就在近日，国家计算机病毒应急处理中心正式对外发布通报，经过历时一个多月的专业检测，一共发现 84 款移动应用，存在多项违法违规收集、使用公民个人信息的问题，名单之中，不乏大众耳熟能详的知名平台、医疗软件、出行工具、线上购物程序，甚至包含大量小程序、服务号，覆盖安卓各大主流应用商店 。



这份通报，是 2026 年全国个人信息保护专项行动当中非常关键的一轮筛查。检测周期横跨九月初到十月中旬，工作人员模拟普通用户真实使用场景，对每一款被测应用进行全流程技术勘验，逐一核查权限申请、隐私协议、数据传输、第三方数据共享等每一处细节，最终锁定整整 84 款存在明显合规漏洞的应用程序。通报同时披露，上一轮曝光的违规应用，复测之时仍然有大量产品拒不整改，已经被各大分发平台直接下架处置，释放出监管持续加压的强烈信号 。

很多人以为，隐私泄露距离自己十分遥远。事实上，只要拿起手机下载软件，点下“同意隐私协议”，一场关于个人信息的博弈，就已经悄然开启。这 84 款被点名的 App，撕开了整个行业长期存在的灰色产业链，也给亿万手机用户，敲响一记振聋发聩的警钟。

一、官方通报，八大典型违规套路全部曝光

通读完整的官方通报，不难发现，这 84 款应用，违规问题高度集中，可以归纳为八大类典型侵害行为，几乎囊括当下 App 侵犯个人隐私最常见的全部手段。

第一类，隐瞒规则，强迫默认同意。大量应用在首次启动的时候，没有弹出清晰醒目的弹窗，完整展示隐私政策。更有甚者，直接设置“默认勾选同意”，只要用户想要正常进入软件，就等于被动全盘接受全部采集条款，用户根本没有机会认真阅读收集范围、保存期限、数据流向。还有部分应用，隐私协议藏在多层菜单深处，文字密密麻麻，晦涩难懂，普通用户想要找到、阅读完整条款，要耗费巨大精力，本质上变相剥夺用户知情权与选择权 。

第二类，隐私协议刻意隐瞒第三方数据流向。这也是本次通报当中，最多应用踩线的问题，多达四十五款产品被明确指出，没有完整列明嵌入的第三方插件、委托合作机构，究竟会收集哪些信息、用来干什么、传给谁。很多 App 的本体本身并不采集大量敏感数据，但是内部嵌入数十家商业 SDK，这些隐形代码，会在后台悄悄读取设备编号、定位、浏览记录，源源不断向外传输，而用户从头到尾，完全不知情。本次上榜的东方甄选，就被明确标注存在该项违规，隐私政策未能完整列明第三方收集信息的目的、方式与范围，同时在未成年人信息保护上存在重大疏漏，没有制定专门的未成年人信息处理规则，采集未成年人信息，没有依法取得监护人的单独授权同意。

第三类，超范围索取权限，不给权限就不让使用。按照《个人信息保护法》确立的“最小必要原则”，一款软件，只能申请维持基础业务所必需的权限，不能强行索要无关权限。但是大量软件，把定位、通讯录、相册、麦克风、存储权限捆绑在一起，只要拒绝任意一项，软件直接锁死全部功能，强迫用户一次性交出全部权限。明明只是一个简单的计算器、手电筒、菜谱软件，却强行索要定位、通讯录权限，这类现象在行业内部早已司空见惯 。

第四类，未经许可，私自采集信息。部分 App，在用户尚未确认同意之前，就已经在后台启动采集流程，悄悄读取设备标识、网络地址，收集行为早于授权动作。只要软件安装完毕，哪怕用户还没有注册账号，信息采集就已经悄然启动，完全无视法律规定的“告知—同意”核心规则。

第五类，数据安全防护形同虚设。以首汽约车司机端为代表的一批应用，被查出安全防护能力严重不足，没有部署足够的加密、访问管控机制，一旦系统存在漏洞，海量用户、司机的身份、位置、行程信息，极易遭到非法访问、篡改、盗取，一旦泄露，后果不堪设想。大量平台把用户海量的敏感数据，存储在防护薄弱的服务器当中，相当于把一整箱写满身份证、手机号、家庭住址的档案，放在一扇没有上锁的房门之后。

第六类，违规向第三方流转个人信息。法律明确，如果要把收集到的个人信息交给别的企业，必须提前告知接收方是谁、拿数据用来干什么，并且拿到用户单独的同意授权。但是很多平台，直接打包用户画像、手机号、消费记录，批量流转给合作广告商、营销公司，全程不告知，不征求同意。

