一句话回答：App运营者作为个人信息处理者负主要责任。第三方SDK如果只是按App的指令收集信息，属于“委托处理”，要签协议并监督（《个人信息保护法》第21条）；如果是SDK方自己决定处理目的，就属于“向其他个人信息处理者提供个人信息”，必须告知用户接收方名称、联系方式、处理目的、处理方式和个人信息种类，并取得单独同意（第23条）。一旦被查出违规，行政责任首先落到App运营者头上。

一、法律上算“委托处理”还是“对外提供”

判断标准只有一个：谁决定处理目的和处理方式。如果SDK是接入方，只按App的指令收集和使用信息、用于实现App自身功能，那就是受托方，双方是委托处理关系；如果SDK有自己的目的，比如把数据回传用于自己的广告画像、数据产品，那SDK提供方本身就是独立的个人信息处理者，App把信息交给它就属于对外提供。

这个区分直接决定合规动作：《个人信息保护法》第21条要求委托处理必须约定处理目的、期限、处理方式、个人信息种类、保护措施以及双方权利义务，并对受托人的处理活动进行监督；受托人不得超出约定处理，未经同意不得转委托他人处理。第23条则要求对外提供时向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息种类，并取得个人的单独同意。

二、企业必须落实的三件事

第一，把第三方SDK清单公开。隐私政策中应当列明SDK的名称、提供方、收集的个人信息种类、使用目的。监管通报里最常见的两类问题，就是“未公开收集使用规则”和“未经同意向第三方提供个人信息”。

第二，该单独同意的要拿到单独同意。对外提供个人信息的，要有单独的同意记录，不能把同意条款埋在隐私政策的段落里一笔带过。

第三，上线前做个人信息保护影响评估。第55条第（三）项明确，委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息，都属于必须事前进行影响评估并记录的情形。

三、不落实会被罚多少

《个人信息保护法》第66条规定，违反本法规定处理个人信息，或者处理个人信息未履行本法规定的个人信息保护义务的，由履行个人信息保护职责的部门责令改正，给予警告，没收违法所得，对违法处理个人信息的应用程序，责令暂停或者终止提供服务；拒不改正的，并处一百万元以下罚款，对直接负责的主管人员和其他直接责任人员处一万元以上十万元以下罚款。

情节严重的，由省级以上履行个人信息保护职责的部门责令改正，没收违法所得，并处五千万元以下或者上一年度营业额百分之五以下罚款，并可以责令暂停相关业务或者停业整顿、通报有关主管部门吊销相关业务许可或者吊销营业执照；对直接负责的主管人员和其他直接责任人员处十万元以上一百万元以下罚款，并可以决定禁止其在一定期限内担任相关企业的董事、监事、高级管理人员和个人信息保护负责人。

四、实务视角

第一，SDK清单要落到技术台账，和实际集成的SDK一致，只写“我们使用第三方服务”没有用。第二，SDK版本升级、新增SDK、更换统计工具，都可能改变收集范围，每次上线前都要复核一遍。第三，与SDK方签的协议要把处理目的、期限、方式、信息种类、安全措施、违约责任写清楚，并明确不得转委托。第四，接到监管检测通报后，第一步通常是立即停止相关SDK的违规数据收集并整改。

五、案例分析（示意情景）

以下为便于理解而做的示意情景，不代表真实案件：某电商App接入第三方统计SDK，该SDK在未单独告知用户的情况下采集设备标识、应用列表等信息并回传用于广告投放，隐私政策中也没有列明SDK清单。被监管部门检测发现后，企业收到责令改正通知；因未在限期内完成整改，被处以罚款，直接负责的主管人员也被一并罚款，相关SDK功能被要求暂停。

六、常见问题（FAQ）

问：SDK违规收集信息，责任在App还是SDK公司？

答：行政责任首先落在App运营者身上；SDK方在自己决定处理目的时也是独立的个人信息处理者，需要独立承担责任。

问：SDK收集信息每次都要单独同意吗？

答：属于向其他个人信息处理者提供个人信息的，应当取得单独同意；属于委托处理的，不需要每次单独同意，但要在隐私政策中告知，并做好协议与监督。

问：SDK清单里要写什么？

答：至少包括SDK名称、提供方、收集的个人信息种类、处理目的和处理方式。

问：不做影响评估可以吗？

答：不可以。第55条第（三）项把委托处理、向其他个人信息处理者提供、公开个人信息列为必须事前评估的情形，评估情况还要记录。

问：被通报后怎么处理？

答：先停止违规SDK的数据收集并下架或整改，按期限向监管部门书面反馈，同时补齐告知与同意记录和影响评估文件。

问：SDK方能不能把数据转给其他人？

答：未经个人信息处理者同意，受托人不得转委托他人处理个人信息；擅自转委托本身就是违规行为。

相关阅读

相关阅读

王冠律师｜北京浩略律师事务所联合创始人｜咨询电话：17813108512