深度分析 | 收集位置信息频次的检测方式对合规评判的影响

随着2021年11月1日《个人信息保护法》正式实施，我国已形成了以《国家安全法》为总纲，《网络安全法》、《数据安全法》和《个人信息保护法》三部法律为支撑的法律监管体系，并以一些部门规章以及政策性文件等作为补充。其中，《个人信息保护法》的第六条款明确要求“收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息”，明确规定收集个人信息最小必要的基本原则，展开来说：第一，收集个人信息和所提供产品或服务的业务功能最小直接关联必要性；第二，采集个人信息是所提供产品或服务的业务功能所需的最低频次；第三，获取个人信息是所提供产品或服务的业务功能所必需的最小范围。而位置信息的收集，由于信息本身敏感，其收集的频次成为合规检测中被重点关注的内容，而发现的问题也成为通报整改的常见问题。

我们对几百款App的检测数据进行了分析，App在收集地理位置信息时，存在部分App有瞬时收集频次爆发式增长的现象，通过进一步的细致分析，APP可能是为了定位信息的准确性、有效性，同时采用了多种定位方式导致。

案例：某APP业务功能需收集地理位置信息，且隐私政策中已明示告知，也进行了个性化提醒，App代码中执行了1次收集GPS定位和1次基站定位，逻辑上这个业务场景应只有2次收集地理位置信息频次；然而，部分技术手段进行技术验证此业务场景收集地理位置信息行为时，会出现瞬时达到7次收集的频次，更多细节信息参考图1：

图1常规检测方法

通过与App开发商，以及App中集成的定位SDK开发商的技术人员沟通获知，该业务场景的技术实现除了收集GPS定位信息之外，也同时执行收集基站位置信息，目的是提高获取定位信息的可靠性。当通过获取GPS信息进行定位，如果在室内或有遮挡的情况下，GPS信号受到阻断，会让定位的时间很长或者无法获取定位信息。为了提高用户的使用友好度，App采用了通过基站坐标来进行定位的功能。App可通过基站的定位信息，再进行三角计算相关算法，计算出当前用户的定位信息，这种定位方式的精度，可以达到100米左右，如图2：

图2三角定位

从技术上讲，基站定位功能会执行扫描当前用户周围的所有基站信息，并获取基站坐标信息，如果当前用户周围有3个或以上（案例中分析是6个基站）的基站信息，则会轮询获取各个基站坐标数据，通过算法实现对手机的定位。这将导致，获取基站坐标数据也被判定成为一次定位行为，这样，就出现了为了一次定位的目的，产生多个定位行为的情况，而很多手机操作系统本身对获取基站坐标信息的行为也判定为一次定位，然后进行记录，检测工具也沿用了同样的思路。

正因为上述原因，由于技术验证手段的不同，出现了对业务场景收集地理位置信息频次数据的计算方式不同，而检测人员评判其是否合规的将可能出现不同结果。从App开发商角度来说，业务场景多次收集地理位置信息属于技术方式导致，并非对用户手机定位信息进行主观地多次获取，而如果因为该问题被判为不合规，反之那么如何能够合规就成为摆在眼前的难题。

大致上来说，获取个人地理位置信息有三种方法，第一种是通过GPS（包括北斗）定位等方式获取经纬度信息，这个信息非常精确；第二种是其他辅助信息的推算，比如Wi-Fi SSID、IP地址等，在大数据的加持下，也可以达到很精确的程度；第三种是通过基站定位信息进行计算，获取当前的地理位置，这个目前来看精确度比较高。另外，App收集GPS全球地理位置信息又有两种获取方式，方式一：是同步的申请收集地理位置信息；方式二：通过订阅（监听）的模式，让GPS设备模块回调地理位置信息。

在个人信息合规技术验证方法中，第一种，通过GPS获取定位信息的频次方面，在技术检测验证中难度不大；第二种，辅助信息的推算，由于推算过程通常是在服务器上完成，通过对推算所依赖的数据的收集频次来等同于获取位置信息的频次也不准确，反之，需要App开发商对该类数据的收集目的进一步说明；第三种，通过基站获取定位信息，首先是获取当前的所在位置的周围基站信息，得到一个基站列表清单，分别获取每个基站的经纬度，然后通过三角原理计算当前的定位信息。从技术上逻辑来说，通过基站定位获取的有效地理位置必须通过多个基站来实现。如上面的案例就是采取了基站定位的方法，扫描了六个基站信息，所以说，最终检测工具呈现的统计频次就和手机周围基站数量和算法相关。如图3：

图3合规检测系统

上述的检测方法中，就完整地呈现了不同基站进行定位的细节，也让检测人员可以清楚意识到获取定位信息的方法。

本文的这个案例，根据业务场景需求，收集本地GPS地理位置信息，同时也收集了周围的基站的信息，并根据基站坐标进行三角计算定位。此案例中的现象，如果一些合规检测评估方法或技术的细粒度达不到要求的话，很容易会被认为这是一个瞬时高频收集个人信息的情景；针对这种场景，就对个人信息合规检测的技术验证方法提出更高要求，需更加具体地展示一些细节，检测指标细粒度需进一步下沉和准确。个人信息合规检测技术的准确性、指标的细粒度，应该引起更多的关注，可为监管和App开发商提供有效的评估依据，能够为手机操作系统的功能设计提供参考，能够为行业监管的督查治理提供数据支撑，也能够为APP开发企业的不符合项整改提供准确的问题定位，快速改善产品的合规问题。

本文使用“收集地理位置信息”类型作为一个例子，事实上，更多的个人信息类型IMEI、IMSI、MAC、Android_ID、设备唯一标识等的收集，仍然存在类似的情况，也要求检测机构对个人信息合规检测技术验证手段，必须更加深化、准确，让技术评估指标的颗粒度更小，更真实、透明地反应APP对个人信息的收集行为。

● 开发商对技术原理的进一步透明化

建议App开发者和SDK供应商，对某些收集个人信息行为的相关技术原理，进行一定必要的、通俗易懂的描述，对可能造成的影响进行说明，能够在隐私政策中进行完善，做到明示告知，同时也满足监管检查问询时的有效技术响应。

● 检测机构提高检测结果的精细度

检测机构对个人信息合规评估的技术验证方法，应继续深化和更新。结合App收集个人信息的关键技术实现方式，完善技术验证方法细粒度，保障对APP个人信息收集行为技术检测的准确性和有效性。

（文章来源：CCIA数据安全工作委员会）