84款APP被通报:国信证券、东方甄选、悟空租车在列,第三方组件是重灾区

把一款APP的隐私合规做扎实，要花多少钱？隐私政策重写、组件清单逐一梳理、单独同意弹窗改造、未成年人规则补写，对一家成规模的应用，通常几万到十几万，周期两到四周。可这笔钱要是省了，被通报、被下架、被处罚的账就完全不同了：依据《网络安全法》和《个人信息保护法》，违法处理个人信息情节严重的，罚款最高可达五千万元或者上一年度营业额百分之五，相关责任人员也会被追责；而上期被通报的82款应用，复测仍有24款存在问题，相关分发平台已经予以下架。

事前省下的十几万，事后可能要拿产品下架、品牌损伤和千万级罚单去填。

2026年10月26日，国家网络安全通报中心通过"国家计算机病毒应急处理中心"检测发现并通报，84款移动应用存在一项或者多项违法违规收集使用个人信息的情况，涉及国信证券、东方甄选、悟空租车等知名应用。通报的依据，是中央网信办、工业和信息化部、公安部联合发布的《关于开展2026年个人信息保护系列专项行动的公告》，以及《网络安全法》《个人信息保护法》《网络数据安全管理条例》《APP违法违规收集使用个人信息行为认定方法》等法律法规。文中所列移动应用的检测时间，为2026年9月4日至2026年10月15日。

这条消息对AI公司特别扎心，是因为被点名的，几乎都是"AI公司最熟悉的那类产品形态"——APP、微信小程序、支付宝小程序、百度小程序。很多AI应用，正是以这些轻量形态面世的。

被通报的，不只是"小作坊"

这次名单里出现了不少有体量的名字。国信证券的微信服务号，因"首次运行未明显提示阅读隐私政策、隐私政策难以访问、未清晰告知处理者名称与保存期限"等问题被点名。东方甄选的安卓版本，同时踩中两条：隐私政策未逐一列出委托的第三方或嵌入的第三方代码、插件收集信息的目的方式范围，以及处理不满十四周岁未成年人个人信息未制定专门规则、未取得监护人单独同意。悟空租车、首汽约车司机端、中国联合航空等，则出现在"未能采取有效安全技术措施，防止未经授权的访问以及个人信息泄露、篡改、丢失"的名单里。

更值得AI公司警惕的是一批公共交通与城市服务应用。浦东国际机场、北京地铁、北京公交、宁波地铁、长沙地铁、徐州地铁、济南地铁等，被指出"向其他个人信息处理者提供个人信息时，未告知接收方名称、联系方式、处理目的、处理方式和个人信息种类，并取得个人单独同意"。换句话说，这些APP把用户数据传给了第三方，但既没告诉用户传给谁，也没拿到单独的同意。

十个问题，两个是AI公司的重灾区

通报把违规情形归为十类，其中有两类，几乎是AI应用的"结构性风险"：

第一类，是"隐私政策未逐一列出APP（包括委托的第三方或嵌入的第三方代码、插件）收集使用个人信息的目的、方式、范围"，这一项涉及45款，是十类里最多的。AI应用大量嵌入第三方组件，用于模型推理、语音识别、统计分析、消息推送、客服系统，但很多团队在隐私政策里只写"我们可能收集必要信息"，对第三方组件只字不提，或者笼统带过。这正是被集中点名的高频雷区。

第二类，是"向其他个人信息处理者提供个人信息，未告知接收方并取得的单独同意"，涉及11款。AI产品的数据链路往往比传统APP更长：用户提问可能经网关转发到模型服务方，日志可能进入第三方分析平台，训练或评测数据可能回流到模型厂商。只要发生"对外提供"，就要履行告知加单独同意义务，这一条在AI场景下极易被忽略。

