微博Android SDK未征得用户同意即收集个人信息案

【案件背景】
2025年6月18日，在国家网络安全通报中心公布的64款违法违规收集使用个人信息的移动应用名单中，微博Android SDK（版本13.10.5，官网下载）和太平洋咖啡会员（微信小程序版）被认定为「未在征得用户同意后才开始收集个人信息或打开可收集个人信息的权限」——这一违规类别仅涉及2款应用，在整个64款通报中属于数量最少但性质最为敏感的违规类型之一。微博SDK是被数以万计的第三方App集成的社交分享和登录工具包，其违规影响的范围远不止微博自身的用户，而是覆盖了所有集成该SDK的App的用户。

【违法事实】
国家计算机病毒应急处理中心检测认定：
1. 提前启动数据收集和权限索取：微博SDK（Android 13.10.5版本）在被集成到宿主App中后，在宿主App的用户尚未作出任何关于个人信息收集的同意之前，SDK即已自动开始收集个人信息或打开可收集个人信息的权限。
2. SDK作为独立的个人信息处理者必须独立合规：根据2025年个人信息保护系列专项行动的要求，SDK的合规责任是独立的——SDK提供者不能假定宿主App已经获得了用户的授权，SDK自身也必须确保数据的收集行为是在用户知情同意的前提下进行。具体而言，SDK须在隐私政策中明示其收集使用规则，或在宿主App首次调用SDK时通过弹窗等方式告知用户并获得授权。
3. 微博SDK的违规行为尤其严重的原因在于其巨大规模——作为国内最大的社交平台SDK之一，其被集成在大量第三方应用中，这使得SDK层面的合规缺陷会产生规模效应，影响数以亿计的用户。

【与其他违规事项的对比】
在此次通报的64款应用中：
- 25款涉及「隐私政策未逐一列出第三方SDK收集使用信息的目的、方式、范围」（最常见的问题）
- 30款涉及「未向用户提供撤回同意收集个人信息的途径、方式」
- 仅2款涉及「未在征得用户同意后才开始收集个人信息或打开可收集个人信息的权限」
后者的违规性质更为严重——因为这不是信息披露不到位的问题，而是完全跳过了「获得同意」这一前置法定程序，直接开始收集数据。

【处理决定】
国家网络安全通报中心通报微博SDK(Android)和太平洋咖啡会员，要求限期整改。2025年6月的通报还显示，另外29款应用（包括微博、诚通证券、智联招聘等）还同时涉及「未采取相应的加密、去标识化等安全技术措施」的违规问题。

【典型意义】
微博SDK被通报是SDK合规治理的标志性事件。它的关键启示在于：SDK不是「宿主App合规」的附属品——即使宿主App自身的隐私政策合规，如果集成的SDK在获得用户同意之前即自动运行并开始收集数据，SDK自身仍然构成独立的违规。2025年个人信息保护系列专项行动明确将SDK列为独立的治理对象（行动公告第二条为「SDK违法违规收集使用个人信息」），这意味着SDK提供者必须建立独立于宿主App的合规体系，包括：清晰明示的SDK隐私政策、在SDK被首次调用时的弹窗告知和单独授权机制、以及便捷的撤回同意通道。该案对国内SDK行业产生了明确的合规警示。