國家計算機病毒應急處理中心發現68款違法APP：薄荷健康 丁香園等在列_風聞
网经S-1小时前
7月11日，依據《網絡安全法》《個人信息保護法》等法律法規，按照《中央網信辦工業和信息化部公安部市場監管總局關於開展2025年個人信息保護系列專項行動的公告》要求，經國家計算機病毒應急處理中心檢測，68款移動應用存在違法違規收集使用個人信息情況。
通報如下：
**1、在APP首次運行時未通過彈窗等明顯方式提示用户閲讀隱私政策等收集使用規則；以默認選擇同意隱私政策等非明示方式徵求用户同意；隱私政策難以訪問；個人信息處理者在處理個人信息前，未以顯著方式、清晰易懂的語言真實、準確、完整地向個人告知個人信息處理者的名稱或者姓名、聯繫方式、個人信息的保存期限等。**涉及14款移動應用如下：
《1點點 alittleTea+》（版本1，微信小程序）、《北京蝴蝶泉賓館》（版本3.163.3，微信小程序）、《鬥魚》（版本1.1.3，廣汽AION Y應用商店）、《虎丫炒雞官方》（版本5.88.05，微信小程序）、《吉祥餛飩 Wonton》（版本2.0.0，微信小程序）、《明宇酒店》（版本1，微信小程序）、《輕住酒店預訂》（版本3.2.17，微信小程序）、《甜啦啦》（版本2025627，微信小程序）、《微商錄屏大師》（版本5.0.4，搜狗下載）、《五穀漁粉點餐》（版本5.80.05，微信小程序）、《楊國福》（版本1.0.48，微信小程序）、《銀泰掌易寶》（版本5.1.0，華為應用市場（鴻蒙））、《眾匯酒店管理》（版本J3.11.102，微信小程序）、《在線助教學生》（版本2.0.7，小米應用商店）
**2、隱私政策未逐一列出APP（包括委託的第三方或嵌入的第三方代碼、插件）收集使用個人信息的目的、方式、範圍等。**涉及30款移動應用如下：
《1點點 alittleTea+》（版本1，微信小程序）、《51ETC管理》（版本2.9.0，vivo應用商店）、《Guard Android SDK》（版本1.5.8，官網）、《Mobit Android SDK》（版本2.14.1，官網）、《Now 冥想》（版本4.9.8，歷趣市場）、《WeMeeting》（版本2.7.4，榮耀商城）、《丁香園》（版本10.6.0，歷趣市場）、《鬥魚》（版本1.1.3，廣汽AION Y應用商店）、《紅娘》（版本4.0.2，360手機助手）、《紅松》（版本5.6.20，應用寶）、《華為好望》（版本3.5.10，華為應用市場）、《冀供惠》（版本1.1.0，華為應用市場）、《老鄉雞》（版本1.2.334，微信小程序）、《美篇》（版本11.0.6，華為應用市場）、《謎圈》（版本3.8.0，當下軟件園）、《三聯中讀》（版本10.7.0，應用寶）、《盛名時刻表》（版本1.0.9，vivo應用商店）、《石家莊日報》（版本1.2.6，oppo軟件商店）、《時光序》（版本4.18.2，vivo應用商店）、《識貨》（版本8.34.0，豌豆莢）、《蘇e行》（版本4.2.0，vivo應用商店）、《甜啦啦》（版本2025627，微信小程序）、《聽戲》（版本4.5.6，百度手機助手）、《小伴龍動畫屋》（版本4.0.0，PP助手）、《小燈塔》（版本3.26.0，應用寶）、《小鹿中醫》（版本3.10.12，豌豆莢）、《小小桌寵》（版本1.7.0，百度手機助手）、《迅雷遊戲SDK》（版本1.8.0.0，官網）、《易行車服》（版本2.2.8，華為應用市場）、《中青旅遨遊旅行》（版本6.1.21，360手機助手）
