網絡匿名的惡意辱罵、誹謗造謠、網絡詐騙、低俗文化傳播等行為對個人利益和公共利益造成了極大的損害，也為網絡空間治理和良好網絡生態建設提出了巨大挑戰。網絡實名制作為一種以用戶實名為基礎的互聯網管理方式，是治理網絡不良現象，凈化網絡空間的重要手段和制度。App實名認證是網絡實名制發展的產物，是網絡運營者依據用戶提供的個人信息證實其真實身份的機制。實踐中，App對實名認證提出了不同的解決方案。本文針對市場上各類App實名認證的方式、場景及存在問題等現狀進行分析。
一。實名認證的方式
App將用戶信息提交給第三方實名認證服務器，實名認證服務器調用相應的數據庫對真實身份信息進行比對，最終返回驗證結果給App。流程如下圖所示：
在實際應用中App常用的實名認證方式有以下幾種：
（一）身份證二要素驗證：調用公安等政府部門的官方身份數據庫，驗證用戶姓名與身份證號與庫中數據的一致性，常用于網絡社區、酒店服務、交通票務、網絡游戲等行業的App。
（二）手機號三要素驗證：調用移動、聯通、電信運營商的電話號碼庫，驗證用戶姓名、身份證號碼、手機號碼三類信息的真實性及與庫數據的一致性，常用于即時通信、在線教育、在線醫療、網上購物、求職招聘、快遞物流、二手交易、旅游服務等行業的App。
（三）銀行卡四要素驗證：調用銀聯數據庫接口，驗證用戶的姓名、身份證號、銀行卡號、銀行預留手機號與庫數據的一致性，常用于網絡支付、手機銀行、網絡借貸、投資理財等行業的App。
除以上三種驗證方式，部分App還采用收集用戶臉部、指紋、虹膜等生物信息來確認其身份的真實性的“實人認證”。這種增強式的實名認證在實際應用中有越來越被寬泛使用的趨勢。
二。實名認證場景及分析
實名認證涉及的個人信息一般為用戶的敏感個人信息，App在此場景收集用戶信息時應同步告知用戶其目的。從App同步說明的目的歸納分析，實名認證一是為滿足國家或行業法律法規的履責需要，二是為維護運營秩序的風險控制，相關場景主要有以下幾類：
（一）履責需要
注冊時要求的賬號憑證。從2013年9月1日起，新辦理電話卡的用戶需進行真實身份信息登記。因此用戶注冊時的手機號既可作為賬號憑證也可為App確認用戶真實身份。大部分App使用基于手機號的身份認證（見圖一），部分App進一步要求用戶輸入姓名、證件號碼等真實身份信息（見圖二）來確認用戶的身份。
履行公共安全、信息報送義務。健康碼申請、個稅申報等業務功能在調用用戶行程軌跡、健康信息、個人收入時，需用戶真實身份信息查詢相關的數據庫，確認人員是否達到高危風險地區，是否為密接人群及收入真實情況（見圖三、圖四）。
滿足行業、業務特殊要求。為針對直播平臺可能的涉黃、低俗和不良之風，相關網絡文化協會對申請成為主播的用戶提出了提交姓名、身份證號碼、手機號碼、銀行卡賬戶信息、本人手持身份證照片的實名信息的要求（見圖五）。在海淘購物的場景下，我國海關要求入境私人物品需要提供收件人身份證進行報關（見圖六）。
（二）風險控制
加強服務安全性時的增強性身份驗證。為確保資金安全，在用戶進行支付、提現、投保、借款、交易等的操作時，App要求提供用戶姓名和證件號碼的真實身份信息。（見圖七、圖八）。
確認用戶行為出自本人意愿。App在用戶進行賬號注銷、個人歷史信息導出等與用戶權益關系重大的操作時為確保用戶為賬號擁有者，采用實名制的方式來防范可能被惡意注銷賬號和被他人盜取信息副本的風險。（見圖九、圖十）。
（三）無明確對應目的
以各類獎勵方式為由收集實名信息。與以上場景不同的是此類場景下的實名認證不是強制的。App使用紅包、禮品券等方式獎勵用戶完成實名認證環節或者以提高信任值、提升成交率、有可能享受更多權益等理由讓用戶同意實名認證（圖十一、圖十二）。
三。App實名認證收集個人信息存在的問題分析
上述App常見的實名認證場景中，從檢測評估的結果來分析，主要存在以下問題：
（一）App闡述實名認證所依據的要求不明確
《網絡安全法》第四十一條要求，網絡運營者收集、使用個人信息，應當遵循合法、正當、必要的原則，《個人信息保護法（草案）》第六條要求“處理個人信息應當具有明確、合理的目的”，因此App在以實名認證為由收集個人信息時，應將其所依據的國家法律法規、行業管理辦法的條款及要求明確說明或援引，而大部分App僅以“依據法律法規及監管要求”、“相關規定”等模糊說法概括，應該說是未達到向用戶說明收集目的應具備的合法基礎和合理理由。
