（问题）通报指出，2025年12月26日至2026年1月20日的检测周期内，部分移动应用在个人信息处理环节存在多类不规范情况：有的在首次启动时未通过弹窗等醒目方式提示用户阅读隐私政策、用户协议等规则；有的隐私政策表述含糊，未逐项说明收集信息的目的、方式、范围及所涉及的第三方组件；有的在向第三方提供个人信息时未取得用户明确同意，也未进行必要的匿名化处理；在身份核验场景中，有的将人脸识别设为“唯一通道”，未为不同意采集面部信息的用户提供同等便捷的替代方式；还有的在未明显提示、未充分征得同意的情况下，将用户搜索等信息用于定向推送或广告精准营销，并且未提供关闭选项；上述做法削弱用户知情权和选择权，增加信息泄露、滥用风险，也扰乱网络空间治理秩序。 （原因）业内人士分析，问题集中暴露出三上短板：其一，部分平台“重增长、轻合规”，产品快速迭代时将数据视为低成本资源，合规评估跟不上业务扩张；其二，第三方SDK、插件与外包链条较长，权限调用、数据流向和责任边界不清，若缺乏严格审计和最小必要原则约束，容易形成“隐蔽采集—外部共享—二次利用”的灰色通道；其三，个别企业对生物识别信息的敏感性认识不足，以提升转化率或降低成本为由扩大人脸识别使用范围，忽视“必要性、替代性、可选择性”等基本要求。此外，部分用户对授权提示警惕不足，习惯性“一键同意”，客观上也降低了违规成本。 （影响）个人信息一旦被超范围采集、流转或二次利用，轻则带来骚扰营销和“画像”追踪，重则可能导致账号被盗、诈骗更精准，甚至造成财产损失。更深层看，移动应用已与支付、出行、医疗、教育及智能家居等场景深度绑定，数据安全具有外溢效应：一款应用的权限滥用可能成为攻击入口，进而波及家庭网络、智能摄像头、门锁等终端设备，放大全链路风险。对行业而言，违规行为损害市场公平和用户信任，挤压合规经营者空间，也不利于数字经济的健康发展和国际合作环境。 （对策）针对通报反映的突出问题，治理需要多方协同、系统推进。 一是压实企业主体责任。应用运营者应把合规嵌入产品全生命周期：首次启动要以显著方式提示并便于查阅隐私政策；隐私政策应清晰列明信息类别、使用目的、保存期限、共享对象及退出机制；调用敏感权限做到“逐项告知、明示同意、可随时撤回”；对第三方SDK实行清单化管理和定期审计，严格限制后台静默获取，并在对外共享时落实去标识化、匿名化等安全处理及必要的安全评估。 二是规范生物识别使用边界。涉及人脸识别的身份验证应坚持必要性原则，在可实现同等目的时提供非人脸识别替代方案，确保不同意采集生物特征信息的用户同样能便捷使用核心功能，避免“以同意换服务”的变相强制。 三是提高精准营销透明度。对定向推送、个性化推荐等功能，应以醒目方式说明数据使用规则，并提供一键关闭或便捷管理入口，让用户可控、可选、可退出。 四是提升公众自我保护能力。用户可从“设备—账户—行为”三条线自查：设备侧，及时更改路由器、摄像头、门锁等出厂密码并定期升级固件；账户侧，为邮箱、网银、云盘等开启“两步验证”，重要文件和移动存储做好加密；行为侧，网购支付注意核对网址安全标识，谨慎点击不明链接，定期清理浏览器缓存与应用数据。敏感信息输入要格外谨慎，身份证号、银行卡号等不随意提供；发现异常登录或疑似泄露，可先退出异常设备、冻结账号、修改密码并留存证据，通过涉及的渠道投诉举报，必要时依法维权。 五是持续加大监管与惩戒力度。对屡查屡犯、整改不力的主体，应依法依规提高违法成本，推动形成“可追溯、可问责、可整改”的闭环机制，促进行业以合规为底线、以信任为基础形成更健康的市场生态。 （前景）随着个人信息保护制度优化、执法力度持续加大，移动应用合规有望从“被动整改”转向“主动内生”。未来一段时期，治理重点或将深入聚焦第三方组件透明化、敏感权限精细化管理、生物识别信息规范使用，以及面向用户的可解释、可选择机制建设。同时，隐私计算、端侧处理、最小化授权等技术和产品理念将更广泛落地，推动“数据可用不可见、授权可控可撤回”成为更常见的实践。
个人信息安全不是“可选项”，而是数字社会运转的基本规则；对企业来说——合规既是底线——也是竞争力；对用户来说，谨慎授权、规范用网是最直接的自我保护。多一些透明与自律，少一些侥幸与越界，才能让数字生活的便利建立在更可靠的安全与信任之上。