84款应用被通报，小程序与服务号约占三成：个人信息检查不再只看APP
10月26日通报的84款移动应用中，以小程序、服务号形态出现的约占三成，个人信息检测已覆盖轻应用。本文拆解通报的十类问题与中小企业踩得较多的四类，给出五项自查清单与整改工作量参考，涵盖隐私政策、SDK披露、单独同意、注销撤回入口与安全措施。
不少企业以为个人信息检测只查应用商店里的手机 App，自己没有 App 就不用管。10 月 26 日国家网络安全通报中心的一份通报推翻了这个假设：84 款被点名的移动应用里，以微信小程序、微信服务号、支付宝小程序、百度小程序形态出现的有 26 款，约占三成。小程序同样在被检测的范围内。
通报查的不是“应用商店”，而是“移动应用”这个口径
10 月 26 日，国家网络安全通报中心通报 84 款移动应用存在一项或多项违法违规收集使用个人信息情况。依据是中央网信办、工业和信息化部、公安部联合发布的《关于开展 2026 年个人信息保护系列专项行动的公告》，检测由国家计算机病毒应急处理中心完成，名单内应用的检测时间为 2026 年 9 月 4 日至 10 月 15 日。
值得注意的是通报名单的写法：一部分应用标注“版本号 + 应用商店”，另一部分只标注平台名称，例如“微信小程序”“微信服务号”“支付宝小程序”“百度小程序”。两类并列在同一份通报里，说明纳入检测的判断依据不是“是否上架应用商店”，而是“是否通过移动端向公众提供信息服务、是否处理个人信息”。
按名单逐条核对，这 84 款中属于小程序或服务号形态的共 26 款，约占 31%。集中在医院、机场、地铁公交、银行券商、驾考培训、租车洗车、教育机构这些场景——恰好都是“线下业务搬到线上、用一个轻应用承接用户”的典型行业。
这份通报也不是一次性点名。通报同时说明，上一期通报的 82 款应用经复测仍有 24 款存在问题，相关应用分发平台已予以下架。点名之后有复测，复测不过有处置，这是一个闭环。
十类问题里，中小企业踩得较多的四类
通报把问题归为十类。对多数中小企业来说，其中四类与自己系统的重合度很高，而且都不是“技术难题”，是“没人管”。
| 通报中的问题类型 | 涉及款数 | 在自家系统里的常见样子 |
|---|---|---|
| 隐私政策未逐一列明第三方代码、插件收集信息的目的、方式和范围 | 45 款 | 接了统计、地图、推送、支付、客服、分享等多个 SDK，隐私政策只写“我们可能收集您的相关信息” |
| 首次运行未以弹窗等明显方式提示阅读隐私政策；默认勾选同意；隐私政策难以访问 | 16 款 | 授权页直接弹手机号授权，没有“同意 / 拒绝”两个选项，也找不到隐私政策入口 |
| 向其他处理者提供个人信息前未告知接收方并取得单独同意 | 11 款 | 用户手机号被同步给 CRM、短信服务商、广告投放平台，页面上没有任何单独确认 |
| 无隐私政策；未提供有效的注销、更正删除或撤回同意入口 | 6 款 / 5 款 / 3 款 | 服务号菜单里没有隐私政策页；小程序里找不到“注销账号”，只能打电话找客服办 |
45 款集中在“隐私政策没有逐一列明第三方”这一类，占比超过一半。原因很朴素：SDK 是开发时顺手加的，加的时候没人记录，上线后也没人回头把清单同步进隐私政策。等检测报告出来，才发现自己都说不清有哪些第三方在收集数据。
更重要的是，这十类问题里有相当一部分属于“页面能看见”的层面——有没有弹窗、政策能不能点开、注销按钮在不在。这意味着它既容易被检测到，也容易被整改，不需要重写系统。
给负责人用的五项自查清单
把通报的十类问题翻译成自己系统里的动作，其实可以压缩成五项。建议按下面的顺序做，前三项当天就能查完。
- 首次进入的前三屏。用一台没装过你小程序的手机，从扫码进入开始录屏。看有没有“同意 / 拒绝”两个选项，隐私政策能不能点开、能不能返回，拒绝之后是否仍能浏览非必要功能。
- 第三方清单对账。让技术把小程序、服务号、官网表单里引入的第三方组件列成表，逐项标注：名称、用途、是否收集个人信息、收集哪些字段。再拿这张表与隐私政策正文比对，缺一项补一项。
- 单独同意的边界。手机号、位置、通讯录、相册、身份证、人脸，这些一旦提供给外部系统（CRM、客服、营销、物流），就要有单独告知和单独确认，不能藏在“注册即同意”里。
- 出口是否通畅。注销账号、更正删除信息、撤回授权三个入口，各用几步能到？是否需要人工审核、承诺几个工作日完成？页面上的承诺与实际处理是否一致。
- 安全措施与留存。用户信息在数据库里是否明文存储、后台账号是否分权、操作日志是否留存、离职人员账号是否及时停用。这一类通报里占 12 款，属于技术侧要补的功课。
如果业务面向学生、青少年或校园场景，还要单独加一项：有没有针对不满十四周岁未成年人的专门处理规则，以及监护人单独同意的取得方式。本次通报里有 3 款应用在这一项上被点名。
| 优先级 | 先做哪几项 | 工作量参考 |
|---|---|---|
| 档位 A（本周可完成） | 首次运行弹窗、隐私政策可访问、注销与撤回入口、第三方清单补齐 | 约 1–3 人日，主要成本在梳理而非编码 |
| 档位 B（一个月内） | SDK 精简、字段收敛、后台权限与日志、单独同意流程 | 约 5–15 人日，视系统复杂度差异较大 |
| 档位 C（按行业要求） | 未成年人规则、等保定级备案、数据出境评估 | 需结合行业主管要求单独评估 |
成本、周期与取舍
这类整改真正的成本不在写代码，在盘点。把一个企业所有触达用户的入口列全——小程序、服务号、官网表单、在线客服、CRM、短信通道、门店 WiFi 页面——本身就要花时间，很多公司做完盘点才发现自己有三个系统在各自收手机号。
参考区间：只补隐私政策、授权弹窗和注销入口，通常 1–3 人日；涉及 SDK 清理、数据字段收敛、后台权限改造，通常 5–15 人日。以上仅为经验区间，实际取决于系统数量和改造深度。
取舍上建议不要一次做全量合规工程。先做“能被检测到、也能被用户直接看到”的那一层：首次运行提示、隐私政策可访问、第三方清单完整、注销与撤回入口通畅。这四项对应的正是通报里覆盖面较广的几类问题，投入小、见效直接。等这一层稳定了，再谈字段收敛与权限体系。
对还在规划阶段的项目，更省事的做法是把这几项写进验收清单：小程序开发时把隐私政策页、授权弹窗、注销入口作为交付项，企业官网的表单收集字段与告知文案一并确认，避免上线后再回头补。尊云科技在项目交付时会把这部分列为上线前的检查项，因为事后补的代价通常高于一开始就做对。
需要说明的是，本文对通报内容的引用均来自公开通报与公开报道，具体认定标准与整改要求以主管部门发布的原文为准，本文不构成法律意见。涉及自身业务的合规判断，建议结合行业主管要求与专业意见确认。此前我们整理过公安网安远程检测网站与小程序的六项底账清单，可与本篇的自查表配合使用。
