上海市网信办发布属地App个人信息收集使用问题通报（2026年第六批·SDK专项）：首次把第三方代码与插件合规单列成批

通报的法律依据链条较为完整：上位依据是中央网信办、工业和信息化部、公安部联合发布的《关于开展2026年个人信息保护系列专项行动的公告》，具体适用《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国未成年人保护法》《网络数据安全管理条例》以及《App违法违规收集使用个人信息行为认定方法》等法律法规和有关规定。

通报要求相关运营者应当于本通报发布之日起的15个工作日内完成整改，并将整改情况报上海市网信办；上海市网信办将会同有关部门进行核查，并结合整改情况依法依规开展处置处罚。这一“限期整改—报送—核查—处置”的闭环，是2026年个人信息保护系列专项行动在属地层面的标准动作，整改期仅15个工作日，节奏明显快于早期批次。

从已公开的批次特征看，上海属地通报已经形成相对固定的问题类型谱系：未公开或未显著提示个人信息收集使用规则、强制或频繁索要非必要权限、未完整准确列明收集使用个人信息情况、未提供有效账号注销功能等。SDK专项的加入，把“隐私政策未逐一列出App委托的第三方或嵌入的第三方代码、插件收集使用个人信息的目的、方式、范围”这一长期存在的合规洼地，从附带问题提升为独立执法主题。

对企业而言，本批的直接提示有三点：一是App运营者对嵌入SDK的实际行为负主体责任，不能以“供应商代码”推脱；二是整改窗口只有15个工作日，需提前建立SDK清单与持续检测机制，而非临时排查；三是叠加同月中央网信办通报与病毒应急处理中心通报，国家与属地两级检测已形成密集交叉，同一App可能被多批次点名。