網(wǎng)絡(luò)匿名的惡意辱罵、誹謗造謠、網(wǎng)絡(luò)詐騙、低俗文化傳播等行為對個人利益和公共利益造成了極大的損害，也為網(wǎng)絡(luò)空間治理和良好網(wǎng)絡(luò)生態(tài)建設(shè)提出了巨大挑戰(zhàn)。網(wǎng)絡(luò)實名制作為一種以用戶實名為基礎(chǔ)的互聯(lián)網(wǎng)管理方式，是治理網(wǎng)絡(luò)不良現(xiàn)象，凈化網(wǎng)絡(luò)空間的重要手段和制度。App實名認證是網(wǎng)絡(luò)實名制發(fā)展的產(chǎn)物，是網(wǎng)絡(luò)運營者依據(jù)用戶提供的個人信息證實其真實身份的機制。實踐中，App對實名認證提出了不同的解決方案。本文針對市場上各類App實名認證的方式、場景及存在問題等現(xiàn)狀進行分析。

　　一。實名認證的方式

　　App將用戶信息提交給第三方實名認證服務(wù)器，實名認證服務(wù)器調(diào)用相應(yīng)的數(shù)據(jù)庫對真實身份信息進行比對，最終返回驗證結(jié)果給App。流程如下圖所示：

　　在實際應(yīng)用中App常用的實名認證方式有以下幾種：

　　（一）身份證二要素驗證：調(diào)用公安等政府部門的官方身份數(shù)據(jù)庫，驗證用戶姓名與身份證號與庫中數(shù)據(jù)的一致性，常用于網(wǎng)絡(luò)社區(qū)、酒店服務(wù)、交通票務(wù)、網(wǎng)絡(luò)游戲等行業(yè)的App。

　?。ǘ┦謾C號三要素驗證：調(diào)用移動、聯(lián)通、電信運營商的電話號碼庫，驗證用戶姓名、身份證號碼、手機號碼三類信息的真實性及與庫數(shù)據(jù)的一致性，常用于即時通信、在線教育、在線醫(yī)療、網(wǎng)上購物、求職招聘、快遞物流、二手交易、旅游服務(wù)等行業(yè)的App。

　?。ㄈ┿y行卡四要素驗證：調(diào)用銀聯(lián)數(shù)據(jù)庫接口，驗證用戶的姓名、身份證號、銀行卡號、銀行預(yù)留手機號與庫數(shù)據(jù)的一致性，常用于網(wǎng)絡(luò)支付、手機銀行、網(wǎng)絡(luò)借貸、投資理財?shù)刃袠I(yè)的App。

　　除以上三種驗證方式，部分App還采用收集用戶臉部、指紋、虹膜等生物信息來確認其身份的真實性的“實人認證”。這種增強式的實名認證在實際應(yīng)用中有越來越被寬泛使用的趨勢。

　　二。實名認證場景及分析

　　實名認證涉及的個人信息一般為用戶的敏感個人信息，App在此場景收集用戶信息時應(yīng)同步告知用戶其目的。從App同步說明的目的歸納分析，實名認證一是為滿足國家或行業(yè)法律法規(guī)的履責(zé)需要，二是為維護運營秩序的風(fēng)險控制，相關(guān)場景主要有以下幾類：

　?。ㄒ唬┞呢?zé)需要

　　注冊時要求的賬號憑證。從2013年9月1日起，新辦理電話卡的用戶需進行真實身份信息登記。因此用戶注冊時的手機號既可作為賬號憑證也可為App確認用戶真實身份。大部分App使用基于手機號的身份認證（見圖一），部分App進一步要求用戶輸入姓名、證件號碼等真實身份信息（見圖二）來確認用戶的身份。

　　履行公共安全、信息報送義務(wù)。健康碼申請、個稅申報等業(yè)務(wù)功能在調(diào)用用戶行程軌跡、健康信息、個人收入時，需用戶真實身份信息查詢相關(guān)的數(shù)據(jù)庫，確認人員是否達到高危風(fēng)險地區(qū)，是否為密接人群及收入真實情況（見圖三、圖四）。

