40款App又被通报:监管查的不只是“怎么收”,还有“用户能不能管”

     这次 40 款 App 通报，问题横跨 11 类。命中最广的是「未经用户同意收集」——25 款，占六成多。但把 11 类按生命周期排一下，第二大的不是「怎么收」，是「用户想管自己的数据时，找不找得到门」：未建投诉举报渠道 15 款、未提供便捷行权渠道 6 款。   

收集端的功课——弹窗、隐私政策、权限索取——查了七年，头部产品大体收敛了。这份通报透出的结构是：监管正沿着用户数据的生命周期，从进门（你怎么收）一路查到出门（用户怎么管、怎么离开）。

而「出门」这一段，恰恰是过去投入最少、这次暴露最大的地方。

这就是本期要反编译的逻辑：为什么这批通报，把镜头同时对准了进门和出门。

① 监管事件 · 先钉死事实锚

· 通报对象：40 款移动应用，存在一项或多项违法违规收集使用个人信息情况

· 检测主体 / 期间：公安部计算机信息系统安全产品质量监督检验中心 · 检测期 2026-05-06 至 05-27

· 法律依据：《网络安全法》《个人信息保护法》《网络数据安全管理条例》《App违法违规收集使用个人信息行为认定方法》

· 上游行动：三部门《关于开展2026年个人信息保护系列专项行动的公告》（2026-04-02 启动）

· 上一批：2026-05-14 通报 41 款，复测仍有 8 款存在问题，分发平台已予下架

40 款里每款常命中多项，11 类问题合计 60 余项。按个人信息生命周期归到四道闸门，这组分布是本通报最该盯住的数字：

· ① 进门 · 告知与同意：未经用户同意收集 25 · 申请权限未同步告知目的 5 · 未完整准确告知 3

· ② 收集 · 最小必要：超出必要范围收集 2 · 频繁弹出广告影响使用 1

· ③ 出门 · 用户行权：未建立投诉举报渠道 15 · 未提供便捷行权渠道 6 · 未设个性化推荐关闭选项 1

· ④ 退出 · 删除与特殊主体：未列明向第三方提供 1 · 未提供有效注销功能 1 · 未成年人未取得监护人同意 1

完整名单见文末文件包里的通报原文明细表。下面拆它背后的四个信号。

② 监管逻辑 · 这份通报透出的四个信号

信号 1 ｜ 监管的视线，覆盖了「进门」和「出门」两端

「未经同意」仍是命中最广的单项（25/40），这并不意外——它是七年来 App 治理的老红线（同意应当自愿、明确、在充分知情下作出）。本栏目 EP01 就拆过它的工程姿势。

真正值得标记的是第二大的那一组：投诉举报渠道（15）+ 便捷行权渠道（6）。它们不属于「你怎么收数据」，而属于「收完之后，用户还能不能管」。

把进门和出门并排看，结构就清楚了：监管不是在抽查某一个动作，是在沿着个人信息的完整生命周期逐段验收——进门给不给得清楚（告知、同意、最小必要），出门走不走得通（查询、拒绝、投诉、删除、注销）。收集端整改的是交互，行权端整改动的是真实成本（建受理机制、配人响应、断营销触达），所以它最慢，也就成了这批通报里暴露面最大的一段。

     这不是预测「监管下一步先查谁」——下一批查什么、按什么顺序，本栏目不替监管判断。这里只读一件事：本批 40 款的违规结构，已经把「出门」这一端摆到了和「进门」同等的位置。

信号 2 ｜「投诉无门」为什么能排到第二

15 款栽在「未建立投诉举报渠道」，比「超范围收集」「未成年人」这些更扎眼的项都多。原因不在于它更严重，而在于它最容易被忽略，又最容易被实测命中。

PIPL 第五十条写得很直接：个人信息处理者应当建立便捷的个人行使权利的申请受理和处理机制；拒绝请求的，应当说明理由。《认定方法》进一步把「未建立并公布有效的投诉、举报渠道」列为独立认定情形。也就是说——「有没有受理用户诉求的入口」，本身就是一条可被单独认定的合规线，和「怎么收数据」平级。

很多产品把隐私合规的预算压在了同意弹窗和隐私政策上（因为那是上架审核会看的），却没给「用户事后反悔」留一个能走通的通道。检测方只要以普通用户身份去找「我想投诉 / 我想行使权利」的入口，找不到、或形同虚设，就命中。

信号 3 ｜「未成年人」这条：高压但低频，命中即重

11 类里，「处理未成年人个人信息未取得监护人同意」只有 1 款——频次很低。但它是这批通报里单条分量最重的一项：PIPL 第三十一条把不满十四周岁未成年人个人信息列为敏感个人信息，要求取得父母或其他监护人同意，并制定专门的处理规则。

频次低不等于风险低。它低频，是因为大多数 App 主动规避了未成年人场景；可一旦你的产品实际触达了这个人群（哪怕只是没做有效的年龄识别），命中的就不是「整改一下」，而是敏感信息 + 特殊主体的双重加重口径。这道闸门的工程做法——年龄识别怎么设、监护人同意怎么取——属于整改图纸栏目，本篇不抢戏。