第七类，定向推送缺乏关闭通道。很多 App 收集用户的浏览、消费、出行记录，构建精准用户画像，持续推送个性化广告，却没有提供简单、便捷的关闭个性化推送的开关。用户想要拒绝画像追踪，需要层层钻进多级菜单，流程繁琐，几乎等于变相禁止用户退出。

第八类，账号注销难，数据删除无门。不少平台设置重重门槛，阻止用户注销账号。想要注销，需要填写复杂资料，等待漫长审核，即便账号注销成功，平台也不会承诺彻底清除已经保存下来的全部个人信息，用户想要拿回自己的数据、彻底清除痕迹，难如登天。

医疗、出行、电商、教育，都是本轮通报当中的重灾区。医院线上问诊软件、公共交通出行程序、线上购药平台，手握大量健康、行程敏感信息，一旦违规采集泄露，风险要远远高于普通软件。

二、数据黑市：你的一条信息，可以流转十次以上

绝大多数普通用户，并不清楚自己的信息被收集之后，究竟流向何方。一条完整的个人信息链条，一旦从 App 的后台流出，就会进入庞大的黑产市场，层层倒卖、反复变现。

当一款 App 获取你的手机号、常住地址、年龄、消费习惯，完整的用户画像就已经成型。原始数据，第一次卖给广告营销公司，定向投放推销短信、电话；再转手，流入诈骗团伙手中，骗子掌握你的年龄、家庭情况、消费偏好，量身定制骗局话术，诈骗成功率大幅提升；更有不法分子，将全套身份信息打包售卖，被用于注册虚假账号、网络洗钱。

公安部门曾经破获大型数据泄露案件，查获数十亿条公民信息。办案民警介绍，一条完整的包含姓名、手机号、住址、身份证号的信息，在黑市可以多次转卖，每一次转手，都能为中间商带来收益。而源头，很多就是各类手机应用，违规采集，疏于防护，最终造成海量数据外泄。

更可怕的，是精准画像。平台通过长期采集你的位置轨迹，掌握你的出行规律，清楚知道你什么时候在家、什么时候出门；读取相册，可以获取你的家人照片、证件照片；调取通讯录，一次性拿到你全部亲友的联系方式。理论上来说，只要授权足够多权限，企业可以勾勒出一份无比精细，几乎毫无隐私的完整人生画像。

很多人觉得，我只是随便点一下同意，没有什么损失。但无数真实案例已经证明，隐私防线一旦失守，骚扰推销、电信诈骗、身份冒用，一系列麻烦就会接踵而至。

三、法律红线：个人信息，不是可以随意收割的商品

早在多年之前，《中华人民共和国个人信息保护法》正式落地，被称为“公民个人隐私的防护盾牌”，连同《网络安全法》《网络数据安全管理条例》，搭建起一套完整的法律约束体系，明确划定不可逾越的红线 。

法律的核心，就是两条铁律：知情同意，最小必要。任何企业，想要采集个人信息，必须清清楚楚告诉用户，采集什么、拿来做什么、保存多久、传给谁，拿到用户明确、自愿的授权；同时，只能收集支撑业务必不可少的信息，不能贪多求全，随意抓取无关数据。

对于未成年人，法律设置了更加严苛的保护条款，处理十四周岁以下未成年人的个人信息，必须制定专门的处理规则，并且取得监护人的单独同意，不能混在普通隐私协议里面，一笔带过。本次通报之中，东方甄选正是因为未成年人信息保护不合规，被点名通报，这也提醒所有平台，针对少年儿童的数据采集，监管标准更加严格，容错空间几乎为零。

监管链条，也已经成型。国家计算机病毒应急处理中心、网信、工信、公安、市场监管多部门协同，常态化开展技术检测，分批曝光违规名单。对于拒不整改的平台，可以采取责令改正、警告、高额罚款、下架应用，情节严重的，相关负责人还要承担刑事责任。

但是，治理从来不是一朝一夕的事情。监管部门一轮又一轮的通报，一批又一批的名单曝光，恰恰说明，过度采集隐私，是整个行业根深蒂固的顽疾。巨大的商业利益驱动之下，很多平台抱着侥幸心理，能多收集就多收集，直到被检测曝光，才仓促启动整改。

四、藏在手机里的隐私战争：企业与用户的博弈

为什么大量企业不惜冒着被通报处罚的风险，疯狂收集用户个人信息？答案，藏在互联网商业模式的底层逻辑之中。

对于互联网平台而言，用户数据，就是最重要的资产。海量用户画像，是精准广告、产品运营、商业决策的基础，数据量越大，画像越精细，变现的潜力也就越高。于是，很多企业把数据采集当成核心目标，产品设计之初，就想尽一切办法，拿到尽可能多的权限。隐私协议越写越长，权限申请越来越多，本质上，就是企业想要尽可能拓宽数据采集的边界。

