■本报记者 武晓莉
　　消费者李女士在操作北京公交APP退卡时发现，电子公交卡不仅要收取20元服务费，而且在退余款及服务费时，不仅被指定单一退款渠道，还被索取支付宝昵称、头像和姓名、手机号、证件号码等隐私信息。
　　记者调查发现，上述问题并非个案。这些操作是否属于APP过度索权？是否侵犯了APP用户的选择权？是否存在乱收费？在工业和信息化部重拳整治APP乱象的今天，这些问题亟待厘清。
APP收集信息令人担忧
　　李女士在给新手机导入北京公交APP时，由于搞不懂同步步骤，用户信息不能同步，导致新手机无法刷卡。她想退卡，然后在新手机中再充值。但退卡时李女士发现，该APP退款时要求用户绑定支付宝账号作为唯一的退款渠道；在获取权限时，除了要求提供支付宝账号的昵称、头像、性别、地区和用户状态外，还要求获取用户的姓名、手机号和证件号码等个人隐私权限，否则无法退卡。而且李女士此时才发现，北京公交APP居然还收取了20元服务费。“过去用实物卡收工本费还可以理解，现在电子卡竟然还要收服务费，虽然电子服务也有成本，但预付费乘车本来就有很大的资金沉淀，何况电子卡服务成本摊下来非常低，太不合理了。”李女士说。
　　记者调查发现类似情况并不少见。例如，北京一位用户春节期间在花点时间APP购花，其中一枝单独包装的名贵花卉冻伤，用户要求退赔偿款时，花点时间APP客服也是做如上要求。而且店里报价几十元的花，退款时只退4元钱。考虑到个人信息泄露的风险，用户放弃了4元钱。
　　记者在体验北京公交APP时发现，更换手机时的信息导入流程设置不够清晰明了，普通用户很难搞明白。而上述两个APP的费用问题，也都没有找到明确的依据。
　　对此，有用户质疑支付时都是使用微信支付，为何不能原路退款？APP申请的权限是否违反了工信部的收集个人信息最小必要原则？为何只能支付宝退还？如果用户没有支付宝，就无法实现退款，这是否侵犯了用户选择权？此外，电子公交卡本身就是预付款消费，为何还要收取服务费？是否合法？
如何判断是否过度索权
　　“判断APP的行为是否属于个人信息过度收集，有两种情况。”中国电子技术标准化研究院信息安全研究中心审查部总监、APP治理工作组专家何延哲说，“一种是业务功能本身是合理的，但收集的信息超出必要，这是比较典型的超必要范围收集。比如计算器APP只是算数字，却索要地理位置，显然没有必要。第二种是APP业务功能设置不合理，导致用户不得不提供更多的信息。如两个单独的功能都正常，但被绑定在一起就造成了多收集。例如，关闭了“刷卡进门”而强制要求刷脸，造成人脸信息被收集；强制要求扫码点餐，而多收集了用户的信息等。”
　　何延哲认为，第二种情形虽然不是典型的超必要范围收集，但事实上很常见，这本质上是一种过度收集行为，且原因比较复杂。北京公交APP和花点时间APP用户遇到的情形，就是APP方首先剥夺了用户的选择权才导致的一种过度收集行为，如果单独从提现这个功能看，需要验证账户、真实身份等其实都是必要的。
　　何延哲认为，评价上述现象首先要质疑其剥夺用户选择权的理由，为什么不采用最为简便、收集个人信息最少的方式？除非有一种极端情况，就是微信确实不支持退款，但是只要商家不讲明，就还是剥夺了用户的知情权。其次，假如不得不用支付宝这种退款方式，那么收集使用个人信息的规则就非常重要。这里面也分两种情况：一是如果用户有支付宝，理论上不会造成过度收集，因为这些信息支付宝已经有了。这里的问题不在于用户给不给，而在于这些信息是否仅仅用于验证？验证完，其原始信息并不需要保留，是否会删除？这个关键规则要是不给出，就有过度留存的风险。二是如果用户没有支付宝怎么办？只指定了一种退款渠道，等于强迫用户注册新账号。但支付宝注册其实是需要这些实名信息的，因此，这里的关键也不是是否过度收集个人信息的问题，而是需要先质疑该业务模式的合理性，是否与支付宝的推广有关等。三是因为用户在支付宝有注销权，所以用户可以在达成领钱目的后删除个人信息，只是这个过程太麻烦，可以说是对消费者权益的一种侵害。
退款为何不能原路返回
　　“肯定是APP自己的问题。”金融业内人士聂先生对记者说，“一般都是原路返回的。比如我春节用智行APP买了火车票，决定就地过年以后我去退票，就是原路把钱还给我的。”
　　APP用户支付时使用微信，但退款时被要求提供支付宝账号且没有其他选项，这里面的技术逻辑是什么？记者就此在微信群中求教了业内人士，大家的看法各异。“正常都是原路退啊，上述情况要么是APP接口问题，要么是财务做账的要求。”“正常退款都是原路返回，刚刚从拼多多退了一笔钱，拼多多-微信-银行卡。”“没什么为什么，就是APP捣鬼，直接向工信部网站投诉，齐活。”
　　“说明这个公司中两个支付渠道拿到的政策不同，支付宝可能更优惠。”“微信支付后台不留钱，入账第二天资金就直接打入对公账户了。当然有的公司也可以在微信后台设置留存资金，方便给用户退款。”
　　“公交APP本身也有非实名的功能，这样丢了就丢了，跟实体卡一样，没有找回功能。但手机APP其实可以用手机号注册，就可以满足找回需求，用户用手机号验证就应该可以继续充值使用，这是一个比较合理的账号系统，但身份证信息确实没有必要。”“不退原路是因为没有原路了，因为系统没保存或者查找困难等。不管怎么说，APP的进入和退出都应该提供多一些的选项。”“0元中标为什么？就是公交集团被APP供应方忽悠了，这种例子多的是。这种公司中标后，尽力收集个人信息是肯定的。”“其实这是公用事业APP的常见问题——缺乏全面严谨的产品设计以及快速迭代的更新能力。”通信业内人士付亮认为，“公交APP的做法可以这样理解，因为涉及资金往来，办卡时如果没有实名，退卡也是要实名的。”
　　付亮指出，由于退卡的需求远远弱于办卡需求，因此在开发设计的时候，就有可能尽量简化，但这样做并不合理。此外，支付宝或者微信支付，也都需要活体实名认证，有可能北京公交APP自己并没有做这个设计，只是在退卡时利用支付宝的接口。
　　付亮认为，APP不合理设置的整改，需要用户和舆论的监督。比如不少省的健康码最开始也只支持支付宝或微信，后来呼吁多了，就开始支持更多种方式了。
　　据记者了解，工信部正在起草的《移动互联网应用程序个人信息保护管理暂行规定》和电信终端产业协会发布的9项《APP收集使用个人信息最小必要评估规范》系列标准，将着重治理APP过度索权问题，给APP企业划出底线，为打击APP违规行为提供依据，以更好地保护用户信息，促进APP市场健康发展。