通报公告是一个免费的风险排查清单

有一个很少有人充分利用的信息来源：工信部和网信办每次发布的App违法违规通报公告，不只是新闻，更是一份免费的风险排查清单。每一条被通报的App名称后面，都附带了具体的违规事由。把这些违规事由汇总分类，就能看出监管部门的检查重点在哪里。

我们对过去18个月内的约200余条通报进行了逐条分类统计。结果和大多数人的直觉不一样：被通报最多的不是数据泄露，不是违法出售个人信息，而是几个看起来「不太严重」的基础合规问题。以下按照通报频率从高到低逐一拆解。

问题一：违规收集个人信息（通报频率最高）

这不是一个单一的问题，而是一个大类，包含了多种具体的违规形式。

最常见的是「App首次运行时未通过弹窗等明显方式提示用户阅读隐私政策」。很多App的做法是把隐私政策的链接放在登录页面底部，用极小的字号和灰色字体写一行「使用即表示同意隐私政策」。监管部门的期望是：用户首次打开App时，必须看到一个独立的、明显的弹窗，弹窗里包含隐私政策的摘要信息和一个明显的「同意」按钮——不能用灰色小字蒙混过关。

其次是被通报最多的是「违规使用个人信息」。具体来说，App在收集用户信息之后，用在了用户在同意时没有被告知的用途上。比如用户同意了收集位置信息用于导航，结果这个位置信息还被用在了广告投放和用户画像上，而且隐私政策里没有提到广告投放这个用途。这种「超范围使用」的行为在通报中占有相当的比重。

第三是「收集与业务功能无关的个人信息」。一个阅读类App要求读取通讯录，一个工具类App要求获取位置信息——业务功能和安全权限之间没有合理的关联性，这种索取在监管部门看来就是违规的。

问题二：用户权利响应机制缺失或不完善

个保法要求信息处理者建立便捷的个人信息权利响应机制——用户要能方便地查询、更正、删除自己的信息，或者注销账号。通报中关于这方面的违规主要有两种。

一种是「没有提供有效的注销账号功能」。很多App根本没有设置注销入口，或者把注销流程设计得极其复杂——需要打电话给客服、需要发邮件、需要提交纸质申请。监管部门的立场是：注销账号应该和在App里注册账号一样简单。如果用户在App里能一键注册，也应该能在App里一键注销。

另一种是「没有及时响应用户的信息权利请求」。法律要求在收到用户请求后及时处理，通常的解释是十五个工作日内。但有些企业在被检查时发现用户发来的删除请求过了一个月还没有处理。这种情况一旦被查到，几乎没有争议空间——就是没有履行法定义务。

问题三：第三方SDK的数据收集行为

大多数App都会集成第三方SDK——广告、数据分析、推送、地图这些功能基本都靠SDK来实现。问题在于，这些SDK在被集成到App里之后，往往会在后台自行收集用户信息，而App的隐私政策里完全没有提到这些SDK的存在和数据收集行为。

监管部门的态度是：不管数据是App自己收集的还是通过集成的SDK收集的，只要是在你的App里发生的，你就需要对用户负责。如果你的App集成了一个第三方的数据分析SDK，而这个SDK在收集用户的设备信息和使用行为数据，你的隐私政策里就需要说明：有这么个SDK、它在收集哪些数据、这些数据的用途是什么、以及数据会流向哪里。

对这个问题的合规做法分两步。第一步，列出你的App里集成了哪些第三方SDK，每个SDK的数据收集行为是什么样的——文档上应该有，没有就去找。第二步，在你的隐私政策的「第三方SDK目录」部分，逐项列出每个SDK的名称、收集的数据类型、使用目的、以及隐私政策链接。很多大厂的App已经在这么做了，这是一个可以参考的成熟实践。

问题四：频繁索权和不合理的权限要求

用户拒绝了一次权限请求后，App反复弹出请求窗口，这是一种被明确禁止的行为。通报中把这种情况描述为「频繁索取权限」或「强制用户授权」。如果用户选择了「拒绝」，App应该尊重用户的决定，而不是不断尝试——特别是当这个权限对App的核心功能来说并不是必需的时候。

另一个相关的问题是「不给权限就不让用」。用户拒绝了某个权限之后，App直接退出或者拒绝提供服务——即使这个权限和核心功能没有关系。比如一个日历App要求访问通讯录，用户拒绝了，App就直接闪退。这种操作在通报中也被多次点名。

问题五：隐私政策内容不完善

这是五个问题中相对最轻的，但通报频率不低。隐私政策在形式上存在但不满足内容要求，通常被描述为「隐私政策内容不完整」或「未逐一列出第三方SDK收集使用个人信息的目的、方式、范围」。

解决这个问题的最简单方法：不要自己从零写隐私政策。找一份同类型App的通过审核的隐私政策作为结构参考，然后按照《App违法违规收集使用个人信息行为认定方法》中列出的检查要点逐一对照，确保每一项都覆盖到了。一份合格的隐私政策需要包含的核心信息有：收集哪些个人信息、通过什么方式收集、用于什么目的、会与哪些第三方共享、用户如何行使自己的权利、数据存储在哪里、存储多久。

在上架之前做一次完整的自查

上架之前被拒、上架之后被通报，损失的不仅是时间——还有用户从「该App被通报」的新闻标题里获得的不良印象。建议在提交应用商店审核之前，对照本文列出的五类高频问题做一次系统的自查。这五类问题覆盖了公开通报中大部分的违规事由，自查通过意味着被通报的概率大幅降低。