夜雨聆风点击蓝字，关注我们
随着《网络安全法》《个人信息保护法》及《网络数据安全管理条例》等法律法规的全面施行，我国对APP程序（含小程序）收集和使用个人信息的监管已转入常态化阶段。
中央网信办于2026年6月11日发布了《关于30款App个人信息收集使用问题的通报》。
该通报主要针对检测发现的30款App（含小程序）收集使用个人信息行为进行曝光，涉及未公开规则、频繁索要权限、第三方组件披露不全等问题。
通报要求相关运营者在发布之日起的15个工作日内完成整改并上报，属于典型的责令限期整改程序。
随后，国家网络安全通报中心于2026年6月24日发布通报。
该通报基于公安部计算机信息系统安全产品质量监督检验中心的技术检测，明确指出有40款APP存在一项或者多项违法违规收集使用个人信息的情况。
该通报进一步细化了11类具体的技术违规表现，并明确提及对前期检测发现、复测仍未完成整改的8款APP，分发平台已依法采取了下架处置。
为了帮助APP运营者准确把握合规尺度，本文客观解析两起通报各自反映的违规特征，并提出相应的合规建议。
01
APP核心违规行为分类
结合近期通报的技术抽测结果，各App及小程序在个人信息处理活动中的主要违规表现可客观归纳为以下五类：
1. 告知与同意机制流于形式
知情同意是合规收集个人信息的前提。
但在实际运行中，部分应用未能建立规范的明示与授权流程：
（1）规则未公开或披露不完整：
部分应用在前端界面中完全未公开个人信息收集使用规则；或者明示告知的收集目的、方式、范围与后台实际的技术收集行为不一致。
（2）未经同意收集或提前收集：
在用户明确点击同意隐私政策之前（如处于冷启动初始化或游客模式阶段），代码底层便提前调用系统接口收集设备识别码等个人信息。
（3）敏感权限告知流脱节：
应用在向手机系统申请打开可收集个人敏感信息的权限时，未能同步在交互界面向用户明示该项权限被触发的具体业务场景与当前目的。
2. 第三方组件（SDK）及数据共享披露不合规
App往往高度依赖各类数字化组件，但这一区域普遍存在数据流向不透明的问题：
（1）SDK收集情况披露不全：
应用未在隐私政策中完整、准确地列明集成的第三方软件开发工具包（SDK）收集使用个人信息的情况，导致第三方组件在后台擅自调取接口的行为游离在声明之外。
（2）第三方共享告知缺失：
应用在向其他第三方接收方提供数据时，未在合规文本中清晰列明所提供个人信息的种类、目的、方式以及接收方的名称和联系方式。
3. 违反必要性原则过度索权
数据处理应当满足最小必要原则，但部分应用在权限调用中超出了业务的合理边界：
（1）频繁索要非必要权限：
在用户明确点击拒绝某项非核心权限（如读取外部存储）后，应用未能在底层记录该拒绝状态，而是在用户后续切换界面或重新启动时频繁弹出索权提示，干扰用户的正常操作。
（2）无关场景越界收集：
应用超出必要范围，在缺乏直接业务场景支撑的情况下，强行收集地理位置、手机通讯录、短信息等个人敏感信息。
4. 未成年人敏感个人信息保护防线缺失
由于不满十四周岁未成年人的个人信息在法律上属于敏感个人信息，处理此类数据适用更为严格的法定前置条件：
缺少专门处理规则：
部分面向儿童或学生群体的APP，在技术开发上混用了成年人的常规收集流程。
在处理未成年人个人信息时，系统后台既未制定专门的个人信息处理规则，在前端也未配置独立的监护人同意验证流程，直接录入了未成年人数据。
5. 用户自主权利保障机制不健全
保障用户对其数据的控制权和退出权是定性合规的重要指标，但部分应用的功能架构建设相对滞后：
（1）账号注销功能缺失或受阻：
应用未提供有效的账号注销功能，或者在注销流程中人为设置法律法规之外的复杂壁垒，导致用户无法顺利销户。
（2）个性化推荐关闭选项不规范：
应用未在前台设置易于理解和操作的个性化推荐关闭开关。
（3）行使基本权利的渠道不畅：
应用未建立、公布个人信息安全投诉举报渠道；或者未向用户提供行使更正、删除、拒绝处理个人信息的便捷功能。
（4）存在随意的交互行为：
应用在运行中频繁或意外弹出广告，直接破坏了用户的正常使用界面。
02
违规行为的主要技术成因
从代码编写与系统集成的角度研判，上述合规缺陷主要源于企业内部技术治理的脱节：
