前言

2026年4月2日，中央网信办、工业和信息化部、公安部联合发布《关于开展2026年个人信息保护系列专项行动的公告》。这是自《个人信息保护法》施行以来，首次由三部门联合开展的大规模、系统性行动，覆盖App/SDK、互联网广告、教育、交通、医疗、金融等七大重点领域，并明确将严惩行业"内鬼"、严打侵犯公民个人信息违法犯罪。

对于互联网创新企业而言，此次专项行动释放的监管信号极为明确：合规已成必答题，而非选择题。本文从律师视角，结合公告内容，梳理企业在经营过程中应当重点关注的合规要点。

一、App/SDK运营者的合规要点

（一）公告明确指向的四类典型问题

公告指出，App及嵌入的SDK存在以下四类重点治理问题：

1. 规则公开不到位：未公开个人信息收集使用规则，未提供有效注销用户账号功能，未建立、公布个人信息安全投诉举报渠道。

2. 告知内容与实际不符：告知收集使用个人信息的目的、方式、范围与实际收集使用情况不一致。

3. 强制同意：未经用户同意收集使用个人信息，强制用户同意收集非必要个人信息。

4. 超必要范围收集：在无关场景收集位置、通讯录、短信等个人信息，超出最低必要频率调用个人信息权限。

（二）律师合规建议

1. 建立完整的隐私政策体系

隐私政策不是"摆设"，而是企业的"合规身份证"。公告明确要求"公开个人信息收集使用规则"，企业应当：

在App首次启动时弹窗展示隐私政策，并取得用户明示同意；

隐私政策应当清晰列明收集的个人信息种类、目的、方式、范围、存储期限、对外提供情况等；

隐私政策应当便于用户访问，不得隐藏在深层菜单中。

2. 确保"告知一致性"

公告将"告知与实际不符"列为重点治理问题。实践中，许多企业的隐私政策与实际收集行为存在脱节。

建议企业：定期开展"隐私政策与实际行为一致性"自查；

每次App版本更新时，同步审查隐私政策是否需要更新；

建立产品需求评审机制，新增个人信息收集功能时必须经过法务/合规审核。

3. 拒绝"强制授权"

公告明确禁止"强制用户同意收集非必要个人信息"。这是《个人信息保护法》"最小必要原则"的体现。建议企业：

区分"必要信息"与"非必要信息"：必要信息是与核心功能直接相关、无法替代的信息；

对于非必要信息，不得以"不授权则无法使用App"的方式强制用户同意；

提供"单选"授权机制，允许用户单独拒绝非必要信息的收集。

4. 严格限制"场景必要性"

公告特别点名"在无关场景收集位置、通讯录、短信等个人信息"。这意味着，企业需要审视每一项个人信息收集行为的场景合理性：

位置信息：导航类App需要，但新闻阅读类App通常不需要；

通讯录信息：社交类App可能需要，但工具类App通常不需要；

短信权限：验证码类功能需要，但大多数场景不需要。

5. 提供完整的用户权利行使渠道

公告要求"提供有效注销用户账号功能""建立个人信息安全投诉举报渠道"。企业应当：

在App内提供便捷的账号注销入口，不得设置不合理的注销条件；

注销后应当及时删除用户个人信息或进行匿名化处理；

公布投诉举报渠道（如邮箱、电话），并在合理时限内响应。

二、涉及广告推送、用户画像业务的合规要点

（一）公告明确指向的五类典型问题

公告针对互联网广告中介平台、媒体端，重点治理：

1. 超出必要范围收集个人信息；

2. 未在个人信息处理规则中明确收集的个人信息用于广告、用户画像等功能，未列明向第三方提供个人信息的种类、目的、方式以及接收方的名称、联系方式等；

3. 未向用户提供行使更正、删除、拒绝处理个人信息等权利的便捷渠道；

4. 未设置易于理解、便于访问和操作的个性化推荐关闭选项，个人关闭个性化推荐后未停止收集个人信息，未提供删除用户个人特征标签等功能；

5. 个人信息内部安全管理、访问控制、对外提供等制度不健全。

（二）律师合规建议

1. 广告推送必须"明示+同意"

公告要求"在个人信息处理规则中明确收集的个人信息用于广告、用户画像等功能"。这意味着：

隐私政策中必须明确告知用户：收集的个人信息将用于广告推送、用户画像等目的；

使用个人信息进行用户画像、个性化推荐，应当取得用户同意；

向第三方（如广告主）提供个人信息，应当在隐私政策中列明接收方的名称、联系方式。

2. 个性化推荐必须"可关闭"

公告对"个性化推荐关闭选项"提出了明确要求：

关闭选项应当"易于理解、便于访问和操作"，不得隐藏在深层菜单或使用模糊表述；

用户关闭个性化推荐后，应当"停止收集个人信息"，不得继续收集用于推荐的数据；

应当提供"删除用户个人特征标签"的功能，让用户可以清除已有的画像数据。

3. 建立健全内部安全管理制度

公告将"内部安全管理、访问控制、对外提供等制度不健全"列为治理重点。企业应当：

建立个人信息分类分级管理制度；

设置严格的访问权限控制，确保"最小权限原则"；

对外提供个人信息必须经过审批流程，并留存记录。

三、第三方数据共享的合规红线

（一）公告反复强调的告知同意义务

在公告列举的多个领域中，"向第三方提供个人信息未告知且未取得同意"被反复点名：

教育领域：校外培训机构向合作的第三方机构提供个人信息，但未向个人信息主体告知并取得同意；

交通领域：线上出行购票平台向合作的票务代理等第三方机构提供个人信息，但未告知并取得同意；

金融领域：互联网助贷平台向合作的第三方机构提供个人信息，但未告知并取得同意。

（二）律师合规建议

1. 第三方共享必须在隐私政策中明确披露

根据《个人信息保护法》第二十四条，个人信息处理者向他人提供其处理的个人信息的，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类。建议企业：

