ARTICLE · 1301455
82款App被通报之后:你的小程序,可能正在替第三方 SDK“背锅”
引言｜个人信息保护的执法，已经从“立规矩”走到了“点名”这一步。2026年10月14日，国家网络与信息安全信息通报中心通报82款违法违规收集使用个人信息的移动应用；次日，工业和信息化部信息通信管理局通报2026年第6批（总第59批）17 款侵害用户权益的App及SDK——两份名单合起来近百款，被点名的既有医院的小程序，也有银行的 App。这两份通报依据的是《中华人民共和国个人信息保护法》第十七条、第二十三条、第五十一条，以及《App违法违规收集使用个人信息行为认定方法》所列的六类情形。一起看看，这些名单背后，企业到底踩了哪几条线吧。
一、先说结论：这 82 款，错在三件事上
把通报的问题归类，其实只有三类，对应三个法律动作。
第一类，没说清楚。首次运行时没有通过弹窗等明显方式提示用户阅读隐私政策；默认勾选同意；隐私政策难以访问；处理个人信息前，没有以显著方式、清晰易懂的语言，真实、准确、完整地告知处理者的名称或姓名、联系方式、保存期限。这一类涉及20款。对应的法条是《个人信息保护法》第十七条。
第二类，没列明白。隐私政策没有逐一列出 App（包括委托的第三方、嵌入的第三方代码和插件）收集使用个人信息的目的、方式、范围。这一类涉及49 款，是占比最大的一类。它对应的不是“有没有告知”，而是“告知得够不够具体”。
第三类，没管住“往外给”。向其他个人信息处理者提供信息时，没有告知接收方名称、联系方式、处理目的、处理方式和个人信息种类，也没有取得单独同意；没有提供便捷的撤回同意方式；个别应用甚至没有隐私政策。
三类问题，说到底是三件事没做到位：告知、同意、监督。
二、为什么“锅”总落在 SDK 身上
SDK 是别人写好的一段代码包，装进你的 App 或小程序里，帮你做统计、推送、支付、地图、客服、风控。它省了你三个月开发时间，也带走了你看不见的数据。
很多企业的隐私政策里写着“我们可能接入第三方 SDK”。这句话在内部看起来是“已披露”，在监管眼里却是“没披露”——因为《认定方法》要求的是逐一列明目的、方式、范围，而不是一句概括性的“可能”。
更关键的是责任归属。《个人信息保护法》第二十一条规定，委托处理个人信息应当约定委托的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利义务，并对受托人的处理活动进行监督。也就是说，SDK 提供方是不是合规，不是他的事，是你的事——至少是你必须去核实的事。
需要注意的是：“技术服务商说没问题”，不等于你没问题。监管看到的界面是你的，用户点的同意是你的，出了事第一顺位被找的也是你。你能拿出来的，应该是一张清单、一份协议、一组开关、一套日志。
三、“单独同意”到底要怎么“单独”
《个人信息保护法》第十四条要求，基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出；法律、行政法规规定应当取得单独同意的，从其规定；处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得同意。第二十三条进一步要求，向其他个人信息处理者提供个人信息，应当告知接收方名称或姓名、联系方式、处理目的、处理方式和个人信息种类，并取得单独同意。
“单独”两个字，实践中有三个硬指标：
（1）单独呈现——不是在《用户协议》里打个勾，而是就这一项共享行为，单独弹窗、单独说明、单独勾选；
（2）单独可拒绝——拒绝这一项，不能连带把基本功能一起关掉，除非该信息确属提供服务的必需；
（3）单独可追溯——要能拿出“谁、在什么时间、同意了什么版本、什么内容”的记录。
合规建议：把“共享清单”做成一张表，字段包括：共享方名称、涉及的个人信息种类、处理目的、处理方式、传输方式、是否境外、合同编号、责任人。每季度更新一次，由法务、技术、业务三方签字。这张表既是合规底稿，也是出事时的第一份证据。
四、小程序、公众号、H5，算不算“App”？
这是企业问得最多的问题。答案是：在监管实践里，算。
本轮 82 款名单里，微信小程序、支付宝小程序、百度小程序、微信服务号占了大半；被点名的还有多家医院的小程序——它们没有在应用商店上架，但同样在收集患者信息。工信部的通报里，SDK 也早已被单独列为通报对象。
换句话说，你没有上架应用商店，不等于没有合规义务。小程序“即用即走”的优势，恰恰也是它的风险：授权弹窗更容易被做成默认同意，隐私政策更容易被藏在一个点不开的链接里。
五、被通报了会怎样？会不会罚钱
要区分两个阶段。
通报本身，是监管措施，不是行政处罚。通报会要求限期整改、复测；整改不到位，才会进入处置环节——下架、暂停相关服务、依法处罚。
真正的罚则在《个人信息保护法》第六十六条：责令改正、给予警告、没收违法所得；拒不改正的，处一百万元以下罚款；情节严重的，处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、吊销相关业务许可或者营业执照，对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。
需要注意的是：“情节严重”不是抽象概念。违法处理个人信息数量巨大、持续时间长、曾因同类行为被处罚、造成严重后果，都可能构成。通报，往往就是那个“曾经”的起点。
六、一张自查表：这周就能做完的五件事
（1）拉清单。让技术把 App、小程序、H5里所有SDK、接口、第三方跳转列出来，标注用途与数据流向；
（2）改文本。隐私政策逐一列明每个 SDK 收集的目的、方式、范围，补上处理者名称、联系方式、保存期限；
（3）补同意。把涉及共享、敏感信息、自动化决策的场景拆出来，做单独弹窗与单独勾选，并确保可以撤回；
（4）收权限。按最小必要原则清理权限申请，把“首次打开就全要”改成“用到再要”；
（5）留痕迹。同意记录、政策版本、SDK 变更日志、影响评估报告，统一归档。
Q&A：
问
我们公司只有小程序，没有App，也会被通报吗？
会。通报的表述是“移动应用”，实践中覆盖小程序、服务号、H5。本轮82款里，小程序与服务号占比很高。判断标准不是“有没有上架应用商店”，而是“有没有在移动端收集个人信息”。
问
