400余款App、SDK被处置,个性化广告不能只给一个“关闭按钮”打开购物软件，刚搜索过一次耳机，接下来几天的信息流里就不断出现耳机；看过几条装修视频，家具、家电、装修公司的广告很快跟上；偶尔搜索一次某种疾病，甚至可能发现健康相关内容开始变多。这种体验已经普通到很多人不再觉得奇怪。📱 对平台来说，这是“更懂用户”的个性化服务；对普通用户来说，却存在一个越来越现实的问题：我们知道自己正在被推荐，却很难知道平台究竟收集了什么、形成了哪些标签，又有多少第三方参与了这个过程。8月19日，2026年个人信息保护系列专项行动公布阶段性结果。中央网信办、工业和信息化部、公安部会同相关部门，累计对2万余款App、SDK个人信息收集使用情况开展核查检测，督促4000余款完成合规整改，公开通报1100余款存在违法违规问题的App、SDK，并对400余款采取下架等处置处罚措施。其中，一个与几乎所有手机用户都有关系的问题被专门点了出来：部分产品没有明确说明收集的个人信息将用于广告、用户画像，也没有提供个性化广告关闭选项。针对这些问题，专项行动已经对1000余家企业和机构的相关产品开展核查检测并督促整改。这件事真正值得讨论的，并不是手机设置里有没有多出一个“关闭个性化推荐”的开关，而是：当用户按下关闭按钮之后，围绕他的那套数据收集、用户画像和算法推荐体系，究竟有没有真正停下来。一个App背后，可能还有很多用户看不见的数据参与者普通人安装的是一个App，但一个现代App往往并不是完全独立运行的。广告展示、消息推送、地图定位、统计分析、登录认证、支付、设备识别、风险控制等功能，都可能通过第三方SDK完成。SDK可以理解为开发者直接接入的软件功能模块，它能够降低开发成本，却也让个人信息处理链条变得更加复杂。一个用户可能只同意了某个App的隐私政策，但在实际运行过程中，设备信息、位置、行为记录等数据，可能还会被不同功能模块调用和处理。这也是2026年个人信息保护专项行动为什么把“App”和“SDK”放在一起治理。专项行动明确关注未经同意收集个人信息、超出必要范围获取位置、通讯录、短信等信息，以及SDK在相关功能没有使用时仍然收集非必要信息等问题。这里最值得警惕的，不一定是某一次明确的数据泄露，而是普通用户越来越难看懂自己的数据究竟去了哪里。平台知道它接入了哪些SDK，知道哪些权限被调用，知道数据通过什么接口传输，也知道哪些数据被用于广告和画像；而普通用户看到的，往往只有安装时的一次“同意”。这是一种天然的信息不对称。技术架构可以复杂，但责任不能因此消失。第三方SDK参与数据处理，并不意味着App运营者只要写一句“由第三方提供服务”就可以完成责任转移。《个人信息保护法》对共同处理、委托处理以及向其他个人信息处理者提供个人信息，都设置了相应规则。用户不应该为了保护自己的信息，先学会分析一个App背后的数据供应链。用户画像真正可怕的地方，是它在不断推测“你是谁”很多人理解的用户画像，可能只是“男性”“25岁”“喜欢数码产品”这样的几个简单标签。真正的算法画像通常远比这复杂。你搜索过什么、点击过什么、一条视频停留了多久、什么时间打开App、经常去哪些地方、购买什么价位的商品，这些看似彼此独立的信息，一旦长期积累并进行关联分析，就可能形成越来越具体的判断。📊 比如，一个人近期反复浏览招聘网站，可能被判断为存在求职需求；持续搜索装修材料，可能被归入装修人群；频繁浏览婴幼儿用品，可能被算法推测存在育儿需求。用户未必主动告诉平台这些事情，但算法可以根据行为进行推断。《个人信息保护法》将自动化决策定义为，通过计算机程序自动分析、评估个人行为习惯、兴趣爱好或者经济、健康、信用状况等，并据此进行决策。对于利用自动化决策进行信息推送和商业营销的情形，法律要求同时提供不针对个人特征的选项，或者提供便捷的拒绝方式。所以，个性化广告的问题，从来不只是“广告太多”。真正需要保护的是一个人的信息自主权：平台可以进行什么判断，使用哪些信息进行判断，以及用户有没有真实有效的退出机会。“关闭个性化推荐”，并不等于从此没有广告⚠️ 这里有一个很容易混淆的概念。关闭个性化广告或者个性化推荐，通常不意味着App从此不能出现任何广告。平台仍然可以展示不针对某个具体用户特征进行匹配的普通广告。法律要解决的核心问题，是用户能否拒绝平台继续利用自己的个人特征进行自动化推荐和商业营销，而不是要求所有互联网产品停止广告业务。真正的问题出现在另一边：用户明明已经点击关闭，后台的数据处理是否也跟着改变。2026年专项行动把这一问题写得非常具体：利用自动化决策推送广告却没有设置易于理解、便于访问和操作的关闭选项；用户关闭个性化推荐之后仍然继续收集个人信息；没有提供删除用户个人特征标签等功能，都属于此次重点治理内容。