见类型移动互联网应用程序必要个人信息范围规定》中也有明确释义。
赵占领表示：“地理位置信息属于敏感信息的范围，对它的收集需要经过用户的单独同意，通常来讲是通过弹窗等方式明确让用户知道，仅仅是在冗长的用户协议、隐私政策里做相应的约定或说明，显然不符合单独同意的要求。而收集地理位置信息，即使经过了单独同意，但是违反必要原则，并不是国家所规定的常见类型移动互联网应用程序能收集的必要信息的范围，显然就是违法行为了。”
记者实测发现，需要用户授予位置权限的App中，淘宝、高德、链家、携程等都在首次打开页面后显示的“温馨提示/隐私政策”里标注了“需要获取地理位置/可能申请位置权限”等类似表述，而在用户点击“同意”后，部分App会自动跳出弹窗“允许某APP使用你的位置？”，小字提示了使用位置可开启的服务，并列出“允许一次/使用App时允许/不允许”三个选项供用户选择，用户还可以在弹窗内默认打开或自行关闭“精确位置”；另有部分App，如抖音、今日头条、百度、闲鱼等在用户触发需要使用位置信息的子功能后，才会跳出相同弹窗。
某平台App位置信息授权
值得一提的是，几乎实测的所有App在“温馨提示/隐私政策”弹出后，如果用户不认可“需要获取地理位置/可能申请位置权限”等相关内容，点击“不同意”，那也就无法进一步使用App。中国电子技术标准化研究院网络安全研究中心测评实验室副主任何延哲告诉中国之声，这一普遍现象，实际上是各个应用开发企业应对监管的一种“临时方案”。
何延哲说：“从本质来讲，它是有瑕疵的。如果没有‘隐私政策’和‘同意’，那就相当于未经同意处理个人信息，它就违规了，所以很多App索性‘偷懒’。当然有些‘同意’可能也是有问题的，比如涉嫌捆绑、或者不是在合适的时机，但实际上它已经摆脱了‘未经同意’这个情形，未经同意收集就是非法收集，而其他的收集只是收得不合理。其实隐私政策起到的是告知作用，并不是点了‘同意’之后，所有的信息就都会被拿走，比如位置信息是有第二道‘开关’的，你会发现虽然隐私政策里写了要用你的位置信息，但不到该触发的时机是不会触发的。”
某平台App基本功能隐私政策（部分内容截图）
实测过程中，部分App在记者首次启用时选择了“使用App时允许（App使用我的位置）”后，又推出了第二次弹窗——“允许某APP在你并未使用该APP时使用你的位置吗？”，并列出“保持仅使用期间/更改为始终允许”两个选项。这2款App分别在第二次弹窗时用小字提示了试图让用户更改授权等级的说明，如“根据位置信息提供地图导航、车辆骑行等出行功能或服务”“需要获取位置来确定所在车站”。
某平台App进一步征求用户位置信息授权
那么，“始终允许（某APP在用户并未使用该APP时使用位置）”的设置是否合理？赵占领认为，对这一问题的讨论还是要回归到“必要性原则”上来。
赵占领表示：“除非有证据证明，始终允许收集用户地理位置信息是有充分必要性的，否则即使采取了让用户选择‘始终允许’的方式来收集用户的位置信息，它也违反了《中华人民共和国个人信息保护法》所规定的必要原则。”
网络安全从业者刘先生对此则表示，要警惕“始终允许”的滥用风险。
刘先生说：“对绝大多数APP来说，‘始终允许’都不是必要的。这是一个需要极高信任度的权限。真正需要它的场景，两只手数得过来：持续导航软件（比如开车时退到后台还能语音提示）、运动轨迹记录软件（记录跑步路线），或者像家人位置共享这类特定功能。除此之外，比如电商、社交、视频APP，要这个权限99%的情况都是过度收集。”
某平台App个人信息保护指引（部分内容截图）
记者在实测中注意到，一些短视频社交平台、新闻资讯App也在使用用户的位置信息，通常服务于“本地”“天气”等模块。威胁情报专家、网络安全情报分析博主黑鸟告诉中国之声，这类App本不必要获取位置信息，但这些数据依然是应用开发企业不愿舍弃的资产。
黑鸟介绍：“对于推荐算法类的App来说，位置信息是最核心、最重要的，把它推到后端数据库里，它是要跟周围在这个位置出现过的群体做‘碰撞’的。‘碰撞’完之后，再基于周围人群跟用户当前所处位置的关联密度，去做优质的视频投放，这就是营销。”
黑鸟进一步介绍，实际上，位置信息不仅关乎个人隐私，当前已然成为国家安全不容忽视的重要一环。
黑鸟说：“每一台手机，不管是安卓系统还是iOS系统，每个App应用里都会用到第三方的一些代码组件，它们有各类功能，比如可以接入广告SDK（软件开发工具包），相当于是外面专门投放广告的公司给App发放一段代码，App厂商把代码接进去之后，就可以播放它的广告，每一次播放广告，SDK就会获取到广告请求、给应用广告分成。但是对于广告SDK来说，他们的经济来源并不是纯粹的广告，还包括这些人员的位置信息、主机设备信息、IP地址。IP和人的当前位置信息的比对，在全球都是经济价值最高的，因为它不只有商业用途，还有最重要的军事用途，大部分厂商都会说‘数据是我们自己保存的，不会外泄’，但实际上它有一部分数据是被SDK兜售了。”
轨迹数据潜藏风险，比如精准画像实施策反、威胁关键基础设施、操控社会认知与舆论。何延哲表示，当前，公民提高数据安全意识应被提上日程。
何延哲表示：“位置信息既方便了我们，同时也泄露了我们的一些行踪，这些行踪就可以推断出我们的身份。对于要恶意利用信息的人来讲，他不需要推断你是谁，大概判断你是一个什么样的身份，就已经达到目的，让推送变得更精准。所以从这个角度来讲，我们要把位置信息保护好，现在复杂的情况给用户提出了更高要求，既要判断什么是对我有利的，也要判断什么是对我有害的。”
网络安全从业者刘先生认为，守护数字足迹，既需要监管的持续重拳，也需要每个用户把自己当成最后一道防线，审慎对待每一次授权。
刘先生说：“作为用户，我们需要养成几个习惯——信奉‘最小授权’，初次使用App时，先选‘不允许’或‘仅使用期间允许’，看看App能不能用，很多时候完全没问题；善用‘模糊定位’，在手机设置里，给绝大多数App关闭‘精确位置’开关，给它个大概范围就够了；定期‘权限大扫除’，每隔一两个月，检查一下哪些App很久没用却还有位置权限，果断关掉；警惕二次、三次弹窗，对任何诱导你开启‘始终允许’的弹窗，保持高度警惕；管理社交分享，在社交媒体发布照片时，谨慎选择是否附带地理位置信息。”
而在何延哲看来，从个人隐私保护到国家安全守护，还需要上下游、前后端共同发力。
何延哲表示：“我们现在把数据也看作一种生产要素，本身也希望它能够通过流通的方式进一步促进经济发展。这个时候就要用到一些其他的技术，比如隐私计算，就是说我可以不把原始数据给到你，但是同时你也可以跟我一起在一个可信的数据空间里计算，在这样封闭的环境下也能达到相应的数据交换的目的，实际上又保护了原始信息。这样的技术也在慢慢应用，我们可能需要一段时间之后，才能把后端的这些事情真正梳理好。”