监管执法观察|涉及多家券商、银行、期货公司:72款违法违规收集使用个人信息移动应用背后的监管信号7月9日，国家网络与信息安全信息通报中心发布通报称，经国家计算机病毒应急处理中心于2026年5月20日至2026年6月22日检测，72款移动应用存在一项或者多项违法违规收集使用个人信息的情形。其中，包括证券公司、银行、期货公司在内的多家金融机构关联移动应用被点名，涉及App和微信小程序等多种产品形态。通报涉及的问题覆盖个人信息处理的多个环节，包括个人信息收集授权、隐私政策、用户权利保障、第三方信息共享、未成年人个人信息保护等。一、本次通报涉及的主要问题
1. 首次运行未依法履行告知义务
包括首次运行时未通过弹窗等明显方式提示用户阅读隐私政策；以默认勾选等方式征求用户同意；隐私政策难以访问；未依法告知个人信息处理者名称、联系方式、保存期限等法定事项。涉及24款移动应用，包括某银行及某券商的微信小程序。2. 隐私政策披露不完整
隐私政策未逐一列明App（包括委托第三方、嵌入第三方SDK或插件）收集、使用个人信息的目的、方式及范围。涉及37款移动应用，包括某券商微信小程序及某银行App。3. 向第三方提供个人信息未依法履行义务
向其他个人信息处理者提供个人信息时，未依法履行告知义务并取得个人单独同意；或者向第三方提供个人信息时未经用户同意，且未进行匿名化处理。4. 未取得同意即收集个人信息或开启权限
未在取得用户同意后才开始收集个人信息或开启相关权限。5. 用户权利保障机制不完善
未提供有效的更正、删除个人信息及注销账号功能；或者设置不合理条件；需人工处理的，未在承诺期限内完成处理。6. 投诉处理机制不完善
投诉、举报未在承诺期限内受理并处理；未建立便捷的个人权利申请受理和处理机制。涉及3款移动应用，包括某银行及某期货公司微信小程序。7. 未提供便捷的撤回同意机制
未向用户提供撤回同意收集个人信息的途径和方式，或者撤回机制不便捷。涉及13款移动应用，包括某券商及某期货公司微信小程序。8. 定向推送未依法提供关闭选项
未经用户同意，将搜索记录、浏览记录、使用习惯等用于精准营销，且未提供关闭选项。9. 未成年人个人信息保护不足
未制定专门的未成年人个人信息处理规则，或者收集未成年人个人信息未取得监护人单独同意。10. 跨境提供个人信息未履行法定义务
向境外提供个人信息时，未依法履行告知义务并取得个人单独同意。11. 未采取必要安全保护措施
未采取加密、去标识化等必要安全技术措施保护个人信息。12. 将人脸识别作为唯一验证方式
在存在其他可替代身份验证方式的情况下，仍将人脸识别作为唯一验证方式，且未向用户提供其他合理、便捷的验证方式。13. 未制定隐私政策
二、监管观察
1. 金融机构仍然是个人信息保护执法的重要关注对象之一
虽然本次通报覆盖互联网、教育、医疗、生活服务等多个行业，但银行、证券公司、期货公司等金融机构仍占据相当比例，且涉及App、微信小程序等多种业务渠道。近年来，从中央网信部门持续开展App违法违规收集使用个人信息专项治理，到国家计算机病毒应急处理中心定期发布检测通报，再到各地网信部门开展个人信息保护专项执法，金融行业持续出现在相关执法和检测名单中。这反映出，由于金融机构处理大量个人信息甚至敏感个人信息，个人信息保护始终是网信部门重点关注的执法领域之一。2. 监管关注的已不仅是收集什么，更是如何处理