　　滿足行業(yè)、業(yè)務(wù)特殊要求。為針對直播平臺可能的涉黃、低俗和不良之風(fēng)，相關(guān)網(wǎng)絡(luò)文化協(xié)會對申請成為主播的用戶提出了提交姓名、身份證號碼、手機號碼、銀行卡賬戶信息、本人手持身份證照片的實名信息的要求（見圖五）。在海淘購物的場景下，我國海關(guān)要求入境私人物品需要提供收件人身份證進行報關(guān)（見圖六）。

　　（二）風(fēng)險控制

　　加強服務(wù)安全性時的增強性身份驗證。為確保資金安全，在用戶進行支付、提現(xiàn)、投保、借款、交易等的操作時，App要求提供用戶姓名和證件號碼的真實身份信息。（見圖七、圖八）。

　　確認用戶行為出自本人意愿。App在用戶進行賬號注銷、個人歷史信息導(dǎo)出等與用戶權(quán)益關(guān)系重大的操作時為確保用戶為賬號擁有者，采用實名制的方式來防范可能被惡意注銷賬號和被他人盜取信息副本的風(fēng)險。（見圖九、圖十）。

　?。ㄈo明確對應(yīng)目的

　　以各類獎勵方式為由收集實名信息。與以上場景不同的是此類場景下的實名認證不是強制的。App使用紅包、禮品券等方式獎勵用戶完成實名認證環(huán)節(jié)或者以提高信任值、提升成交率、有可能享受更多權(quán)益等理由讓用戶同意實名認證（圖十一、圖十二）。

　　三。App實名認證收集個人信息存在的問題分析

　　上述App常見的實名認證場景中，從檢測評估的結(jié)果來分析，主要存在以下問題：

　?。ㄒ唬〢pp闡述實名認證所依據(jù)的要求不明確

　　《網(wǎng)絡(luò)安全法》第四十一條要求，網(wǎng)絡(luò)運營者收集、使用個人信息，應(yīng)當(dāng)遵循合法、正當(dāng)、必要的原則，《個人信息保護法（草案）》第六條要求“處理個人信息應(yīng)當(dāng)具有明確、合理的目的”，因此App在以實名認證為由收集個人信息時，應(yīng)將其所依據(jù)的國家法律法規(guī)、行業(yè)管理辦法的條款及要求明確說明或援引，而大部分App僅以“依據(jù)法律法規(guī)及監(jiān)管要求”、“相關(guān)規(guī)定”等模糊說法概括，應(yīng)該說是未達到向用戶說明收集目的應(yīng)具備的合法基礎(chǔ)和合理理由。

　?。ǘ┓夯褂脤嵜频囊?/p>

　　2017年 6 月 1 日開始實施的《網(wǎng)絡(luò)安全法》提出的“網(wǎng)絡(luò)運營者，應(yīng)當(dāng)要求用戶提供真實身份信息”統(tǒng)領(lǐng)性要求，但尚沒有詳細、完整的配套文件對需實名認證具體的服務(wù)類型進行界定，沒有對不同場景實名認證所需真實身份信息的具體類別進行明確。隨著越來越多App在越來越多的場景下要求用戶進行實名認證，就有部分企業(yè)存在“搭便車”心態(tài)，泛化使用實名認證要求，在既非必要場景下，又非強實名要求下，以實名認證為由要求用戶提供姓名、身份證號碼甚至人臉信息。且由于很多App在要求用戶實名認證時，未能明確說明所依據(jù)的法律法規(guī)要求，用戶也就很難分辨其必要性。

　?。ㄈ┢垓_用戶提供實名認證的個人信息

　　實名制的推出有利于行業(yè)主管部門進行監(jiān)督，打擊犯罪，實名制已介入社會管理的多個領(lǐng)域，為了防范黃牛倒賣，實行了“火車票實名制”；為了保護個人財產(chǎn)，實行了“儲蓄實名制”；為了杜絕垃圾、欺詐短信，實行了“手機實名制”。實名認證對社會管理追責(zé)方面也發(fā)揮了重要作用，但仍有些App“以欺詐、誘騙等不正當(dāng)方式誤導(dǎo)用戶同意收集實名信息”的行為，比如，以實名認證為由收集用戶個人信息，但并未對信息作真實性核驗。測試發(fā)現(xiàn)，使用用戶A的姓名、用戶B的身份證號碼，用戶C的人臉信息，卻通過了某些App的實名認證。出現(xiàn)該問題的原因有二，其一是由于驗證用戶信息的真實性時，調(diào)用第三方接口需支付一定的服務(wù)費用，在用戶量大的情況下，費用對于App而言是一筆不小的開支；其二因為大部分人還是會提交真實的個人信息，App運營者通過超范圍收集方式“囤積”數(shù)據(jù)，收集的這些敏感的個人信息，將可能為其提供更多的“變現(xiàn)”機會。

