腾讯的《第三方信息共享清单》，为何会引起热议？

    
    来源 ｜ 零壹财经作者 ｜ 大先生
    11月1日，《个人信息保护法》正式施行。
    新法之下，涉及到个人信息的采集与使用的诸多平台都更新了其信息使用政策，用户在进入11月之后打开各个客户端、APP均能看到醒目提醒，了解信息使用协议的相关更改，并需要重新勾选确认。
    《个人信息保护法》的施行，标志着我国个人信息保护立法体系进入新的发展阶段，对公民信息权益的维护以及数字经济的发展具有重要意义。
    《个人信息保护法》第五条要求，处理个人信息应当遵循合法、正当、必要和诚信原则，不得通过误导、欺诈、胁迫等方式处理个人信息。
    施行之后，一些平台却出现了引发舆论争议的《第三方信息共享清单》，要求用户必须同意将账户信息、身份信息、生物识别信息、充值记录、使用机型等信息共享至该平台其它服务中。用户不同意勾选此清单，则无法使用该平台的正常服务。
    WeGame
    最早引发舆论热议的是腾讯提供的一站式游戏服务平台WeGame。
    《个人信息保护法》正式施行后，相关用户注意到，通过WeGame平台启动游戏，会提示“请详细阅读并勾选同意下方所有协议”，“所有协议”中包含四条，分别为《腾讯游戏用户协议》、《隐私保护指引》、《儿童隐私保护指引》、《腾讯游戏第三方信息共享清单》。
    法规实施前，用户如果已同意并勾选的《隐私保护指引》被取消，需要重新勾选，这意味着《隐私保护指引》有条款更新，重新勾选也是题中应有之义。
    而新增的《腾讯游戏第三方信息共享清单》中显示，“为保障腾讯游戏的稳定运行并实现相关功能，我们可能向第三方共享您的个人信息。如我们与任何第三方共享您的个人信息，我们将督促该第三方按照我们在《腾讯游戏隐私保护指引》中与您的约定收集和使用您的个人信息，并采取适当的安全技术和管理措施保障您的个人信息安全。”
    该清单列举的“第三方”游戏列表几乎囊括了腾讯旗下或合作的所有游戏，其中既有被戏称为“腾讯四大名著”的穿越火线、地下城与勇士、QQ飞车、QQ炫舞等知名度较高的游戏，也有鸿图之下、胡桃日记、全民斩仙、全球行动等知名度较低游戏。
    
    这意味着，不管用户想要游玩的是腾讯旗下的哪个游戏，只要通过WeGame启动该游戏，必须同意该共享清单，将用户在主要游玩游戏的所有数据共享给第三方所有游戏。
    需要共享的是什么数据？根据《腾讯游戏隐私保护指引》，在用户使用腾讯游戏服务的过程中， 腾讯会收集和使用用户的微信与QQ的好友关系、用户的实名身份信息、充值记录、消费记录、照片或存储文件、麦克风、摄像头、地理位置信息、面部识别特征、手机号码等，这些信息将被共享至第三方，无论用户是否确认游玩了这些第三方游戏。
    
    这些信息的收集目的，在《腾讯游戏隐私保护指引》中有提及，出于实名认证、与用户互动以及未成年保护等需求，但信息共享的必要性则只是简单的一句“为保障腾讯游戏的稳定运行并实现相关功能”。
    如果用户不同意并不勾选此《腾讯游戏第三方信息共享清单》，则想要游玩的游戏无法启动。
    腾讯隐私保护平台显示，“我们的部分服务可能需要您提供特定的个人敏感信息来实现特定功能。若您选择不提供该类信息，则可能无法正常使用服务中的特定功能，但不影响您使用服务中的其他功能。若您主动提供您的个人敏感信息即表示您同意我们按本政策所述目的和方式来处理您的个人敏感信息。”
    
