2026年4月2日，中央网信办、工业和信息化部、公安部联合发布《关于开展2026年个人信息保护系列专项行动的公告》，宣布在App及SDK、互联网广告、教育、交通、卫生健康、金融七个领域同步启动专项治理，同时针对侵犯个人信息违法犯罪开展专项打击。这是《个人信息保护法》施行以来，监管部门首次以三部门联合公告的形式，将七个重点领域的个人信息治理统一纳入一个贯穿全年的专项行动框架之中。
专项行动公告发布后不到一个月，4月27日，中央网信办就通报了首批33款App个人信息收集使用问题。6月11日，第二批30款App被通报。至此，专项行动启动不足三个月，已有63款App被公开点名，涵盖教育、金融、出行、工具等多个类别，助贷类App在第二批通报中集中出现。与此同时，最高人民法院于5月8日发布5起依法惩治侵犯公民个人信息犯罪典型案例，明确对行业"内鬼"从重惩处的司法信号。
从2021年《个人信息保护法》施行到2026年专项行动全面铺开，一个问题值得关注：当立法的框架已经基本搭建完毕之后，执法的重心正在发生怎样的变化？
一、专项行动的制度框架：七个领域的治理逻辑
专项行动公告所列七个领域——App及SDK、互联网广告、教育、交通、卫生健康、金融、刑事打击，并非随机的选择。这七个方向分别对应了个人信息保护中风险最集中、公众体感最直接的场景。
App及SDK — 个人信息收集最广泛的入口
一个用户手机上的App动辄数十个，每个背后可能集成多个第三方SDK，形成用户难以感知的信息收集网络。公告列出的四大治理重点——未公开收集使用规则、未完整准确告知、未经同意或强制同意、超出必要范围收集——对应《个人信息保护法》的知情同意与必要性原则。值得注意的新信号："未提供有效注销用户账号功能"和"未建立、公布个人信息安全投诉举报渠道"也被列入，表明执法已从"收集"环节延伸至用户行使权利的"退出"环节。
互联网广告 — 竞价投放链条中的数据流转黑洞
在数字广告的竞价链条中，个人信息经过多层中介平台，数据流向对用户几乎完全不透明。"利用自动化决策推送广告，未设置易于理解的个性化推荐关闭选项"的治理重点，直接回应当前最普遍的公众困扰：在某平台浏览商品后，接连在其他平台收到同类广告，而用户无法有效关闭跨平台追踪。更深入的问题："关闭个性化推荐后未停止收集个人信息，未提供删除用户个人特征标签等功能"——触及了关闭推荐不等于停止收集这一隐性合规盲区。
教育 · 交通 · 卫生健康 — "非自愿提供"场景的共同治理
三个领域的共同特征是个人信息在不对等关系中的"非自愿提供"——学生和家长在教育机构面前、旅客在购票平台面前、患者在医疗机构面前，几乎没有不提供个人信息的现实选择。治理重点高度聚焦于人脸识别的滥用："使用非人脸识别技术方式可以实现验证，将人脸识别技术作为唯一验证方式"，与2025年6月施行的《人脸识别技术应用安全管理办法》第十条形成直接的执法联动。
金融 — 风控之名与必要性审查的夹缝
助贷平台以"风险评估"为由收集通讯录、短信、通话记录、位置等信息的做法在实践中相当普遍。专项行动将其明确列为治理重点，意味着以风控为名并不当然构成收集上述信息的正当理由——必要性审查的核心是手段与目的之间的比例关系，专项行动正在将这个抽象标准落实到金融行业的具体场景中。
刑事打击 — 与行政监管同步推进的全链条治理
不同于前六个行政监管领域，刑事打击专项表明专项行动不只限于行政约谈和通报整改，在涉及侵犯公民个人信息犯罪的环节，刑事追诉同样在同步推进。最高法随后发布的5起典型案例，正是这一信号的司法呼应。
二、两轮App通报：执法节奏和覆盖面的观察
专项行动启动以来已发布两轮App通报，分别为4月27日的33款和6月11日的30款。将这两轮通报放在一起看，有几个值得注意的特征。
首批通报 · 4月27日 — 33款App
| 主要问题 | "无隐私政策或未提示用户阅读规则"（15款，45.5%）· "未提供有效账号注销途径"（12款，36.4%）——基础性合规要求 |
| 间隔 | 距公告发布仅25天，执法机构迅速启动实质性检测 |
第二批通报 · 6月11日 — 30款App