**3、個人信息處理者向其他個人信息處理者提供其處理的個人信息的，未向個人告知接收方的名稱或者姓名、聯繫方式、處理目的、處理方式和個人信息的種類，並取得個人的單獨同意；APP客户端向第三方提供個人信息，包括通過客户端嵌入的第三方代碼、插件等方式向第三方提供個人信息，未經過用户同意，未做匿名化處理。**涉及12款移動應用如下：
《VV》（版本8.68.1.7，百度手機助手）、《北京蝴蝶泉賓館》（版本3.163.3，微信小程序）、《財達財日昇》（版本3.65，當快軟件園）、《石家莊日報》（版本1.2.6，oppo軟件商店）、《識貨》（版本8.34.0，豌豆莢）、《水印王》（版本6.1.2，華為應用市場）、《微商錄屏大師》（版本5.0.4，搜狗下載）、《小伴龍動畫屋》（版本4.0.0，PP助手）、《小鹿中醫》（版本3.10.12，豌豆莢）、《醫院掛號網》（版本2.4.4，歷趣市場）、《移動端應用訂閲SDK》（版本1.1.0，官網）、《銀泰掌易寶》（版本5.1.0，華為應用市場（鴻蒙））
**4、未在徵得用户同意後才開始收集個人信息或打開可收集個人信息的權限。**涉及1款移動應用如下：
《老鄉雞》（版本1.2.334，微信小程序）
**5、未提供有效的更正、刪除個人信息及註銷用户賬號功能；雖提供了更正、刪除個人信息及註銷用户賬號功能，但未及時響應用户相應操作，需人工處理的，未在承諾時限內完成核查和處理。**涉及5款移動應用如下：
《聚典數據開放平台SDK》（版本3.0.4，官網）、《熱力引擎 Android SDK》（版本1.2.7.5，官網）、《用户運營SDK》（版本1.1.0，官網）、《中信書院》（版本9.4.1，華為應用市場）、《眾匯酒店管理》（版本J3.11.102，微信小程序）
**6、投訴、舉報未在承諾時限內受理並處理；個人信息處理者未建立便捷的個人行使權利的申請受理和處理機制。**涉及3款移動應用如下：
《輕住酒店預訂》（版本3.2.17，微信小程序）、《蘇e行》（版本4.2.0，vivo應用商店）、《眾匯酒店管理》（版本J3.11.102，微信小程序）
**7、未向用户提供撤回同意收集個人信息的途徑、方式；個人信息處理者未提供便捷的撤回同意的方式。**涉及35款移動應用如下：
《51ETC管理》（版本2.9.0，vivo應用商店）、《Now 冥想》（版本4.9.8，歷趣市場）、《WeMeeting》（版本2.7.4，榮耀商城）、《薄荷健康》（版本14.0.5，豌豆莢）、《財達財日昇》（版本3.65，當快軟件園）、《電銷神器》（版本6.8.6，vivo應用商店）、《紅松》（版本5.6.20，應用寶）、《華為好望》（版本3.5.10，華為應用市場）、《冀供惠》（版本1.1.0，華為應用市場）、《聚典數據開放平台SDK》（版本3.0.4，官網）、《馬蜂窩》（版本4.6.19，微信小程序）、《謎圈》（版本3.8.0，當下軟件園）、《明宇酒店》（版本1，微信小程序）、《輕住酒店預訂》（版本3.2.17，微信小程序）、《三聯中讀》（版本10.7.0，應用寶）、《掃描寶》（版本2.72，搜狗下載）、《盛名時刻表》（版本1.0.9，vivo應用商店）、《石家莊日報》（版本1.2.6，oppo軟件商店）、《時光序》（版本4.18.2，vivo應用商店）、《水獺掌櫃》（版本4.7.7-retail-china，小米應用商店）、《水印王》（版本6.1.2，華為應用市場）、《聽戲》（版本4.5.6，百度手機助手）、《微商錄屏大師》（版本5.0.4，搜狗下載）、《小伴龍動畫屋》（版本4.0.0，PP