动态与观点
2026年7月2日，工业和信息化部信息通信管理局发布《关于侵害用户权益行为的APP（SDK）通报》（2026年第4批，总第57批），经组织第三方检测机构抽查，共32款App及SDK被点名存在侵害用户权益行为，哪吒汽车、每日短剧等出行、文娱类应用在列，涉及违规收集个人信息、过度索取权限等问题。通报要求相关App及SDK按规定整改，整改落实不到位的，将依法依规组织开展处置。（来源：新华网《关于侵害用户权益行为的APP（SDK）通报》（2026年第4批，总第57批））
01通报不是“罚单”，但风险链条已经启动
一次公开通报，究竟是“黄牌警告”还是实质处罚？它对企业究竟意味着什么？对此，北京恒都律师事务所王丹丹律师进行了分析。
第一，被通报本身不是行政处罚，但绝非“只是提醒”。
王丹丹律师指出，依据《行政处罚法》第九条，行政处罚以减损当事人权益、增设新义务为目的，法定种类包括警告、通报批评、罚款、吊销许可证件等；而工信部的批量通报，核心功能是公示检测发现的违法线索、责令企业限期自查整改，属于行政命令与行政警示并行，不等同于“通报批评”类行政处罚。只有后续针对逾期不改企业单独作出的行政处罚决定、单独通报批评、责令下架、罚款，才落入行政处罚的范畴。
但这不意味着企业可以轻视：通报名单会同步推送各大应用商店，可能触发限制更新、临时下架，直接影响产品运营；属地通信管理局可基于通报线索开展二次核查、立案调查；违规记录还将纳入行业信用档案，对企业融资、招投标、平台合作产生连锁影响。
第二，“违规收集”与“过度索权”的边界，在于程序违法还是范围越界。
王丹丹律师分析，两类行为的共同标尺是《个人信息保护法》合法、正当、必要原则和《App违法违规收集使用个人信息行为认定方法》，但行为形态不同：违规收集侧重“不该收的时候偷偷收”——未经用户同意后台静默采集设备标识符、位置、剪贴板信息，或隐私政策未如实披露第三方SDK的收集活动；过度索权侧重“允许你收，但没必要要这么多”——程序上取得了同意，但收集范围超出业务最低限度，如短剧类App一启动即索要通讯录、短信权限。
实务中两类问题常常兼而有之，一个未告知用户的SDK既过度申请位置权限，又同时构成违规收集。本次通报中，位置权限、设备唯一标识符、相册存储、剪贴板读取、通讯录短信是最集中的高频踩线点。
企业自测可用三条标尺：权限是否支撑基础功能，而非仅用于营销与推送优化；是否做到动态按需申请，而非一揽子提前索要；用户拒绝非必要权限后是否仍能使用基础功能——最后一条正是《个人信息保护法》第十六条划出的红线。
第三，2026年的监管口径，已从“表面合规”走向穿透式精细治理。
王丹丹律师强调，对比往年通报，本批次呈现出几个明确变化：一是监管范围全面穿透第三方SDK，App运营方与SDK提供方均被认定为个人信息处理者，App厂商不能以“第三方代码问题”免责；二是判定标准从“有没有索要权限”细化到“调用频率与时机”，即使业务场景具备获取位置的合理性，无必要的高频循环采集、退后台持续调用也会被直接认定违规，合规标准从“能不能拿”升级为“多久拿一次、什么时候拿”；三是专项治理区分赛道，智能网联汽车App、短剧类App成为本年度重点抽检对象，与本次通报名单高度契合；四是重点打击“文本合规、行为违规”——监管大量采用技术动态抓包，比对隐私政策书面承诺与App、SDK的真实采集行为，隐私政策写得再规范，也挡不住代码层面的“两张皮”；五是整改“回头看”力度显著加强，屡次上榜的产品整改缓冲收窄，优先面临下架、移交属地立案，处罚梯度明显抬高。
第四，收到通报后有标准处置路径，整改不到位的后果分层递进。
王丹丹律师介绍，收到通报后，企业宜在三至五日内成立法务合规、技术与产品专项小组，对照通报条目复现问题，区分App原生代码问题与第三方SDK违规，立即梳理内嵌SDK清单、切断高风险SDK的数据采集通道；随后展开系统性整改——清理非必要权限、落实动态按需申请、限制后台静默采集、在隐私政策中完整披露全部第三方SDK信息，并留存整改前后技术对比、新版本检测报告、第三方合规检测证明等证据，按期向工信部指定渠道提交书面整改材料。
整改不到位的后果则层层加码：运营层面，应用商店可能暂停更新乃至全网下架；行政责任层面，依据《个人信息保护法》第六十六条，可被责令改正、警告、没收违法所得，拒不改正的最高罚款一百万元；情节严重的，省级以上监管部门可处五千万元以下或者上一年度营业额百分之五以下罚款，并可责令停业整顿、吊销相关许可，责任人最高可罚一百万元甚至行业禁入。此外，用户可能以通报为证据提起个人信息权益侵权诉讼；若违规收集的信息被出售、非法向他人提供且情节严重，还可能触及侵犯公民个人信息罪的刑事边界。
02被点名之后，三类主体各自的行动清单
一次通报牵动的不只是上榜企业。嵌入第三方SDK的平台方、手机里装着这些App的用户，同样各有对应的动作。
1.被通报企业：先止损、再整改、后留痕
王丹丹律师建议，第一时间隔离问题——临时下线问题版本、切断违规SDK的数据采集通道，防止违规状态持续扩大而被认定为“情节严重”；整改不能停在隐私政策文本层面，必须落到权限调用、后台采集频率等技术底层；同时完整留存整改前后对比、第三方检测报告等证据链，按期提交书面整改报告，这既是回应监管，也是后续行政程序中证明整改态度的关键材料。