　　（四）未向用戶明示實名信息的處理方式

　　《網(wǎng)絡(luò)安全法》第四十三條規(guī)定，網(wǎng)絡(luò)運營者應(yīng)按照法律、行政法規(guī)的規(guī)定和與用戶的約定，收集使用個人信息。據(jù)此規(guī)定，以實名認證為由收集的個人信息不應(yīng)用于其他用途，在使用實名認證接口服務(wù)時，不得私自截留、存儲此部分信息。在實踐中大多數(shù)App在實名認證時，沒有說明此信息在完成相應(yīng)身份驗證功能后將被如何處理（見圖十三、圖十四）。個人實名信息大多為敏感個人信息，一旦泄露可能會對用戶財產(chǎn)等個人權(quán)益造成嚴重危害，特別是人臉、指紋等生物特征，屬于不可變更的信息，除非特殊的場景不應(yīng)收集。對于實名信息，如國家法律法規(guī)提出了保存要求時，應(yīng)對個人信息安全作充分地影響評估，確保系統(tǒng)信息保護機制達到相應(yīng)的要求。

　　四。幾點安全建議：

　　App實名認證涉及龐大的數(shù)據(jù)信息，緊密關(guān)系著網(wǎng)民的個人信息安全，它的順利推行還需有關(guān)主管部門進一步完善頂層設(shè)計和配套措施，推動網(wǎng)絡(luò)運營者依法依規(guī)，在遵循最小必要原則前提下收集使用用戶實名信息。

　　政策法規(guī)層面：可針對實名制的應(yīng)用場景進行區(qū)分，出臺相應(yīng)的規(guī)章文件以及分級分類保護政策，制定標(biāo)準規(guī)范引導(dǎo)企業(yè)正確應(yīng)用。規(guī)章、政策等提出的框架性要求，應(yīng)有配套的標(biāo)準規(guī)范“明確”其范圍、類型。同時，要充分發(fā)揮實名制的積極作用，還應(yīng)當(dāng)建立相應(yīng)的監(jiān)督管理機制，壓縮運營者的自由裁量空間，避免運營者泛化使用實名制要求。

　　App運營者層面：一是明確需要實名認證的業(yè)務(wù)類型。以實名認證為由收集的個人信息，必須要有明確的依據(jù)。App運營者應(yīng)梳理各部門或行業(yè)的相關(guān)要求，確認國家要求實名認證的業(yè)務(wù)類型。如現(xiàn)在已經(jīng)明確的乘坐飛機或列車及長途汽車、住賓館、進網(wǎng)吧、購買管制物品、寄快遞、申請電話號碼、網(wǎng)絡(luò)游戲等均需實名制，在涉及此類型的業(yè)務(wù)時可以提出實名認證的要求。二是明確所需的實名信息類型。二要素、三要素、四要素驗證方式所需收集的用戶個人信息類型及其敏感度不同，強度依次增強。實名制要求與最小必要原則并不矛盾，需要根據(jù)具體需要選擇適用于業(yè)務(wù)場景的實名認證方式，這樣既是對用戶個人信息的保護，也是充分履責(zé)、節(jié)約成本的體現(xiàn)。三是限制實名信息的使用范圍。首先，絕大部分場景下，實名信息就是用于身份認證，其使用目的、范圍是非常明確的，也是用戶容易理解的，但是一旦用于其他目的，則需要再次征得用戶明示同意；其次，使用實名信息，應(yīng)避免使用原始數(shù)據(jù)，僅采用加密或去標(biāo)識化數(shù)據(jù)實現(xiàn)身份再次驗證等功能，將更有利于保護信息不被泄露、濫用。