[歌絲˙暮斯]

https://www.factwire.org/single-post...A4%96%E6%B4%A9

百度旗下應用程式涉侵私隱 中港高官手機號碼外洩
May 13, 2017
傳真社 FactWire

(傳真社香港13日電) - 商務及經濟發展局近日就加強規管人對人促銷電話展開公眾諮詢，其中一個方案提出透過政府撥款資助，改良和鼓勵市民使用來電過濾應用程式，但提到部分程式有「逆向檢索」功能或涉私隱問題。FactWire傳真社調查發現，百度 (NASDAQ:BIDU) 開發的「來電攔截」應用程式DU Caller，不單設「逆向檢索」功能，更提供關鍵字搜尋電話號碼功能，容許用戶以人名、機構名稱等直接搜尋電話號碼。保安局局長黎棟國、警務處處長盧偉聰、個人資料私隱專員黃繼兒、中聯辦及外交部官員的手提電話號碼，均可透過關鍵字搜尋得到。有熟悉私隱條例的法律顧問認為，DU Caller的功能比傳真社去年11月揭發的三個手機應用程式更侵犯個人私隱。

DU Caller由百度旗下、自稱為「世界最值得信賴的Android應用程式開發商」(World's Most Trusted Android Apps Developer) DU Group開發。Android版本DU Caller功能包括攔截來電、通話錄音，部分功能涉嫌侵犯用戶私隱，除了可透過電話號碼逆向搜尋號碼持有人，更能透過關鍵字搜尋電話號碼。當用戶輸入關鍵字，系統便會在其聲稱收錄超過20億筆電話紀錄的資料庫中搜索，並將與關鍵字相同、相關的結果顯示出來。

新安裝程式的用戶每日可查看三次結果，當三次限額用盡後，須透過手機號碼建立帳戶並登入，才可透過程式向號碼持有人「查看詳細資料」。不過記者發現，用戶只要重新安裝程式，即可再次查看三個電話號碼。

DU Caller資料庫中有全球各地，包括亞洲及歐美等地的電話號碼，傳真社以「中聯辦」、「港澳辦」、「外交部」、「警務處」、「保安局」等作關鍵字搜尋，結果發現保安局局長黎棟國、警務處處長盧偉聰、中聯辦副主任殷曉靜、副主任林武、主任助理陳山玲、外交部國際司前副司長張小康、國務院港澳辦聯絡司調研員王爽等人的手提電話號碼，均被記錄在資料庫內。以上發現全部已經核實。

傳真社向保安局局長黎棟國、警務處處長盧偉聰查詢個人私隱外洩事件，保安局發言人表示，「保安局局長並沒有授權任何手機程式開發商或提供者，將其姓名及手機號碼上載至其資料庫。」保安局已將事件轉介個人私隱專員公署跟進。警務處至截稿前未有回應。

記者透過關鍵字搜尋號碼功能找到個人資料私隱專員黃繼兒的手提電話號碼，被顯示為WongStephen Kai-yi (黃繼兒)。傳真社記者親自向黃求證，他即反問「你如何得知?」，對於記者能說出其聯絡號碼表現愕然。黃繼兒其後接受傳真社專訪時，進一步證實該電話號碼是十年前他於律政司工作時的手提電話號碼，有關號碼現時已沒有使用。

黃繼兒強調姓名及流動電話號碼是重要的個人資料，不法之徒或利用這些資料進行電話騙案 :「很多電話騙案的源頭，都是個人資料」。他說 : 「用你的電話發覺可以找到其他資料，例如找到我以前的辦公室是做甚麼。這些資料，可能令可信性很高。如果一個陌生人打電話來，說我認識你，你忘記了我......尤其是年紀大點(的人)，接觸科技少一點的人，他會覺得很奇怪，你為何會知道這些資料，覺得肯定是我自己忘記了，便很容易接受到他的誤導性信息。」

對於DU Caller讓用戶輸入個別人士的姓名以搜尋其電話號碼之功能，黃繼兒指，一般來電攔截應用程式的功能，目的是辨識不明來電及封鎖騷擾電話，但搜尋電話號碼功能對上述用途無直接相關及實際需要。黃繼兒續指，除非應用程式開發商獲資料當事人自願給予的明示同意，否則有可能違反《個人資料(私隱)條例》(下稱「《私隱條例》」) 保障個人資料第三原則(使用) 。

