《新闻》App个人信息采集测试：后台无声时，广泛调用位置和应用列表权限

南方财经见习记者颜灿北京报道

4月28日，中国网络空间安全协会、国家计算机网络应急技术协调中心联合发布《新闻资讯类App个人信息收集测试报告》（以下简称《新闻资讯类报告》） 。 测试广泛使用的“新闻资讯”应用程序收集个人信息的情况。

《新闻资讯》报道显示，在使用此类APP时，位置、设备信息、应用列表、剪贴板四类系统权限是常见的调用类型。 位置信息、设备唯一识别码、应用列表信息、用户在App首页的截图信息等4类信息成为上传的个人信息。

上线时，今日头条、百度、新浪新闻调用系统权限类型最多，均为4类；百度、新浪新闻上传个人信息类型最多，均为3类； 在后台静默期间，网易新闻最多调用系统权限5次，上传个人信息2类。

具体来说，本次测试从19家应用商店中评选出19款累计下载量过亿次的“新闻资讯”类应用，共8款。 它们是：今日头条、百度、腾讯新闻、新浪新闻、一点新闻、网易新闻、趣头条、搜狐新闻。

测试以完成一次新闻浏览活动为测试单元，包括启动App、首页刷新新闻、查看新闻内容、分享新闻链接以及后台静默4种用户使用场景应用场景。 共测试了3项：系统权限调用、个人信息上传、网络上传流量。

位置、设备信息、应用列表、剪贴板这四种系统权限是常见的调用类型。 上述5个场景中，未发现8个App调用摄像头、麦克风、联系人等其他权限。

在上传个人信息方面，8款App上传了四类个人信息，包括位置信息、设备唯一识别码、应用列表信息以及用户在App首页的截图信息。

测试显示，在应用启动场景中，今日头条、百度、新浪新闻（均为4类）调用系统权限种类最多，搜狐新闻（18次）调用系统权限最多。 腾讯新闻调用系统权限类型最少，仅调用设备信息权限类型1权限两次。

同时，在启动App时，百度和新浪新闻上传的个人信息种类最多（均为3类）。 今日头条和百度新闻均上传了Android ID和OAID的个人信息，这是唯一的设备识别码。

广告

甜、甜、帅、惩罚、整蛊你都可以选择>>进入直播间与主播亲密互动

X

可见权限调用和位置信息上传应用广泛。 北京理工大学法学院助理教授、智能科技风险法律防控实验室副研究员裴毅在接受21世纪经济报道记者采访时解释道，位置信息不仅仅是个人的信息，还包括敏感的个人信息。 将成为重要数据。

2021年4月发布的推荐性国家标准《信息安全技术移动互联网应用（App）个人信息安全评估规范》（征求意见稿）（以下简称《征求意见稿》）提出，在识别当前地址等其他信息时，场景下，采集地理位置的参考频率为一次性读取（进入功能界面时读取一次或用户主动刷新时读取一次）。

《新闻资讯》报告还显示，在刷新首页的新闻场景中，调用系统权限类型最多的是今日头条、新浪新闻、网易新闻、趣头条（均为2种），且调用频率最高的为今日头条、新浪新闻、网易新闻、趣头条。系统权限为一点新闻（18次）； 网易新闻（3类）上传个人信息最多。

在查看新闻内容的场景中，网易新闻（2种、3次）调用系统权限的种类和次数最多； 今日头条和网易新闻（均为类型2）上传个人信息类型最多。

在分享新闻链接场景中，网易新闻（类型2、3次）是调用系统权限类型和次数最多的； 网易新闻（类型2）也是个人信息上传类型最多的一类。

测试结果显示，在后台无声场景中，网易新闻和趣头条调用的系统权限类型最多，均调用了3种； 网易新闻调用最多的系统权限为5次：分别为位置权限2次、设备信息权限1次、应用列表权限2次。

同时，在后台无声场景中，今日头条、新浪新闻、网易新闻、趣头条上传的个人信息类型最多，均为2种。 百度和搜狐新闻均未上传个人信息。

可以看到，App在后台静默时，除了调用位置权限外，应用列表的权限调用和上传也非常广泛。 北京商银科技有限公司CEO张仁卓此前向21世纪经济报道提到，合理的原因是相关应用的快速启动，比如相关支付的快速启动。 当然，也可能有隐藏的原因，比如关联激活、相互觉醒等； 信息流的相互交流和推荐； 甚至用户肖像。

值得注意的是，上述征求意见稿中的参考频率是，在应用管理等场景中，只有在用户主动触发时才应读取应用列表。

此外，网络上传流量状况也在测试中。 对于这8个App，当用户完成一次新闻浏览活动（启动App、刷新首页新闻、查看新闻内容、分享新闻链接）时，平均上传数据流量为新浪新闻，约为1200KB； 平均最小的是一点新闻，约为195KB； 12小时后台静默期间，今日头条平均上传数据流量最多，约为1301KB； 百度平均上传数据流量最少，约为154KB。

南方财经全媒体记者梳理发现，这份报告是继今年2月2日首次发布“网购”App个人信息采集测试报告、3月14日发布“地图导航”App个人信息采集测试报告后。 《关于收集“浏览器”App个人信息的测试报告》，中国网络空间安全协会和国家计算机网络应急技术协调中心联合再次发布类似测试结果。 四份报告在测试对象的选择标准、测试方法的设置上也比较相似。

此前，在谈及“网购”App测试报告时，张仁卓表示，App治理从只关注收集什么，到某些情况下收集多少，算是一个小小的进步。

“客观评价虽然不是行政处罚决定，但评价报告是一种监督，也是一种通报：执法机构可以获取平台真实的合规状况，请尽快整改，切勿把握机会。” 裴毅说道。