某科技类App隐私政策默认勾选且SDK未经同意向境外传输数据案

【案件背景】
2025年4月22日，国家网络安全通报中心通报的67款违法违规收集使用个人信息的移动应用中，某科技类App因同时涉及多重严重违规——「默认勾选同意隐私政策」「通过集成SDK向境外传输用户数据」「违法收集未成年人信息」以及「用户卸载后仍持续上传操作记录」——被特别点名。该App被要求15天内提交合规报告，公安机关对其运营企业立案侦查，成为2025年个人信息保护专项行动中处理最为严厉的个案之一。该案例在行业内被广泛引用为企业个人信息保护合规审计的典型案例。

【违法事实】
经国家计算机病毒应急处理中心检测，该科技类App存在以下多重严重违规行为：
1. 隐私政策默认勾选——违反明示同意原则：用户下载并首次运行该App时，隐私政策的同意勾选框被系统默认勾选，用户无法通过主动勾选的方式自愿、明确地表示同意，不符合《个人信息保护法》第十四条对「同意应当由个人在充分知情的前提下自愿、明确作出」的要求。
2. 集成SDK未经同意向境外传输数据——双重违规：该App集成的第三方SDK在隐私政策中未被逐一列出，用户完全无法知晓SDK的具体数据收集行为。更严重的是，该SDK在未经用户任何同意的情况下，将用户数据（包括设备信息、使用行为数据等）持续传输至境外服务器。《个人信息保护法》第三十九条要求向境外提供个人信息须取得个人的单独同意，该App完全未履行此项义务。
3. 违法收集未成年人信息：该App未针对不满十四周岁的未成年人制定专门的个人信息处理规则，处理未成年人个人信息时未取得其监护人的单独同意，违反《个人信息保护法》第三十一条。
4. 用户卸载后仍持续收集数据：用户卸载该App后，其集成的SDK并未停止运行，仍然在后台持续上传用户的操作记录数据——该行为属于在用户已明确作出拒绝/终止使用的意思表示后仍处理个人信息的最严重违规之一。

【处理决定】
1. 被相关部门要求在15天内提交合规报告进行限期整改；
2. 如逾期未达标，最高将面临500万元罚款；
3. 因涉及向境外传输数据，公安机关已对其运营企业立案侦查——这是2025年专项行动中为数不多的因个人信息违规而被刑事立案的案件，标志着个人信息保护从行政处罚向刑事追诉的升级。

【典型意义】
该案被广泛引用为企业个人信息保护合规审计的教科书案例，因为它几乎「集齐」了个人信息保护法项下的所有严重违规类型：默认勾选（同意无效）、SDK隐式数据收集（透明度缺失）、数据出境（跨境合规缺失）、未成年人信息保护（特殊群体保护缺失）、以及卸载后持续收集（数据最小化原则和撤回同意权的根本违反）。该案的核心启示是：企业不能以「集成了第三方SDK」为由推卸自身作为个人信息处理者的合规责任——SDK的合规状况必须在集成前经过独立审查，且SDK的数据收集行为必须被纳入App整体合规框架。