助手）、《小鹿中醫》（版本3.10.12，豌豆莢）、《小小桌寵》（版本1.7.0，百度手機助手）、《小豬民宿》（版本6.56.00，360手機助手）、《迅雷遊戲SDK》（版本1.8.0.0，官網）、《楊國福》（版本1.0.48，微信小程序）、《醫院掛號網》（版本2.4.4，歷趣市場）、《易行車服》（版本2.2.8，華為應用市場）、《用户運營SDK》（版本1.1.0，官網）、《智惠行》（版本2.6.1，vivo應用商店）、《中青旅遨遊旅行》（版本6.1.21，360手機助手）、《眾匯酒店管理》（版本J3.11.102，微信小程序）
**8、通過自動化決策方式向個人進行信息推送、商業營銷，未同時提供不針對其個人特徵的選項，或者未向個人提供便捷的拒絕方式。**涉及3款移動應用如下：
《馬蜂窩》（版本4.6.19，微信小程序）、《輕住酒店預訂》（版本3.2.17，微信小程序）、《楊國福》（版本1.0.48，微信小程序）
**9、處理敏感個人信息未取得個人的單獨同意。**涉及1款移動應用如下：
《易行車服》（版本2.2.8，華為應用市場）
**10、個人信息處理者處理不滿十四周歲未成年人個人信息的，未制定專門的個人信息處理規則；收集未成年人信息未取得監護人單獨同意。**涉及13款移動應用如下：
《VV》（版本8.68.1.7，百度手機助手）、《虎丫炒雞官方》（版本5.88.05，微信小程序）、《吉祥餛飩 Wonton》（版本2.0.0，微信小程序）、《聚典數據開放平台SDK》（版本3.0.4，官網）、《老鄉雞》（版本1.2.334，微信小程序）、《美篇》（版本11.0.6，華為應用市場）、《謎圈》（版本3.8.0，當下軟件園）、《三聯中讀》（版本10.7.0，應用寶）、《塔斯汀+》（版本3.25.2，微信小程序）、《甜啦啦》（版本2025627，微信小程序）、《五穀漁粉點餐》（版本5.80.05，微信小程序）、《移動端應用訂閲SDK》（版本1.1.0，官網）、《眾匯酒店管理》（版本J3.11.102，微信小程序）
**11、APP非服務所必需或無合理應用場景，超範圍頻繁自啓動或關聯啓動第三方APP。**涉及1款移動應用如下：
《紅松》（版本5.6.20，應用寶）
**12、未採取相應的加密、去標識化等安全技術措施。**涉及31款移動應用如下：
《1點點 alittleTea+》（版本1，微信小程序）、《Guard Android SDK》（版本1.5.8，官網）、《VV》（版本8.68.1.7，百度手機助手）、《薄荷健康》（版本14.0.5，豌豆莢）、《北京蝴蝶泉賓館》（版本3.163.3，微信小程序）、《電銷神器》（版本6.8.6，vivo應用商店）、《丁香園》（版本10.6.0，歷趣市場）、《紅娘》（版本4.0.2，360手機助手）、《虎丫炒雞官方》（版本5.88.05，微信小程序）、《吉祥餛飩 Wonton》（版本2.0.0，微信小程序）、《錦江薈》（版本1.9.2，微信小程序）、《老鄉雞》（版本1.2.334，微信小程序）、《馬蜂窩》（版本4.6.19，微信小程序）、《明宇酒店》（版本1，微信小程序）、《輕住酒店預訂》（版本3.2.17，微信小程序）、《熱力引擎 Android