今日头条被诉侵犯隐私 App收集个人信息界限在哪？

今年31岁的辽宁本溪人刘先生2018年1月注册使用今日头条App时发现，自己并未授权今日头条读取自己的手机通讯录，却被推荐了自己通讯录好友注册的今日头条账号。

刘先生更换了一个通讯录空白的手机，但在登录今日头条App后，依然被推荐了原手机中通讯录好友注册的今日头条账号。

他认为自己的社交关系被读取，隐私权受到了侵犯，遂在2018年2月向北京市海淀区人民法院起诉了今日头条App运营方北京字节跳动科技有限公司（下称字节跳动），要求其停止侵权行为、赔礼道歉并支付精神赔偿金1元。

今年6月20日，经过近1年半之后，海淀法院开庭审理了此案。用户通讯录是否属于个人隐私、APP手机使用用户信息的方式、范围如何界定，成为庭审焦点。

今日头条怎样读取通讯录

今日头条App早在2017年9月就上线了同步通讯录功能，以此扩展社交功能。“用户安装今日头条后，不需要注册登录，App中有一个‘看看哪些通讯录好友在用头条’的界面，用户点击以后就会触发自己的手机通讯录被读取。”原告代理律师、北京玺泽律师事务所高级合伙人刘新焱告诉21世纪经济报道记者。

刘新焱介绍，页面上会显示用户通讯录好友注册的今日头条账号，有的账号名称后会附带通讯录里存的姓名，还有的账号后面还附带手机号。当时的公开报道显示，有记者“意外地发现了雷军和傅盛的小号，这归功于通讯录里存有他们的手机号”。

“还有一种形式是，用户同样在没有注册登录的情况下，在浏览今日头条的信息时，会出现类似信息流广告一样的提示，称‘你的朋友谁谁谁也在用头条’。”刘新焱说。目前，这两款功能都已下架。

为了证明今日头条在未获授权情况下读取了用户通讯录，原告刘先生2018年1月29日进行了公证。刘先生前后使用了两部手机和同一张手机卡安装了今日头条APP，不同的是第一部手机的通讯录里有联系人，第二部手机的通讯录为空白。

刘先生在第一部手机上注册登录今日头条，但自始至终没有授权过通讯录权限。在更换第二部手机并登录今日头条，且拒绝授权其读取通讯录时，今日头条仍然可以向其推荐第一部手机的通讯录好友。

对此，被告字节跳动在庭审时称，原告在2018年1月29日公证以前，就已经多次登录过今日头条，并授权同意今日头条使用通讯录权限。字节跳动的代理律师6月21日婉拒了21世纪经济报道记者的采访。

为此，字节跳动向法庭提交了一份2018年1月4日和1月29日的今日头条后台日志，里面记录了原告账号的登录、授权情况。刘新焱告诉21世纪经济报道，不认可这份证据的真实性，“这是一份经过整理的Excel表格，并非原始的后台日志。比如2018年1月29日时，公证处记录了原告账户的操作情况，可以将公证内容与日志内容进行比对”。

无账户推荐好友

字节跳动在庭审时还承认了另一种读取通讯录的形式。由于每部手机拥有唯一的手机设备号，当用户在一部手机登录今日头条账号并授权上传通讯录后，即使之后在同一部手机上未登录账号打开App，今日头条也会推荐该账号的好友信息。

字节跳动在庭审中说，通过设备号标注用户并进行个性化推荐是行业通用功能。目的是给非登录状态下用户提供推荐服务（包括好友推荐等）。

“这种现象的确普遍存在，且可以提供一定的方便，但有的时候并不安全，因为同一部手机可能是不同的人在用。只不过目前法律和司法机关还没有界定这种行为是否非法。”一名互联网领域律师说。

刘新焱还认为，App在向用户推荐好友的时候，不需要把用户的通讯录复制和存储到后台服务器上。但在被告看来，授权通讯录好友是推荐好友的必要方式，识别判断功能在App本地无法实现，一定要上传到服务器。

对此，刘新焱告诉21世纪经济报道记者，“我们咨询过很多技术人员，一些大型互联网公司在向用户推荐好友时，并不会将用户的通讯录存储在自己的服务器上。当用户下一次再想匹配通讯录的时候，还得再次被征得同意。”

