APP过度索权不是骚扰问题,国安部说这关乎国家安全

2026年5月13日，国家安全部在官方微信公众号上发了一篇文章。

文章不长，但有一个判断很重：APP过度索取授权的问题，已经不只是骚扰用户那么简单了。境外间谍情报机关正在利用非法获取的位置数据实施违法犯罪活动。

这不是国家安全部第一次就位置数据发声。

2025年12月14日，国安部在另一篇通报中指出，境外反华势力正在通过分析普通人的数字足迹数据，精准识别出哪些人长期、规律性地出现在重要军工单位和科研院所周边。然后用这些信息实施策反。

通报中还提到，境外势力可以通过长期监测通信基站、交通枢纽等核心区域的人员和车辆轨迹，逆向推断出内部安保体系的薄弱环节。

2026年4月27日，国安部再次发文提醒：境外间谍通过虚拟定位软件伪造位置信息，在社交平台上以高薪兼职为诱饵，诱骗涉密人员窃取国家秘密。

三次通报，指向同一个事实。你的日常行踪数据，正在被境外势力当作情报工具使用。

一、你的位置数据怎么流出去的

位置数据从手机流出去的路径，比你想象的要多得多。

第一层是APP本身。国家有关部门的调查发现，多款APP存在未经用户同意收集个人信息、强制索取位置信息的情况。你下载一个手电筒应用，它要求获取地理位置。你装一个文字编辑器，它索要通讯录权限。人民日报曾经把这类现象称为难以拒绝的同意。

第二层是SDK。SDK是软件开发工具包的缩写，简单说就是APP里内嵌的第三方功能模块。你用的一个APP可能集成了十几个SDK，每个SDK都可能在你不知情的情况下收集数据。

2025年12月2日，国家安全部专门发文提醒恶意SDK的风险。通报指出，境外组织可能通过将恶意SDK嵌入各类应用软件，非法收集敏感信息，并远程传输至境外服务器。个别境外SDK服务商甚至通过付费方式诱使开发者使用其服务，形成隐蔽的数据获取链条。

第三层是运营商和平台。工信部通报过31款APP和SDK存在违规收集个人信息的行为。三大运营商的SDK在提供一键登录功能时，也会收集设备信息和地理位置。还有全埋点SDK，可以在后台持续收集用户的行为数据，包括位置信息。

从APP到SDK，从SDK到数据聚合平台，再从聚合平台到境外服务器。国家安全部把这定义为对国家安全构成的现实威胁。

你的位置数据属于敏感个人信息，这一点法律上有明确定义。

《个人信息保护法》第28条把行踪轨迹列为敏感个人信息，处理这类信息需要取得个人的单独同意。《网络安全法》第21条要求网络运营者履行安全保护义务，包括制定安全管理制度、采取数据加密措施等。《数据安全法》也对数据处理者提出了安全保护要求。

国家安全部在SDK通报中，对企业提出了具体要求：建立SDK全生命周期安全管理机制，优先选用备案SDK，严格评估功能独立性，持续监测SDK是否有异常行为。

现实是什么？

手电筒应用要地理位置，外卖软件要后台持续定位，社交平台的SDK超范围收集数据。最小必要原则在很多APP的隐私政策里只是一段文字，没有真正执行。

违法成本方面，《个人信息保护法》第66条规定了对企业的处罚措施，包括责令改正、没收违法所得、暂停或终止服务。企业罚款上限100万元，直接责任人罚款1万到10万元。

对比位置数据的交易规模，这个违法成本够不够形成震慑，是一个需要正视的问题。

2025年，江苏扬州，一个叫陈某的男子因为私装车辆GPS定位器追债，两年内倒卖车主行踪数据非法获利40余万元，最终被依法判刑。

检察官在案件通报中提醒：私自加装定位器、倒卖车主行踪信息均触犯法律。

这个案例说明两个问题。第一，位置数据确实在被人交易。第二，非法获取和出售位置数据，已经不只是违规，而是犯罪。

回到普通手机用户身上，你能做的比想象中多。

国家安全部的建议很具体：根据使用场景灵活调整权限开关，地图应用仅在导航时打开位置权限，非必要不开启后台定位。

几个实用操作。

逐应用设置定位权限。购物软件设为使用期间允许，导航软件导航时打开，社交软件设为从不。

关闭精确位置选项。大多数APP只需要大致位置，精确到米级的定位对多数服务没有实际意义。

停用系统级位置服务。比如iPhone的重要地点功能会记录你常去的地点，关闭它并清除历史记录。

关闭用户体验改进计划。很多手机默认开启，开启意味着使用行为被记录并上传。

定期检查权限异常。手机系统自带的安全监测功能可以显示哪些APP在什么时间获取了什么权限。

国家安全部还提示，如果发现相关线索可以举报。

你每天用手机产生的位置数据，看起来只是一次导航、一个外卖地址、一条朋友圈定位。但当这些数据被汇聚、被分析、被传输到境外时，它的性质就变了。

技术在进步，定位精度在提升，数据收集的路径在增加。法律在完善，执法在落地，企业的安全义务在明确。

在这个过程中，每个手机用户对自己的位置数据多一分警觉，就等于在这条防线上多加了一块砖。