现行《互联网信息服务算法推荐管理规定》也明确要求，算法推荐服务提供者应当向用户提供不针对其个人特征的选项，或者提供便捷的关闭算法推荐服务选项；用户选择关闭后，应停止提供相关算法推荐服务，同时还应提供选择或者删除用于算法推荐的个人特征标签的功能。《网络数据安全管理条例》进一步规定，通过自动化决策方式向个人进行信息推送的平台，应当设置易于理解、便于访问和操作的个性化推荐关闭选项，并提供拒绝接收推送信息、删除针对个人特征用户标签等功能。这意味着，真正有意义的关闭，不应该只是把设置页面上的按钮从“开启”变成“关闭”，而应当对应后台真实的数据处理变化。当然，关闭个性化推荐也不等于用户过去产生的所有数据必须立即全部删除。账号运行、交易履约、安全风控等不同业务可能存在不同的数据处理依据和必要保存期限。但平台至少应该让用户看得懂：关闭以后，哪些数据不再用于推荐，哪些用户标签可以删除，还有哪些信息因为其他合法、必要的目的继续保存。如果这些问题始终说不清楚，那么所谓“关闭权”就很容易只剩下一层界面。医疗、金融和未成年人信息，风险远不只是“广告推荐太准”此次专项行动还对教育、交通、卫生健康、金融等领域开展个人信息风险排查，累计摸排9万余家企业和机构，发现并督促整改各类隐患问题1.2万余个。这里的“1.2万余个”指的是发现并督促整改的风险隐患，不能等同于已经发生1.2万起个人信息泄露事件。之所以专门关注这些领域，是因为其中处理的信息往往更加敏感。《个人信息保护法》明确将生物识别、医疗健康、金融账户、特定身份、行踪轨迹等信息列入敏感个人信息，不满十四周岁未成年人的个人信息同样属于敏感个人信息。处理敏感个人信息，需要具有特定目的和充分必要性，并采取更严格的保护措施。🔐 如果平台只是知道你喜欢什么品牌的鞋，风险尚且有限；但如果一个系统知道你的疾病情况、金融账户、长期活动轨迹，甚至掌握未成年人的身份和生活信息，那么一次不当收集、滥用或者泄露造成的影响，就可能远远超过“推荐了一条不喜欢的广告”。个人信息保护之所以越来越重要，正是因为今天的数据已经不再只是简单的姓名和电话号码。大量碎片化数据一旦被持续收集、关联和分析，就可能逐渐拼出一个越来越完整的人。个人信息保护，不能把主要责任留给那个点击“同意”的人过去很多互联网产品形成了一种非常熟悉的模式：安装App，弹出几千字的隐私协议，用户没有时间阅读，点击“同意”，产品随后开始运行。从形式上看，用户作出了选择。但真正的问题是，一个普通人很难知道哪些信息是核心功能必须收集的，哪些只是为了广告和画像；很难判断某个SDK有没有超出必要范围调用权限，也不可能长期监控后台到底发生了什么。如果整个个人信息保护体系都建立在“用户自己注意一点”上，那么责任实际上被放到了最不了解技术链条的一方。《个人信息保护法》要求个人信息处理遵循合法、正当、必要和诚信原则，处理目的应当明确、合理，并与处理目的直接相关，收集范围应限于实现处理目的的最小范围。同时，个人还依法享有知情、决定、限制或者拒绝处理，以及查阅、复制、更正、删除等权利。这背后体现的治理方向很清楚：企业不能只证明“用户点过同意”，还要能够说明为什么收集、收集了什么、用于什么目的、保存多久、向谁提供，以及用户拒绝以后发生了什么。400余款App、SDK被采取下架等处置处罚措施，当然是一个值得关注的数字，但它不是个人信息保护的终点。这里的“下架等处置处罚措施”也意味着，不能简单理解为400余款产品全部被永久下架，不同问题对应的整改和处置方式并不完全相同。真正有效的个人信息保护，不是把所有责任都变成一份更长的隐私政策，也不是在设置页面增加更多开关。而是让每一次收集都有必要性，让每一种用途都能够被说明，让每一次拒绝都真正生效。用户需要的不是一个看起来可以关闭的按钮，而是按下它之后，数据真的知道该停在哪里。信息来源1、新华网｜2026年个人信息保护系列专项行动督促4000余款App等完成合规整改：https://www.news.cn/politics/20260819/d8cf5300dca249f18cd4b4fc1ab54e05/c.html2、中国网信网｜中央网信办、工业和信息化部、公安部关于开展2026年个人信息保护系列专项行动的公告：https://www.cac.gov.cn/2026-04/02/c_1776867645836849.htm3、中国网信网｜中华人民共和国个人信息保护法：https://www.cac.gov.cn/2021-08/20/c_1631050028355286.htm4、中国网信网｜互联网信息服务算法推荐管理规定：https://www.cac.gov.cn/2022-01/04/c_1642894606364259.htm5、中国网信网｜网络数据安全管理条例：https://www.cac.gov.cn/2024-09/30/c_1729384452307680.htm
夜雨聆风