84款App被通报之后，小程序和App的隐私合规怎么自查？一份可直接照做的清单

一、先看新闻：这次通报说了什么

据中新网报道和新浪科技的报道，10月26日，国家网络安全通报中心通报了84款违法违规收集使用个人信息的移动应用，检测时段为2026年9月4日至10月15日。报道还提到，此前通报的82款应用中，有24款复测仍不合格，已被分发平台下架。

另据网易订阅的一篇报道，问题集中出现在医疗、交通、金融等领域，SDK 穿透治理成为关注焦点；常见的问题包括：首次运行时没有用弹窗等明显方式提示用户阅读隐私政策、默认勾选“同意”、账号注销困难等。

再看背景：根据金杜律师事务所的解读和安全内参的文章，2026年个人信息保护专项行动把互联网广告、教育、交通、卫生健康、金融列为重点领域，同时涉及自动化决策、人脸识别、未成年人信息处理；中央网信办对 App（含小程序）收集使用个人信息的行为进行检测。

对于正在运营或者准备开发小程序、App 的企业来说，这类通报不是别人的事。小程序也在检测范围之内，而且很多企业的小程序是外包开发、交付后几乎没人再看，隐私相关的页面和配置往往是“能用就行”。下面这份清单，按“能自己动手检查”的思路整理，建议产品、开发、运营一起过一遍。

说明：本文是开发和产品层面的自查思路，不构成法律意见。具体合规要求请以官方法规原文为准，涉及争议或处罚的情形请咨询专业律师。

二、第一步：先把“收集了什么”列清楚

很多隐私问题的根源，是企业自己都说不清应用到底收集了哪些信息。建议先做一张信息收集清单，每一行回答五个问题：

1. 收集什么：手机号、昵称头像、位置、通讯录、相册、设备标识、订单信息等；
2. 在哪个功能收集：注册登录、下单、客服、活动报名、扫码核销等；
3. 为什么要收集：这个功能没有这条信息能不能用；
4. 存在哪里、存多久：自己的服务器、云数据库，还是第三方平台；
5. 谁能看到：内部哪些岗位，是否会交给第三方 SDK 或合作方。

做完这张表，常常会发现几类问题：有的信息“以后可能有用”就先收了；有的信息收集后没有任何功能在用；有的第三方 SDK 在悄悄读取设备信息。这些都是后面几项自查的对象。

三、隐私政策弹窗：用户首次打开时能看到吗

报道里反复出现的一类问题，是首次运行时没有用明显方式提示用户阅读隐私政策。自查时可以按下面几步走：

• 首次启动弹窗：用全新安装的手机，或者清除小程序缓存后重新进入，看是否在收集任何信息之前出现隐私政策提示；
• 弹窗位置和文字：提示要清晰可读，不要藏在页面底部的小字里；链接点开后能正常显示完整文本，而不是空白页或404；
• 不同意怎么办：用户点“不同意”后，应用是否还能浏览基本内容；如果直接闪退或者反复弹窗，需要改；
• 版本更新：隐私政策有实质变化时，是否重新提示用户；
• 政策内容与实际一致：政策里写了的收集行为，应用里真的有；应用里实际收集了的，政策里也写了。

一个实用的做法：把隐私政策里的每一条“我们收集……”，和上一节的信息收集清单逐条对照，缺的补上，多的删掉。

四、默认勾选：不要替用户做决定

“默认勾选同意”是另一类常见问题。自查要点：

• 注册、登录页的“我已阅读并同意”复选框，默认应是未勾选，由用户主动勾选；
• 一键登录、授权手机号这类场景，授权按钮旁要写明授权的用途，别把同意用户协议和接收营销信息打包成一个勾选项；
• 营销推送、个性化推荐、订阅消息等，应让用户单独选择，并且能随时关闭；
• 弹窗里的“同意”按钮比“拒绝”按钮醒目很多、拒绝入口很难找，也属于需要重新审视的设计。

五、权限申请：够用就好，用到再要

权限和个人信息是联动的。可以这样检查：

1. 启动时是否一次性弹出多个权限：位置、相册、麦克风、通讯录一起要，用户会很反感，也容易被检测发现；
2. 申请时机：应该在用户点到相关功能时再申请，比如点“上传头像”时才申请相册；
3. 申请理由：系统弹窗之前或之中，用一句话说明用途；
4. 拒绝后的体验：用户拒绝权限后，不相关的功能应能正常使用；
5. 后台读取：应用在后台或未使用相关功能时，是否仍在读取位置、剪贴板、设备信息。

小程序的接口权限同样适用这个思路：只申请业务需要的接口，不要为了“以后可能用”一次申请一大堆。

六、账号注销：入口要找得到、流程要走得通

账号注销困难是通报中常被提到的问题。自查时可以让没参与开发的同事，拿一个测试账号去试一遍：

• 注销入口是否在“设置”“账号与安全”这类容易找到的位置；
• 流程是否合理：需要验证身份可以理解，但不应要求用户提供无关材料，或者必须联系客服、邮寄证明才能完成；
• 注销后数据如何处理：哪些数据删除、哪些因法定原因需要保留，要在页面或隐私政策里说明；
• 有交易、会员、余额的账号，注销前的提示（如余额处理、订单未完结）是否清晰；
• 同时检查“撤回同意”“更正个人信息”“导出个人信息”等入口是否存在，哪怕先提供客服渠道，也要在政策里写明联系方式和处理时限。

七、第三方 SDK：别忘了“别人写的代码”

报道提到 SDK 穿透治理是焦点，意思是监管不只看应用本身，也看应用里嵌入的第三方 SDK 在做什么。这一部分内容较多，建议单独做一次梳理：列出所有 SDK 的名称、版本、用途、收集的信息、初始化时机，并在隐私政策中说明。关于 SDK 的具体管理办法，我们另有一篇文章专门讲，可以配合阅读。

八、一页纸自查表

把上面的内容压缩成一张表，上线前和每次大版本更新前都可以过一遍：

九、小程序和App开发时，怎么把合规做在前面

合规较省钱的方式，是在需求阶段就考虑，而不是上线后被通报了再返工：

• 需求评审加一条：每个收集个人信息的功能，评审时必须回答“为什么要收”；
• 交付验收加一项：外包或委托开发的项目，验收清单里写明隐私弹窗、权限、注销入口等要求；
• 上线前走一遍自查表：用真机、全新安装、不同系统版本各测一次；
• 定期复查：每次接入新 SDK、增加新功能或修改隐私政策后，重新过一遍；
• 留存记录：自查记录、版本变更记录、用户授权记录要留档，方便日后说明。

从费用上看，隐私合规改造通常不是大工程：小程序类项目按功能报价，一般是几千到数万，视功能而定；改造隐私弹窗、权限和注销入口这类内容，工作量多数在几天之内，远比上线后被下架、重新提审要划算。

如果你的小程序或 App 是早期外包做的，不确定现在的隐私配置有没有问题，可以联系广州万户网络科技，我们可以按本文的清单帮你做一次免费的初步梳理，再讨论是否需要改造。

十、小结

这次通报再次说明，监管关注的是看得见的细节：有没有明显的隐私提示、有没有默认勾选、权限是不是够用就好、注销能不能走通、SDK 有没有说清楚。把这些基础项逐个核对一遍，大部分常见问题都可以提前发现。

再强调一次：本文只是开发和产品层面的自查参考，不构成法律意见，具体要求请以官方法规原文和专业律师意见为准。