先把事实本身说清楚。通报由河北省通信管理局于 2026 年 9 月 20 日作出、9 月 21 日在官网发布，正文两段，附件是一张 8 行 6 列的名单表。

河北省通信管理局《关于侵害用户权益行为的APP通报（2026年三季度）》· 正文（逐字）

依据《个人信息保护法》《网络安全法》《电信条例》《电信和互联网用户个人信息保护规定》等法律法规，我局对APP违法违规收集使用个人信息等问题开展治理。近期，经组织第三方检测机构进行抽查，共发现8款APP存在侵害用户权益行为（详见附件），现予以通报。

上述APP应按有关规定进行整改，整改落实不到位的，我局将依法依规组织开展相关处置工作。

——文本引自河北省通信管理局官网《关于侵害用户权益行为的APP通报（2026年三季度）》（2026 年 9 月 21 日发布，落款 2026 年 9 月 20 日）。

通报名单：8 款 APP 的完整著录

下面是通报附件表的完整内容。通报所列的「所涉问题」是检测方归纳的问题类别名，而不是对具体技术行为的描述——这一点在第 4 节展开。

来源：河北省通信管理局通报附件《河北省通信管理局通报存在问题的APP名单》，逐行转录，版式按网页重排。

统计口径需要说明：序号 1「花儿匠」同时涉及两类问题，所以按问题项计是 9 项，按 APP 数计是 8 款。两者不能相加，也不能混用。

另一个容易被忽视的细节是应用来源。8 款 APP 分布在豌豆荚、vivo 应用商店、小米应用商店、OPPO 软件商店四类渠道，呈分散分布而非集中在某一家——这意味着检测范围是按应用分发渠道铺开抽样的，与开发者规模、地域归属都无关。

通报只写了问题类别名。要把这三类名字翻译成可执行的合规动作，得先看清它们分别落在哪套规则里——这是本页最容易被写错的一处。

关键在于：这三类问题不是同一套规则的产物。前两类属于个人信息收集使用问题，第三类属于广告与用户使用体验问题。混在一起谈，就会得出「都用个保法管」的错误结论。

「违规收集个人信息」为什么是笼统表述

通报中的「违规收集个人信息」是一个上位类别，涵盖了从「没写隐私政策」到「超范围收集」的多种情形。要判断自家 APP 是否踩线，必须回到《App违法违规收集使用个人信息行为认定方法》的分项认定清单。

《App违法违规收集使用个人信息行为认定方法》· 文件性质（据印发说明）

为监督管理部门认定App违法违规收集使用个人信息行为提供参考，为App运营者自查自纠和网民社会监督提供指引。

——据国家互联网信息办公室秘书局、工业和信息化部办公厅、公安部办公厅、国家市场监督管理总局办公厅《App违法违规收集使用个人信息行为认定方法》（国信办秘字〔2019〕191号，2019 年 12 月 30 日印发）的印发说明转述。

这句话本身就说明了它的定位：它是规范性文件，给监管认定提供参考、给企业自查提供指引，而不是部门规章，也不是强制性国家标准。把它当成「必须逐条机械执行的标准」或反过来当成「没有约束力的建议」，都是误读。

「强制、频繁、过度索取权限」的三个构成面

这个类别名可以拆成三层理解：「强制」指用户不同意就拒绝提供业务功能；「频繁」指征询频度超出业务功能实际需要；「过度」指所申请的权限与现有业务功能无关。三层分别对应监管认定的不同分项，任一层成立都可能被认定为问题。

三层里最容易被企业低估的是「频繁」。它不需要 APP 收集任何多余信息，只要在用户已经拒绝之后反复弹窗征求同意，就可能单独构成问题。这类情况下企业常见的辩解是「我们没有多收信息」，但答不上通报的问题类别，因为规则约束的本来就是征询行为本身。

通报依据列了四部规范。四部规范的层级和射程并不相同，理清它们才能判断「谁来查、查什么、能罚多少」。

《电信和互联网用户个人信息保护规定》第二条 · 适用范围（逐字）

在中华人民共和国境内提供电信服务和互联网信息服务过程中收集、使用用户个人信息的活动，适用本规定。

——文本引自《电信和互联网用户个人信息保护规定》（工业和信息化部令第 24 号，2013 年 7 月 16 日公布，自 2013 年 9 月 1 日起施行）第二条。该规定所指的「用户个人信息」另见其第四条定义。

《电信和互联网用户个人信息保护规定》第三条 · 监管主体（逐字）

工业和信息化部和各省、自治区、直辖市通信管理局（以下统称电信管理机构）依法对电信和互联网用户个人信息保护工作实施监督管理。

——文本引自《电信和互联网用户个人信息保护规定》（工业和信息化部令第 24 号）第三条。这解释了省通信管理局对 APP 行使监管权的规范来源。

这两条合起来回答了最关键的一个问题：省通信管理局不是「越界管 APP」，它的监管权写在这部规章的第三条里，适用范围则由第二条限定为「提供电信服务和互联网信息服务过程中收集、使用用户个人信息的活动」。

而《个人信息保护法》侧的监管主体另有表述。

《个人信息保护法》第六十条 · 部门体系（逐字 · 节选）

国家网信部门负责统筹协调个人信息保护工作和相关监督管理工作。国务院有关部门依照本法和有关法律、行政法规的规定，在各自职责范围内负责个人信息保护和监督管理工作。

前两款规定的部门统称为履行个人信息保护职责的部门。

——文本引自《中华人民共和国个人信息保护法》（2021 年 8 月 20 日第十三届全国人民代表大会常务委员会第三十次会议通过，自 2021 年 11 月 1 日起施行）第六十条第一款、第三款，略去第二款关于县级以上地方人民政府有关部门职责的表述。

说明：依据的项目名与顺序均按通报正文原文排列，本表的「层级」「作用」两列为解读性补充，非通报原文内容。

需要特别提醒的是，《电信条例》在通报中的位置。它是行政法规，为下面的部门规章提供上位法基础；而具体到「收集使用个人信息该怎么处罚」，落到的是 24 号令的第二十二、二十三条。这三个层级不能互相替代。想了解《电信条例》整体结构与修订情况，可参阅站内 电信条例解读。

这是本页对企业最有实操价值的一节。把《认定方法》的六类认定情形逐条对齐自家 APP，就能大致判断自己会不会在下一次抽查中被点名。

该文件的六类分别是：未公开收集使用规则；未明示收集使用个人信息的目的、方式和范围；未经用户同意收集使用个人信息；违反必要原则，收集与其提供的服务无关的个人信息；未经同意向他人提供个人信息；未按法律规定提供删除或更正个人信息功能，或未公布投诉、举报方式等信息。下面是其中与本通报最相关的两类逐字条文。

《认定方法》类别三 · 未经用户同意收集使用个人信息（逐字）

1.征得用户同意前就开始收集个人信息或打开可收集个人信息的权限；

2.用户明确表示不同意后，仍收集个人信息或打开可收集个人信息的权限，或频繁征求用户同意、干扰用户正常使用；

3.实际收集的个人信息或打开的可收集个人信息权限超出用户授权范围；

4.以默认选择同意隐私政策等非明示方式征求用户同意；

5.未经用户同意更改其设置的可收集个人信息权限状态，如App更新时自动将用户设置的权限恢复到默认状态；

6.利用用户个人信息和算法定向推送信息，未提供非定向推送信息的选项；

7.以欺诈、诱骗等不正当方式误导用户同意收集个人信息或打开可收集个人信息的权限，如故意欺瞒、掩饰收集使用个人信息的真实目的；

8.未向用户提供撤回同意收集个人信息的途径、方式；

9.违反其所声明的收集使用规则，收集使用个人信息。

——文本引自《App违法违规收集使用个人信息行为认定方法》（国信办秘字〔2019〕191号）第一类至第六类中的第三类，以下摘引该类别全部九项。条文中的引号按站内编排口径转写为「」。

《认定方法》类别四 · 违反必要原则（逐字）

1.收集的个人信息类型或打开的可收集个人信息权限与现有业务功能无关；

2.因用户不同意收集非必要个人信息或打开非必要权限，拒绝提供业务功能；

3.App新增业务功能申请收集的个人信息超出用户原有同意范围，若用户不同意，则拒绝提供原有业务功能，新增业务功能取代原有业务功能的除外；

4.收集个人信息的频度等超出业务功能实际需要；

5.仅以改善服务质量、提升用户体验、定向推送信息、研发新产品等为由，强制要求用户同意收集个人信息；

6.要求用户一次性同意打开多个可收集个人信息的权限，用户不同意则无法使用。

——文本引自《App违法违规收集使用个人信息行为认定方法》（国信办秘字〔2019〕191号）第四类全部六项。该类别与本通报中「强制、频繁、过度索取权限」的对应关系最直接。

把它翻译成四个自查问题

31 项条文逐条背下来并不现实。更实用的做法是把它压缩成四个可以在内部会议上直接问出来的问题。

四个问题覆盖了六类认定情形中出现频率最高的场景。如果四问全部能给出肯定答复，这家 APP 在下一次常规抽查中命中「违规收集个人信息」的概率会显著下降——但这是自查维度的判断，不构成对监管结论的保证。

「过度索取」和「与业务功能无关」这两类问题，最终都要回到一个问题：对这款 APP 来说，哪些信息是必要的？这个问题有官方答案。

《常见类型移动互联网应用程序必要个人信息范围规定》第三条 · 定义（逐字）

本规定所称必要个人信息，是指保障App基本功能服务正常运行所必需的个人信息，缺少该信息App即无法实现基本功能服务。具体是指消费侧用户个人信息，不包括服务供给侧用户个人信息。

——文本引自《常见类型移动互联网应用程序必要个人信息范围规定》（国信办秘字〔2021〕14号，2021 年 3 月 12 日印发，自 2021 年 5 月 1 日起施行）第三条。

《常见类型移动互联网应用程序必要个人信息范围规定》第四条 · 禁止拒绝服务（逐字）

App不得因为用户不同意提供非必要个人信息，而拒绝用户使用其基本功能服务。

——文本引自《常见类型移动互联网应用程序必要个人信息范围规定》（国信办秘字〔2021〕14号）第四条。该条与《个人信息保护法》第十六条、《认定方法》第四类第 2 项形成同一问题的三重依据。

这一条的两个关键限定词是「消费侧」与「基本功能服务」。同一个 APP 对不同用户群体，必要个人信息范围不同：面向消费者的功能，其必要信息按消费侧计算；而商家端、骑手端这类供给侧界面所收集的信息，不在这条规定界定范围内。这解释了为什么「叮个饭商家」这类商户端 APP 与面向消费者的 APP，在「必要」判断上不能套用同一套口径。

该规定第五条按类型逐一列出必要个人信息范围，共覆盖地图导航、网络约车、即时通信、网络社区、网络支付、网上购物、餐饮外卖等 39 类常见 APP。以其中两类为例：

《常见类型移动互联网应用程序必要个人信息范围规定》第五条 · 节选（逐字）

（一）地图导航类，基本功能服务为「定位和导航」，必要个人信息为：位置信息、出发地、到达地。

（六）网上购物类，基本功能服务为「购买商品」，必要个人信息包括：1.注册用户移动电话号码；2.收货人姓名（名称）、地址、联系电话；3.支付时间、支付金额、支付渠道等支付信息。

——文本引自《常见类型移动互联网应用程序必要个人信息范围规定》（国信办秘字〔2021〕14号）第五条，以下摘引第（一）项与第（六）项。条文中的引号按站内编排口径转写为「」。

这两项的写法揭示了一个可直接套用的判断方法：先定位「基本功能服务」的官方表述，再核对「必要个人信息」的清单。以网上购物类为例，官方把必要信息限定为手机号、收货信息与支付信息三类——那么申请通讯录、相册、位置等权限，就与「购买商品」这一基本功能服务没有对应关系。这条思路也可以用来审视自家 APP 的权限清单。

如果企业同时涉及数据分类分级与跨境流动等问题，必要信息范围只是个人信息合规的一个切面，更完整的数据合规框架可参阅站内 个人信息保护法解读 与 网络数据安全管理条例解读。

本次通报中只有「水之爱快家鲜」一款涉及这一类别。它容易被误读成个人信息问题，实际上走的是另一套规则。

《广告法》第四十四条 · 互联网广告与弹窗（逐字）

利用互联网从事广告活动，适用本法的各项规定。

利用互联网发布、发送广告，不得影响用户正常使用网络。在互联网页面以弹出等形式发布的广告，应当显著标明关闭标志，确保一键关闭。

——文本引自《中华人民共和国广告法》第四十四条。以下摘引本条全文两款。

第二款给出了三条硬要求：不得影响用户正常使用网络；应当显著标明关闭标志；确保一键关闭。所谓「信息窗口点击乱跳转」，触及的正是这三条——关闭标志不显著、点击任意区域即跳转、或通过高灵敏度感应误触发跳转，都会落入这一款的射程。

《广告法》第六十三条第二款 · 罚则（逐字）

违反本法第四十四条第二款规定，利用互联网发布广告，未显著标明关闭标志，确保一键关闭的，由市场监督管理部门责令改正，对广告主处五千元以上三万元以下的罚款。

——文本引自《中华人民共和国广告法》第六十三条第二款。执法主体是市场监督管理部门，处罚对象是广告主。

请注意这里的执法主体与处罚对象：主体是市场监督管理部门，不是通信管理局；对象是广告主。因此同一款 APP 在这个问题上，可能会同时面对通信管理部门的通报（作为 APP 侵害用户权益的一类）与市场监督管理部门的广告执法（作为弹窗广告违规），两条线的依据与罚则各自独立。

在行业监管侧，工业和信息化部对这一类行为另有专门口径。

工业和信息化部信息通信管理局 · APP 信息窗口跳转监管口径（据官方通稿）

随着「618」各类电子商务促销活动不断增多，部分APP在开屏和弹出的信息窗口中，采用违规方式诱导用户点击，或通过高灵敏度「摇一摇」等方式误导触发跳转。

后续，工业和信息化部信息通信管理局将持续开展常态化检测监测，对发现的违规行为，依法予以约谈、通报、下架APP等处置。

——据工业和信息化部信息通信管理局 2026 年 6 月专题会议通稿要点转述（经广东省通信管理局官网转载）。条文中的引号按站内编排口径转写为「」。

这是被通报企业最关心的一节。从通报正文和同一管理局的既往实践，可以看出完整的处置链条。

第四步不是推测。同一管理局在 2026 年 7 月 15 日发布过一份专门的下架通报，原因写得很明确。

河北省通信管理局《关于下架侵害用户权益APP名单的通报（2026年第二季度）》· 正文（逐字）

依据《个人信息保护法》《网络安全法》《电信条例》《电信和互联网用户个人信息保护规定》等法律法规，河北省通信管理局持续整治APP侵害用户权益的违规行为。截至目前，经核查复检，尚有4款APP未按照要求完成整改（详见附件）。

为严肃处理上述APP的违规行为，决定对该APP予以下架。相关应用商店应在本通报发布后，立即组织对名单中的应用软件进行下架处理。

——文本引自河北省通信管理局官网《关于下架侵害用户权益APP名单的通报（2026年第二季度）》（2026 年 7 月 15 日发布）。

来源：河北省通信管理局《关于下架侵害用户权益APP名单的通报（2026年第二季度）》附件，逐行转录。该批次的被下架原因为「经核查复检，尚有4款APP未按照要求完成整改」。

把两份通报放在一起，处置链条就闭合了：三季度通报「水之爱快家鲜」等 8 款，二季度通报 4 款被下架。差异不在问题性质，而在整改是否完成。这也说明「通报」二字不应被理解为终点或轻微警告。

通报本身不写罚多少。但被点名的一方需要知道上限在哪里——这取决于适用哪一部规范。

《电信和互联网用户个人信息保护规定》第二十二条 · 罚则第一档（逐字）

电信业务经营者、互联网信息服务提供者违反本规定第八条、第十二条规定的，由电信管理机构依据职权责令限期改正，予以警告，可以并处一万元以下的罚款。

——文本引自《电信和互联网用户个人信息保护规定》（工业和信息化部令第 24 号）第二十二条。第八条为「制定并公布收集、使用规则」义务。

《电信和互联网用户个人信息保护规定》第二十三条 · 罚则第二档（逐字）

电信业务经营者、互联网信息服务提供者违反本规定第九条至第十一条、第十三条至第十六条、第十七条第二款规定的，由电信管理机构依据职权责令限期改正，予以警告，可以并处一万元以上三万元以下的罚款，向社会公告；构成犯罪的，依法追究刑事责任。

——文本引自《电信和互联网用户个人信息保护规定》（工业和信息化部令第 24 号）第二十三条。第九条即「未经用户同意不得收集、使用用户个人信息」等收集使用规范。

两档的分界线是「违反了哪一条」，不是「情节轻重」。第八条是公布规则的义务，罚则轻；第九条至第十一条、第十三条至第十六条、第十七条第二款是收集使用与安全保障义务，罚则重。本通报所涉的「违规收集个人信息」指向的是第九条一带，落在第二十三条档位（一万元以上三万元以下，并向社会公告），而不是第二十二条的一万元以下。这是本页最容易写错的一处对应关系。

而在《个人信息保护法》一侧，罚则的量级完全不同。

《个人信息保护法》第六十六条第一款 · 罚则（逐字）

违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款；对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

——文本引自《中华人民共和国个人信息保护法》（2021 年 8 月 20 日通过，自 2021 年 11 月 1 日起施行）第六十六条第一款。第二款规定了情节严重的更高档位，详见下表。

说明：本表为跨规范对照，不对应本通报的具体处罚结论。通报本身未载明任何处罚金额。

三个要点需要讲清。第一，两部规范是并行适用而非择一适用。《电信和互联网用户个人信息保护规定》是部门规章，《个人信息保护法》是法律，同一行为可能同时触发两者的罚则，由不同主体依职权分别处理。第二，罚则的量级差得很远。24 号令封顶三万元，个保法情节严重时可到五千万元或营业额百分之五。第三，个保法第六十六条第一款里有一项其他规范没有的处置——对违法处理个人信息的应用程序，可以责令暂停或者终止提供服务，这对 APP 业务的影响往往大于罚款本身。

除罚款之外，还有两条容易被忽略的连带后果：依据个保法第六十七条，有本法规定的违法行为的，依照有关法律、行政法规的规定记入信用档案并予以公示；依据第六十四条，监管部门在发现较大风险或安全事件时，可以对该处理者的法定代表人或者主要负责人进行约谈。约谈是监管措施，不是行政处罚，但会留下记录。

整改是否到位，以核查复检结论为准。下面八项按通报的问题类别与法定义务逐项对应，可直接作为内部核对表使用。

前七项针对通报中的「违规收集个人信息」与「强制、频繁、过度索取权限」，第八项针对「信息窗口点击乱跳转」。

另外两项法定义务虽然不在通报的问题类别里，但属于日常合规的必查项：依据 24 号令第十六条，电信业务经营者、互联网信息服务提供者应当对用户个人信息保护情况每年至少进行一次自查，并记录自查情况、及时消除自查中发现的安全隐患；依据第十五条，应当对工作人员进行用户个人信息保护相关知识、技能和安全责任培训。这两项在复检时同样可能被要求提供记录。

这五点是在讨论这类通报时最常出现的偏差，逐条纠正如下。