很长一段时间，用户处在完全弱势的位置。用户想要使用服务，几乎没有谈判的筹码，要么全盘同意，要么直接放弃使用软件。这种“一刀切”的授权模式，长期饱受诟病。随着立法完善，监管持续加码，这种格局正在被强行扭转，法律要求，授权必须是分项、独立的，用户有权拒绝无关权限，不能一揽子捆绑。

但是，套路永远在迭代。明面上强制索要权限的做法收敛之后，很多企业转向更加隐蔽的采集方式，依靠内嵌的第三方 SDK，悄悄获取设备信息，绕开前端的权限弹窗，在后台静默采集，隐蔽性更强，普通用户单凭肉眼，根本无法察觉。这也正是为什么，监管机构需要动用专业的技术检测手段，才能揪出潜藏的违规行为。

五、普通人的自救指南，守住手机的隐私大门

监管出手整治，是自上而下的守护；而对于每一个普通人，学会保护自己，才是最直接、最有效的防线。结合本次官方通报暴露出来的问题，每一位手机使用者，都可以建立一套属于自己的隐私防护习惯。

第一，安装软件，认准正规渠道。尽量选择官方自带的正规应用商店下载，不要随意从网页、第三方链接，下载来历不明的安装包，非正规渠道的安装包，往往暗藏恶意采集程序。

第二，安装之时，谨慎授予权限。弹窗索要权限的时候，一定要仔细分辨，这款软件，真的需要这个权限吗？一个阅读软件，完全不需要通讯录；一个计算器，不需要定位；一个短视频工具，不必授予全部相册权限。凡是超出基础功能的权限申请，一律选择拒绝。手机系统设置之中，可以单独管理每一款 App 的权限，可以随时关闭不必要的授权。

第三，认真留意隐私协议。虽然篇幅冗长，但是在关键环节，快速浏览，重点查看信息收集范围、是否向第三方提供数据、账号注销规则。一旦发现条款明显不合理，尽量放弃注册使用。

第四，定期清理。隔一段时间，打开手机权限管理页面，复盘全部应用的授权状态，把长期闲置、不再使用的软件直接卸载，切断潜在的数据采集通道。对于已经不再使用的账号，发起注销申请，要求平台清除留存的个人信息。

第五，提高防范意识，不要随意在陌生平台提交身份证、人脸、家庭住址等高度敏感信息。敏感信息一旦上传，泄露的风险会成倍上升。

如果发现 App 存在强制索权、违规采集的行为，用户可以通过网信、工信的举报渠道提交线索，监管部门会接收线索，开展核查处置。个人信息保护，不只是监管的责任，也是每一个人的权利。

六、专项治理，一场漫长的攻坚战

本轮一次性通报 84 款违规应用，并不是一次孤立的行动。翻阅公开记录，国家计算机病毒应急处理中心，几乎每个月，都会开展一轮批量检测，持续对外曝光违规 App 的名单，几十款、七十多款、八十多款，一轮接一轮，不间断的筛查、通报、督促整改、下架处置，已经成为常态化工作机制 。

监管的目标，不是单纯惩罚企业，而是重塑整个行业的底层规则，倒逼所有互联网运营者，真正把“最小必要”的原则落到实处，建立完善的数据安全防护体系，尊重用户知情权、选择权。

当然，治理之路依旧漫长。移动互联网生态庞大，除了独立 App，大量小程序、网页插件、车载端应用、智能设备，同样存在个人信息采集的隐患，监管的边界，正在持续向外延伸。智能手表、智能家居，越来越多设备接入互联网，无时无刻不在采集使用者的信息，新的风险，正在不断涌现。

从宏观视角来看，个人信息，已经成为数字时代重要的基础资源。发展数字经济，绝不等于放任企业无限制收割普通人的隐私。产业发展，必须建立在安全、合规的基础之上。一个健康的数字社会，应当实现产业发展与个人权益保护之间的平衡，平台可以合理采集必要的数据，但是必须守住法律划定的边界。

国家计算机病毒应急处理中心一次性检出八十四款违规应用，为所有人撕开一道窗口，让我们看见藏在手机屏幕背后，一场旷日持久的隐私争夺战。无数应用想尽办法，突破边界，抓取属于普通人的身份、位置、健康、社交信息，试图将隐私变成可以变现的商品。

法律已经划出红线，监管持续高悬利剑，但是守护隐私，最终离不开每一个人的警觉。小小的一次权限授权，一次软件下载，背后关联的，是你的身份安全、财产安全、家庭安全。在数字化浪潮席卷一切的今天，守住个人信息，就是守住属于自己最基本的安全防线。