Ответ специалиста на пост Митрича "под шумок".

   TL;DR: Если коротко, то тут сплошные вопросы по "выводам". Всё не так плохо и вполне возможно что всё было бы пофиксено до официального релиза приложения.

Для такого приложения, разрешения вполне адекватные.

  Android позволяет отключать разрешения и всегда можно запретить треккинг местоположения когда приложение закрыто. По коду видно что приложение сырое, но пиздеца тут нет. "Доступ к файлам" в Android нужен чтобы записать фото с камеры в память телефона и потом её оттуда прочитать. Можно без него? Конечно. Есть ли смысл? Нет, смысла нет. На практике приложение может читать только свои файлы, плюс общие папки вроде галереи. Большинство приложение в Play Store которые работают с камерой будут запрашивать это разрешение.

  То что передаётся в открытом виде, это: ID устройства, ID пользователя, широта и долгота. Если человек на карантине сидит дома, то эти данные увидит провайдер, который и так прекрасно знает где находится его абонент. Если человек гуляет по городу, то он подключен к мобильному интернету (бесплатный вайфай закончился вместе с кафе и ресторанами), а мобильный оператор и без этого знает положение всех пользователей.
Хорошо ли это? Однозначно нет. Есть ли здесь реальный риск того что кто-то кто не должен, что-то там увидит?
Нет.

Про 180 миллионов - наброс чистой воды, это размер всего контракта на разработку подписанный аж в январе. Сколько из 180 ушло на это творение непонятно, но явно что это начали разрабатывать не в январе.

Упоминание НАТО сразу наводит на мысли, но если к конкретике, то приложение передаёт фото человека на сервера в Германии, а в ответ получает "анонимный" ID. То есть это как например смотреть Яндекс панорамы с не замазанными лицами. Чего там полезного для НАТО, знает видимо только автор поста. Сервис по распознаванию знать не знает кто это и откуда взялось это фото (то есть ему всё равно с камеры телефона фото, загружено из галереи или это стоп кадр фильма из папки "Дипломная работа (Копия) (2)"). В любом случае есть Статья 152.1 ГК РФ "Охрана изображения гражданина", и там прям первым пунктом идёт исключение: "использование изображения осуществляется в государственных, общественных или иных публичных интересах;". Так что хоть в страны НАТО, хоть папуасам в Африку.

С учётом того что приложение не требует входа, то логично что оно будет себя идентифицировать через ID устройства, коим является MAC и IMEI. Причём по возможности будет использован MAC, если позволяет установленная версия Android. А MAC, как известно, особо ничем не полезен, кроме как узнать кто произвёл сетевой модуль устройства, вне контекста идентификации устройства в сети. А IMEI это единственная нормальная альтернатива MAC адресу, для этого и требуется "возможность звонить" (звонить никто никуда не будет, но в Android под этим разрешением спрятано множество данных связанных именно с телефонией, к коим и относится IMEI). В любом случае, данные MAC и IMEI не являются страшной тайной и вполне себе используются по прямому и непрямому назначению множеством приложений, и поделившись им с Правительством Москвы пользователю не убудет.

   А если по функционалу (про что автор умолчал), то суть в том что человек на карантине в течении дня получает уведомления о том что надо пройти подтверждение. Далее он в приложение делает селфи и его лицо распознаётся через Эстонский сервис. Затем приложение отправляет результат Эстонской проверки вместе в координатами на Московские сервера. Если проверка пройдена, то ничего не происходит. Если Эстонский сервис распознал другого человека (отдал телефон жене, а сам ушёл погулять), или если координаты вдруг указывают на лесную поляну, то данные передаются на С-70 «Охотник» человеку для проверки и выполнения действий по пресечению нарушения условий карантина.

Тем у кого нет телефона, выдадут самый дешёвый Android с камерой (меньше 3 тыр в розницу). Это распространенная практика в медицине. Не у всех есть смартфоны (а точнее не у всех есть Android, так как такие приложения под iOS делать никто не будет), а причин иметь доступ к пациенту когда он вне стен мед. учреждений предостаточно (к примеру такое повсеместно применяется в клинических исследованиях).