近日，有网友爆料，自己在用航旅纵横APP值机选座时，可以看到同机乘客的昵称、照片、职业和行程轨迹等信息资料，并且自己的个人信息也被系统默认暴露在陌生人面前，双方还可以私信聊天。
此功能引发旅客争议，有旅客表示“个人标签”和“热力图”甚至无法删除，更有旅客不解“值机选座原本好好地功能为何非要搭上社交？”
对此，业内专家则认为，该功能涉嫌未经授权泄露用户个人信息。而应用软件的数据处理要和隐私政策中的承诺相一致。
网友发文称选座或暴露隐私，“感觉他们都透明了一样”
6月11日，微信公众号“航空物语”发表题为“航旅纵横，正在把你的私密信息暴露给陌生人！”的文章，作者“小雨”表示，利用手机APP航旅纵横查看航班动态的时候，发现了一个让人不安的产品，“今天，我发现从自己的座位号点击进去，可以看到飞机的座位图，哪个座位有人，哪个座位没人，一目了然，还挺有意思。”
随后，“小雨”还可以点击其中一位乘客的个人主页，通过观察主页可了解到乘客的姓名，星座，爱好等相关信息，“厉害了，我居然一下子就知道这个用户的名字（徐某），ta家应该住在北京，经常去广深和沈阳，还常去西安、上海、福建。”该网友写道。“小雨”称，之后又连续点击了几名乘客的个人主页，均可看到TA的标签和TA的热力图，有的乘客在“TA的标签”中显示其是天秤座，飞行达人，偏爱深航，座位靠窗派，有的乘客显示着双鱼座，北京，偏爱南航，座位过道派等标签，而“Ta的热力图”则是乘客足迹踏过的地方，会在一张中国地图上点亮。
飞机上，“小雨”称自己对照了乘客的座位信息还找到了那位家住广东，经常去北京，喜欢靠窗座位的乘客。“下飞机的时候，我看着周围的乘客，知道这人喜欢坐南航，那人喜欢坐深航；那个经常去上海；还有前两排的女生是双鱼座，有的人我还知道了名字，感觉他们都透明了一样。”她这样说道。
无论“昵称乘客”还是“游客”均可以使用私聊功能
6月11日，周到记者曾下载了航旅纵横APP，注册并绑定个人航班信息后，可在“当前行程”页面中办理值机选座，并可查看客舱图中的座位和相关信息。
此外，记者点击了已乘坐航班的行程回顾里同样看到一张“客舱图”，在客舱图中，左上角提醒到：“在客舱图中可以查看同航班的小伙伴并和他们聊天啦，快跟大家打个招呼吧，请文明发言哟。”并且，页面上被乘客选定的座位上会显示一个灰色小人。记者点击灰色小人，即可进入乘客的个人主页，看到了乘客的热力图。热力图则是用户足迹踏过的地方，会在地图上点亮，去过的次数越多，圆圈则越大。
同时，通过座位进入乘客的个人主页后，页面最下方有一个“私信”按钮，可借此与该乘客直接聊天。无论是显示昵称的乘客还是显示为“游客”的乘客均可以使用该功能。
隐私信息一度为默认开启状态
据了解，航旅纵横由中国民航信息网络股份有限公司开发，具有航班动态查询、值机选座、天气预报、行程管理等功能，也是是旅行工具类 APP 中的人气产品。
因为航旅纵横APP是中航信属下的，而中航信是中国民航的唯一数据服务公司，所有中国的航空公司（春秋航空除外）都使用中航信的离港、订座系统服务。但日前，该软件个人主页展示功能引发热议，不少网友表示该功能暴露了乘客的个人隐私，令人“细思极恐”，这样追求做社交的APP非常不合理，希望撤销此功能。
值得注意的是，在个人主页点击右上角编辑图标，除了可以修改昵称、头像、标签和职业等功能之外，在编辑页面最下方，“隐私设置”一栏，“允许他人查看我的个人主页”和“允许他人与我进行私聊”的两个功能按钮一度为默认开启状态。
航旅纵横：调整“虚拟客舱”功能，展示信息将默认关闭
6月12日下午，航旅纵横在其官方微博发布公告称：虚拟客舱的核心思路是想探索当机舱中的用户都在线的情况下出行服务能够有哪些创新，此功能是目前正在部分航线测试的新功能，展示的不是个人的真实身份信息，均为头像、昵称、标签等可编辑的信息，标签由用户自行添加，热力图进行了虚化处理，整个个人主页用户可根据自己的意愿自行选择开启或者关闭。
同时，航旅纵横也表示在听到大家的反馈后，将虚拟个人主页设为默认关闭状态，产品后续会进一步改进，落款为“航旅纵横”客服。随后，周到记者查看了自己的信息设置，看到在“我的标签”和“我的热力图”里，系统显示“已默认隐藏，他人无法查看。”
声明一出，也有业内人士发出质疑，所谓的“个人的真实身份信息，均为头像、昵称等可编辑信息”属于偷换概念，个人行踪轨迹，头像、昵称等信息，都可以识别个人身份，都属于个人信息的范畴。
专家：默认公开隐私不符合要求
根据国家标准GB/T 35273-2017 《信息安全技术 个人信息安全规范》，姓名、行踪轨迹、通信通讯联系方式都属于个人信息。其中，行踪轨迹更是属于“一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇”的个人敏感信息。
上海社会科学院互联网研究中心高级研究员张衠在接受周到记者采访时表示：
“一般来说，收集和共享用户信息，需要用户明确的同意，默认设置是一种默示同意，肯定是不符合要求的。”
除此之外，按照网络安全法第四十一条，网络运营者收集、使用个人信息，应当明示收集、使用信息的目的、方式和范围，并经被收集者同意。网络运营者不得违反法律、行政法规的规定和双方的约定收集、使用个人信息。
张衠还指出，根据个人信息安全规范，新功能上线要单独获得用户同意。
“从（航旅纵横）申明来看，这个新功能上线是否通知用户，获取用户同意授权？”
专家提醒：数据处理要和隐私政策中的承诺相一致
周到记者查阅航旅纵横的隐私政策，发现有如下表述：您的特殊个人信息，例如您的个人电话号码、身份证、护照、军官证、港澳通行证、大陆居民往来台湾地区通行证、行程轨迹、位置信息，被认为是个人敏感信息。
在收集此类个人敏感信息前，您需要谨慎考虑，同时‘航旅纵横’将征得您的同意，并对您的个人敏感信息严格保护，您同意这些个人敏感信息将按照本声明所阐明的目的和方式来进行处理。
对此，张衠表示，真正的数据处理操作要和隐私政策中的承诺相一致，否则就是欺骗用户。
“数据保护的合规性不仅仅看你隐私政策写得如何，而是要看实际的数据处理行为。”
张衠提醒道，在《个人信息安全规范》颁布以后，许多企业更新了其隐私政策，以符合规范推荐的隐私政策模板。
“表面上看，许多隐私政策都写得非常全面，但企业在产品和功能设计上是否真正落实用户数据保护的理念还存在疑问，和‘设计保护隐私’的理念还有很大的距离。”
张衠认为，企业应用大数据技术为用户提供个性化服务是趋势，但是要给予用户更多的透明度和控制权，包括数据共享的对象和范围。尤其是陌生人社交功能，数据共享更要谨慎，应当由用户来控制和操作。
“因为这不仅涉及用户信息安全，还可能涉及财产人身安全问题。”
张衠说道。
