【個人私隱】你的數據不是你的　個人私隱保障成疑

美國大熱的網上驚慄劇《黑鏡》中，有這樣一個故事：在不久的未來，有技術可保存人的全部記憶，劇中主角因偏執猜疑，沉迷觀看記憶錄像，終致妻離子散。劇中探討個體如何自作自受，但未有拷問的是，究竟誰擁有這項技術？誰持有其產生的海量數據？科技公司會如何處理個人私隱？這些公司又應該負起哪些責任？你的數據不是你的，是我們正面對的問題。當人人24小時手機不離身，不論是發布社交媒體動態，還是上網查地圖或天氣，你的每一個行動都會被智能手機記錄下來，傳送至雲端並串聯成無數個數據集，甚至在不同公司的手中流轉。究竟用家會如何受到影響？不妨從手機應用程式的私隱權限說起。《你的數據不是你的 個人私隱保障成疑》系列二之一

私隱權限，即用家賦予手機應用程式獲取數據的權限，包括個人短訊及電郵內容、聯絡人資料、行事歷、相片、文檔內容等私人訊息，也可以是地理位置定位、電話狀態等行為及系統數據。常用App平均取用23項權限記者統計51款港人常用的Android手機應用程式，涵蓋社交媒體、通訊、電子支付等種類，發現這些程式平均索取23項權限，當中以Facebook、Facebook Messenger、微信及支付寶香港使用的權限總數最多，均達到40項或以上。這四款程式均要求讀取用戶短訊內容的權限，微信更要求存取人體探測儀，如測心率儀的權限。華爾基利信息安全研究組織研究員賴灼東指出，一般情況下，應用程式只應要求用家授權關乎程式核心功能的權限，如地圖要求存取用家的地理位置、通訊工具存取聯絡人資料，否則可視為過度收集數據，例如支付工具索取位置數據，天氣預報工具索取聯絡人資料等

為進一步分析，記者將涉及私隱數據的24個重要權限分為三類，以更具體統計各App使用權限的情況：

1. 敏感私隱權限：涉及個人私隱資料的權限，如短訊及電郵內容、聯絡人資料、行事歷、相片、文檔內容等。2. 行為及系統數據權限：涉及使用者行為紀錄以及系統數據的權限，一旦被惡意取用，容易造成敏感個人資料洩漏，如地理位置定位、測心率儀、讀取電話狀態及手機硬件識別號等權限。3. 涉及系統風險的權限：可用於網絡及電話詐騙、入侵系統的權限，例如直接撥打電話號碼、編輯你的文字訊息、在不發出通知的情況下下載檔案等。

按照這個分類統計，使用最多敏感私隱權限的應用為Facebook、Facebook Messenger及Uber。有趣的是，使用最多行為及系統數據權限的前三名全是內地公司開發的應用，分別是微信、支付寶香港及Trip.com。而涉及系統風險的權限，則主要是社交類應用取用得較多，當中包括Facebook、Facebook Messenger、Kakao Talk及支付寶香港（見表）。

資訊科技私隱投訴急增一倍

隨着流動網絡及智能手機發展，手機應用程式對個人私隱的侵擾愈加頻繁。個人資料私隱專員黃繼兒今年3月在立法會發表2018年工作報告，提到個人資料私隱專員公署（下稱公署）去年接獲501宗有關資訊科技的投訴，較2017年的237宗急增逾一倍。2014年，公署對手機程式作抽樣調查，發現由本港公司研發的60個程式中，有51個過度取用權限，佔整體85%。去年消委會調查亦發現，本港的士預約應用程式存取權限過大，收集過多資料。現時兩大手機程式平台App Store及Google Play均要求應用程式允許用家按需要調整私隱權限，但「捆綁式」授權情況依然普遍，有程式要求用家必須授權某一權限，否則不能使用，更有程式在用家不知情下收集敏感個人資料。美國科技媒體TechCrunch早前發現，包括酒店手機程式Expedia及Hotels.com在內的iOS程式裝有應用數據分析機構Glassbox的錄屏技術，此技術本用作分析用戶瀏覽行為，惟當時被揭錄屏內容涉及密碼、信用卡號碼等敏感資料，且影片未有加密，易被盜用，其後蘋果公司要求相關應用移除相關程式碼。全球每時每刻都在產生天量數據。研究機構IDC估計，2018年全球產生多達33ZB數據，相當於33萬億GB。即使按每名用家計算，亦涉及大量數據。英國《衛報》記者曾分別從Google及Facebook下載自己的個人數據，文件大小分別達到5.5GB及600MB，相當於300萬個及40萬個文字檔案。

