澎湃新闻记者 陈志芳 实习生仇铭哲 石秦一
移动互联网时代，一件被反复质疑的事情是，app是否在窃听用户。
多个社交平台上，网友们经历了相似的故事，刚跟朋友说完某个产品，打开手机，购物App或社交软件就出现相关广告。
事实上，想要实现精准推送，往往是利用大数据和推送算法而非窃听。App使用记录、地理位置、好友关系等个人信息在App共享网络中穿梭，企业借助这些信息、利用特定算法，构建出庞大的用户画像体系。中国电子技术标准化研究院网安中心测评实验室副主任何延哲认为，App窃听的成本高、法律风险大，而企业精准推送的能力其实来源于App间共享的用户个人信息。
这些个人信息关乎用户隐私，相关法律法规陆续出台。2022年3月1日，国家网信办等四部门联合发布的《互联网+信息服务算法推荐管理规定》正式施行，剑指算法乱象——“大数据杀熟”、诱导用户沉迷网络、操纵榜单等。去年11月1日，个人信息保护法生效，同日，工信部发布通知提出39家互联网企业应建立个人信息保护“双清单”，即“已收集个人信息清单”和“与第三方共享个人信息清单”，后者要求腾讯、阿里巴巴等39家企业52款App在App二级菜单中列出与第三方共享的用户个人信息基本情况。
我们梳理了这些App在安卓系统上的第三方共享个人信息清单，试图勾勒出这一复杂的共享网络。
个人信息共享网络：39家企业 V.S. 超200家企业
“我怀疑手机在偷看我们的聊天记录。”网友小周信誓旦旦地说。她刚跟朋友在社交软件上聊完某款沐浴露，社交软件就给她推送了相应的广告。不过，一条更可能的精准推送路径是，此前小周的朋友在购物平台上搜索过这款沐浴露，她们的搜索记录、好友关系、设备标识符等个人信息在社交软件和购物平台的共享网络中流动、匹配，最终算法告诉企业，小周也很可能对这款沐浴露感兴趣。
“双清单”的推动下，个人信息共享网络逐渐展现在大众眼前。多数被测App在界面二级菜单中就有“与第三方个人信息共享清单”的入口，该清单告知用户的个人信息共享基本情况，包括与第三方共享的个人信息种类、使用目的等。企业会在隐私政策、注册页面等取得用户同意，其中部分企业会将共享信息进行加密处理、去标识化，有的企业则让第三方自行处理共享信息。
就当前52款App公布的第三方共享个人信息清单而言，用户个人信息的流向纷繁复杂，涉及每个现代人在移动互联网时代生活的方方面面——App、手机厂商和运营商。超过200家企业成为52款App的第三方，包括腾讯、阿里巴巴等互联网企业，其次是小米、oppo等手机厂商，友盟、穿山甲等广告营销和数据统计类企业。
需要指出的是，不同App公布的第三方共享清单的详细程度不同，多数被测App没有公布广告主及其代理商、关联公司、授权合作伙伴等的完整名单。
过于精准的广告推送让用户担心个人隐私泄露，“双清单”、算法推荐管理规定等法规的施行则有助于破除“算法黑箱”。何延哲表示，建设“双清单”让个人信息收集和共享行为更加透明化。环球律师事务所合伙人孟洁进一步称，第三方共享清单最直接的作用是保障用户权利，用户能更直接、便捷地了解其个人信息是如何被企业使用、共享的，同时也便于公众、监管机构对互联网产品的监督和管理。
数字ID“设备标识符”成高频共享的个人信息
个人信息共享网络中，手机是“定位”用户、量化用户行为的重要媒介。个体的点击、搜索、购买、行走轨迹等等都将化身数据，被输入到算法系统中。
想要利用这些数据进行精准广告推送，识别用户身份是关键。每台手机都有的唯一设备标识符发挥着重要作用，设备标识符家族包括IMEI、android ID、IDFA、mac地址等，代表用户的“数字ID”。此次测评中，设备标识符属于高频共享的个人信息，企业收集和共享了设备标识符、使用行为等个人信息，算法系统借此“算出”用户的生活习惯和消费行为等特征，构建出用户个人画像。
这已是互联网企业的常见做法。中国信息通信研究院杨正军等人在《互联网广告标识问题研究与应对建议》中提到，互联网广告产业链涉及多个实体，从App、智能电视，到第三方监测平台、数据平台、自动化交易平台。
当前，上述清单仅仅勾勒出一个模糊、庞大的共享体系，部分企业实际上并没有罗列出与其共享个人信息的完整第三方名单，比如钉钉的第三方个人信息共享清单仅提到，第三方合作方是上海似颜科技有限公司等百余家入驻的第三方服务商，世纪佳缘则罗列出其所有线下直营店和授权的线下联营店。
“企业共享个人信息的第三方数量大，涉及个人信息类型多，如果前期没有系统梳理的话，工作量较大，而且双方的合作协议往往没有清晰规定信息共享的具体规则，”孟洁如是解释了企业公布完整第三方名单的难点，她认为用户规模大、个人信息处理量大的企业也应根据工信部规定的要求精神，尽快落实、建设“双清单”，在操作方法上可以思考更加科学、有效的模式。
图为世纪佳缘App第三方共享清单公布的部分联营店。
隐藏在App后的sdk
如果说手机是媒介、设备标识符是锚点，那连接两者的重要“绳索”就是第三方SDK（软件开发包）。
不同的第三方SDK能帮助App调用各种功能，涵盖消息推送、移动支付、第三方登录、地图定位等。打比方说，想在快手上购物时使用支付宝支付，就需要调用支付宝SDK；想要在钉钉上发送或共享位置、考勤打卡时使用高德地图，就需要调用高德地图SDK。为了实现这些功能，支付宝SDK会收集用户的设备标识符、支付金额等，高德地图SDK会收集用户的设备标识符、位置信息等。
它们广泛存在于所有App中，却不为大众所知。以喜马拉雅公布的第三方共享清单为例，其公布的广告类SDK共享了30余条用户信息，这意味着当用户使用喜马拉雅App时，其设备标识符和地理位置等部分个人信息将共享给广点通、穿山甲等广告营销类平台。
在落实建设“双清单”的同时，企业的第三方SDK合规之路仍不平坦：如何确定第三方SDK收集个人信息是否遵守“最小必要”原则？第三方SDK的个人信息收集数量、场景、频率是否与共享清单中描述的相符？如何明确App和SDK的关系，落实主体责任？
近日，工业和信息化部信息通信管理局通报了侵害用户权益行为的App(SDK)名单，有13款第三方SDK因违规收集个人信息被纳入该名单。
何延哲认为，想要界定第三方SDK收集个人信息是否符合“最小必要”原则，仍需有更加清晰明确的相关规定，此外，赋予用户控制权或是一种解决思路，即用户同意第三方SDK共享其个人信息后，拥有自主选择撤回同意的权利。
“App研发企业目前只能通过隐私政策的方式对SDK进行了解，企业没有对应的技术手段、检测思路以及动力对集成的第三方SDK进行检测，来发现SDK实际的个人信息收集行为是否与隐私政策中描述的一致。”北京汉华飞天信安科技有限公司总经理彭根曾撰文写道。
责任编辑：徐雪晴
校对：张艳
