笔者最近看到一则新闻报道：加拿大联邦和省级隐私监管机构发现，用户在通过咖啡连锁店Tim Hortons的手机订餐应用程序订餐时，Tim Hortons会告知用户需要获得用户的许可，访问用户的位置信息，并误导用户认为只有在使用应用程序时，个人位置信息才会被访问，事实上，一旦用户许可，只要自己的设备保持开机状态，该应用程序都会持续跟踪用户，不断收集他们的位置数据。Tim Hortons对于此举的解释是为了能够提供有针对性的广告，更好地推广其咖啡和相关产品，更好的服务客户，但该公司实际上从未使用这些数据用于此目的。
事件被曝光后，Tim Hortons被指控其移动应用程式侵犯客户隐私，这宗集体诉讼拟进行和解，魁北克法院已安排听证会于9月6日审议和解方案。Tim Horton向客户传送电邮，告知和解方案：公司将向受影响用户提供免费咖啡和甜圈饼。法庭文件显示，Tim Hortons热饮税前零售价为6.19加元，而烘焙食品税前零售价为2.39加元，客户或将通过优惠券或通过Tim Hortons应用程式获得免费食品，Tim Hortons指若法院批准和解，将提供有关计划详情。可是，一杯咖啡或一个甜甜圈，就能够购买到个人敏感信息么？加拿大政府对Tim Hortons的调查源起于《国家邮报》的一名记者发现的这一私隐漏洞，他发现自己手机上Tim Hortons的订餐应用程序在不足五个月的时间里跟踪位置信息超过2700次。应用程序越权读取用户隐私信息的事情不是个例。在国内，2022年3.15期间，工信部就曝出一款“WIFI万能钥匙”的软件，在IOS系统内都设置了默认后台数据刷新且无法关闭。中国电子技术标准化研究院信息安全研究中心审查部指出，部分恶意蹭网APP一天之内收集位置信息高达6万多次，此种24小时不断地定位理论上可以把用户生活的行踪轨迹全给穿串起来，通过广告联盟共享分析之后，你的生活规律、消费习惯、职业信息的隐私一览无余，接下来面临的就是广告推送、过度骚扰、精准诈骗，信息所有人的合法权益和日常生活安宁受到严重威胁。“读取位置信息”是LBS（基于位置的服务）的关键权限，导航、购物、外卖、天气等类别的APP需要授予该权限才能提供完整的服务，而对于其他类别APP而言，并非提供服务所必须的个人信息，应提供给用户可以选择性开放或禁用的权限，如需使用该信息，必须取得用户的明确许可。在互联网WEB2.0时代初期，移动端应用程序开发者并不重视隐私保护，许多应用的底层代码设置就是在程序使用期间“默默无闻”地一直读取用户的一切信息，如：手机配置信息、存储空间、应用程序列表、位置信息等，这些信息被程序开发者过度访问，过度收集，用于各种商业目的甚至是非法利用。而随着技术变革与配套法律的完善，包括美国、中国、欧盟等在内的主要国家及经济体对于数据处理和隐私保护都出台了专门的法律法规，对于应用程序索取权限的规制都是要求细化具体权限的使用范围与读取频次，位置信息作为重要隐私数据，敏感个人信息，更是受到政府部门的有力监管，没有进行脱敏处理、过度高频的收集与滥用都违反了数据保护相关规定，轻则罚款警告，重则影响行业准入资质，甚至还可能涉及刑事犯罪。国家计算机网络应急技术处理协调中心与中国网络空间安全协会发布的《App违法违规收集使用个人信息监测分析报告》中指出，收集频率超出必要范围属于“超范围收集个人信息”的一种，违反了《个人信息保护法》中的“最小必要原则”。《个人信息保护法》的第六条规定，即处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。《网络安全法》第四十一条也规定，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。《上海市数据条例》第十八条规定，除法律、行政法规另有规定外，处理个人信息的，应当取得个人同意。个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。处理个人自行公开或者其他已经合法公开的个人信息，应当依法在合理的范围内进行；个人明确拒绝的除外。处理已公开的个人信息，对个人权益有重大影响的，应当依法取得个人同意。