1.对第三方组件缺乏前置审查：
研发团队为了快速引入支付、推送或统计功能而集成第三方SDK。
但由于缺乏前置的代码技术测试，未能及时发现部分SDK在后台静默调用系统API收集设备序列号、软件列表的行为，导致实际行为与隐私政策产生偏离。
2.权限调用与实际场景未进行动态绑定：
产品设计习惯于在App初始化阶段一次性要满所有敏感权限。
研发人员未能建立“用时才要、不用不拿”的触发机制，导致系统弹窗在缺乏对应业务页面支撑时弹出，触发了过度索权的研判规则。
3.数据生命周期退出机制的设计缺失：
在底层数据库设计中，用户的身份信息与核心业务数据捆绑过深。
由于在后台实施数据彻底清洗和完全核销的技术流程较为复杂，为了降低架构调整成本或维持用户留存率指标，运营团队故意在前端隐藏或限制权利行使通道。
03
APP运营者数据合规治理优化建议
针对通报中展现的监管尺度和下架整改等处置后果，APP（含小程序）运营者应当从技术、产品和流程层面建立如下合规闭环：
1.排查第三方 SDK 真实行为并准确披露
技术团队应在测试环境中对当前运行的App、小程序版本进行技术排查，摸清集成的第三方SDK是否存在超范围调用系统接口的情况。
根据真实调用结果，在隐私政策中完整列明每个第三方组件的名称、处理目的、收集方式和涉及的信息种类，确保文本声明与技术行为绝对一致。
2.落实“用时提示、不用不拿”的权限调用逻辑
废除在应用初始化阶段批量索要系统权限的做法。
将位置、摄像头、存储等敏感权限的申请与具体的业务功能直接绑定。
在触发系统原生权限申请框的同时，产品界面应同步展示清晰的说明文字，告知用户开启该权限的当前目的。
如果用户拒绝非核心权限，系统应准确记录状态，避免频繁弹出提示干扰使用。
3.建立未成年人信息处理前置流程
严格评估应用的用户定位。
对于包含未成年人用户的应用，必须在注册或数据采集的最前端配置年龄验证。
一旦判断用户属于不满十四周岁的儿童，系统应自动跳转至监护人知情同意界面，并在显著位置加挂专门的儿童个人信息保护规则，确保前置法定条件完备。
4.优化系统功能，畅通注销与权利行使渠道
在应用的设置或个人中心页面中，提供清晰、便捷的“账号注销”功能入口，不设置不合理的实质性壁垒。
包含个性化推荐功能的，必须在前台提供一键关闭的显著选项。
同时，必须在应用内明示有效的投诉反馈渠道，以及更正、删除个人信息的便捷功能，在法定时限内答复用户诉求。
结 语
近期发布的多批次专项抽测通报明确了APP个人信息处理的法治边界。
在技术抽测常态化、整改下架“动真格”的监管趋势下，数据合规已成为移动互联网业务能够平稳存续的核心质量要素。
APP运营者应当以案为鉴，将知情同意、最小必要以及特殊保护等法定原则切实转化为产品代码与交互流程中的约束，方能在依法规范的轨道上实现业务的健康发展。
// END //
扫描二维码，直接链接贾老师
贾博妍老师简介：
1.国际ISO合规标准、中国国家合规标准起草人
参与制定多项具有影响力的合规管理标准，具备顶层视野与扎实专业功底。
2.国家级智库及行业核心专家
国家市场监督管理总局认研中心、中国标准化研究院、深圳市企业合规协会等机构的专家顾问；
持续为全国多地律师协会及法律实务界提供合规领域专题授课，推动合规专业人才培养与实务体系建设。
3.荣誉与创新实践
荣获“全国服务业科技创新奖”，在合规管理与服务创新方面深获行业认可；
曾为知名法律科技公司 iCourt 合伙人，推动科技与合规管理的深度融合。
4.经营管理经验与原创方法论
“合规金三角体系”、“合规风险信号体系”、“七朵云智能合规体系”提出者；
具备企业实际经营管理经验，擅长综合运用顶层架构、制度设计、流程优化、法律留痕与风险屏障、信托架构、信息技术（AI）等多维度工具与方法；
为企业及企业家提供系统性、可落地的风险隔离综合解决方案，实现合规、管理与商业目标的有机统一。
5.服务客户与实战口碑
服务客户覆盖：中央企业及各级国企总部、境内外上市公司、知名医疗机构、大型民营集团、家族型民营企业、高成长型创新企业等各类组织。
凭借直击业务痛点、推动有效落地的实战能力，被客户广泛评价为 “实战派风险管理先行者”。
