韵达违规收集使用个人信息被限期整改 此前还被曝出泄漏用户信息

近日，上海市通信管理局发布的《关于App侵害用户权益和通信网络安全防护等问题"回头看"的通报(2021年第二轮)》显示，韵达快递、小美帮帮、凹凸租车、万得股票等42款App损害用户权益，并要求上述App和应用系统在2022年1月21日前落实整改工作，逾期不整改的，将依法依规组织开展处置工作。

韵达违规收集和使用用户信息

近日，上海市通信管理局针对前阶段通报的App侵害用户权益等问题，对相关涉事单位及其应用系统开展了"回头看"，发现仍有41款App及其应用系统存在问题整改不彻底、侵害用户权益行为和通信网络安全管理义务未落实等情况进行通报。

图片来自网络

据了解，上述41款App被通报的问题主要集中为五个方面：违规收集个人信息；超范围收集个人信息；App自评估不到位；未落实通信网络安全定级评测；强制用户使用定向推送功能；App强制、过度、频繁索取用户权限。

韵达快递App被通报的问题就占了四条，其中包括违规收集和违规使用个人信息。

据人民日报海外版， "违规收集"重点指App私自收集个人信息、超范围收集个人信息。例如，未明确告知收集使用个人信息的目的、方式和范围并获得用户同意前，App就收集用户个人信息；或是在非服务所必需或无合理应用场景，超范围、超频次收集个人信息。"违规使用"主要指私自共享用户信息至第三方、强制用户使用定向推送功能等。在App中，用户会产生搜索记录、浏览记录、使用习惯等个人信息，App未经用户同意与其他应用共享、使用用户个人信息，或者未向用户明确标示就用于不可关闭的定向推送或精准营销，都属于违规使用个人信息。

值得注意的是，本次上海市通信管理局通报的内容主要涉及韵达快递在具体事项上的违规，而早在2019年，韵达还因存在无隐私政策问题被通报。

2019年7月，App专项治理工作组发布公告，宣布有30款App违反《网络安全法》关于收集使用个人信息的规定，存在违规收集个人信息问题。其中，韵达快递等10款App违反《网络安全法》第四十一条，"公开收集使用个人信息规则"，无隐私政策。

而隐私政策对用户来说，是其了解应用处理个人信息目的、规则、方式、范围等信息的重要途径，也是行使法律赋予选择同意权利的首要渠道。

已收集的用户信息存在泄露风险

财经网科技联系韵达快递方面，试图了解本次上海市通信管理局通报其违规收集和使用了用户何种信息，以及韵达快递接下来会如何进行整改，但对方并无回应。

对此，财经网科技通过浏览韵达快递App于2021年10月更新的《隐私政策》发现，为提供基本的注册、寄送、支付结算、客服与售后等核心功能业务，韵达快递会收集包括账户信息（手机号、账户名称/昵称、账号密码）；寄件人及收件人的姓名、地址、联系方式和快件信息（统称"面单信息"）；设备信息等必要的个人信息。

韵达快递还会申请获取用户设备的麦克风权限、位置权限、摄像头权限、通讯录权限、相册和存储权限、电话权限、通知权限、蓝牙权限、访问App安装列表权限、读取剪切板权限，为用户提供增值服务。但以上权限并非必须，用户选择不开启或者关闭后，韵达快递则不能再收集和使用上述权限包含的个人信息。

除了存在违规收集和使用用户信息外，韵达快递此前还被曝出用户信息被泄漏的问题。

据了解，此前圆通快递内部员工涉嫌泄露40万条快递客户信息事件发生后，澎湃新闻报道称，快递用户遭信息泄露现象涉及的不止圆通一家，可能涉及申通、德邦、EMS（邮政速递）、韵达等多家快递公司。大量包含快递客户姓名、住址、电话的信息被打包在网上出售，每条售价从0.8元至10元不等，有的可一次性出售上万条，甚至可以提供特定地区的快递用户信息。

在黑猫投诉上，还有消费者投诉韵达快递泄露客户隐私，导致其频繁收到外省地址的取件信息。其留言称，"本人的号码被恶意泄露，导致有不法分子利用本人手机号刷单。本人从2021年4月起持续不断地收到江西省南昌市发来的取件通知，包括短信、电话和菜鸟裹裹的通知。使用各种方式反馈均无果并且愈演愈烈，对本人的生活造成了严重影响！"截至发稿前，此投诉仍未解决完成。

对快递企业来说，收集和使用用户信息的合理范畴在哪里？为何快递企业常出现违规收集、使用用户信息，以及用户信息被泄漏情况？快递企业对用户的信息保护应该担起何种责任？

上海申伦律师事务所夏海龙律师向财经网科技分析称，诸如收、寄件人的真实电话号码、地址等信息属于快递公司提供快递服务所必须，快递公司如若需要获取其他用户个人信息，必须明确告知用户所获取的信息类型、目的并取得用户同意，还应当采取必要的保护措施，否则违反《个人信息保护法》有关规定。

他还表示，过度收集用户信息可能是因为部分企业合规意识不强，未建立用户个人信息保护机制；而快递企业对用户个人信息的保护力度不够，就会存在或引发泄露、滥用甚至违法转卖等行为。

"根据《个人信息保护法》的规定，企业应当建立完整的个人信息保护机制，并设置专人负责落实各项合规义务。此外，企业更应该加强对关乎个人信息保护的关键岗位、关键员工的管理，比如制定更严格的奖惩制度、完善预警机制，重点防范盗窃个人信息的‘内鬼’。" 夏海龙律师最后建议道。