东方甄选、北京地铁都在名单里:84 款 App 因违规收集个人信息被通报,你的手机里可能也装了

我在IBM做了 10 年信息安全，每天跟账号、权限、身份核验打交道。

10 月 26 日上午，国家网络安全通报中心在它的官方公众号上发了一份通报：84 款移动应用，因违法违规收集使用个人信息被点名。名单里有不少你叫得出名字的：东方甄选、北京地铁、北京公交、国信证券、51 信用卡管家、悟空租车、首汽约车司机端。

有一个细节，扫一眼名单很容易漏掉。这 84 款里，相当一部分不是你“装”在手机上的那种 App。国信证券那一栏，标注的是“微信服务号”；海口美兰机场，是“微信小程序”；湖北省肿瘤医院，是“百度小程序”。你没下载过它们，但只要你用过，它们照样在收你的信息。

根据中央网信办、工业和信息化部、公安部联合发布的《关于开展2026年个人信息保护系列专项行动的公告》，依据《网络安全法》《个人信息保护法》《网络数据安全管理条例》《App违法违规收集使用个人信息行为认定方法》等法律法规和有关规定，经国家计算机病毒应急处理中心检测，84款移动应用存在一项或者多项违法违规收集使用个人信息情况，现通报如下。（国家网络安全通报中心官方微信公众号，2026-10-26）

检测时间是 9 月 4 日到 10 月 15 日。名单一公开，你要做的第一件事变得很简单：拿这张名单，对一遍自己的手机。下面先讲这 84 款都栽在哪，再讲怎么处理。

一、84 款都栽在哪：十类问题，前三类占了大头

通报把问题分成了十类，每一类下面列出应用名称、版本号和下载渠道。按媒体报道的统计，款数分布是这样：

表一：84 款应用的问题分类（同一应用可能同时落在多类，合计超过 84）

（款数依据南方都市报 2026-10-26 对通报的分类统计；类型措辞对齐通报原文。）

第一处：最大的一类，栽在“没说清楚”，而不是“偷数据”

45 款，占了 84 款的一半还多，问题出在隐私政策没把第三方写全。现在的 App 很少自己干活：定位交给地图插件，支付交给支付插件，统计交给分析插件。法律要求把这些“小工”各自收什么信息、用来干什么，一条一条列出来。这 45 款没列全。

换句话说，多数被点名的应用，问题出在“告知”这一步做得潦草。这对你是个好消息：说明规则落在纸面上，普通人拿着通报就能对号入座，不需要懂技术。

第二处：11 款把信息给了别人，没单独征得你同意

个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当依照本法规定重新取得个人同意。（《个人信息保护法》第二十三条，2021-11-01 施行）

注意“单独同意”四个字。批量勾一份用户协议不算，得就“把你的信息给某某、用来干什么”这件事单独问你一次。北京公交、新浪新闻极速版、贵阳银行都在这一类里。你后来收到的那些莫名其妙的推销电话，有一部分源头就在这种转手环节。

第三处：12 款收了信息但没看好门；3 款在孩子身上栽了

第 9 类“未采取有效安全技术措施”，包括中国联合航空、首汽约车司机端等 12 款。收集合法不合法是一回事，收集之后锁没锁好是另一回事，两个义务并列，缺一个都算违规。

未成年人那一类只有 3 款，但份量不轻：东方甄选、龙巅、普拉提运动。处理不满十四周岁未成年人的信息，要制定专门的个人信息处理规则，收集要取得监护人的单独同意。东方甄选同时出现在“第三方没写全”和“未成年人”两栏里。给孩子装学习类、运动类应用之前，这一栏值得多看一眼。

二、我的一个判断：名单里最扎眼的，是那批小程序和服务号

我做信息安全这些年，见过太多机构有一个共同的心态：小程序不是 App，服务号更不是，所以那套个人信息保护的规矩“管不到我头上”。这次名单把这些心态全部戳穿了。医院的服务号、机场的小程序、券商的服务号、地铁公交的应用，检测机构的口径是“移动应用”，不是“应用商店里的安装包”。载体是什么不重要，收不收信息才重要。