SDK》（版本1.2.7.5，官網）、《掃描寶》（版本2.72，搜狗下載）、《時光序》（版本4.18.2，vivo應用商店）、《水獺掌櫃》（版本4.7.7-retail-china，小米應用商店）、《塔斯汀+》（版本3.25.2，微信小程序）、《甜啦啦》（版本2025627，微信小程序）、《微商錄屏大師》（版本5.0.4，搜狗下載）、《五穀漁粉點餐》（版本5.80.05，微信小程序）、《亞朵ATOUR》（版本3.39.1，微信小程序）、《楊國福》（版本1.0.48，微信小程序）、《醫院掛號網》（版本2.4.4，歷趣市場）、《有譜麼》（版本3.45a，搜狗下載）、《雲上冀醫》（版本4.2.3，華為應用市場）、《在線助教學生》（版本2.0.7，小米應用商店）、《智惠行》（版本2.6.1，vivo應用商店）、《眾匯酒店管理》（版本J3.11.102，微信小程序）
**13、無隱私政策。**涉及6款移動應用如下：
《21財經》（版本1.0.0，廣汽AION Y應用商店）、《Andorid一鍵登陸SDK》（版本1.0.1，官網）、《埃安悦聽》（版本1.0.8303.231204.151120.rev_20230825_3c6ea06e6.gac_a18va21a29v_6125.release，廣汽AION Y預裝APP）、《廣汽魔方》（版本2.0.789.231204.152223.1aa24be3.release，廣汽AION Y預裝APP）、《應用商店》（版本1.9.7，廣汽AION Y預裝APP）、《桌面地圖》（版本1.0.1352.231204.152034.81520207.gac_a21_6125.release，廣汽AION Y預裝APP）
上期通報的國家計算機病毒應急處理中心檢測發現的64款違法違規移動應用，經複測仍有22款存在問題，相關移動應用分發平台已予以下架。
（注：文中所列移動應用檢測時間為2025年6月11日至2025年7月1日）
二、違規行為類型與深層原因分析
此次通報的13類違規行為可歸納為三大核心問題：用户知情權缺失、數據處理規範不足和安全防護措施薄弱，這些問題在不同行業和應用類型中表現各異。
用户知情權缺失是最普遍的違規類型，涉及49款應用。主要表現為三類違規行為：一是未在APP首次運行時通過彈窗等明顯方式提示用户閲讀隱私政策，或以默認選擇同意隱私政策等非明示方式徵求用户同意，剝奪用户的選擇權。例如《1點點 alittleTea+》《北京蝴蝶泉賓館》等14款微信小程序首次運行時直接默認用户同意，未提供閲讀隱私政策的機會。二是隱私政策難以訪問，部分應用將隱私政策嵌入冗長的協議中，或隱藏在"設置"菜單下，用户難以快速獲取關鍵信息。三是未提供撤回同意收集個人信息的途徑或方式，35款應用未建立便捷的撤回同意機制，用户一旦授權便無法隨時更改權限。例如《WeMeeting》《Now 冥想》等應用雖在隱私政策中提到用户可撤回同意，但未提供明顯的操作入口，導致用户實際難以行使這一權利。
數據處理規範不足主要表現在三個方面：一是隱私政策未逐一列出APP收集使用個人信息的目的、方式、範圍等，涉及30款應用，包括《51ETC管理》《WeMeeting》等。二是向其他個人信息處理者提供個人信息時未告知接收方信息並取得單獨同意，涉及12款應用，如《VV》《財達財日昇》等，這些應用在向第三方共享用户數據時未明確披露接收方名稱、聯繫方式、處理目的等關鍵信息。三是處理未成年人個人信息未制定專門規則或取得監護人同意，涉及13款應用，如《虎丫炒雞官方》《甜啦啦》等，這些應用在收集未成年人信息時未設置專門的授權流程，直接默認監護人同意，違反《個人信息保護法》第31條的規定。此外，還有三款應用（《馬蜂窩》《輕住酒店預訂》《楊國福》）通過自動化決策方式推送信息或商業營銷，但未提供不針對個人特徵的選項或便捷的拒絕方式，違反了《個人信息保護法》第24條和GDPR第22條的規定。
