84款应用被通报那天，客户问我们的小程序会不会也在名单里

10月26日那份通报发出来的时候，我们手上正好有三个小程序在改版。客户在群里甩了个链接问：“名单里有机场的小程序，我们的会不会也在里面？”我们把通报下载下来，一条一条对着查了两个下午。

那份通报是国家网络安全通报中心发的，84款移动应用，检测由国家计算机病毒应急处理中心做，检测时间段写得很清楚：2026年9月4日到10月15日。依据是中央网信办、工信部、公安部联合发布的《关于开展2026年个人信息保护系列专项行动的公告》，配套的法条是网络安全法、个人信息保护法、网络数据安全管理条例。

客户开头担心的不是罚款，是"会不会被下架"。通报末尾那句话才是重点：上一期通报的82款，复测后还有24款有问题，分发平台已经把它们下架了。通报只是第一关，后面还有复测。

小程序不在应用商店里，也一样被点名

很多人默认这种通报只管独立应用。这次名单里有一批是嵌在微信、支付宝、百度里的小程序和服务号：海口美兰机场、浦东国际机场是微信小程序，还有一家互联网医院的微信小程序、一个叫桂银权益的金融类小程序。医疗、交通、金融三类占的比例最高，原因不复杂——这三类几乎都要实名、要位置、要绑证件，收集规则讲不清楚，牵扯的信息量比一般应用大得多。

还有三款小程序同时踩了两条线：《睿洗智能洗车》《云南新华阅读》《中出行租车经济豪华商务新能源》，既在"首次运行不弹窗、默认勾选同意"这一类，也在"未提供有效注销功能"这一类。

我们给客户做的六项自检

把通报里的六类问题翻译成能动手查的清单，大概是这样：

• 打开时隐私政策是不是弹窗出来的，不是藏在"我的"里。同意那一项不能默认打勾。
• 政策里有没有写清处理者名称和联系方式、信息保存期限。这次16款卡在这里。
• 第三方这一栏：委托的第三方、嵌进去的代码和插件，收集目的、方式、范围要逐一列。这是名单里最长的一类。
• 有没有能用的更正、删除、注销账号入口，还要看有没有设不合理门槛、有没有在承诺时限内处理。5款栽在这。
• 安全技术措施：有没有做防未授权访问的加密和权限控制。12款是这条。
• 涉及不满十四周岁未成年人的，有没有单独的处理规则、有没有取得监护人同意。3款是这条。

第六条最容易被漏。做教育、少儿培训类小程序的客户，开头都说"我们不给小孩用"，可下单流程里填的是家长手机号、孩子出生日期，这在认定上就属于收集未成年人信息。

为什么"默认勾选"这事这么严重

客户的技术问过一句：不就是个勾选框吗？我们翻了法条给他看。个人信息保护法第十四条写的是，基于个人同意处理信息的，这个同意要在充分知情的前提下自愿、明确作出。默认勾上，用户什么动作都没做，谈不上自愿和明确。第十七条要求以显著方式、清晰易懂的语言，真实准确完整地告知处理者名称、联系方式、处理目的、处理方式、信息种类、保存期限，以及个人怎么行使权利。

一句话概括：不是写了隐私政策就行，是用户打开那三秒能不能看清。

改完之后，我们定了个复查节奏

改不是一次性的。给客户留了三件事：一是每次发新版前跑一遍上面六项，尤其是新接的第三方模块，要同步补进隐私政策那张表；二是把隐私政策的版本号和更新日期写在开头，别让版本混着；三是每季度对一遍通报名单，看看同类业务的小程序有没有被点名，别人被点名的原因八成也是自己的隐患。

三个小程序查完，实际改了四处：弹窗改成首屏强制阅读、第三方清单补了七个插件、注销入口从三级页面提到设置页第一屏、未成年人相关字段改成非必填。前后花了不到一周，比想象中省事。

真正麻烦的从来不是改这几处，是之前没人把它当成上线前的必查项。现在这六项在我们验收表第一页，跟功能测试摆在一起。