这对你有两个直接含义。第一，别用“我装没装”来判断风险，微信里用过的每一个小程序都在这个口径里。第二，这类应用出问题往往不是恶意，是没人把这件事当正经活儿干，通知发下去没人认领。你在这些小程序里填过的手机号、身份证号、就诊信息，去向比大厂 App 更难说清。

还有一个机制值得知道：上期通报的 82 款，复测之后仍有 24 款存在问题，相关应用分发平台已予以下架。通报不是终点，检测机构会复测，复测不过就下架。也就是说，这张名单是滚动的，抽查不会停一次就完。

三、四步处理，抽空就能做完

表二：四步动作清单

（12321 网络不良与垃圾信息举报受理中心，工业和信息化部委托中国互联网协会设立。渠道入口措辞以该中心官网《投诉指南》为准。）

顺带说一句法律后果，免得有人问“通报了然后呢”。个人信息保护法第六十六条规定的处罚，第一档是责令改正、警告、没收违法所得，拒不改正的并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。本次通报公开的处置动作，是相关应用分发平台对存在问题应用进行处置。罚不罚、罚多少，由监管部门依程序决定，通报本身没有附带处罚决定。普通人拿名单做自查，就足够了。

如果名单里有你家孩子常用的应用，多走一步：看看它有没有儿童模式、有没有单独的隐私规则。没有的话，这一类应用在这份通报里已经有了现成的反面例子。

四、一个咂摸点

你以为的风险边界是“装没装”，监管的口径是“收没收”。差出来的那一截，就是小程序、服务号和那些你没当回事的入口。

这份通报还有一个容易被忽略的用处：它是免费的尽调材料。以后给家里老人孩子挑应用、给公司选第三方小程序服务，先拿通报名单搜一遍，比看任何广告都管用。

数字不用背，记住节奏就行：检测一个半月，通报一批，复测再淘汰一批。你的对手不是某个黑客，是“用完就忘”这四个字。

下一篇拆下一篇拆《“10月15日国补全面下线”是假的，但这三类国补骗局是真的》，关注别错过。

这是「10 年安全老兵：普通人防坑手册」的第 50 篇。

我是向内笃定，做了 10 年信息安全，现在独立做企业合规。这个号只讲一件事：普通人怎么防坑。已整理 50 篇，遇到要你交证件、填表、发验证码、签协议的，先来翻翻这个合集。

相关阅读：《个人信息被泄露了，普通人能做什么》（第 36 篇）；手机丢失后怎么止损、快递面单信息怎么保护，同合集里也各有一篇，可以翻。

84 款名单里，说不定就有家人常用的那个。转给他看一眼，比你自己记着强。

参考出处

1. 国家网络安全通报中心官方微信公众号《国家计算机病毒应急处理中心检测发现84款违法违规收集使用个人信息的移动应用》（2026-10-26 11:26 发布；通报载明检测时间为 2026-09-04 至 2026-10-15，上期 82 款中复测仍有 24 款存在问题、分发平台已下架）

2. 中新经纬《国信证券、东方甄选、悟空租车等84款APP违法违规收集使用个人信息被通报》（2026-10-26，转载通报全文，含各类涉及应用名单、版本号与下载渠道）

3. 南方都市报《84款违规收集个人信息应用被通报，涉东方甄选、国信证券等》（2026-10-26，十类问题款数统计与公共交通、金融领域分布）

4. 央视财经报道（经湖南日报·新湖南客户端 2026-10-27 转引）：本次检测依据中央网信办、工业和信息化部、公安部联合部署的 2026 年个人信息保护系列专项行动安排

5. 《中华人民共和国个人信息保护法》第十五条、第二十三条、第三十一条、第六十六条（中国人大网 www.npc.gov.cn 全文，中国网信网 www.cac.gov.cn 2021-08-20 刊载，2021-11-01 施行，至今未修正）

6. 《App违法违规收集使用个人信息行为认定方法》（中央网信办、工业和信息化部、公安部、市场监管总局四部门 2019 年发布，通报所列认定依据之一）

7. 12321 网络不良与垃圾信息举报受理中心（www.12321.cn；“个人信息泄露”投诉专页 m.12321.cn/user；微信公众号“12321受理中心”）