安全防護措施薄弱主要體現為兩類違規行為：一是未採取相應的加密、去標識化等安全技術措施，涉及31款應用，包括《薄荷健康》《丁香園》等，這些應用在傳輸或存儲用户敏感信息時未使用TLS/SSL等加密協議，存在數據泄露風險。二是無隱私政策，涉及6款廣汽AION Y預裝應用（如《埃安悦聽》《桌面地圖》等），這些應用未提供任何隱私政策，用户完全處於信息真空狀態，無法瞭解自身數據被如何收集和使用。特別值得注意的是，《紅松》應用因超範圍頻繁自啓動或關聯啓動第三方APP而違規，這種行為可能引發資源濫用或惡意行為，影響用户設備性能和安全
移動應用違規收集個人信息問題的根源是多方面的，涉及技術、管理和監管三個層面的系統性缺陷。
技術層面，開發流程中的隱私設計缺失是首要原因。首先，隱私設計優先級不足，多數開發者將功能開發置於首位，隱私保護常被視為"附加項"。例如，《微商錄屏大師》未在權限請求前展示隱私政策，反映出開發流程中缺乏隱私影響評估（PIA）。其次，SDK集成失控，第三方SDK的濫用導致數據泄露鏈條延長。以《WeMeeting》為例，其集成的SDK可能未經用户同意即上傳通話記錄，而開發者對此缺乏監控。第三，自動化工具依賴，部分企業使用代碼生成工具快速開發應用，但工具內置的隱私條款模板不符合法規要求，導致合規性漏洞。例如，《1點點 alittleTea+》等應用使用的默認模板未包含必要告知內容，直接導致違規。
微信小程序開發框架存在明顯的隱私設計缺陷。根據研究，微信平台僅在代碼提審時核對隱私政策與接口調用的一致性，但未強制要求隱私政策的易讀性和用户知情權的保障。微信小程序的權限機制僅覆蓋34.4%的隱私API，大量敏感權限（如獲取網絡信息、設備標識符等）未被納入監管範圍。同時，微信平台未提供足夠的隱私保護開發工具和指導，導致開發者難以實現合規要求。
管理層面，企業合規意識薄弱是關鍵問題。首先，成本與收益失衡，中小型企業為降低開發成本，傾向於採用"默認同意"策略，而非投入資源設計合規流程。例如，《北京蝴蝶泉賓館》小程序未明確告知用户數據保存期限，直接省略了合規成本。其次，內部治理機制缺位，缺乏專職隱私保護負責人或獨立審計部門，導致違規行為長期存在。如《中信書院》未提供有效註銷功能，反映出對用户權利響應的漠視。第三，外包環節監管漏洞，企業將數據處理外包給第三方時，未簽訂隱私保護協議。
監管層面，執法力度與技術手段不足是主要障礙。首先，動態監測能力有限，監管部門依賴靜態檢測報告，難以即時追蹤APP更新後的合規性變化。例如，《鬥魚》在廣汽AION Y應用商店違規後，未及時修復。其次，處罰威懾力不足，儘管《個人信息保護法》規定最高可處5000萬元罰款，但實際案例中處罰金額與違規收益不成比例，導致企業違法成本偏低。例如，工信部2025年6月通報的57款違規應用中，多數處罰金額遠低於5000萬元上限。最後，跨平台協作困難，不同應用商店（如微信小程序、華為應用市場）的監管標準不一，導致違規應用在多個平台"打游擊"。
三、構建隱私保護生態的路徑探索
針對移動應用違規收集個人信息問題，需要從技術、政策和社會共治三個維度構建系統性解決方案，形成多方協同的隱私保護生態。