信号 4 ｜ 这是「系列」的又一发，不是孤立事件

依据列表里，《网络数据安全管理条例》（2025-01-01 施行）已进入常规引用位，与《个人信息保护法》《认定方法》组成「法律 + 行政法规 + 操作手册」的完整执法堆栈。

更要紧的是节奏：这份 6-22 的通报，上游是 2026-04-02 三部门的系列专项行动；而就在一个月前的 5-14，刚通报过 41 款、复测仍有 8 款被下架。同一年里，「通报—复测—下架」已经跑了不止一轮。这是一个可被两条公开弧线印证的观察：批量通报正在常态化。你现在做的自查，对照的就是下一批的检测项——至于下一批具体落在哪几类，不在本文的判断范围。

③ 企业自查 · 四道闸门，监管在看什么

别人看名单，我们看监管的视线落点。这批通报的 11 类问题，恰好落在个人信息生命周期的四道闸门上。本栏目只回答一个问题：监管在看什么——「该怎么改、该备什么证据」是整改图纸栏目的事，这里不抢戏。

监管核查整改时，本质就是逐行追问上面四块。这四道闸门里，过去大家普遍只把功夫下在 ①，而这批通报的暴露面在 ③——出门那道门。

这四道闸门各自的工程整改方案——同意状态机、最小必要的权限治理、行权受理机制的搭建、注销与删除能力——会在「整改图纸」栏目逐一展开，本篇不抢戏。

不要做这 4 件事

❌ 把合规预算全压在上架审核看得见的地方。同意弹窗、隐私政策做得漂亮，却没给「用户事后反悔」留入口——这次 21 款（15+6）栽的就是这一类。

❌ 把「投诉举报渠道」理解成在帮助页写一行客服邮箱。第五十条要的是「便捷的受理和处理机制」——找得到、收得到、有回应，才算建立，不是挂一个地址。

❌ 因为没做未成年人业务就忽略年龄识别。没有有效识别 = 默认你可能正在处理未成年人信息，命中即按敏感信息加重口径。

❌ 被点名后只改被点名那一条。检测是四道闸门全查，核查时不会只看通报里那一行。

一页 Checklist · 把自己当成被通报的那一款

通报给被点名企业固定整改窗口。把它反过来用：假如这批 40 款里有你，这四道闸门今天能不能交差？答不上来的行，就是当下的整改项：

1. 收集每类信息前，用户给过一次有效同意、并知道目的吗？——同意自愿明确、目的同步告知（产品 + 法务）

2. 有没有在「无关场景」多收位置、通讯录、短信？——权限-功能映射清晰，无场景外采集（客户端研发）

3. 普通用户想「投诉 / 行使权利」，几步能找到入口、几天有人回？——入口可达、受理机制有人响应、有时限（产品 + 合规）

4. 一个新账号现在就走注销，走得通吗？撤回同意后数据怎么处理？——全流程可走通、有删除 / 处理记录（产品负责人）

5. 如果产品可能触达未成年人，年龄识别和监护人同意做了吗？——有识别机制 + 专门处理规则（产品 + 法务）

     监管已经不再只问「你怎么收数据」——它在亲手找那扇「用户管自己数据」的门，看它开不开。   

今天就做这 1 件事

拿一台干净的测试机，以一个普通新用户的身份，只做一件事：在你自家 App 里找「我要投诉 / 我要行使个人信息权利」的入口——计时、截图。

产出一页「出门体检单」：几步找到、找不找得到、点进去是真受理还是死链、有没有承诺响应时限。今天发给产品负责人。

找得到、走得通，这页纸就是你的审计证据；找不到——最好是你先发现，而不是出现在下一批通报的明细表里。

我们正在观察的三个信号

这期反编译留下三个开放变量，本栏目会持续追踪（写的是「会查到什么深度」，不是「先查谁」）：

① 行权端的核查会不会从「有没有入口」走向「响应得有效不有效」——这次实测的是渠道找不找得到；下一步，会不会核查投诉提交后到底有没有人处理、删除请求有没有真执行？

② 「便捷行使权利」会不会被进一步细化口径——第五十条的「便捷」目前还是定性词；后续会不会出现对响应时限、入口层级的更具体认定？

③ 个性化推荐的「关闭选项」会不会从「有没有开关」走向「关了是否真的不再画像」——这次点的是「未设置关闭选项」；下一步会不会用行为检测看关闭之后推荐逻辑有没有真停？

下一批通报出来，拿这三条对答案。

     从同意弹窗、权限索取，到投诉入口、账号注销，监管正在沿着个人信息生命周期逐段验收。     过去的合规竞争比「进门给不给得清楚」，现在还要比「出门走不走得通」。     当监管以一个普通用户的身份去找那扇「管理自己数据」的门，真正接受测试的，是企业有没有把「用户的退出权」也当成一个要交付的功能。