在隐私政策中列明所有第三方合作方（或提供查询链接）；

明确告知第三方处理个人信息的目的、方式、范围；

取得用户的单独同意（对于敏感个人信息）或概括同意（对于一般个人信息）。

2. 建立第三方合作方的合规准入机制

企业在选择第三方合作方时，应当：审查合作方的数据安全能力；

在合作协议中明确双方的数据安全责任；

要求合作方承诺合规处理个人信息，并约定违约责任。

3. 定期审查第三方合作方的合规状况

公告强调对第三方人员的管理。企业应当：

定期检查合作方的数据处理行为是否符合约定；

发现违规行为及时采取整改措施，必要时终止合作。

四、人脸识别等敏感技术的应用边界

（一）公告明确限制的场景

公告在多个领域明确限制将人脸识别技术作为唯一验证方式：

教育领域：使用非人脸识别技术方式可以实现验证家长、学生身份的，不得将人脸识别技术作为唯一验证方式；

交通领域：相关机构运营的网站、App等同样适用上述规则；

医疗领域：医疗卫生机构运营的网站、App等同样适用上述规则；

金融领域：银行、保险、证券、支付等相关机构同样适用上述规则。

（二）律师合规建议

1. 人脸识别应当遵循"非唯一性"原则

企业采用人脸识别技术进行身份验证时，应当：

确保存在其他可替代的验证方式（如密码、短信验证码等）；

不得强制用户使用人脸识别；

对于不愿使用人脸识别的用户，应当提供其他验证方式。

2. 人脸信息属于敏感个人信息，需取得单独同意

根据《个人信息保护法》，生物识别信息属于敏感个人信息，处理敏感个人信息应当：

取得个人的单独同意；

向个人告知处理敏感个人信息的必要性以及对个人权益的影响；

采取严格的保护措施。

3. 存储和处理人脸信息应当采取加密等安全措施

企业应当：对人脸信息进行加密存储；限制人脸信息的访问权限；定期评估人脸信息处理的安全性。

五、未成年人信息保护的特殊要求

（一）公告对不满十四周岁未成年人的特殊规定

公告在教育领域明确指出：教育机构处理不满十四周岁未成年人个人信息，应当：

制定专门的个人信息处理规则；

取得未成年人父母或其他监护人的同意。

（二）律师合规建议

1. 建立未成年人识别机制

企业应当在注册环节设置未成年人识别机制：

通过身份证号、生日等信息判断用户是否为未成年人；

对于不满十四周岁的用户，引导其由监护人代为注册或取得监护人同意。

2. 制定专门的未成年人信息处理规则

对于涉及未成年人用户的企业，应当：

制定专门的《未成年人个人信息保护政策》；

明确未成年人个人信息的收集范围、使用目的、存储期限等；

设置更严格的访问权限和删除机制。

3. 取得监护人的明确同意

处理不满十四周岁未成年人的个人信息，必须取得其监护人的同意。建议企业：

设计监护人同意的验证流程（如短信验证、人脸识别等）；

保留监护人同意的记录，以备后续举证。

六、刑事风险：行业"内鬼"将被严惩

（一）公告的刑事打击重点

公告明确指出，将聚焦公共服务、金融借贷、医疗教育、生活出行等重点方向侵犯公民个人信息违法犯罪，围绕信息泄露环节、信息倒卖环节、信息使用环节，严惩行业"内鬼"，严打侵犯公民个人信息违法犯罪。

（二）律师合规建议

1. 建立员工数据安全管理制度

企业应当：与接触个人信息的员工签订保密协议；定期开展数据安全培训；设置访问日志，留存员工访问个人信息的记录。

2. 建立异常行为监测机制

企业应当监测员工的异常行为，如：大量下载个人信息；非工作时间访问敏感数据；向外部邮箱发送数据等。

3. 发现违规行为及时处理

一旦发现员工违规处理个人信息，应当：及时采取补救措施，防止损害扩大；涉嫌犯罪的，及时向公安机关报案；配合监管部门的调查。

七、企业应建立的合规管理体系

（一）公告反复强调的管理要求

公告在多个领域都提到：未建立个人信息保护管理制度、未采取有效安全保护措施。这表明，监管关注的不仅是具体行为是否合规，更关注企业是否建立了系统性的合规管理体系。

（二）律师合规建议

1. 设立个人信息保护负责人

根据《个人信息保护法》，处理个人信息达到一定数量的企业应当指定个人信息保护负责人。建议企业：设立专职或兼职的个人信息保护负责人；明确其职责和权限；对外公布联系方式。

2. 制定个人信息保护管理制度

企业应当制定以下制度：《个人信息收集与使用管理办法》；《个人信息安全事件应急预案》；《个人信息访问权限管理规定》；《第三方合作方数据安全管理办法》。

3. 定期开展合规审计

企业应当定期开展个人信息保护合规审计：

审查个人信息处理行为是否符合法律法规；

审查隐私政策是否与实际行为一致；

审查安全措施是否有效。

4. 建立个人信息保护影响评估机制

对于涉及敏感个人信息、自动化决策、向第三方提供个人信息等高风险处理活动，企业应当开展个人信息保护影响评估，并留存评估报告。

此次专项行动释放的信号极为明确：监管趋严、执法力度加大、多部门联合执法。对于互联网创新企业而言，合规不再是"锦上添花"，而是"生死攸关"。

建议企业以此次专项行动为契机，全面审视自身的个人信息处理行为，建立系统性的合规管理体系。合规虽需投入成本，但相较于行政处罚、民事诉讼、刑事追责的风险，合规无疑是成本最低、风险最小的选择。