    然而在用户选择了同意收集却不同意共享信息的情况下，结果是游戏无法启动。
    腾讯隐私保护平台显示，“我们不会向合作伙伴分享可用于识别您个人身份的信息（例如您的姓名或电子邮件地址），除非您明确授权。”
    但明确授权和强制授权之间，永远画不上等号。
    根据《个人信息保护法》第二章第十六条之规定，个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。
    而回到《腾讯游戏第三方信息共享清单》，个人信息的强制共享是否属于腾讯游戏提供产品或服务所必需的数据？
    这个问题的答案暂且按下不表。
    11月12日，WeGame更新新版本后，有用户反映，安装了WeGame后，通过电脑进程监控工具，发现有程序扫描电脑内文件的多个进程，而该程序的数字签名为Tencent Technology（shenzhen）company Limited，读取的进程包括桌面快捷方式以及更新当日乃至更早的用户打开文件记录，这些进程可以统称为用户的“行为”。
    如果扫描用户电脑进程视为反作弊计划的一环，腾讯作为游戏运营方，有权处理玩家的“开挂”、“作弊”行为，用户下载并安装WeGame后，作为合法合规玩家，在游戏启动前接受腾讯的本地文件扫描，洗脱“开挂”、“作弊”行为的嫌疑尚且说得过去。在没有启动任何游戏准备的情况下，扫描系统进程，获取用户近期“行为”，是为了营销更加“精准”吗？
    另一面，网友还反映，WeGame应用启动后，在WeGame的进程中搜索“steam”字符串，搜索结果中存在一个UserConfigStore．Software．Valve．Steam．Apps的字符串，意为访问Steam软件的用户存储配置。进程中还存在WeGame专有动态链接库函数——ReportSteamGames，这些字符串和函数的存在，该网友推断WeGame以使用注册表的方式确认用户电脑中Steam软件的存在，然后用其它方式获取用户的Steam账户信息、游戏信息，然后返回并报告。
    这并不是一个民族企业勇于抗击境外软件的感人故事，相反，在笔者根据网友反映的操作方式进行确认之后，只觉毛骨悚然，“3Q大战”的壮烈情境浮现在眼前。
    如果强制要求用户将个人信息共享给腾讯旗下的其它游戏是为了“更好的服务”，那么扫描用户电脑进程的目的是什么？WeGame的正常运行，有必要确认“竞品软件”是否存在，以及获取并报告用户在“竞品软件”的用户信息以及游戏库存？没有充足的理由来说明腾讯这一举动的正当性。
    根据《个人信息保护法》第一章第六条之规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。
    扫描用户的近期文件打开记录和其它进程，是否属于实现处理目的的最小范围内？
    腾讯会议
    另一把火，烧在了腾讯会议上。
    这款以线上沟通为主要功能的软件，在《个人信息保护法》施行之后，更新了隐私保护协议，同样新上架了《第三方共享信息清单及SDK目录》，其中将用户的设备信息（IMEI号、Serial Number、IMSI、User ID、Android ID等）、手机Region设置、设备型号、手机电量、手机操作系统版本及语言等，共享至各大应用市场的运营公司。
    
    设备信息用于假设用户出现使用bug，主动上传设备型号及操作系统版本帮助开发者定位问题尚且可以理解，获取用户手机电量目的是为怕用户开会的时候手机没电？ 
    《个人信息保护法》正式施行后，人民日报投稿题为《个人信息保护法正式施行，互联网产业或迎大变局》的视频，其中解读表示，一款导航APP，所需要的必要信息范围只有用户当前位置、出发位置、目的位置三项，除了这三项必要信息之外，如果还获取用户的手机型号、照片信息，就属于违法违规。
    而以这个示例对比，腾讯会议所需要的必要信息范围只有用户音源输入与输出装置，以及提升用户体验的剪贴板粘贴会议信息等，设备型号、手机电量、各类设置没有收集的必要，更没有共享至第三方平台的必要性。
    同样，延伸至WeGame，用户游玩某一款游戏，为了提升游玩体验，为了实现某些功能，在明确了信息收集目的的情况下以及获得用户授权的情况下，处理和使用信息合理合法。但信息共享必须同意并勾选，才能使用不需要信息共享就能使用的功能，这种胁迫式签约，有违消费者“告知同意权”，有违《个人信息保护法》的立法初衷及实施目的。
    新法规施行前，普通用户经常会遇到“我在某个APP搜索了某种产品，其它APP开始推荐相关广告”的跨平台广告推荐，这种行为很明显是没有得到用户的充分同意。而新法规施行后，部分平台用“补票”的方式，推出《第三方信息共享清单》，以要求、胁迫、骗取用户授权，重回新法规施行前的状态，这岂不是开历史的倒车？
    尽管本文以腾讯的做法为主要展示，但截至发稿前，已有多个平台采用了同样的方式要求用户签署授权《第三方信息共享清单》。共享可以，但“不签署就不能使用正常功能”的行为要不得。