法政匯思召集人、熟悉私隱條例的法律顧問蔡騏認為，DU Caller 的功能比傳真社去年11月揭發的三個手機應用程式之「號碼反查」功能更侵犯個人私隱。他指出，電話號碼須與名字合併才是個人資料。但名字本身已屬於可識別的個人資料，「早前的應用程式是用非個人資料去搜尋個人資料，但這次 (DU Caller) 則容許用戶利用他人的個人資料去搜尋更多 (當事人) 的資料」，他認為「這樣更加容易、亦更準確地洩露私隱」。

傳真社記者在DU Caller 資料庫找到任教中文大學的鄭漢文博士的手機通訊錄，鄭習慣以課程編號、活動簡稱配上學生中文或英文名稱作為聯絡人姓名。記者以鄭漢文自2014年7月起至2016年11月的部分課程編號、活動簡稱作關鍵字搜尋，結果發現DU Caller資料庫記錄了其手機內截至2016年9月的聯絡人資料，牽涉超過1,000個聯絡資料。

記者查閱鄭漢文手機的應用程式下載記錄，證實他透過Google Play安裝DU Caller。鄭漢文對此表示驚訝，強調無印象主動下載或啟動DU Caller，更無授權DU Caller上載其通訊錄。鄭漢文形容「這明顯是侵犯私隱」，對其手機通訊錄被上載及整合成DU Caller的資料庫感到憤怒，指「除非應用程式能證明(已獲得我同意)，否則我認為它盗用了我的資料」。他對自己洩露了朋友的個人資料感到抱歉。

傳真社翻查DU Caller的私隱政策，發現DU Caller有兩份內容截然不同的私隱政策。其中一份載於Android版本的程式登入介面(Front Page)，另一份載於進入程式後「關於」欄目。前者的內容列明 : 用戶體驗計劃(User Experience Program) 會收集IMEI、IMSI、手機日誌、通話紀錄以及用戶的手機電話簿(phonebook)等資料。公司會「收集、使用，並與其他用戶分享儲存在裝置電話簿的聯絡(contacts)。」政策又指出「你已授權我們(DU Caller)使用聯絡資訊」、「你亦保證已與我們享這些聯絡資訊的所有權限」。政策亦列明，「當下載及啟動DU Caller，你已同意參與DU Caller的用戶體驗計劃(User Experience Program)」。

傳真社透過電腦動態分析DU Caller上載用戶資料的情況，結果顯示，手機用戶一旦下載程式並安裝，即使未點擊同意其私隱政策，該程式已經用戶手機資料包括電話簿、電話號碼、IMEI等，傳送至北京百度網訊科技有限公司的伺服器。

兩份私隱政策在「儲存及轉移用戶資料」的內容明顯不同，載於Android版本的程式登入介面的私隱政策列出DU Caller會將資料儲存在與用戶司法管轄權 (jurisdictions) 以外的地區，包括中國及美國。DU Caller 程式內「關於」欄目內的私隱政策則指，DU Caller或用戶的個人資料「轉移、處理及儲存在不同國家」，並指出在歐洲經濟區國家(European Economic Area)所收集的資料或被轉移至經濟區國家以外地區。

個人資料私隱專員黃繼兒指，如果開發商於同一應用程式提供兩份內容截然不同的私隱政策，令人無所適從、私隱政策有虛假、誤導成份。他指「這行為是很嚴重而且不合法，如有這情況，公署會主動調查。」現行《私隱條例》六項保障資料原則的第一原則(收集資料)訂明 : 資料使用者須以合法和公平的方式，收集他人的個人資料。收集的資料是有實際需要的，而不超乎適度。

就上述情況，傳真社向程式開發商DU Group、百度查詢，DU Caller的功能及收集個人資料方式是否違反現行《私隱條例》，以及會否停用關鍵字搜尋號碼功能，至截稿前未獲回應。

