【個人私隱】你的數據不是你的 個人私隱保障成疑

撰文:
最後更新日期:

美國大熱的網上驚慄劇《黑鏡》中,有這樣一個故事:在不久的未來,有技術可保存人的全部記憶,劇中主角因偏執猜疑,沉迷觀看記憶錄像,終致妻離子散。劇中探討個體如何自作自受,但未有拷問的是,究竟誰擁有這項技術?誰持有其產生的海量數據?科技公司會如何處理個人私隱?這些公司又應該負起哪些責任?

你的數據不是你的,是我們正面對的問題。當人人24小時手機不離身,不論是發布社交媒體動態,還是上網查地圖或天氣,你的每一個行動都會被智能手機記錄下來,傳送至雲端並串聯成無數個數據集,甚至在不同公司的手中流轉。究竟用家會如何受到影響?不妨從手機應用程式的私隱權限說起。

《你的數據不是你的 個人私隱保障成疑》系列二之一

私隱權限,即用家賦予手機應用程式獲取數據的權限,包括個人短訊及電郵內容、聯絡人資料、行事歷、相片、文檔內容等私人訊息,也可以是地理位置定位、電話狀態等行為及系統數據。
 
常用App平均取用23項權限
 
記者統計51款港人常用的Android手機應用程式,涵蓋社交媒體、通訊、電子支付等種類,發現這些程式平均索取23項權限,當中以Facebook、Facebook Messenger、微信及支付寶香港使用的權限總數最多,均達到40項或以上。這四款程式均要求讀取用戶短訊內容的權限,微信更要求存取人體探測儀,如測心率儀的權限。
 
華爾基利信息安全研究組織研究員賴灼東指出,一般情況下,應用程式只應要求用家授權關乎程式核心功能的權限,如地圖要求存取用家的地理位置、通訊工具存取聯絡人資料,否則可視為過度收集數據,例如支付工具索取位置數據,天氣預報工具索取聯絡人資料等

為進一步分析,記者將涉及私隱數據的24個重要權限分為三類,以更具體統計各App使用權限的情況:

1. 敏感私隱權限:涉及個人私隱資料的權限,如短訊及電郵內容、聯絡人資料、行事歷、相片、文檔內容等。

2. 行為及系統數據權限:涉及使用者行為紀錄以及系統數據的權限,一旦被惡意取用,容易造成敏感個人資料洩漏,如地理位置定位、測心率儀、讀取電話狀態及手機硬件識別號等權限。

3. 涉及系統風險的權限:可用於網絡及電話詐騙、入侵系統的權限,例如直接撥打電話號碼、編輯你的文字訊息、在不發出通知的情況下下載檔案等。

按照這個分類統計,使用最多敏感私隱權限的應用為Facebook、Facebook Messenger及Uber。有趣的是,使用最多行為及系統數據權限的前三名全是內地公司開發的應用,分別是微信、支付寶香港及Trip.com。而涉及系統風險的權限,則主要是社交類應用取用得較多,當中包括Facebook、Facebook Messenger、Kakao Talk及支付寶香港(見表)。

統計截至4月底。

資訊科技私隱投訴急增一倍

隨着流動網絡及智能手機發展,手機應用程式對個人私隱的侵擾愈加頻繁。個人資料私隱專員黃繼兒今年3月在立法會發表2018年工作報告,提到個人資料私隱專員公署(下稱公署)去年接獲501宗有關資訊科技的投訴,較2017年的237宗急增逾一倍。2014年,公署對手機程式作抽樣調查,發現由本港公司研發的60個程式中,有51個過度取用權限,佔整體85%。去年消委會調查亦發現,本港的士預約應用程式存取權限過大,收集過多資料。
 
現時兩大手機程式平台App Store及Google Play均要求應用程式允許用家按需要調整私隱權限,但「捆綁式」授權情況依然普遍,有程式要求用家必須授權某一權限,否則不能使用,更有程式在用家不知情下收集敏感個人資料。美國科技媒體TechCrunch早前發現,包括酒店手機程式Expedia及Hotels.com在內的iOS程式裝有應用數據分析機構Glassbox的錄屏技術,此技術本用作分析用戶瀏覽行為,惟當時被揭錄屏內容涉及密碼、信用卡號碼等敏感資料,且影片未有加密,易被盜用,其後蘋果公司要求相關應用移除相關程式碼。
 
全球每時每刻都在產生天量數據。研究機構IDC估計,2018年全球產生多達33ZB數據,相當於33萬億GB。即使按每名用家計算,亦涉及大量數據。英國《衛報》記者曾分別從Google及Facebook下載自己的個人數據,文件大小分別達到5.5GB及600MB,相當於300萬個及40萬個文字檔案。

