某SDK网络科技企业违法违规收集个人信息案

【案件背景】
2025年11月，上海市网信办在个人信息保护执法专项行动中，针对移动互联网生态中的SDK（软件开发工具包）环节开展重点检查。调查发现，某网络科技企业作为广告SDK服务商，在向数十款日活用户累计超千万的App提供程序化广告投放SDK的过程中，存在系统性批量违法采集终端用户个人信息的行为。SDK作为嵌入App的第三方代码模块，具有在App开发者不知情或无法完全控制的情况下独立采集数据的技术可能，是个人信息保护监管的新兴重点领域。

【违法事实】
1. 静默采集用户数据：该SDK在嵌入宿主App后，在用户完全不知情且未获得任何告知和同意的情况下，自动采集设备标识信息（IMEI、Android ID、OAID、IDFA等）、已安装应用列表（App List）、跨App浏览和操作行为记录，以及IP地址和粗略位置信息；
2. 数据用途与告知严重不符：SDK采集的数据被用于构建详细的用户画像和精准广告投放，但无论是SDK自身的隐私政策（隐藏在宿主App隐私政策嵌套链接深处）还是宿主App的隐私政策，都未向用户告知其数据将被SDK用于广告画像和定向推送的实际用途；
3. 宿主App与SDK责任边界不清：SDK服务商与App开发者之间的合作协议中未明确约定各自在个人信息保护方面的责任和义务，导致出现App开发者以为SDK只获取必要数据、SDK服务商以为App已获得用户同意的责任真空；
4. 对宿主App开发者的合规误导：SDK服务商在商务材料中向App开发者声称其SDK完全合规，但实际上SDK在宿主App获得用户同意之前就已经开始采集数据。

【处罚依据】
《个人信息保护法》第十三条至第十七条（告知同意规则）、第二十一条（委托处理关系中受托人的义务）、第六条（最小必要原则）；《关于开展App违法违规收集使用个人信息专项治理的公告》。

【处罚决定】
上海市网信办依法对该SDK服务商作出警告、责令限期改正的行政处罚，要求：立即停止在未获终端用户同意前的数据采集行为；建立SDK合规文档体系；与App开发者签订补充数据处理协议明确双方数据保护责任。

【典型意义】
该案是SDK环节个人信息保护执法的标志性案例。在移动互联网生态中，SDK往往处于监管的灰色地带——用户不知道SDK的存在、App开发者不完全掌握SDK的行为、SDK服务商以技术提供方自居而忽视合规义务。本案明确了一个核心原则：SDK作为直接收集和处理个人信息的一方，同样是《个人信息保护法》下的个人信息处理者，必须独立履行告知同意等法定义务，不能以我只是嵌入在别的App里为由规避责任。