根據Google Play統計，DU Caller程式的安裝次數由100萬至500萬次。App Store資料顯示，程式開發商為百度香港(有限)公司(BAIDU (HONG KONG) LIMITED)。DU Caller目前仍未於香港蘋果App Store上架，在美國App Store上架的DU Caller，並無關鍵字搜尋電話號碼功能。DU Group網站顯示，應用程式開發團隊旗下產品，包括DU Speed Booster、DU Battery Saver、DU Flashlight、DU Browser、DU Cleaner、Photo Wonder等，全球有10億Android用戶。

百度在美國納斯達克股票市場上市，公司2016年年報顯示，百度香港(有限)公司是由美國上市的Baidu, Inc.的附屬公司。

傳真社去年11月揭發3個「來電攔截」手機應用程式 CM Security、TrueCaller、Sync.me涉侵私隱，將用戶電話簿整合成公開資料庫，涉全球10億用戶，當中包括大量香港政經人士。私隱專員公署當時表示密切關注事件，會聯絡所在地執法機構跟進。五個月多過去，傳真社發現3個程式中，除CM Security於去年11月停止部分號碼反查功能外，其餘兩個應用程式運作如常。私隱專員黃繼兒接受傳真社專訪時，承認受現行法例所限，公署無權執法。



對於兩個應用程式遲遲未有終止涉侵犯私隱的有關功能，黃繼兒表示，由於手機程式(CM Security、TrueCaller及Sync.me)的營運商於香港境外，因本港現行《私隱條例》並無域外法律效力，公署「不能監管只能請求」海外監管機構協助。



黃繼兒解釋，公署去年11月已向3間應用程式開發公司所屬地區 (中國、瑞典及以色列) 的監管機構反映及提出關注，當中只有內地的應用程式CM Security即時停用號碼反查功能。他直言，「(署方的)請求呢，他們每一次都有回覆，不過他們的答覆，都有一點水份」，公署能做的只是繼續跟海外監管機構聯絡，「將我們的關注好嚴肅地告知當地監管機構，他們做不做到，當然係好靠他們」。

本港《私隱條例》於1996年起實施，是亞洲首個為個人資料私隱立法的司法管轄區，但第33條「禁止資料使用者將個人資料轉移至香港以外」的條文至今仍未生效，現行法例對個人資料跨境轉移，並無任何限制。

黃繼兒指，局方於2014年發佈《跨境資料轉移指引》，「雖然條例未曾生效，但業界已適應行使33條的精神」。黃繼兒續指，公署在2013年已經為第33條立法完成研究報告並交予政制及內地事務局。他表示，公署作為獨立的監管機構，沒有權力決定立法進度，只能催促政府加快立法步伐，「我們當然有催啦，尤其上任專員催促得好明顯」，但目前只能等待局方「處理、評估、分析及公佈」。

尚未實施的第33條列明，如專員認為其他司法區與本地條例「大體上相似或達致與條例的目的相同的目的之法律」正在生效，則可以將這些地區加入「白名單」中，容許資料使用者將個人資料轉移至名單上的司法區。

現時不少公司會將伺服器設於中國、印度、東南亞等地，變相將客戶的個人資料儲存、轉移至當地，但當地的私隱標準未必同香港一樣。黃繼兒指出，2013年交予政制及內地事務局的評估報告已附上白名單，但他拒絕透露中國及印度是否在「白名單」當中，僅表示白名單的地區必須與香港現行私隱條例相似，或有類似的制度，公署現時正等待政制及內地事務局研究及公佈政策。

傳真社向政制及內地事務局查詢第33條立法的進度，以及「白名單」中有哪些國家、地區。局方表示，「個人資料私隱專員公署在2013年12月向政府提交了一份顧問研究報告，政府委託的顧問正在進行有關實施條例第33條的營商環境影響評估，報告將在2017年上半年完成」。局方會「審視研究結果，再考慮跟進工作」，又指顧問已向不同行業，包括資訊科技界的持份者蒐集了資料和意見，評估實施第33條對不同行業的影響，但沒有透露中國、印度等地是否包括在「白名單」當中。

支那人是最狡猾最不可靠的.jpg