除了上述数据保护领域主要法律外，工信部联合其他部委办也发布了不少需要应用程序开发者与运营者重点关注的具体规定，例如《App违法违规收集使用个人信息行为认定方法》中就规定收集个人信息的频度等超出业务功能实际需要可被认定为违反必要原则，《常见类型移动互联网应用程序必要个人信息范围规定》则规定了各类应用程序基本功能服务所需要的信息类别，不得因为用户不同意提供非必要个人信息而拒绝用户使用基本功能服务。
广受关注的《网络数据安全管理条例》在国务院办公厅印发《国务院2022年度立法工作计划》中已被列入16件拟制定、修订的行政法规中。《网络数据安全条例（征求意见稿）》第十九条规定，数据处理者处理个人信息，应当具有明确、合理的目的，遵循合法、正当、必要的原则。基于个人同意处理个人信息的，应当满足以下要求：（一）处理的个人信息是提供服务所必需的，或者是履行法律、行政法规规定的义务所必需的；（二）限于实现处理目的最短周期、最低频次，采取对个人权益影响最小的方式；（三）不得因个人拒绝提供服务必需的个人信息以外的信息，拒绝提供服务或者干扰个人正常使用服务。第二十条规定，数据处理者处理个人信息，应当制定个人信息处理规则并严格遵守。个人信息处理规则应当集中公开展示、易于访问并置于醒目位置，内容明确具体、简明通俗，系统全面地向个人说明个人信息处理情况。商业社会的逐利资本对个人隐私信息虎视眈眈，“扫荡式”采集各种敏感信息，利用技术手段对客户进行画像，通过自动化决策精准推送信息，甚至是简单粗暴的直接将敏感个人信息直接信息变现获取大量收益等种种乱象不一而足。
不可否认，让渡部分个人信息权利会让各种应用程序使用体验更好，好似机器人管家一样不断学习与改良自身以迎合主人的习惯，但是当它想做坏事的时候，再没有什么能阻拦他的不法行为了。如何界定隐私的边界？如何平衡这种便利性与侵权行为的关系？是这个互联网时代的长远议题，各方都应承担起自身应承担的责任和义务。监管部门需要探索出可执行的合理监管方案，不断更新现有法律框架；企业自身专注合规建设，避免触及监管红线，提升技术手段区分合理个人信息与敏感隐私信息，在不侵犯用户权益的基础上利用必要且合理的个人信息提供优质服务。在数据处理中应当删除所有细化的位置数据，并对第三方服务提供商也提出严格的合规要求。企业还可以为现有应用程序和所有未来的应用程序建立隐私管理计划，加强企业各部门的知识学习与培训，以确保符合最新的监管规则。
2022年7月，滴滴公司（滴滴全球股份有限公司）刚刚因为信息处理问题遭到严厉处罚，其违法行为涉及多个App，涵盖过度收集个人信息、强制收集敏感个人信息、App频繁索权、未尽个人信息处理告知义务、未尽网络安全数据安全保护义务。某互联网大佬曾说过，我们国人对隐私问题没那么敏感，用户很多情况下是愿意用隐私交换便捷性的。与我们日常生活息息相关的大企业都不可避免的收集我们的个人信息，但是否未经用户充分知情同意的情况就收集了各类敏感隐私信息，我们也无从知晓，或许这些信息没有带来什么坏事，实际上还未造成任何有形伤害，但我们也会因为知道个人敏感信息在不知情或不同意的情况下被过度收集而感到毛骨悚然。】
近年来互联网生态越发成熟，IOS系统已从1代更新到13代，开源安卓系统也在各个大厂都穿上了新装。信息保护领域法律的出台实施，法律体系的完善使我们个人有了更多选择，让各类应用软件来符合我们自己的规矩。在安卓系统中，我们可以在【设置—应用软件-权限】（类似路径）中将不常用软件的权限关闭，在新安装软件的时候，跳出来的权限索取窗口中选择【仅本次可用】，还可以查看【应用行为记录】判断那些索取权限的软件是否在可接受范围内。在IOS系统中，也可以在【设置—隐私】里看到每一项权限都有哪些应用软件正在使用，手动调整每个应用软件的授权范围，对于不常用的软件也可以将其【后台刷新数据】功能关闭。但是并非所有的用户都有这样的意识或者能力主动进行这样的设置，个人信息，特别是敏感个人信息的保护，仍然主要依靠企业自身的自律及法律法规的保护。 
笔者相信随着法律的完善，处罚力度的加强，我们每个人对于自身个人信息利用的重视，当再有大企业侵犯个人信息权益的时候，每位用户都能通过合法的途径维权，收到应有的赔偿，让违法企业付出应有的代价，而不仅仅像本文开头所说，只是一杯咖啡、一个甜圈饼或者是一张打车优惠券这样的敷衍而已。