| 主要问题 | "未公开收集使用规则"7款 · "频繁索要非必要权限"4款 · "未列明SDK收集情况"5款 · "未提供有效账号注销功能"14款（占比最大） |
| 新特征 | 助贷类App（大象优品、信小花、逸小花等）集中出现 |
| 间隔 | 距首批约6周，通报正在形成规律化的发布节奏 |
更值得关注的是，两轮通报均未采取直接下架或高额罚款的处理方式，而是统一沿用了"通报—限期15个工作日整改—整改后核查"的阶梯式执法模式。这与《个人信息保护法》施行初期部分地区直接下架App的做法有所不同。这种模式的实质在于区分两类违规主体：一类是愿意配合监管、具备整改意愿和能力的企业，给予合规窗口期；另一类是整改期满后仍未达标、或存在故意规避、对抗监管等情节的企业，后续面临从严处置。
潜在法律后果：通报所援引的法律依据——《网络安全法》《个人信息保护法》《网络数据安全管理条例》《App违法违规收集使用个人信息行为认定方法》——已为后续处罚保留了足够的法律空间。2026年1月施行的修订版《网络安全法》将造成严重后果的违规行为罚款上限提升至1000万元并对直接责任人实行双罚，这个潜在的法律后果对于被通报的企业而言并非没有威慑力。
三、执法深化的一个信号：必要性原则的具体化
专项行动公告中存在一个值得注意的表述方式：在各个领域的治理重点中，频繁出现"收集与其提供的服务无关的个人信息""超出必要范围收集""在无关场景收集"等措辞。这不是简单的修辞重复，而是《个人信息保护法》第六条"收集个人信息，应当限于实现处理目的的最小范围"——即必要性原则——开始从规范层面进入执法认定层面的体现。
以金融专项为例，公告明确列出"以安全风控、贷款服务等名义收集非必要的通讯录、短信、通话记录、位置、设备信息、应用列表等个人信息"。这一表述的实质在于：并非以风控为目的的通讯录收集一概违法，但如果收集的范围和处理目的之间缺乏必要的关联——例如一个消费贷产品收集用户的通讯录和短信记录——那么"风控"这一名义本身不足以使该收集行为获得合法性。必要性审查的核心是手段与目的之间的比例关系，专项行动正在将这个抽象标准落实到具体行业的典型场景中。
执法实例
助贷类App在6月11日通报中的集中出现可以为这一判断提供侧面印证。大象优品、信小花、逸小花等三家助贷App均因"频繁索要非必要权限"被通报——频繁索取权限与必要性原则的直接违反，在执法认定上形成了一个可操作的标准：不在于单次收集行为是否获得了用户的勾选同意，而在于某一项权限的获取频率和调用场景是否与其业务功能之间存在合理关联。
东融App被通报的原因——"未逐一列出收集使用个人信息的SDK"——则指向了另一层问题。当App集成了多个第三方SDK，而隐私政策中并未完整准确列明各个SDK的数据处理行为，用户对"我的信息被谁收集了、用于什么目的"就处于无从知晓的状态。这种透明性的缺失，在本质上同样是对知情同意原则的削弱。东融在被通报后次日即完成整改并报送网信办，说明这一类问题在技术上并非无法解决，更多是企业此前缺乏合规动力。
四、刑事层面的同步推进：最高法典型案例的司法信号
在行政监管密集通报的同时，刑事司法层面也在同步发力。最高人民法院于2026年5月8日发布5起依法惩治侵犯公民个人信息犯罪典型案例，覆盖医疗、交通、教育、网络安全和医疗健康五个方向，与专项行动的七个领域高度重叠。这五起案例在事实类型和量刑幅度上呈现出一个共同特征：从重惩处"内鬼"。
案例1 · 医疗挂号系统"内鬼" 软件公司开发挂号系统期间私装数据接口，盗取287万余条患者信息 → 主犯有期徒刑五年六个月，单位罚金30万元
案例2 · 铁路客运员出售旅客行程 利用职务便利查询并出售高铁旅客行程信息，违法所得约19万元 → 刑事责任 + 民事公益诉讼赔偿
案例3 · 伪造身份证下载学历信息 犯罪团伙伪造身份证图片批量下载学历证书电子注册备案表出售 → 主犯获利约30万元
案例4 · 9亿条个人信息"社工库" + "开盒"网暴 通过加密通讯工具非法获取共9亿余条个人信息搭建"社工库"提供有偿查询并实施"开盒"网暴 → 主犯数罪并罚执行有期徒刑七年
案例5 · HPV疫苗预约网站木马盗取+诈骗 向疫苗预约网站植入木马盗取29万余条预约信息后实施诈骗58万余元 → 主犯数罪并罚执行有期徒刑十二年