通讯录是不是个人隐私？

案件的争议焦点之一是手机通讯录是不是个人隐私？

原告认为，通讯录信息作为极为敏感的个人信息类型，对个人的人身安全、财产安全等方面十分重要，涉及到个人的社交关系、家人情况甚至商业秘密等方方面面，未经允许上传并保存，属于严重侵犯个人隐私的行为。

被告代理人则在庭审中指出，通讯录信息并不属于原告的个人隐私信息。电话号码在日常民事交往中，发挥着信息交流的重要作用，电话号码不但不应保密，反而是需要向他人告示的，不属于被自然人隐藏或不予为外人知晓的信息。

值得注意的是，今日头条官方头条号6月20日23时发布声明称，今日头条绝对不认可“通讯录不属于用户隐私”的说法。

对于通讯录信息，今日头条的隐私政策是如何规定的呢？

当时版本的隐私政策发布于2018年1月19日，原告刘先生起诉称，仅明确提出了在使用今日头条软件及相关服务获取信息的过程中，会涉及到“日志信息”、“设备或应用信息”、“位置信息”等用户个人信息类型的收集，但完全没有提到该APP会读取或上传用户通讯录信息的情况。

字节跳动在庭审中则称，当时的隐私政策告知用户收集信息的范围“可能包括姓名、性别、联系方式等单独或者结合识别用户身份的信息”，信息使用的方式为“通过使用收集的信息，公司会得以向您提供个性化的服务并改善现有服务”。因此，被告已经对今日头条App可能会收集并“储存”、“使用”用户的相关信息进行了告知。

目前今日头条隐私政策发布于2019年5月27日，其中已明确包含“通讯录”的规定。其中称：通讯录不会默认开启。还规定，通讯录信息属于个人敏感信息。

“我认为通讯录信息属于个人隐私，其他国家也有相同的规定。敏感信息与隐私信息存在交叉重合，只不过敏感信息并非法律用语。”华东政法大学知识产权学院教授丛立先告诉21世纪经济报道记者。

App使用用户信息的边界

“即使是用户的隐私，在经过授权后也是可以使用的，关键是使用的方式要合法。”上述互联网领域律师告诉21世纪经济报道记者。

这涉及本案的第二个争议焦点，即今日头条读取通讯录，是否违反《网络安全法》第41条。该条规定：“网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，公开收集、使用规则，明示收集、使用信息的目的、方式和范围，并经被收集者同意。”

北京大学法治与发展研究院高级研究员洪延青认为，原、被告的争议核心就在于这一条款中的“范围”两个字。

较新版本的安卓手机发现App在读取用户通讯录时，均会弹出“××需要使用通讯录权限，您是否允许？”的对话框。但安卓系统对于通讯录的权限包括“读取”和“编辑”两个权限，这就带来了对“范围”的理解差异。

洪延青指出，“用户觉得我只是同意你读而已，没有同意你上传至App后台；而App会认为，你给我这个权限了，就是同意我收集了，什么叫收集？如果在收集本地处理，不是收集，只有上传到后台了，才是收集。”

原告代理律师刘新焱还介绍，原告发现第一部手机的通讯录已被读取后，便在第二部通讯录空白的手机上授权了今日头条使用通讯录的权限，“希望今日头条读取空白的通讯录，来覆盖上一个手机的通讯录，结果并没有覆盖”。

洪延青认为，这也是对“使用信息的范围”的理解问题。也就是说，用户是希望用第二个授权来代替第一个授权，但App却认为用户既给了第一个授权，又给了第二个授权。

他认为，这起案件，以及由此引发出对“范围”的细致划分，都体现出用户对个人信息告知和控制的细粒度需求在逐渐提升。但公允地说，放眼全球没有哪个法域做到了如此的细粒度控制措施。

“现在各种网络服务商都存在过度收集用户个人信息的行为，甚至超过了这些服务商的业务范围，这是需要警觉的。”丛立先说。

“我们希望通过这次诉讼，法院能够做出界定，非以社交功能为主的App不要去复制、存储用户的通讯录。”刘新焱说。

刘新焱介绍，原告刘先生还针对用户无法注销今日头条App账户、今日头条App违规使用用户位置信息提起了诉讼，前者6月20日下午在海淀法院开庭，后者已在北京互联网法院立案。

（来源：21世纪经济报道）