2.嵌入第三方SDK的平台方：把第三方代码纳入准入与审计
王丹丹律师提示，本次通报再次确认，外购SDK出事，App主体同样被点名。平台方应建立SDK准入审核机制，上线前对广告、统计、支付类SDK开展合规尽调，明确其收集的信息类型与用途；在隐私政策中逐一披露全部内嵌SDK；并建立常态化技术审计，新版本上线前完成数据合规检测，避免出现“自己的App、别人的违规”。
3.普通用户：拒绝非必要权限，是法定的权利
王丹丹律师提醒，依据《个人信息保护法》第十六条，App不得以用户不同意处理非必要个人信息为由拒绝提供产品或者服务。遇到“不给通讯录权限就不让用”的情形，用户可以拒绝，并在系统设置中关闭非必要权限；对通报在列的App，可留意其版本更新与整改情况，必要时通过12321等渠道投诉举报，并留存截图等证据。
03写在最后：合规的刻度，已经深入代码层
这批通报的看点，不在于名单上有谁，而在于监管标尺的位置变化：从纸面承诺到代码行为，从App主体到第三方SDK，从“有没有拿权限”到“多久拿一次、什么时候拿”。个人信息保护对企业而言，已从可选的合规点缀变为刚性义务，尤其对智能汽车、网络文娱这类面向海量用户的产品，靠一份措辞规范的隐私政策应付抽检的时代已经过去。
从更长的周期看，常态化、穿透式的监管并非与企业为敌。它划清了数据收集的边界，也守住了用户授权的信任基础——而一个用户敢于授权、企业知所边界、数据得以合规流动的数字生态，恰恰是智能汽车产业和网络文娱产业能够行稳致远的前提。把合规写进产品逻辑的最底层，既是对用户权益的保护，也是企业面向未来的通行证。
本文不构成法律意见，具体案件请咨询专业律师。
相关法条
《中华人民共和国行政处罚法》
第九条 行政处罚的种类：
（一）警告、通报批评；
（二）罚款、没收违法所得、没收非法财物；
（三）暂扣许可证件、降低资质等级、吊销许可证件；
（四）限制开展生产经营活动、责令停产停业、责令关闭、限制从业；
（五）行政拘留；
（六）法律、行政法规规定的其他行政处罚。
《中华人民共和国个人信息保护法》
第十六条 个人信息处理者不得以个人不同意处理其个人信息或者撤回同意为由，拒绝提供产品或者服务；处理个人信息属于提供产品或者服务所必需的除外。
第六十六条 违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。
有前款规定的违法行为，情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。
《App违法违规收集使用个人信息行为认定方法》（国信办秘字〔2019〕191号）（节录）
三、以下行为可被认定为“未经用户同意收集使用个人信息”
1.征得用户同意前就开始收集个人信息或打开可收集个人信息的权限；
2.用户明确表示不同意后，仍收集个人信息或打开可收集个人信息的权限，或频繁征求用户同意、干扰用户正常使用；
3.实际收集的个人信息或打开的可收集个人信息权限超出用户授权范围；
四、以下行为可被认定为“违反必要原则，收集与其提供的服务无关的个人信息”
1.收集的个人信息类型或打开的可收集个人信息权限与现有业务功能无关；
2.因用户不同意收集非必要个人信息或打开非必要权限，拒绝提供业务功能；
3.App新增业务功能申请收集的个人信息超出用户原有同意范围，若用户不同意，则拒绝提供原有业务功能，新增业务功能取代原有业务功能的除外；
4.收集个人信息的频度等超出业务功能实际需要；
5.仅以改善服务质量、提升用户体验、定向推送信息、研发新产品等为由，强制要求用户同意收集个人信息；
6.要求用户一次性同意打开多个可收集个人信息的权限，用户不同意则无法使用。
王丹丹律师，先后毕业于吉林大学获得法学学士学位，英国曼彻斯特大学获得国际商法硕士学位。担任中国法学会律师法学研究会第一届、第二届（现任）理事，北京市政府侨办律师团秘书长，京津冀协同发展法律问题研究会理事及数据资产、低空经济、涉外部主任，北京市律师协会第八届、第九届、第十届外事委员会委员，东城律协及朝阳律协纪处委委员，北京市首批涉外律师人才库律师。
王律师具有二十余年法律从业经验，在基础设施能源领域投资、创业投资和私募股权投资、跨境投资并购、重组、发行境外债、低空经济、数据合规及数据资产化等领域具有丰富的法律服务经验。
王律师先后为中国大唐集团、中国海洋石油总公司、中国黄金集团、中国中车、华电集团、中广核、中国国际航空、南方航空、东方航空、深圳航空、渣打银行、韩亚银行、高盛、中信证券、摩托罗拉（中国）等众多大型央企、跨国企业及金融机构提供法律服务。在重大争议解决方面，曾代理中国大唐集团水电项目纠纷、中国华电集团风电项目仲裁纠纷、中国黄金集团建设施工合同仲裁纠纷、韩亚银行信贷合同纠纷、中海油海洋软管国际辛迪加诉讼等重大案件，并为Baosheng Media Group在开曼公司清算之诉及美国纽约南区法院证券诉讼中担任中国区法律顾问。在跨境投资与项目融资方面，曾为中国大唐集团柬埔寨水电站及电网项目、中广核境外核电站设立项目、中国南车沙特高铁项目、上海电力印尼电网及水电站项目、中国国电巴基斯坦风电项目等提供全程法律服务，并参与了多项新能源领域重组及合资项目。
