政务App及科技App第三方SDK未获单独同意违规收集共享个人信息案（2025年4月通报）

【案件背景】
2025年4月22日，国家网络与信息安全信息通报中心（国家网络安全通报中心）依据《网络安全法》《个人信息保护法》等法律法规，经国家计算机病毒应急处理中心检测（检测时间为2025年3月1日至4月8日），一次性通报了67款移动应用存在多种违法违规收集使用个人信息的情况。此次通报是2025年个人信息保护系列专项行动的重要执法举措，涉及的违规类型涵盖12大类，包括默认勾选同意、隐私政策不完整、第三方SDK未获单独同意即收集/共享个人信息、撤回同意机制缺失、敏感信息处理未获单独同意、未成年人信息保护不足、向境外传输数据未获单独同意等。其中政务类App（如甘肃高速）、金融类App（如携程金融）以及科技类App（如客很多）被点名尤为引人关注。

【代表性违法事实】
此次通报揭示的典型违规行为包括：
1. 默认勾选隐私政策（涉及11款App）：App首次运行时系统自动默认勾选「已阅读并同意」，用户需手动取消才能拒绝授权，违反《个人信息保护法》的「明示原则」——如《客很多》《城泊通》《e万源》等。
2. 隐私政策未逐项列明第三方SDK的数据收集行为（涉及35款App）：App嵌入的第三方SDK在隐私政策中未被明确列出，用户无法知晓SDK的数据收集目的、方式和范围——如《携程金融》通过嵌入第三方SDK静默收集用户设备信息和通讯录数据用于信贷风险评估和精准营销；政务App《甘肃高速》也未在隐私政策中列明SDK的收集范围。
3. 向第三方提供个人信息未获单独同意（涉及23款App）：个人信息处理者通过嵌入的第三方代码、插件向第三方提供个人信息，但未告知接收方名称、联系方式、处理目的方式和个人信息种类，且未取得个人的单独同意，更未作匿名化处理。
4. 向境外传输个人信息未获单独同意（涉及1款App）：《客很多》在将个人信息传输出境时，未向用户告知境外接收方信息和行使权利的程序，未取得个人的单独同意。

【处理决定】
国家网络安全通报中心要求所有被通报App限期整改。其中，某科技类App因同时涉及向境外传输数据和违法收集未成年人信息，被要求在15天内提交合规报告进行限期整改，逾期未达标最高可面临500万元罚款，且公安机关已对其运营企业立案侦查（因涉及向境外传输数据）。

【典型意义】
此次通报是2025年个人信息保护执法规模最大的一次行动，集中体现了中国在App个人信息保护方面的系统性治理思路：从「隐私政策文本审查」升级到「SDK全链条治理」——SDK作为App生态中用户不可见的「隐形收集者」，已成为监管的重中之重；「单独同意」的要求被全面落实，覆盖向第三方传输、敏感信息处理、跨境数据传输三大关键场景。该次通报还揭示了政务App同样存在严重合规漏洞的问题——公共服务数字化不等于可以豁免个人信息保护义务。