手机装了这些免费App后被收集了什么？加拿大六款热门应用的实测结果

打开Tim Hortons的App点杯咖啡，在PC Optimum里搜一瓶孕期维生素，或者出门前看看天气，这些操作可能只花几秒。加拿大一项针对六款热门手机应用的测试发现，有些App传出的资料比用户主动填写的内容多得多。测试人员观察到，有的App在刚打开时就疑似向外部服务发送设备资料，有的则在用户开启定位后，把精确坐标和设备广告识别码一并传出。

参与测试的卡尔加里大学计算机科学副教授乔尔·里尔登（Joel Reardon）及其团队检查了Android手机上的网络流量，另有团队对苹果iOS系统上的App进行了扫描。测试记录的是特定设备、权限和操作下观察到的传输情况。六款App表现各异，有的向外部服务发送资料，有的在测试期间只观察到资料传往平台自身。各家公司对数据用途也作出了不同解释。

Tim Hortons：刚打开App，设备资料就可能传出

测试人员发现，Tim Hortons的App在启动后似乎就向外部服务发送资料。观察到的内容包括用户给手机起的名字、设备识别码、部分传感器和相机规格、铃声与闹钟音效名称，以及附近Wi-Fi路由器的名称。里尔登说，把多项设备特征组合起来，可能形成类似“设备指纹”的记录，让接收方以后再次辨认同一台手机。附近的Wi-Fi网络名称也可能帮助推断设备所在位置。

Tim Hortons回应说，相关服务商收集这些资料是为了防止欺诈、保护账户和防范支付滥用。例如，当一个账户突然从从未见过的设备登录时，这些资料可以协助判断是否存在冒用风险。公司表示，服务商不得出售数据，相关资料也不会用于营销或广告。参与评估的分析师则质疑，为这类服务收集如此多的设备细节是否有必要。

PC Optimum：搜索孕期维生素，也可能留下购物线索

测试显示，在PC Optimum里搜索商品时，搜索内容似乎会传给10家外部公司，其中包括孕期维生素这类可能透露个人情况的商品。另有一家外部服务似乎收到了经纬度和设备识别码。扫描还观察到，App向一家境外服务发送了用户名字、完整电邮地址、PC Optimum会员编号，以及何时打开App、在里面做了什么等使用记录。

测试人员关注的是一次普通的商品搜索需要经过多少外部服务，以及这些服务为什么需要知道用户搜了什么。运营PC Optimum的Loblaw表示，公司从未出售个人信息，通过旗下App收集的资料有助于提供网上购物和查找附近门店等功能，公司也会持续审查和加强数据保护措施。

天气网络：一次定位是为了看天气，多次记录可能勾勒出活动轨迹

测试人员在允许天气网络（The Weather Network）App使用位置后，观察到它似乎向外部广告服务发送了精确经纬度、当地天气状况和设备广告识别码。里尔登指出，如果多次发送的坐标都带着同一个识别码，接收方就可能把分散的记录串联起来，看到同一设备在不同时间出现在哪里。对广告商而言，这些资料还可能用来分析天气、地点与用户行为之间的关系。

天气网络的母公司Pelmorex表示，App只会在用户授权后使用位置资料，用于提供本地天气和展示相关广告，公司也不会向第三方或数据经纪商出售用户数据。如果平时只想看家附近或通勤目的地的天气，可以在App里手动搜索并保存城市，关闭定位后仍可查看预报。

Facebook：上传一张照片时，权限可能涵盖整个相册

测试人员给Facebook相册权限，准备上传一张照片时，发现App似乎还读取了设备上其他未上传照片和视频的部分元数据。这些资料可能包括文件名、拍摄日期和时间，以及相机设置。对于实际发布的内容，扫描还观察到App似乎收集了拍摄地点的经纬度。测试也记录到，Facebook会追踪用户在App内如何滚动页面、在某条内容上停留多久。

这次扫描期间，测试人员没有观察到Facebook把这些资料传给外部公司。母公司Meta未就测试结果作出具体回应，其隐私政策说明了相关数据的收集，并表示不会出售用户信息。对偶尔发照片的人来说，可以先看看手机是否允许只授权选中的照片。这样，上传哪一张，就只开放哪一张。

Amazon和YouTube：测试期间未观察到向外部公司传输数据

在Amazon的测试中，App似乎记录了用户搜索的商品和设备广告识别码，包括可能涉及个人隐私的搜索内容。测试期间未观察到这些资料传往外部公司。里尔登解释，大型平台可以通过自己的广告系统使用部分数据。Amazon表示，公司从不出售客户个人数据。

YouTube的扫描也未观察到向外部公司传输资料，测试中看到的数据似乎传往美国。测试人员另外播放了一条儿童视频，检查观看时是否会出现个性化广告，当次测试没有看到此类广告。YouTube母公司Google表示，公司不会出售个人信息。

手机里已经装了这些App，可以从权限开始检查

先打开手机设置，检查哪些App能访问位置和照片。如果只需要查看一个城市的天气，可以试试手动选城市，再关闭天气App的定位权限。偶尔上传照片时，若手机提供“选定照片”选项，就只开放当次要用的照片。对很少使用的购物、积分或点餐App，可以考虑卸载，需要时再通过浏览器或其他可用渠道办理。

如果关心的是公司已经收集的资料，可以通过其隐私政策列出的联系方式，询问收集了哪些信息、为何收集、保留多久，以及能否提出删除请求。前安省隐私专员安·卡沃基安（Ann Cavoukian）认为，企业应只收集服务所需的资料，并在用途结束后删除。卸载App可以停止它在这台手机上继续运行。想处理已经上传的资料，则需要另行向公司查询。

延申阅读：

1. 当你的脸变成数据，加拿大如何使用人脸识别？

2. 加拿大养老金投资机构出资5,000万美元，押注多伦多AI企业Beacon