司法信号一：刑民并行追责 两起案件中法院同时追究了民事公益诉讼赔偿责任，表明刑事责任和民事公益诉讼可以并行追究，行为人不能以"已经承担刑事责任"为由免除民事赔偿责任——与《个人信息保护法》第70条公益诉讼制度形成呼应。
司法信号二："全链条"处理逻辑 "社工库"和"开盒"案件将侵犯公民个人信息罪与寻衅滋事罪（网暴行为）数罪并罚，表明司法对个人信息犯罪正在适用"全链条"的处理逻辑——非法获取、有偿提供和下游利用行为一并惩处，而非仅处罚信息泄露的起始环节。
五、企业的合规应对：专项行动给出的方向
专项行动公告本身就是一份企业合规的自查清单。公告所列的每一个治理重点，反向转换即企业应当逐一核对的合规项目。在当前的执法态势下，企业如果仅满足于拥有一份形式上完整的隐私政策，恐怕已经不足以应对接下来的合规审查。
合规一
SDK的信息披露合规。App集成的每一个SDK都是独立的数据处理者或受托处理者，其收集哪些信息、用于何种目的、是否向第三方提供，不仅要在内部掌握，更要在隐私政策中完整呈现。东融在被通报后次日即完成整改的事实说明——对多数企业而言这并非能力问题而是意识问题。合规二
必要性审查的实操化。专项行动在多个领域将必要性原则从抽象规定转化为具体的场景性判断：以风控为由收集通讯录/短信/位置/应用列表——须证明每一项信息与风险评估之间存在实质关联；人脸识别作为唯一验证方式——须证明不存在非人脸识别的替代方案；个性化推荐关闭后仍收集个人信息——须在技术上实现推荐开关与收集行为的同步切断。合规三
注销和退出机制的合规。按照《个人信息保护法》第47条，个人撤回同意或注销账号后，处理者应主动删除个人信息。账号注销功能的不完善，意味着用户不仅在形式上无法退出，在实质上也无法实现对已收集信息的删除。这一问题的技术实现难度通常不高，但两轮通报中都占据最大比重，说明行业对"用户退出权"的重视程度远不及对"用户获取"的重视程度。合规四
金融行业助贷场景的专项合规。专项行动明确将助贷平台向第三方提供个人信息而未告知、未取得同意列为金融专项治理重点。对于助贷企业而言，个人信息流转本身就是核心业务环节，"向第三方提供须取得单独同意"和"告知合作第三方的名称、处理目的和方式"已从合规建议变为刚性要求。备案多款App以分散监管风险的业务策略，在专项行动多轮通报的节奏下，有效性正在受到直接挑战。个人信息保护的监管重心，正在从"文本合规"转向"行为合规"
个人信息合规不是一次性的工作，必须纳入产品和技术的持续运营之中。SDK的更新、权限调用的变化、第三方合作关系的调整——这些日常的业务变动都会带来合规风险变动，需要持续跟踪和审查。企业的合规窗口期不是没有，但绝不是无限的。
免责声明：本文仅供法律研究与交流，不构成对具体案件的正式法律意见。具体法律问题请咨询专业律师。
参考资料
- 《关于开展2026年个人信息保护系列专项行动的公告》，中央网信办、工业和信息化部、公安部，2026年4月2日发布。 [链接]
- 《关于33款App个人信息收集使用问题的通报》，中央网信办秘书局，2026年4月27日发布。 [链接]
- 《关于30款App个人信息收集使用问题的通报》，中央网信办秘书局，2026年6月11日发布。 [链接]
- 《中华人民共和国个人信息保护法》，2021年11月1日起施行。
- 《中华人民共和国网络安全法》（2025年修订），2026年1月1日起施行。
- 《人脸识别技术应用安全管理办法》，2025年6月1日起施行。
- 《网络数据安全管理条例》，2025年1月1日起施行。
- 《App违法违规收集使用个人信息行为认定方法》（国信办秘字〔2019〕191号）。
- 《人民法院依法惩治侵犯公民个人信息犯罪及关联犯罪典型案例》，2026年5月8日发布。 [链接]
- 《涉违规收集个人信息，东融等多家助贷App被网信办通报》，腾讯新闻，2026年6月15日。 [链接]
— 上海天尚律师事务所 —
本文仅供交流参考，不构成正式法律意见
王凯文律师
律师联系方式: 021-38722022 | 电子邮件: kevinwang@tsunlaw.com
