App读取剪切板内容在业内普遍存在专家：若上传则涉嫌违规

原标题：App读取剪切板内容在业内普遍存在 专家：若上传则涉嫌违规

日前，抖音海外版TikTok频繁读取剪切板内容的新闻受到关注，国外网友还发现，星巴克、CNN、纽约时报等 App也有类似情况。这一现象引发用户对隐私泄露的担忧。

据媒体测评，国内常用的App，比如QQ、新浪微博、淘宝、网易云音乐等都会获取用户的剪切板。多位专家向隐私护卫队证实，这一情况在国内业界，甚至其他国家的应用程序中都是普遍存在的。

App一般用这个功能做什么？用户经常在剪切板中复制的手机号、住址、银行账号会不会有泄露的风险？这种风险又该如何规避？对此，隐私护卫队一一询问了相关专家。

***

TikTok回应：是为了打击垃圾评论、恶意刷评论

6月23日，苹果新系统iOS 14在WWDC开发者大会上发布，一系列保护用户隐私的新功能是亮点之一。其中，一项新增提醒功能引发了此次争议。

有已经升级到iOS 14开发者测试版的TikTok用户发现，系统在不断提醒他们TikTok每隔几秒便会访问剪切板。从该用户提供的录屏中可以看到，当他在社交软件Instagram中复制一段文本，再打开TikTok并打出几个字母时，手机屏幕上方就会出现系统提醒 “TikTok pasted from Instagram(TikTok粘贴自Instagram)”。他认为，TikTok在“窃取”剪切板上的信息。

据了解，苹果新版本向用户发送App读取剪切板的通知，是为了让用户明确知道哪些App可能在追踪自己的信息。

盘古实验室研究员陈业炫告诉隐私护卫队，一般在手机里临时复制文字或者图片时，剪切板会起到数据中转区的作用——没有剪切板就无法完成复制粘贴的功能。但用户的担忧在于，剪切板上的这些信息可能包含有自己的住址、手机号、银行账号等，会不会有泄露的风险？

据财新网报道，TikTok相关负责人对此回应称，该情况与其打击垃圾评论、恶意刷评论的功能有关。因为部分用户会重复刷无意义的垃圾评论，基本模式是点击文本框，复制、粘贴此类内容并发送。因此，TikTok上线了相应的功能来打击此类行为。

此外，TikTok还称，该功能并不会访问用户剪贴板的任何内容。此前据外媒报道，TikTok已承诺停止使用该功能，并已向App Store提交了更新版本。

***

TikTok并非个例，国内外应用普遍存在

值得注意的是，国外网友发现，使用iOS 14时，不断获取iOS用户剪切板内容的并不止TikTok，AccuWeather、Starbucks、Google News以及CNN、纽约时报App等都存在同样问题。

据科技媒体品玩测评发现，在iOS 14开发者测试版中，国内常用的40款App中，包括QQ、微博、网易云音乐、淘宝等35款App均会获取用户的剪切板。

品玩PingWest的测评情况。图自品玩。

多位业内技术专家向隐私护卫队证实，TikTok并不是个例，这种情况在国内业界，甚至其他国家的应用程序中都是普遍存在的。

据了解，苹果的《App Store 审核指南》目前尚未禁止第三方App获取用户剪切板。陈业炫进一步解释道，在iOS系统中，必须是处于活跃状态的应用才可以获取。

他还补充道，在安卓系统中，Android P及之前都是可以自由读取写入的。但在新发布的 Android Q 系统中，谷歌几乎切断了所有第三方应用访问剪切板的权限，只有被用户设置为默认的输入法应用时，应用才能够访问剪切板中的数据。

至于App访问剪切板的目的，除了TikTok回应的理由——为了打击垃圾评论、恶意刷评论，陈业炫告诉隐私护卫队，还有的App是借助剪切板去识别一些指令。

比如，用户在微信中不能直接打开淘宝、抖音等App的链接，需要复制一个口令，等再次打开淘宝、抖音时会自动跳转到对应的商业页面，这就是利用了可以访问剪切板的功能。

北京安理律师事务所高级合伙人王新锐表示，各种口令出现的情况是有历史原因的。在不同互联网企业旗下App无法直接跳转情况之下，剪切板成了改善用户体验的一个很重要的通道。

***

把剪切板内容上传才算作“未经同意收集个人信息”

除了以上App合理访问剪切板的理由，有网友质疑，国内的应用厂商会不会利用剪切板的内容来收集用户喜好，以便于训练模型、进行个性化推荐等等。王新锐告诉隐私护卫队，据他了解，这种情况可能性不大。

他表示，互联网公司认为用户复制的内容一般是很杂乱琐碎、非结构化的，利用这些缺乏明确场景的碎片信息去勾勒用户画像用于营销不仅法律风险很大，技术难度也不小，得不偿失。

中国电子技术标准化信息安全中心测评实验室副主任何延哲谈到，如果App仅仅是读剪切板的内容，严格意义上不能算作是收集个人信息。只有在App私自把剪切板的信息识别出来并上传后台的情况下，才能算作是“未经同意收集个人信息”。

何延哲也提到，把一些以前隐蔽的操作展现给用户，让用户看到这个现象并有自己的判断是好事。但也需要注意，这种频繁提醒可能会让用户体验更差。

他解释道，手机操作系统、App涉及可能存在识别或推断出用户行为、喜好等的方式方法非常多，如果把每一次判断都交到用户手中，“（如果频繁收到提醒）这个手机就不会让人觉得很方便很好用了。”

王新锐也认为，技术的逻辑和合规的逻辑在这件事情上是相互抵触的。他说，在复制口令的场景下，让App访问剪切板可以直接打开对应的商品页面，本来就是为了让用户感到方便快捷，这时如果再弹出一个需要同意获取这项权限的弹窗，可能就失去了这样做原本的意义。

“这种把选择完全交由用户来判断的做法并不是高效的，给用户带来的疑惑多于有用的提示，还可能会把问题引向另一个极端，比如用户放弃一些让人不放心的功能但并没有真正起到保护自己的作用。”何延哲说。

他还表示，告知和透明当然是系统和App应该做的，但是应该更加贴合用户体验和问题的本质，而不是简单粗暴式的提醒，就像之前有些杀毒工具会误报病毒，可能会引起一些不必要的麻烦和误解。

何延哲建议，监管部门或者技术机构可以对剪切板内容使用提出一些指导规范，让 App包括操作系统再进一步优化，比如要求App上传剪切板内容时需要用户的知情同意等。他还表示，此次事件引发的争议，应该会让频繁获取剪切板内容的App有所收敛，一定程度上也起到了警示效果。