技術賦能是構建隱私保護生態的基礎。首先，隱私設計即服務（Privacy by Design as a Service, PaaS）可幫助開發者實現合規。通過雲端隱私設計工具包，自動生成符合法規的隱私政策、權限提示界面及數據加密方案。例如，谷歌的Privacy Sandbox技術已實現廣告追蹤的匿名化處理，減少對用户個人特徵的依賴。其次，SDK透明化管理平台可強制要求開發者披露數據收集範圍與處理方式。華為與信通院共建的"全國SDK管理服務平台HarmonyOS專區"已實現SDK備案、風險預警和認證標記功能，為開發者提供合規SDK選擇。最後，自動化合規審計工具可利用AI模型掃描APP代碼，識別未加密數據傳輸、過度權限請求等問題。如IBM的OpenPages平台已實現合規風險即時預警，提高檢測效率和準確性。
微信小程序生態需要加強技術層面的隱私保護。微信平台應優化隱私接口和開發工具鏈，提供更清晰的合規指引和示例代碼。同時，應強制要求小程序提供易讀、易訪問的隱私政策，並在首次運行時以彈窗方式明確提示用户閲讀。此外，微信應加強對第三方SDK的審核和管理，建立SDK安全白名單制度，確保接入的SDK符合隱私保護要求。上海市《網絡點餐服務消費者個人信息保護合規指引》要求餐飲小程序不得強制關注公眾號或收集無關信息，這種技術規範值得推廣。
政策優化是推動隱私保護的重要保障。首先，動態分級監管機制可根據行業風險等級（如金融、醫療）實施差異化監管。例如，對高風險領域的《醫院掛號網》實施"雙隨機一公開"檢查，提高監管針對性和有效性。其次，引入懲罰性賠償制度可對故意違規企業施加高額罰款，並允許用户集體訴訟。《個人信息保護法》第66條規定，情節嚴重的可處違法所得十倍以上一百倍以下罰款，最高可達五千萬元。這種高額罰款對違規企業形成有效震懾，但需加強執行力度。最後，合規認證與激勵計劃可推出"隱私友好型APP"認證標誌，通過税收減免或流量扶持鼓勵企業主動合規。例如，美國加州的CCPA認證體系已初具成效，認證企業可獲得市場認可和政策支持。
社會共治是實現隱私保護長期有效的關鍵。首先，用户教育與反饋渠道可通過"隱私健康報告"等可視化工具，幫助用户理解自身數據被收集的範圍。如蘋果的"隱私標籤"功能已提升用户透明度感知，用户可直觀瞭解應用收集的數據類型和使用方式。其次，行業協會的自律規範可推動餐飲、出行等行業制定《隱私保護自律公約》，要求會員企業定期提交合規報告。例如，寧波市餐飲行業協會通過《預製菜行業自律公約》推動行業規範化發展，類似模式可擴展至隱私保護領域。最後，跨平台數據共享協議可在微信、支付寶等超級App間建立數據共享"沙盒"，通過區塊鏈技術實現用户授權的可追溯性。歐盟的ePrivacy Regulation草案正探索此類模式，要求數據共享必須基於用户明確同意，且可隨時撤回。
此外，隱私增強技術（PETs）的普及將在金融、醫療領域加速落地。差分隱私、聯邦學習等技術可實現數據"可用不可見"，既保護隱私又支持數據分析。例如，摩根大通已採用聯邦學習處理客户數據，用於信用評分和風險預測，同時確保原始數據不被泄露。合規即服務（CaaS）模式興起將使雲服務商提供一站式合規解決方案，涵蓋隱私政策生成、數據加密、用户授權管理等功能。微軟Azure的Compliance Manager工具已覆蓋GDPR、CCPA等全球法規，為企業提供合規指導和自動化工具。全球隱私治理框架趨同將隨着《聯合國數字隱私憲章》等國際協定的推進，各國隱私立法將逐步統一，減少企業跨國合規成本。例如，蘋果、Meta等跨國企業正推動"隱私一致性認證"體系，確保其全球產品符合不同地區的隱私保護要求。
移動應用違規收集個人信息問題的解決需要技術、政策和社會共治的多管齊下，形成合力。唯有將隱私保護融入產品設計基因，才能實現數字經濟與用户權益的共生共贏。未來，隨着隱私保護意識的提高和技術的創新，移動應用隱私保護將迎來更加規範和透明的新時代。