（二）泛化使用實名制的要求
2017年 6 月 1 日開始實施的《網絡安全法》提出的“網絡運營者，應當要求用戶提供真實身份信息”統領性要求，但尚沒有詳細、完整的配套文件對需實名認證具體的服務類型進行界定，沒有對不同場景實名認證所需真實身份信息的具體類別進行明確。隨著越來越多App在越來越多的場景下要求用戶進行實名認證，就有部分企業存在“搭便車”心態，泛化使用實名認證要求，在既非必要場景下，又非強實名要求下，以實名認證為由要求用戶提供姓名、身份證號碼甚至人臉信息。且由于很多App在要求用戶實名認證時，未能明確說明所依據的法律法規要求，用戶也就很難分辨其必要性。
（三）欺騙用戶提供實名認證的個人信息
實名制的推出有利于行業主管部門進行監督，打擊犯罪，實名制已介入社會管理的多個領域，為了防范黃牛倒賣，實行了“火車票實名制”；為了保護個人財產，實行了“儲蓄實名制”；為了杜絕垃圾、欺詐短信，實行了“手機實名制”。實名認證對社會管理追責方面也發揮了重要作用，但仍有些App“以欺詐、誘騙等不正當方式誤導用戶同意收集實名信息”的行為，比如，以實名認證為由收集用戶個人信息，但并未對信息作真實性核驗。測試發現，使用用戶A的姓名、用戶B的身份證號碼，用戶C的人臉信息，卻通過了某些App的實名認證。出現該問題的原因有二，其一是由于驗證用戶信息的真實性時，調用第三方接口需支付一定的服務費用，在用戶量大的情況下，費用對于App而言是一筆不小的開支；其二因為大部分人還是會提交真實的個人信息，App運營者通過超范圍收集方式“囤積”數據，收集的這些敏感的個人信息，將可能為其提供更多的“變現”機會。
（四）未向用戶明示實名信息的處理方式
《網絡安全法》第四十三條規定，網絡運營者應按照法律、行政法規的規定和與用戶的約定，收集使用個人信息。據此規定，以實名認證為由收集的個人信息不應用于其他用途，在使用實名認證接口服務時，不得私自截留、存儲此部分信息。在實踐中大多數App在實名認證時，沒有說明此信息在完成相應身份驗證功能后將被如何處理（見圖十三、圖十四）。個人實名信息大多為敏感個人信息，一旦泄露可能會對用戶財產等個人權益造成嚴重危害，特別是人臉、指紋等生物特征，屬于不可變更的信息，除非特殊的場景不應收集。對于實名信息，如國家法律法規提出了保存要求時，應對個人信息安全作充分地影響評估，確保系統信息保護機制達到相應的要求。
四。幾點安全建議：
App實名認證涉及龐大的數據信息，緊密關系著網民的個人信息安全，它的順利推行還需有關主管部門進一步完善頂層設計和配套措施，推動網絡運營者依法依規，在遵循最小必要原則前提下收集使用用戶實名信息。
政策法規層面：可針對實名制的應用場景進行區分，出臺相應的規章文件以及分級分類保護政策，制定標準規范引導企業正確應用。規章、政策等提出的框架性要求，應有配套的標準規范“明確”其范圍、類型。同時，要充分發揮實名制的積極作用，還應當建立相應的監督管理機制，壓縮運營者的自由裁量空間，避免運營者泛化使用實名制要求。
App運營者層面：一是明確需要實名認證的業務類型。以實名認證為由收集的個人信息，必須要有明確的依據。App運營者應梳理各部門或行業的相關要求，確認國家要求實名認證的業務類型。如現在已經明確的乘坐飛機或列車及長途汽車、住賓館、進網吧、購買管制物品、寄快遞、申請電話號碼、網絡游戲等均需實名制，在涉及此類型的業務時可以提出實名認證的要求。二是明確所需的實名信息類型。二要素、三要素、四要素驗證方式所需收集的用戶個人信息類型及其敏感度不同，強度依次增強。實名制要求與最小必要原則并不矛盾，需要根據具體需要選擇適用于業務場景的實名認證方式，這樣既是對用戶個人信息的保護，也是充分履責、節約成本的體現。三是限制實名信息的使用范圍。首先，絕大部分場景下，實名信息就是用于身份認證，其使用目的、范圍是非常明確的，也是用戶容易理解的，但是一旦用于其他目的，則需要再次征得用戶明示同意；其次，使用實名信息，應避免使用原始數據，僅采用加密或去標識化數據實現身份再次驗證等功能，將更有利于保護信息不被泄露、濫用。