隐私政策里写了“可能接入第三方SDK”，够不够？
不够。《认定方法》要求逐一列出目的、方式、范围。概括性表述会被认定为“未明示收集使用规则”。合规建议：做一个SDK清单页，随版本更新，并在隐私政策中链接过去。
问
用户点了“同意”，是不是就一劳永逸了？
不是。《个人信息保护法》第十四条明确，处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得同意；第四十四条至第四十七条还赋予个人知情、决定、查阅、复制、更正、删除等权利，必须提供便捷的行使路径与撤回同意的入口。
问
SDK是技术服务商提供的，出事能不能让他们担？
对内可以依合同追偿，对外你仍是个人信息处理者。《个人信息保护法》第二十一条要求你与受托人约定处理目的、期限、方式、种类、保护措施与双方权利义务，并对受托人的处理活动进行监督。合同里至少要写清：数据用途限制、再委托限制、安全事件通知时限、审计权、删除与返还义务。
问
被通报了，要不要等下架才处理？
不要。通报到处置之间有一段窗口期，这段时间里主动整改、主动报告，通常比被动等待的结果好得多。需要注意的是：整改不是改文本，是把技术实现一起改掉。
问
我们做的是B端产品，用户是企业员工，还要不要做这些？
要。员工同样是自然人，其个人信息受《个人信息保护法》保护；此外，你服务的品牌方、平台方在供应商审核中，现在普遍会查这一项。B 端不是法外之地，只是知情同意的场景不同。
法律依据
《中华人民共和国个人信息保护法》第六条：处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围，不得过度收集个人信息。
《中华人民共和国个人信息保护法》第十三条：符合下列情形之一的，个人信息处理者方可处理个人信息：（一）取得个人的同意；……（六）依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；（七）法律、行政法规规定的其他情形。
《中华人民共和国个人信息保护法》第十四条：基于个人同意处理个人信息的，该同意应当由个人在充分知情的前提下自愿、明确作出。法律、行政法规规定处理个人信息应当取得个人单独同意或者书面同意的，从其规定。……个人信息的处理目的、处理方式和处理的个人信息种类发生变更的，应当重新取得个人同意。
《中华人民共和国个人信息保护法》第十七条：个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地向个人告知下列事项：（一）个人信息处理者的名称或者姓名和联系方式；（二）个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；（三）个人行使本法规定权利的方式和程序；（四）法律、行政法规规定应当告知的其他事项。……
《中华人民共和国个人信息保护法》第二十一条：个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的个人信息处理活动进行监督。……
《中华人民共和国个人信息保护法》第二十三条：个人信息处理者向其他个人信息处理者提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。……
《中华人民共和国个人信息保护法》第五十一条：个人信息处理者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，采取下列措施确保个人信息处理活动符合法律、行政法规的规定，并防止未经授权的访问以及个人信息泄露、篡改、丢失：（一）制定内部管理制度和操作规程；（二）对个人信息实行分类管理；（三）采取相应的加密、去标识化等安全技术措施；（四）合理确定个人信息处理的操作权限，并定期对从业人员进行安全教育和培训；（五）制定并组织实施个人信息安全事件应急预案；……
《中华人民共和国个人信息保护法》第六十六条：违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。有前款规定的违法行为，情节严重的，由省级以上部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务、停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款。
《App 违法违规收集使用个人信息行为认定方法》（国家互联网信息办公室、工业和信息化部、公安部、国家市场监督管理总局，2019 年 11 月 28 日）列举六类情形，包括未公开收集使用规则、未明示收集使用目的方式范围、未经用户同意收集使用、违反必要原则收集与提供服务无关的个人信息、未经同意向他人提供个人信息、未提供删除或更正功能及投诉举报方式。本轮通报的问题，基本都能在六类情形中对应到具体一项。
《常见类型移动互联网应用程序必要个人信息范围规定》（国家互联网信息办公室、工业和信息化部、公安部、国家市场监督管理总局，2021 年 3 月 12 日公布，2021 年 5 月 1 日施行）按 39 类常见应用列明必要个人信息范围，是判断“是否超范围收集”的直接依据。
《网络数据安全管理条例》（国务院令第 790 号，2024 年 9 月 24 日公布，2025 年 1 月 1 日施行）对个人信息、重要数据的安全管理作出系统性规定，是《个人信息保护法》之下最重要的行政法规配套。
张文婧 律师
上海中联律师事务所
上海市律师协会国际贸易与自贸区专业委员会委员
数据安全师
专业领域：企业合规 · 并购 · 争议解决｜AI 治理 · 数据合规 · 数字贸易规则
张文婧律师执业以来，前后已为近百家公司客户提供常年法律顾问服务及专项企业合规服务，在企业日常经营审批流程管控、合同管控、商业秘密保护、数据合规、劳动人事管理与合规、股权激励、劳动人事争议解决及危机事件处理方面有成熟丰富处理经验，在并购重组、投融资领域所涉项目股权结构、融资方案的设计及项目谈判方面也有丰富实战经验，尤其擅长为初创企业利用动态股权商业模型设计股权架构，促成初创团队良性合作，连续五年（2021年至2025年）获得律师事务所“优秀商事律师称号”。
联系方式：182 0176 1264
wenjing.zhang@sgla.com
