手機(jī)廠商對應(yīng)用軟件負(fù)有安全審查義務(wù)
手機(jī)產(chǎn)業(yè)的升級固然離不開硬件更新與技術(shù)創(chuàng)新,但安全問題同樣不容忽視。調(diào)研顯示,將近一半的安卓手機(jī)用戶并不排斥甚至有意愿轉(zhuǎn)向使用蘋果手機(jī),更有許多用戶認(rèn)為蘋果手機(jī)明顯優(yōu)于市場上其他所有同類產(chǎn)品。在諸多影響用戶判斷的因素之中,蘋果手機(jī)的安全性最為關(guān)鍵。鑒于我國手機(jī)廠商的操作系統(tǒng)主要搭建于安卓平臺之上,堅(jiān)持安全與發(fā)展并重,構(gòu)建高效、可行的手機(jī)整體安全管理方案,確保手機(jī)相關(guān)設(shè)計(jì)符合國家安全、網(wǎng)絡(luò)安全、用戶財(cái)產(chǎn)安全等需求,已經(jīng)成為刻不容緩的任務(wù)。
從底層設(shè)計(jì)來看,開源屬性是安卓手機(jī)安全性的最大隱患,也是其相較于蘋果手機(jī)的主要劣勢所在。蘋果手機(jī)的ios系統(tǒng)采取了極為封閉的技術(shù)架構(gòu),對任何第三方渠道下載、安裝應(yīng)用軟件設(shè)置了嚴(yán)格的條件,以確保安全性,強(qiáng)化隱私保護(hù)。用戶在App Store以外的應(yīng)用市場下載應(yīng)用軟件,除通過刷機(jī)使系統(tǒng)“越獄”,或者強(qiáng)行安裝證書認(rèn)證以外,并沒有其他途徑可供選擇。與之不同,安卓系統(tǒng)本身及基于其開發(fā)的其他衍生手機(jī)系統(tǒng)都以開源作為底層架構(gòu),系統(tǒng)自帶應(yīng)用商店、第三方市場、網(wǎng)頁端甚至是用戶之間傳輸?shù)腁pp安裝包,均可成為應(yīng)用軟件下載、安裝的具體來源。外部來源之廣,使手機(jī)系統(tǒng)安全隱患大大提升。
對應(yīng)用軟件的治理理應(yīng)成為手機(jī)廠商整體安全管理方案的重要組成部分,在法律層面即手機(jī)廠商應(yīng)承擔(dān)應(yīng)用軟件的安全審查義務(wù)。事實(shí)上,這不僅是我國手機(jī)廠商實(shí)現(xiàn)產(chǎn)業(yè)升級、在國際競爭中掌握主動地位的必要條件,也是履行公法上的網(wǎng)絡(luò)安全保護(hù)義務(wù)、民法上的安全保障義務(wù)以及實(shí)現(xiàn)用戶利益的必然要求。
在公法層面,手機(jī)廠商負(fù)有保證手機(jī)軟件安全性的法定義務(wù)。網(wǎng)絡(luò)安全法提出“網(wǎng)絡(luò)安全保護(hù)義務(wù)”這一概念,要求網(wǎng)絡(luò)運(yùn)營者依照法律、行政法規(guī)的規(guī)定和國家標(biāo)準(zhǔn)的強(qiáng)制性要求,采取技術(shù)措施和其他必要措施,保障網(wǎng)絡(luò)安全、穩(wěn)定運(yùn)行,有效應(yīng)對網(wǎng)絡(luò)安全事件,在加強(qiáng)網(wǎng)絡(luò)安全保護(hù)、提高網(wǎng)絡(luò)安全保護(hù)水平方面接受網(wǎng)絡(luò)相關(guān)行業(yè)組織的指導(dǎo)。該法“網(wǎng)絡(luò)信息安全”一章進(jìn)一步明確了應(yīng)用軟件提供者和應(yīng)用軟件下載服務(wù)提供者的義務(wù),要求前者不得設(shè)置惡意程序,不得含有法律、行政法規(guī)禁止發(fā)布或者傳輸?shù)男畔?;要求后者履行對此類?yīng)用軟件的安全管理義務(wù),采取停止提供服務(wù)、消除等處置措施。作為天然的應(yīng)用軟件下載服務(wù)提供者,手機(jī)廠商欲采取停止提供服務(wù)、消除等處置措施,必然需要進(jìn)行安全審查。
一些更為具體的要求體現(xiàn)在工信部印發(fā)的通知及行業(yè)標(biāo)準(zhǔn)之中。行業(yè)標(biāo)準(zhǔn)《移動智能終端安全能力技術(shù)要求》(YD/T 2407-2021)為應(yīng)用層設(shè)定了明確的安全目標(biāo),即要保證移動智能終端對要安裝在其上的應(yīng)用軟件可進(jìn)行來源的識別,對已經(jīng)安裝或加載在其上的應(yīng)用軟件可以進(jìn)行敏感行為的控制。在具體行為方式上,則特別強(qiáng)調(diào)移動智能終端通過給用戶提示和讓用戶確認(rèn)的方式來防范安全威脅。給用戶的提示和明示可以是圖標(biāo)、文字、語言或其他明顯的提示行為。在操作執(zhí)行期間,提示應(yīng)足夠引起用戶的注意??傮w來看,相關(guān)規(guī)定從驗(yàn)證方法、留存義務(wù)以及強(qiáng)化用戶知情權(quán)等方面對安全審查義務(wù)進(jìn)行了細(xì)化,理應(yīng)成為手機(jī)廠商的行動指南。
