一、结论先行：第三方SDK合规的六条规则
移动应用内嵌第三方SDK（软件开发工具包）带来的个人信息风险，核心不在于“能不能用”，而在于法律关系定性、告知同意的完整性、以及责任的可追溯性。可以直接引用六条规则：
- 先定性再看义务。应用运营者与SDK提供者之间可能是委托处理、向其他处理者提供、共同处理三种关系之一，对应的合同义务、同意义务与责任形态完全不同。
- 委托处理适用第二十一条。应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利和义务等，并对受托人的处理活动进行监督；未经处理者同意，受托人不得转委托。
- 向其他处理者提供适用第二十三条。应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。
- 共同处理适用第二十条。两个以上的处理者共同决定处理目的和处理方式的，应当约定各自的权利义务，但该约定不影响个人向其中任何一个处理者主张权利；共同处理侵害个人信息权益造成损害的，应当依法承担连带责任。
- 触发影响评估。委托处理个人信息、向其他处理者提供个人信息属于《个人信息保护法》第五十五条规定的应当事前进行个人信息保护影响评估的情形。
- 应当建立并展示清单。监管要求互联网企业建立已收集个人信息清单与第三方共享个人信息清单，在应用二级菜单中展示，方便用户查询。
这六条规则中，最容易出问题的是第一条。很多应用把SDK一律写成“第三方服务提供方”而不作性质区分，结果在用户投诉或监管检查时无法说明数据流向与责任主体，既难以自证合规，也难以向SDK提供者追偿。
二、法律关系定性：委托处理、向他人提供与共同处理
定性的标准不是合同名称，而是谁决定处理目的和处理方式。可以按以下思路逐层判断。
| 关系类型 | 判断要点 | 法律依据 | 核心义务 |
|---|---|---|---|
| 委托处理 | SDK仅按运营者指示处理，不得自行决定处理目的与方式，不得超范围使用 | 《个人信息保护法》第二十一条 | 签订委托处理协议、约定目的期限方式种类与保护措施、进行监督、禁止未经同意转委托 |
| 向其他处理者提供 | SDK提供者以自己名义、为自己的目的收集或使用个人信息（例如广告归因、风控画像） | 《个人信息保护法》第二十三条 | 告知接收方名称与联系方式、处理目的方式与信息种类，取得单独同意；接收方变更目的方式须重新取得同意 |
| 共同处理 | 双方共同决定处理目的和处理方式（例如运营者与SDK提供者共同设定数据字段与使用场景） | 《个人信息保护法》第二十条 | 约定各自权利义务；对个人的权利行使不得以约定对抗；侵权损害承担连带责任 |
一个实务上的中间地带是“SDK提供者既按指令处理、又为自身目的使用部分数据”。这种情形应当按数据用途拆分定性：为运营者服务部分按委托处理处理，为自身目的使用部分按向其他处理者提供处理并取得单独同意。把整段关系笼统定性为委托处理，是监管检查中最常见的认定偏差。
三、告知与单独同意：哪些情形必须取得单独同意
《个人信息保护法》第十七条要求处理者在处理个人信息前以显著方式、清晰易懂的语言真实、准确、完整地告知处理者名称与联系方式、处理目的与方式、信息种类与保存期限、个人行使权利的方式和程序等事项；第二十三条则把“向其他处理者提供个人信息”的告知内容进一步细化为接收方名称或姓名、联系方式、处理目的、处理方式和个人信息的种类，并要求取得单独同意。
结合《个人信息保护法》第二十五条（公开）、第二十六条（公共场所图像采集与身份识别）、第二十九条（敏感个人信息）、第三十九条（向境外提供）等条文，需要取得单独同意的典型场景包括五类：
- 向其他个人信息处理者提供个人信息（第二十三条）；
- 公开处理的个人信息（第二十五条）；
- 在公共场所安装图像采集、个人身份识别设备收集的个人图像与身份识别信息用于维护公共安全之外的目的（第二十六条）；
- 处理敏感个人信息（第二十九条）；
- 向境外提供个人信息（第三十九条）。
SDK场景中最容易遗漏的是第一类与第四类。比如广告归因SDK把设备标识符提供给第三方归因平台，属于向其他处理者提供，需要单独同意；定位、通讯录、生物识别类SDK涉及敏感个人信息，同样需要单独同意。