賴灼東指,程式只應要求存取關乎應用程式的核心功能的權限,否則可視為數 據過度收集。﹙洪業銘攝﹚

科企收集大量個人數據

企業為從數據中發掘商機獲取更多利潤,正更頻繁地互相傳送及共享數據,甚至交給第三方。透過數據組合(Data Harmonization)等手段,將原本由不同公司持有的數據放在一個平台上匯集及組合,用家在不同地方留下的電子印記便會被匯集成一部完整的合輯。原本A公司持有A數據,B公司持有B數據,會變為A、B公司共同持有A、B數據。

互聯網公司為了更有效組合數據,會為用家設置特定識別編號作追蹤之用。不同來源的數據可以通過這些編號,組合成更全面的數據。例如Google Play設有廣告識辨碼(Advertising Identifier)工具,程式能夠基於一組由32個數字及字母組成的號碼組來辨別用家,向用家發送特定廣告。蘋果公司的App Store平台也有專門的廣告發送辨別組(Identifier Segment),每組至少5,000人;而每組人都有類似特徵,廣告商會根據各組特徵投放適合的廣告。

一些應用程式開發商會將部分核心功能包裝成軟件開發套件(SDK),供其他程式開發員使用。SDK是一段代碼,也可理解為工具包。例如某程式要用Google地圖功能,就要在程式碼中置入Google Map SDK代碼,而使用SDK通常也意味着更直接的數據傳送。以程式經常採用的、供開發者賺取廣告收益的Google AdMob SDK為例,透過SDK發送廣告的同時,亦會同時收集用家的行為數據。

現代人機不離身,其行動會被智能手機記錄下來,傳送至雲端並串聯成無數數 據集,甚至在不同公司手中流轉。﹙梁碧玲攝/資料圖片﹚

「你在一家網上書店選了書,這些資訊會即時傳送到另一個拍賣網站,後者會向你推介一個書架。」賴灼東說,商家追蹤用家行為,發送定制化的廣告,甚至將數據轉交第三者。
 
第三方數據公司(Data Broker)擅長將資料彙編(Profiling),通過人工智能及機器學習將人群特徵描繪出來。例如某人若有A特徵,通常就會有B行為,此類信息可用作預測個人行為、喜好及抉擇等,包括決定信用評級或保險費用。除網上數據,有公司甚至會循不同渠道購買線下個人資料數據,再作整合。去年歐盟實施的《通用數據保障條例》(GDPR)就對數據彙編作出規範,包括要求數據處理者須先徵求數據當事人同意,設法保障後者權利等。

反觀本港,現時仍只靠沒有法律約束力的指引供社會參考。私隱專員公署去年推出《開發流動應用程式最佳行事方式》指引,建議應用程式開發商應告知用家,將有哪些個人資料用於彙編檔案,並容許用家拒絕相關安排;若所收集資料僅用作分析某類型用家,則要向用家保證相關分析將不會以個別用家為對象等。
 
公署回覆本報指,經彙編的資料若足以辨識一名在世人士的身份,並可供他人查閱及處理,便屬《個人資料(私隱)條例》(下稱《條例》)下的「個人資料」,應用程式開發商及營運商在處理個人資料時須遵從《條例》的規定。

因此有人說,互聯網公司或許比你更了解你自己,但箇中風險大多數由用家承擔。賴灼東指,用家的數據會被公司用作買賣,數據庫亦有可能因保安不足而被黑客盜取。他續指,隨着用家不同資料被組合,互聯網公司掌握的資料可擴展至你的家庭和朋友圈,令相關數據會更加形象化,構成更大風險。以聯絡人資料為例,數據一旦被盜取,人際關係資料將被洩漏,不法份子會基於這些資料進行詐騙。賴灼東提醒:「愈便宜的東西,有時反而愈昂貴。大家不要失憶,八達通獎賞當時看起來也很着數(註:八達通曾出售客戶數據予第三方)。」

上文節錄自第164期《香港01》周報(2019年5月27日)《數據保護法規滯後 個人私隱保障成疑》。

相關文章:
【個人私隱】個人資料難定義 港規管仍停留在前互聯網時代

更多周報文章︰【01周報專頁】
《香港01》周報,各大書報攤、OK便利店及Vango便利店有售。你亦可按此訂閱周報,閱讀更多深度報道。



X
X
請使用下列任何一種瀏覽器瀏覽以達至最佳的用戶體驗:Google Chrome、Mozilla Firefox、Internet Explorer、Microsoft Edge 或Safari。為避免使用網頁時發生問題,請確保你的網頁瀏覽器已更新至最新版本。