某社交App使用SDK静默收集用户在其他App中的行为数据用于跨应用推荐案

【案件背景】
2024年8月，广东省通信管理局在对SDK合规性专项检查中发现，某社交App集成的第三方广告SDK在后台静默收集用户设备上安装的其他App列表、应用使用频次、使用时长等数据，用于构建跨应用的用户行为画像和广告定向投放。该SDK的行为对用户完全不可见，隐私政策中也未提及。

【违法事实】
一是通过SDK实现隐蔽的跨应用追踪——SDK在App后台运行，收集用户设备上的其他App使用数据，这是一种比Cookie更为侵入性的追踪方式，因其不受浏览器隐私设置限制，且用户完全无法察觉和拒绝；二是未在隐私政策中披露SDK的数据收集行为——平台作为App运营者，对集成SDK的数据处理行为负有披露和监督义务，不能以'第三方SDK的行为'为由推卸责任；三是跨应用追踪的画像可能推断出用户的敏感信息——通过分析用户安装的App（如医疗问诊App、信教App、政治倾向App），可以推断用户的健康状况、宗教信仰和政治倾向。

【处罚决定】
广东省通信管理局依据《个人信息保护法》，处以人民币150万元罚款，责令立即下架违规SDK，对平台上所有第三方SDK的数据收集行为进行全面排查并在隐私政策中逐一披露，建立SDK接入前的隐私合规审查制度。

【典型意义】
一是SDK跨应用追踪是Cookie之后最隐蔽的个人信息收集方式——监管正从Cookie向更广的追踪技术延伸；二是App运营商对集成的第三方SDK负有不可推卸的合规监督义务；三是安装App列表等元数据在聚合后可能推断出极为敏感的个人特征。