手機(jī)廠商對應(yīng)用軟件進(jìn)行安全審查,還是履行民法上安全保障義務(wù)的具體體現(xiàn)。安全保障義務(wù)是公共場所管理人、群眾性活動組織者對進(jìn)入其公共空間的主體所承擔(dān)的確保其人身、財(cái)產(chǎn)安全的義務(wù),它要求上述管理者、組織者不但要做到消極地不侵害他人,還要積極地在合理限度內(nèi)保護(hù)他人免遭第三人的侵害。隨著社會生活場景的發(fā)展,安全保障義務(wù)的適用已經(jīng)突破了物理空間的限制,延伸到網(wǎng)絡(luò)領(lǐng)域。根據(jù)《最高人民法院關(guān)于審理侵害信息網(wǎng)絡(luò)傳播權(quán)民事糾紛案件適用法律若干問題的規(guī)定》,網(wǎng)絡(luò)服務(wù)提供者應(yīng)當(dāng)具備與之提供服務(wù)的性質(zhì)、方式及其引發(fā)侵權(quán)的可能性大小相匹配的管理信息的能力,這為安全保障義務(wù)確立了參考標(biāo)準(zhǔn)。
手機(jī)廠商履行安全審查義務(wù),也是切實(shí)保護(hù)用戶利益的必要之舉。手機(jī)系統(tǒng)安裝軟件有兩種來源:第一種來源于手機(jī)廠商自運(yùn)營的應(yīng)用商店,通過這一渠道上傳的應(yīng)用軟件在上架時(shí)以及上架后的日常巡檢中通常已經(jīng)過反復(fù)、多輪機(jī)器及人工檢測甚至試安裝運(yùn)行;第二種來源于外部,具有隨機(jī)性,因預(yù)見可能性的限制而并不在手機(jī)廠商日常安全審查范圍之內(nèi)。對前者而言,由于手機(jī)廠商已履行較為全面的審查義務(wù),用戶利益得以保障,故無需在下載、安裝中設(shè)置重復(fù)審查程序;對后者而言,則為安全保障義務(wù)履行之需,必須啟動一系列風(fēng)險(xiǎn)監(jiān)測和提示程序,確保用戶明確知悉可能的安全風(fēng)險(xiǎn),并經(jīng)過用戶的明確同意方能下載、安裝,這也是履行消費(fèi)者權(quán)益保護(hù)法第二十條關(guān)于真實(shí)、全面提供有關(guān)服務(wù)信息的義務(wù)的必要舉措。實(shí)踐中,安卓手機(jī)廠商對外部軟件來源基本會采取為履行安全審查義務(wù)的必要程序,包括但不限于彈窗提示外部來源、檢測風(fēng)險(xiǎn)、提示風(fēng)險(xiǎn)檢測結(jié)果、要求驗(yàn)證身份方能繼續(xù)下載等,這些程序一般在前端運(yùn)行,以引起用戶的足夠注意。雖然上述設(shè)置會在一定程度上降低用戶體驗(yàn),但因安全所需部分犧牲用戶使用軟件的便捷性是確有必要的。唯有如此,方能確保用戶知情同意權(quán)充分實(shí)現(xiàn),使不充分知情情形下因下載、安裝惡意軟件而遭受財(cái)產(chǎn)、人身權(quán)益的風(fēng)險(xiǎn)最小化。從實(shí)際效果上看,手機(jī)廠商對外部軟件的安全審查應(yīng)當(dāng)以最為顯著、直接的方式在手機(jī)前臺向公眾進(jìn)行提示,這與《互聯(lián)網(wǎng)終端軟件服務(wù)行業(yè)自律公約》第九條關(guān)于“終端軟件在運(yùn)行過程中,如執(zhí)行系統(tǒng)修改、掃描、信息收集和數(shù)據(jù)回傳等操作,應(yīng)事先提示用戶”的規(guī)定是一致的,亦符合行業(yè)標(biāo)準(zhǔn)《移動智能終端安全能力技術(shù)要求》(YD/T 2407-2021)所提出的“不會出現(xiàn)用戶在不知情情況下的某種行為的執(zhí)行”的要求。上述規(guī)定,強(qiáng)化了“明確提示”的要求,本質(zhì)上也是用戶知情同意權(quán)的具體化落實(shí)。另外,外部來源中,雖然第三方應(yīng)用商店一般也會進(jìn)行安全審查,但考慮到應(yīng)用商店之間審查標(biāo)準(zhǔn)并不統(tǒng)一、安全審查能力參差不齊,手機(jī)廠商應(yīng)對第三方應(yīng)用商店、網(wǎng)頁端及用戶之間傳輸?shù)腁pp等外部來源,仍應(yīng)采取相同的安全審查措施。
綜上,手機(jī)廠商對應(yīng)用軟件的安全審查義務(wù)有充足的依據(jù)。網(wǎng)絡(luò)安全是底線要求,在不存在違法或違規(guī)的情況下,可由手機(jī)廠商自行設(shè)置合適的安全提示用語、方式與步驟。這一方面有利于保障手機(jī)廠商的經(jīng)營自主權(quán),避免動輒得咎所導(dǎo)致的不敢創(chuàng)新,損害產(chǎn)業(yè)發(fā)展動力;另一方面也有利于在競爭中形成最佳行業(yè)實(shí)踐,促進(jìn)我國手機(jī)產(chǎn)業(yè)更新升級,提升國際競爭力。(北京大學(xué)法學(xué)院教授、國際知識產(chǎn)權(quán)研究中心主任 易繼明)
編輯:遲明緒