为什么 App 反复被通报,隐私政策该写什么

最近几批通报里，问题大多落在隐私政策本身。按早年那套 App 要求写出来的政策，结构完整，弹窗、同意、注销都有，检查时还是过不去。两套要求的落点不同：早期查的是有没有规则、怎么展示、有没有拿到同意；《中华人民共和国个人信息保护法》第十七条查的是告知内容真实、准确、完整。文本没写全，或者写的和 App 实际做的对不上，就进了通报名单。

2026 年 8 月 19 日，中国网信网公布专项行动的阶段性数据：累计对 2 万余款 App、SDK 开展核查检测，督促 4000 余款完成整改，公开通报 1100 余款，对 400 余款采取下架等处置处罚措施。这个量说明检测已经常态化。

两批国家网络安全通报中心的通报把检查重点写得很直白。84 款里数量最多的一类落在隐私政策没有逐一列出委托的第三方和嵌入的第三方代码、插件在做什么；35 款里专门列了"告知与实际收集使用情况不一致"。隐私政策和真实行为对不上，本身就是问题。

《中华人民共和国个人信息保护法》第十七条要求以显著方式、清晰易懂的语言真实、准确、完整地告知四项事项，处理规则要公开、便于查阅和保存。《信息安全技术 个人信息安全规范》（GB/T 35273—2020）第 5.5 条把政策内容展开成八项，附录 D 给了模板。把这两处和用户的疑问对起来，隐私政策要回答的是下面七个问题。

这七项里，"处理过程中会发生什么"最容易被写成一句套话。它在条文上对应的是第三十条关于敏感个人信息的必要性与影响、第五十五条事前个人信息保护影响评估、第五十七条泄露通知，在标准上对应的是"提供个人信息后可能存在的安全风险，及不提供个人信息可能产生的影响"。这些都要落到具体场景里写。

2013 年的《电信和互联网用户个人信息保护规定》（工业和信息化部令第 24 号）第八条要求制定并公布收集使用规则，第九条要求告知目的、方式和范围、查询更正渠道、拒绝提供信息的后果。2019 年，国家互联网信息办公室、工业和信息化部、公安部、国家市场监督管理总局联合印发《App 违法违规收集使用个人信息行为认定方法》，把检查项进一步落到有没有隐私政策、首次运行是否弹窗、是否默认勾选、四次点击能否访问、是否逐一列出目的方式范围、有没有注销和投诉渠道、十五个工作日内是否答复。

按这一套写，隐私政策的骨架就定型了：适用范围、收集清单、使用目的、权限说明、联系方式、注销入口。这套骨架到现在仍然管用，通报里"无隐私政策""未弹窗提示""难以访问""未提供有效注销"这几项查的就是它。

《中华人民共和国个人信息保护法》施行后，要求往内容里走了。第十七条把告知事项定为处理者名称与联系方式、处理目的与处理方式、个人信息种类与保存期限、个人行使权利的方式和程序，并且要求真实、准确、完整；第二十三条就向其他处理者提供个人信息，增加了接收方名称、联系方式、处理目的、处理方式、个人信息种类和单独同意；第三十一条要求为不满十四周岁未成年人制定专门的个人信息处理规则；第五十一条把加密、去标识化、分类管理、操作权限、应急预案列为处理者义务。GB/T 35273—2020 第 5.5 条的政策内容里，安全措施说明、安全风险与不提供信息的影响、外部纠纷解决机构这几项，老模板里通常没有位置。

现在两套要求在一起查。工业和信息化部 8 月 25 日、10 月 15 日两批通报的依据栏里，《个人信息保护法》《网络安全法》《电信条例》《电信和互联网用户个人信息保护规定》是并列写的。一份只按早期检查项写出来的政策，弹窗、同意、注销都合格，内容项仍会缺一大截。

第三方清单排在最前面。认定方法二、1 要求逐一列出 App、委托的第三方、嵌入的第三方代码和插件各自收集使用个人信息的目的、方式、范围。4 月通报里有 2 款未逐一列出软件开发工具包，6 月通报里有 5 款未完整准确列明，8 月和 10 月两批工业和信息化部通报都出现了"软件开发工具包信息公示不到位"，10 月 27 日那批 84 款里，45 款落在这一项。法务手上的合同和第三方清单很难跟上版本迭代，一个版本接了新组件，政策没同步，文本就与实际情况对不上了。

技术侧措施说明也经常缺位。《个人信息保护法》第五十一条把加密、去标识化列为处理者义务；GB/T 35273—2020 第 5.5 条要求政策说明具备的数据安全能力和采取的个人信息安全保护措施，附录 D 的模板单列了"我们如何保护您的个人信息"一节。10 月 27 日通报第 9 类"未能采取有效安全技术措施，防止未经授权的访问以及个人信息泄露、篡改、丢失"涉及 12 款。这里有个边界要说清：法律要求采取这些措施，推荐性国家标准要求政策里说明措施，没有要求公开密钥或者算法细节。写清楚传输与存储采用加密、去标识化处理、访问控制与权限管理、安全事件应急预案这一层即可。

接收方与单独同意同样容易写成概括表述。第二十三条要求告知接收方名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得单独同意。政策里只写"可能与第三方共享""与关联方共享"，缺少逐项列名和联系方式，84 款通报有 11 款、35 款通报有 4 款落在这里。

保存期限、未成年人专门规则、撤回同意与注销渠道这几项，在通报里也各有对应类别。它们与上面三块一样，都属于文本内容，改起来不难，难在没有人把运行侧的事实带进文档。

这几批通报里，缺文本的少，缺事实的多。接入的第三方组件、权限调用、数据流向、保存期限，检测机构在实际app中上都看得到，政策里没写，通报就落到"未逐一列出"或者"告知与实际不一致"。

推进的顺序与写文档的习惯反过来：先把技术侧情况进行统计，再动笔。客户端需要列出接入的软件工具包及各自收集的字段与用途，运维列出数据流向与存储位置，安全列出加密、去标识化、访问控制的实际做法，业务列出保存期限和共享的接收方。清单齐了，对照前面七个问题把政策补齐，最后拿政策逐条比对真机上的实际行为。

法务在这件事里管文本的准确与完整，事实由技术提供并确认。现在的网络安全、数据安全合规都需要法务和技术共同合作才能完成。