唱吧注销申请不了怎么办（逾四成与SDK有关）

9月17日晚，“网络安全e同守护”网安周特别节目在郑州揭开帷幕。这台被称为网络安全界“3·15晚会”的特别节目公布了App专项治理工作组评估发现的81款存在个人信息收集使用问题App名单。

隐私护卫队梳理发现，其中33款App存在未逐一列出嵌入的第三方SDK收集使用个人信息的目的、类型等问题。而此前的央视315晚会才刚刚曝光过SDK擅自获取用户隐私的乱象。

豌豆荚、WiFi万能密码被点名

2019年，中央网信办、工信部、公安部、市场监管总局四部门在全国范围内组织开展了App违法违规收集使用个人信息专项治理。受四部门委托，全国信息安全标准化技术委员会、中国消费者协会等成立App专项治理工作组，对用户数量大、与民众生活密切相关的App隐私政策和个人信息收集使用情况进行评估。

隐私护卫队梳理发现，此次公布的81款问题App主要存在收集的个人信息与所提供的业务功能无关、因用户不同意收集非必要的信息而拒绝提供所有业务功能、收集个人信息的频度超出业务功能实际需要、没有隐私政策等问题。

其中，“天气通”App因注销难的问题被单独点名。

据节目报道，在首次登录这款App时只出现了第三方账号登录的提示，除此之外没有其他注册方式。在通过微博账号登录后，这款App的设置里却找不到任何注销账号的选项，而且，该App的隐私声明也没有任何关于注销账号的说明。

更让人吃惊的是，虽然“天气通”App在隐私声明的末尾处提供了意见反馈的电子邮箱，但经实测发现，该邮箱地址并不存在。

App专项治理工作组专家何延哲在节目中解释，“大家为什么会想注销账户？其实就是担心自己的信息被长期留存，或者是在长期留存过程中有可能会被嵌入到第三方，甚至会被滥用。”他认为，企业应该有责任有义务去满足用户这样的诉求，这样才是对用户真正负责。

隐私护卫队还发现，在被通报的名单中不乏知名App。比如豌豆荚（版本号为V6.18.21）存在为注销用户账号设置不合理条件的问题，它要求用户提交联系方式、注册时间、注册所在地、登录过的设备型号、充值证明等信息，才允许注销。

WiFi万能密码（版本号为V4.5.2）存在未提供注销用户账号功能、以默认选择同意隐私政策的非明示方式征求用户同意等六个问题。

网易将军令（版本号为V4.9.9）存在没有隐私政策，未提供更正、删除个人信息及注销用户账号功能的问题。

唱吧-你的手机KTV（版本号为V10.2.2.1）存在因用户不同意收集非必要的性别、出生日期等个人信息，拒绝提供所有业务功能，未逐一列出嵌入的新浪微博、友盟、百川多媒体等第三方SDK（软件开发工具包）收集使用个人信息的目的、类型等问题。

穷游（版本号为V9.19.5）存在申请打开位置等可收集个人信息的权限时未同步告知用户其目的和未提供注销用户账号功能的问题。

App治理工作组建议被点名App的运营者及时对存在的问题进行整改，并自即日起30日内向工作组反馈整改情况。30日后工作组将对整改情况进行核验，并向相关部门提交复核结果，对不能有效整改的建议依法予以处置。

据了解，去年App专项治理工作组曾对千余款App进行了评估。因未落实整改要求，工作组向相关部门建议下架11款App。

逾四成App存在的问题与SDK收集使用信息有关

据隐私护卫队统计，在本次被通报名单中，28款App存在未提供注销用户账号功能问题；18款App没有隐私政策；33款App存在未逐一列出嵌入的第三方SDK收集使用个人信息的目的、类型等问题，占比超过四成。

今年7月16日的315晚会上，央视也曾曝光SDK擅自获取用户隐私的乱象。

据报道，2019年11月，上海市消费者权益保护委员会委托第三方公司对包含上海氪信信息技术有限公司和北京招彩旺旺信息技术有限公司两家公司的SDK 的50多款App进行了测试，包括国美易卡、91极速购、闪到等。

测试发现，这两款SDK未经用户许可读取手机IMEI号、电话号码、短信记录、通讯录、应用安装列表、传感器信息等隐私，读取完成后还会悄悄地将数据传送到指定的服务器存储起来。

从检测人员展示的测试记录可以看到SDK读取了极为私密的验证码短信：“验证码为903474，5分钟内有效，请勿告知他人。”央视报道强调，网络交易的验证码等信息一旦被别有用心的人获取，极有可能造成严重的经济损失。

此次公布的81款问题App中，App出现的SDK违规收集使用个人信息的问题还有另一种情况。多多计算器（V3.1.9）未经用户同意，也未做匿名化处理，通过嵌入的字节跳动等SDK向第三方提供设备MAC地址、设备序列号等个人信息。

由于SDK对所有App具有通用性，即很多App可能都嵌入了同一个SDK，因此一旦某个SDK窃取用户个人隐私，将会涉及众多App。

值得一提的是，今年7月，四部委再次启动新一轮治理工作，将SDK纳入评估。

文/南都个人信息保护研究中心研究员 尤一炜 李慧琪