动态与观点
一份通报，为《个人信息保护法》施行五年交出阶段性答卷。2026年8月19日，中央网信办、工业和信息化部、公安部联合通报2026年个人信息保护系列专项行动阶段性成效：2万余款App接受核查，4000余款完成整改，1100余款被通报，400余款被下架处罚；同时针对“未提供个性化广告关闭选项”等问题，对1000余家企业开展核查整改。（来源：中央网信办官网《2026年个人信息保护系列专项行动取得阶段性成效》）
01
这份“成绩单”背后，监管逻辑发生了什么变化？
数字之外，更值得关注的是执法模式的演进。对此，北京恒都律师事务所律师、专利代理师冯小雅律师进行了分析。
第一，五年三步走，监管从“立规矩”进入“见真章”阶段。
冯小雅律师梳理，2017至2020年是以《网络安全法》《民法典》搭建框架的规则构建期；2021年《个人信息保护法》施行后与《数据安全法》形成“双法并行”，进入框架确立期；2025年起，《网络数据安全管理条例》施行、《中国个人信息保护报告（2025年）》首次公开发布，监管重心从立规全面转向执规。本轮三部门联合、多领域并举、行刑衔接的专项行动，正是体系深化期的标志性节点，意味着个人信息保护已进入全链条、全生态的协同治理阶段。
第二，“核查—整改—通报—处罚”的梯度执法已然成型。
从执法格局看，2026年的App治理呈现鲜明的央地联动特征：中央层面，国家网信办、工信部持续发布通报；地方层面，上海、广东、浙江、重庆等地按行业分批次推进，识货、优衣库、沪上阿姨、汉堡王等品牌被点名；国家计算机病毒应急处理中心、公安部检测中心等技术支撑机构同步发力。但绝大多数问题App通过整改回归合规，最终被下架的仅约2%。这正是“精细化治理”而非“运动式执法”的体现。
第三，五类高频违规，勾勒出App合规的主要痛点。
综合全年通报来看：一是告知规则缺失或不透明；二是告知内容与实际收集行为不一致，“隐私政策写一套、实际做一套”，比不告知更隐蔽；三是强制或频繁索权，直接触犯《个人信息保护法》第十六条；四是SDK合规盲区，未逐一列明第三方SDK收集使用个人信息的目的、方式、范围，其数据收集游离于用户视线之外；五是用户权利虚置，未提供有效注销功能或注销后未删除个人信息。
第四，三个趋势已经明确。
其一，分级分类监管全面成形——一端是《大型个人信息处理者个人信息保护规定》公开征求意见，处理1000万人以上个人信息的处理者须申报认定；另一端是《小型个人信息处理者个人信息保护简化措施规定》于9月1日施行，为小型处理者减负。其二，合规审计成为“标配”义务，《个人信息保护合规审计要求》（GB/T 46903-2025）已于7月1日实施，大型企业每两年至少审计一次。其三，《网络数据安全风险评估办法》施行后，“事前预防+事中响应”的风险治理将成为常态。
02
面对常态化监管，不同主体的功课是什么？
1.对被通报、被下架的企业而言，当务之急是把整改做“实”而非做“完”。
梯度执法给了绝大多数企业回归合规的通道，但通道的入口是实质整改：隐私政策的文本描述、SDK的实际调用、后台的数据流向，必须在技术层面校验一致，而非纸面应付。
2.对嵌入第三方SDK较多的App运营企业而言，SDK合规穿透管理已不是可选项。
企业对嵌入的第三方SDK须承担相应管理责任，应建立准入、评估、监测的全生命周期管理机制，逐一列明其收集使用个人信息的目的、方式与范围——广东等地的通报显示，这正是当前最高频的违规点。
3.对普通用户而言，法律赋予的权利要主动用起来。
发现App强制索权、无法关闭个性化广告、注销功能形同虚设的，可以拒绝、投诉、举报。本轮专项行动将“未提供个性化广告关闭选项”纳入核查整改，意味着《个人信息保护法》第二十四条正从纸面权利变为可执行的义务。
4.对涉及数据出境的企业而言，三条合规路径已经全部到位。
随着《个人信息出境认证办法》于2026年1月1日施行，安全评估、标准合同、认证保护三条路径齐备，相关企业应尽早完成路径评估，在认证国家标准已实施的背景下，积极探索认证保护路径。
03
“做完”只是及格，“做好”才是答案
这份通报表面是一份问题清单，实质是一份合规路线图。从告知规则到SDK管理，从注销功能到跨境传输，监管颗粒度越来越细，执法覆盖面越来越广。
五年前，《个人信息保护法》施行；五年后，治理体系已然成熟——从运动式走向常态化，从单兵作战走向协同共治，从国内合规走向国际接轨。对企业而言，合规不是负担，而是赢得用户信任、参与全球竞争的核心竞争力。正如冯小雅律师所言：“做完”只是及格，“做好”才是答案。
本文不构成法律意见，具体案件请咨询专业律师。
相关法条
《中华人民共和国个人信息保护法》
第十六条 个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。
第二十四条 个人信息处理者利用个人信息进行自动化决策，应当保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇。 通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。通过自动化决策方式作出对个人权益有重大影响的决定，个人有权要求个人信息处理者予以说明，并有权拒绝个人信息处理者仅通过自动化决策的方式作出决定。
律师介绍
冯小雅
北京恒都律师事务所律师、全国知识产权专业委员会委员
北京恒都律师事务所律师，持有律师执业证及专利代理师执业证，毕业于美国波士顿大学法学院，兼具计算机专业背景与知识产权法学功底。专注于知识产权全链条保护与企业数字化转型中的合规治理，在专利争议解决、软件著作权及商业秘密保护、开源与数据合规、企业知识产权管理制度搭建及风险排查等领域具有扎实实务积累，长期为软件、人工智能、智能硬件、半导体等领域的技术驱动型企业提供法律服务。