本次通报涉及的13类违法情形中，大多数并非针对过度收集个人信息，而是围绕个人信息处理全过程提出要求，包括隐私政策、告知义务、单独同意、第三方共享、权限申请、撤回同意、账号注销、投诉处理、安全措施等多个环节。可以看出，监管关注点逐步延伸至是否依法处理个人信息。对于金融机构而言，个人信息保护已不仅是产品开发或技术部门的工作，更涉及制度建设、业务流程、供应商管理及消费者权益保护等多个方面。3. 微信小程序已成为监管检查的重要对象
本次通报还有一个值得关注的特点，即大量被点名的金融机构涉及微信小程序，而不仅仅是传统移动App。近年来，不少金融机构将开户、客户服务、营销推广、业务办理等功能逐步迁移至微信生态，但监管标准并未因此降低。隐私政策、权限申请、第三方SDK管理、账号注销、撤回同意等要求，同样适用于微信小程序等轻应用。对于已经完成App整改的机构而言，也应同步关注微信小程序、支付宝小程序等线上渠道，避免因不同开发团队、不同上线流程导致合规标准不一致。4. 本次通报也是一份值得参考的个人信息保护自查清单
从执法内容来看，本次通报涉及的13类问题基本覆盖了《个人信息保护法》及相关配套规定中的主要合规要求。对于金融机构而言，这份通报本身具有较强的参考价值。机构可以结合自身App、微信小程序及其他线上渠道，对照监管关注的重点事项开展全面自查，重点关注隐私政策、第三方SDK管理、用户权利保障、未成年人个人信息保护、安全技术措施等方面，及时发现并整改潜在合规风险。5. 近期监管动态反映出金融行业数字化治理要求正在持续提升
本次通报发布的背景，也值得放在近期金融行业监管动态中观察。此前，《金融业网络安全管理办法（征求意见稿）》公开征求意见，拟建立覆盖整个金融行业的统一网络安全管理框架；本周，国家金融监督管理总局又就《银行保险业网络安全管理办法（征求意见稿）》公开征求意见，进一步细化银行保险机构在网络安全治理、数据安全、供应链安全、风险监测、应急处置等方面的管理要求。与此同时，中国证监会发布的《2026年度立法工作计划》提出，将修订《证券期货基金经营机构信息科技管理办法》，进一步完善证券基金行业信息科技管理制度。虽然上述规则的侧重点有所不同，但都体现出监管部门持续加强金融机构数字化治理能力建设的政策导向。从这一背景来看，本次针对移动应用个人信息保护的检测通报，并非孤立的执法行动，而是金融行业数字化监管持续深化的一部分。移动应用和微信小程序既是金融机构开展业务的重要渠道，也是网络安全、数据安全、个人信息保护等多项监管要求的交汇点。对于金融机构而言，未来的合规工作已不宜将个人信息保护、网络安全、信息科技管理作为彼此独立的事项分别应对，而应建立覆盖制度、流程、技术、供应商及业务运营的统一数字化治理体系，在产品设计和日常运营中统筹落实相关监管要求，以更好地应对不断完善的监管规则和持续强化的执法检查。邹野 律师、合伙人 植德律师事务所 15021763268 邹野律师长期深耕于投资基金、资产管理及保险资金运用等金融法律领域，具有广泛而深入的专业实践经验。他持续为公募基金、私募基金、银行理财、券商资管、信托、保险资管等机构提供常法或产品专项等法律服务，为证券公司、银行等基金代销及托管机构提供法律服务，同时也为多家全球性金融机构及对冲基金管理人提供跨境业务支持，涵盖QFII、QDII、QFLP、QDLP、QDIE、WFOE PFM、MRF等业务形态。 凭借在投资基金、银行与金融等领域的表现，邹律师获得Chambers（钱伯斯）、IFLR1000（国际金融法律评论）、Legal 500（法律500强）、CBLJ（商法）等国际法律评级机构的认可。此外，他还入选上海市司法局首批“鼎新法治人才”。 |
声明：
仅代表作者个人的理解或观点，不代表作者任职单位的观点或意见，亦不构成作者就相关事宜或问题的法律意见或建议。
研报速递
发表评论
发表评论: