2021年11月1日，《个人信息保护法》正式施行，至今已满五年。从近期的执法数据中，我们可以梳理出一条具有实务价值的线索：监管机关在过去数月公布的执法成果，恰好为观察五年执法重心的演变提供了样本。
● 2026年个人信息保护系列专项行动开展以来，中央网信办、工业和信息化部、公安部会同相关部门，累计对2万余款App、SDK开展核查检测，公开通报1100余款，下架处置400余款，督促4000余款完成整改；
● 在教育、交通、卫生健康、金融四个领域，累计摸排9万余家企业和机构，督促整改隐患问题1.2万余个；
● 以湖南为例，该省网信办联合10个部门开展“亮剑湖湘·民生领域个人信息保护”专项执法，检测发现155家单位App存在违规问题，现场检查58家，约谈73家，下达责令整改通知书42份，已对14家作出行政处罚。
数字本身并不令人意外，值得关注的是数字所反映的结构性变化。将五年执法实践连贯观察，可以发现执法重心已发生三次清晰的迁移。而相当数量企业的合规自查体系，仍停留在第一阶段。
一、从App本体到SDK：责任边界向供应链上游延伸
执法初期，监管对象集中于App自身：隐私政策是否完备、权限申请是否必要、收集行为是否最小化。经过数年整治，多数企业在这一层面的基础合规已经完成。
2026年的执法口径出现了标志性变化：三部门4月2日发布的专项行动公告，将“App、SDK违法违规收集使用个人信息专项治理”列为七大重点之首。上海市网信办10月10日发布的《关于属地App个人信息收集使用问题的通报（2026年第六批·SDK专项）》，更以“SDK专项”单列成批，要求相关运营者于通报发布之日起15个工作日内完成整改并报送整改情况，逾期将面临核查与处置处罚。
这一变化的法律含义在于：App运营者作为个人信息处理者，对其嵌入的第三方SDK的收集行为承担首要责任。统计、广告、推送类SDK在后台超频率收集设备信息、向未披露的第四方传输数据的，法律责任不因“系第三方所为”而免除。
然而从实务情况看，多数企业对自身App内嵌SDK的完整清单、各SDK实际收集的数据字段，并未建立有效台账。这一管理空白，恰是当前通报中最为高发的违规点。
二、从线上到线下：人脸识别场景的合规义务全面激活
本年度专项行动公告中，一项表述在卫生健康、金融等多个领域的治理清单中反复出现：“使用非人脸识别技术方式可实现验证身份，将人脸识别技术作为唯一验证方式，未落实人脸识别技术应用安全管理相关要求。”
其规范意旨明确：存在非生物特征识别替代方案的场景，不得将人脸识别作为唯一验证手段。
相应的行政处罚已经落地。公安部9月17日公布的“护网—2026”专项工作10起网络安全行政执法典型案例中，甘肃某游乐园因智能储物柜、入园闸机仅支持人脸识别一种认证方式、未提供替代通行方案，且采集人脸信息时未履行告知义务、不具备特定目的和充分必要性，被依法予以行政处罚，并被监督销毁擅自留存的人脸信息。中央网信办此前通报的个人信息保护领域执法典型案例中，亦有置业公司在售楼处收集、存储客户人脸信息5000余条、未履行个人信息保护义务，被予以警告、罚款处罚。
这一执法方向的影响范围远超互联网行业。售楼处的人脸识别系统、写字楼访客闸机、景区入园通道、医院挂号核验，凡涉及人脸信息采集的线下场景，均属个保法上的高风险处理行为。而此类场景长期被归入“安防”或“运营”事务，游离于法务合规视野之外，普遍缺乏单独同意、个人信息保护影响评估等法定程序的留痕。
三、从形式合规到实质合规：执法手段的技术化转向
第三项变化更为深刻：监管的审查颗粒度，正从文本层面的形式合规，下沉至系统运行的实质合规。
本年度专项行动公告针对互联网广告领域的治理事项，已细化至“个性化推荐功能关闭后是否实际停止收集行为、用户能否删除其特征标签”的程度；专项行动阶段性成效通报亦显示，监管机关已针对“未提供个性化广告关闭选项”等问题对1000余家企业和机构开展核查检测。湖南的联合执法则直接配备技术检测力量，形成远程检测、取证固证、现场检查、执法约谈的完整流程。
这意味着，“隐私政策已有披露”“用户已点击同意”不再构成有效的合规抗辩。监管机关以技术手段实测App后台的真实运行状态：披露收集A字段而实际收集B字段，构成违规；用户关闭个性化推荐后，SDK仍在运行用户画像，同样构成违规。
其实务后果在于：合规文本与代码实现之间的偏差，首次成为行政执法的直接对象。消弭这一偏差，既非单纯的法律文书工作所能覆盖，亦非技术人员自行读法条所能解决，而需要“法律规范—产品设计—代码实现”三层对齐的系统性合规核查。这正是五年执法演进向企业提出的新命题。
四、给企业的自查清单
相关企业若拟于年内开展数据合规核查，建议至少覆盖以下五项：
1. SDK台账梳理：清点全部内嵌SDK，逐项核对其收集行为与隐私政策披露的一致性，核查合作协议中的数据保护条款与审计权安排；
2. 人脸场景排查：逐一核查涉人脸识别的线下场景是否提供非生物特征替代方式，单独同意与影响评估程序是否完整留痕；
3. 个性化推荐闭环核验：确认关闭功能的真实有效性，以技术实测而非界面呈现为准，核查用户特征标签的删除渠道；
4. 第三方共享的告知同意：向合作方提供个人信息的场景（票务代理、助贷渠道、第三方服务商等），核查接收方名称、处理目的、处理方式是否完整告知并取得同意；
5. 留痕能力建设：以监管现场检查为假设场景，检验同意记录、评估报告、整改记录能否在限定时间内完整调取。在行政执法语境下，“已经履行”必须以“能够证明已经履行”为前提。
五、结语
五年前的11月1日，个保法为中国企业确立了个人信息保护的基本规范。五年后的今天，从2万款产品的核查、1100款产品的通报，到十部门联合携技术检测手段上门执法，监管机关已经证明其既有意愿、亦有工具将规范要求转化为日常执法。对企业而言，执法重点的高度透明是双刃剑：七大领域、四类问题，公告均已列明。既已划明方向，“不知晓”便不再构成任何企业的免责事由。
江苏耀时律师事务所系江苏省首家获上海数据交易所认证的律师事务所，现已取得上海、南京、无锡、昆明四地数据交易所数据合规评估服务商认证，并入选江苏数据交易所首批服务商，多名律师持有首批“数据交易师”证书、入选数据交易专业人才库，是省内少数兼具数据交易与跨境数据合规服务能力的律师事务所。本所可提供：App及SDK数据合规体检与通报整改应对、人脸识别等线下场景合规评估（单独同意、影响评估及替代方案设计）、个人信息保护执法应对（约谈陪同、整改报告出具、行政复议与诉讼代理），以及依托本所涉外与跨境业务优势的数据出境安全评估申报与标准合同备案等服务。