其余几类同样不能掉以轻心：首次运行未明显提示隐私政策、以默认勾选代替明示同意的，涉及16款；无隐私政策的，涉及6款；未提供有效账号注销功能的，涉及5款；未提供撤回同意途径的，涉及3款；处理未成年人信息缺少专门规则与监护人单独同意的，涉及3款；未采取有效安全技术措施的，涉及12款。

法律后果，写在法条里

《个人信息保护法》第十七条要求，处理个人信息前，应当以显著方式、清晰易懂的语言，真实、准确、完整地向个人告知处理者的名称、联系方式、处理目的、处理方式、信息种类、保存期限等。第二十三条进一步明确，向其他处理者提供其处理的个人信息的，应当告知接收方的名称、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。第五十五条把"委托处理、对外提供、处理敏感个人信息"等情形，列入应当事前进行个人信息保护影响评估的范围。第六十六条规定，违法处理个人信息、拒不改正的，责令改正、给予警告、没收违法所得，并处以罚款；情节严重的，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者营业执照。

《网络安全法》第四十一条确立了合法、正当、必要原则，要求公开收集使用规则、明示目的方式和范围、征得被收集者同意；第六十四条则配套了责令改正、警告、没收违法所得、罚款直至吊销许可的罚则。

通报不是终点，复测不过就会直接下架——用户装都装不上，流量和收入随之归零。

通报还特意提醒：上期被通报的82款违法违规移动应用，经复测仍有24款存在问题，相关移动应用分发平台已经予以下架。这说明"通报"不是终点，复测不过就会直接下架，用户装都装不上，流量和收入随之归零。

为什么AI公司比传统APP更容易中招

传统APP的合规团队，对组件清单、隐私政策、单独同意已经形成了一套成熟流程。但AI公司往往技术驱动、上线节奏快，几个环节特别容易出岔子。

一是模型服务的"对外提供"链路不透明。用户的一个提问，可能经过自研网关、第三方推理平台、模型厂商、评测回调，每一跳都在"对外提供"个人信息，但团队内部未必画得清数据流向图，更谈不上逐跳告知与单独同意。

二是嵌入组件多且杂。为了快速实现语音、图像处理、推送、埋点，AI应用常常一次性接入五六个第三方组件，隐私政策却没同步更新，结果45款被点名的"第三方代码未列明"坑，AI产品几乎人人有份。

三是未成年人场景普遍。教育类、陪伴类、内容类AI产品天然面向未成年人，但专门的处理规则和监护人单独同意机制，很多团队还没建起来，东方甄选踩的正是这一条。

现在就该做的五件事

1. 画一张数据流向图。把用户数据从采集、传输、存储到对外提供的每一跳都标出来，明确每一跳的接收方是谁、处理目的是什么、有没有单独同意。这张图是后续一切合规动作的底座。
2. 把第三方组件逐一登记入账。列清每个组件收集的信息种类、目的、方式，并在隐私政策里逐项披露；对不再使用的组件及时下线，别让僵尸组件继续偷偷收数据。
3. 补上"对外提供"的告知与单独同意机制。凡是把用户数据传给模型厂商、分析平台、云服务的，都要在隐私政策里写明接收方，并设计能拿到单独同意的交互（不是默认勾选）。
4. 建立未成年人信息处理规则。只要产品可能触达十四周岁以下用户，就要有专门规则、监护人单独同意，以及相应的年龄识别与保护设计。
5. 把注销、撤回同意、更正删除做成可用功能。通报里"注销难、撤回同意难"反复出现，这些功能不是摆设，是法条明确要求的权利响应通道，最好做自动化响应，别让用户等人工。

一点提醒

本文所述84款应用的具体违法事实与最终处理，以国家网络安全通报中心及各地监管部门的公开信息为准。上述法律法规条文为现行有效规定，但个案适用与处罚幅度，不构成针对特定事项的法律意见。

第三方组件必须披露、对外提供必须单独同意——这两条红线，已经被这次通报用84个名字写得很清楚了。

本文依据公开通报与现行法规整理，仅供交流参考，不构成针对特定事项的法律意见。