科企收集大量個人數據

企業為從數據中發掘商機獲取更多利潤，正更頻繁地互相傳送及共享數據，甚至交給第三方。透過數據組合（Data Harmonization）等手段，將原本由不同公司持有的數據放在一個平台上匯集及組合，用家在不同地方留下的電子印記便會被匯集成一部完整的合輯。原本A公司持有A數據，B公司持有B數據，會變為A、B公司共同持有A、B數據。

互聯網公司為了更有效組合數據，會為用家設置特定識別編號作追蹤之用。不同來源的數據可以通過這些編號，組合成更全面的數據。例如Google Play設有廣告識辨碼（Advertising Identifier）工具，程式能夠基於一組由32個數字及字母組成的號碼組來辨別用家，向用家發送特定廣告。蘋果公司的App Store平台也有專門的廣告發送辨別組（Identifier Segment），每組至少5,000人；而每組人都有類似特徵，廣告商會根據各組特徵投放適合的廣告。

一些應用程式開發商會將部分核心功能包裝成軟件開發套件（SDK），供其他程式開發員使用。SDK是一段代碼，也可理解為工具包。例如某程式要用Google地圖功能，就要在程式碼中置入Google Map SDK代碼，而使用SDK通常也意味着更直接的數據傳送。以程式經常採用的、供開發者賺取廣告收益的Google AdMob SDK為例，透過SDK發送廣告的同時，亦會同時收集用家的行為數據。

「你在一家網上書店選了書，這些資訊會即時傳送到另一個拍賣網站，後者會向你推介一個書架。」賴灼東說，商家追蹤用家行為，發送定制化的廣告，甚至將數據轉交第三者。第三方數據公司（Data Broker）擅長將資料彙編（Profiling），通過人工智能及機器學習將人群特徵描繪出來。例如某人若有A特徵，通常就會有B行為，此類信息可用作預測個人行為、喜好及抉擇等，包括決定信用評級或保險費用。除網上數據，有公司甚至會循不同渠道購買線下個人資料數據，再作整合。去年歐盟實施的《通用數據保障條例》（GDPR）就對數據彙編作出規範，包括要求數據處理者須先徵求數據當事人同意，設法保障後者權利等。

反觀本港，現時仍只靠沒有法律約束力的指引供社會參考。私隱專員公署去年推出《開發流動應用程式最佳行事方式》指引，建議應用程式開發商應告知用家，將有哪些個人資料用於彙編檔案，並容許用家拒絕相關安排；若所收集資料僅用作分析某類型用家，則要向用家保證相關分析將不會以個別用家為對象等。公署回覆本報指，經彙編的資料若足以辨識一名在世人士的身份，並可供他人查閱及處理，便屬《個人資料（私隱）條例》（下稱《條例》）下的「個人資料」，應用程式開發商及營運商在處理個人資料時須遵從《條例》的規定。

因此有人說，互聯網公司或許比你更了解你自己，但箇中風險大多數由用家承擔。賴灼東指，用家的數據會被公司用作買賣，數據庫亦有可能因保安不足而被黑客盜取。他續指，隨着用家不同資料被組合，互聯網公司掌握的資料可擴展至你的家庭和朋友圈，令相關數據會更加形象化，構成更大風險。以聯絡人資料為例，數據一旦被盜取，人際關係資料將被洩漏，不法份子會基於這些資料進行詐騙。賴灼東提醒：「愈便宜的東西，有時反而愈昂貴。大家不要失憶，八達通獎賞當時看起來也很着數（註：八達通曾出售客戶數據予第三方）。」

上文節錄自第164期《香港01》周報（2019年5月27日）《數據保護法規滯後 個人私隱保障成疑》。

相關文章：【個人私隱】個人資料難定義　港規管仍停留在前互聯網時代

更多周報文章︰【01周報專頁】《香港01》周報，各大書報攤、OK便利店及Vango便利店有售。你亦可按此訂閱周報，閱讀更多深度報道。