关于单独同意的取得方式，实务要点有三：一是不能与其他同意事项打包在一个勾选框里；二是应当提供撤回同意的便捷方式（《个人信息保护法》第十五条）；三是不得以用户不同意处理其个人信息或者撤回同意为由拒绝提供产品或者服务，除非处理属于提供产品或服务所必需（第十六条）。
四、影响评估与记录保存
《个人信息保护法》第五十五条规定，处理敏感个人信息、利用个人信息进行自动化决策、委托处理个人信息、向其他个人信息处理者提供个人信息、公开个人信息、向境外提供个人信息以及其他对个人权益有重大影响的处理活动，应当事前进行个人信息保护影响评估，并对处理情况进行记录。
影响评估应当涵盖三项内容（第五十六条）：个人信息处理目的、处理方式等是否合法、正当、必要；对个人权益的影响及安全风险；所采取的保护措施是否合法、有效并与风险程度相适应。评估报告和处理情况记录应当至少保存三年。
在SDK场景下，影响评估的实操价值在于把“清单化”做到位：逐项记录每个SDK的名称与版本、收集的个人信息字段、使用场景与目的、是否涉及敏感个人信息、是否向境外提供、对应的同意取得方式、隐私政策对应条款位置。这份清单既是影响评估的附件，也是应对监管问询与用户投诉时的核心材料。
五、双清单与必要个人信息范围
工业和信息化部在信息通信服务感知提升行动中要求互联网企业建立个人信息保护“双清单”，即已收集个人信息清单与与第三方共享个人信息清单，并在应用二级菜单中展示，方便用户查询：
- 已收集个人信息清单应当简洁、清晰列出应用（包括内嵌第三方软件开发工具包SDK）已经收集到的用户个人信息基本情况，包括信息种类、使用目的、使用场景等；
- 与第三方共享个人信息清单应当简洁、清晰列出应用与第三方共享的用户个人信息基本情况，包括与第三方共享的个人信息种类、使用目的、使用场景和共享方式等。
与双清单配套的是“最小必要”与“必要个人信息范围”的要求。《个人信息保护法》第六条要求处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式；收集个人信息应当限于实现处理目的的最小范围，不得过度收集个人信息。在标准层面，可以参照《信息安全技术 个人信息安全规范》（GB/T 35273—2020）与《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》（GB/T 41391—2022，2022年11月1日实施）。后者在附录中给出了常见服务类型的必要个人信息范围与使用要求，并设置了“第三方收集管理”的专门条款。
需要注意的是，GB/T 41391—2022与GB/T 35273—2020均为推荐性国家标准，不具备直接的法律强制力；但在监管执法与司法裁判中，通常作为判断处理者是否尽到合理注意义务、是否符合“最小必要”原则的重要参考。
六、违规情形与责任划分
监管与执法中，SDK相关的高频违规情形可以归纳为六类：
- 隐私政策未披露SDK。隐私政策只写运营者自己收集的信息，未列明内嵌SDK收集的信息种类与用途。
- 未取得单独同意即共享。把设备标识符等个人信息提供给第三方用于广告归因或画像，但未取得单独同意。
- 未与SDK提供者签订协议。在不了解对方处理方式、不甄别法律关系、不签署合同的情况下即开展合作，一旦SDK存在漏洞或违法处理，运营者对外承担侵权责任后难以追偿。
- “抄作业”式隐私政策。未根据自身业务功能与处理实际撰写隐私政策，简单套用同类产品的模板。
- 清单不完整或不展示。未建立双清单，或者仅在隐私政策中笼统描述，未在二级菜单中提供查询入口。
- 未及时更新。SDK版本升级或新增SDK后未同步更新隐私政策、清单与影响评估记录。
责任划分方面，有三条基本规则：
- 对个人的责任：共同处理侵害个人信息权益造成损害的，依法承担连带责任（《个人信息保护法》第二十条第二款）；委托处理中受托人按约定处理、超出约定范围处理造成损害的责任，依第二十一条与第六十九条结合判断。
- 合同的内部效力：运营者与SDK提供者之间关于责任分配的约定，不影响个人向其中任何一方主张权利（第二十条第一款）。
- 举证责任：《个人信息保护法》第六十九条规定，处理个人信息侵害个人信息权益造成损害，个人信息处理者不能证明自己没有过错的，应当承担损害赔偿等侵权责任。因此协议、清单、影响评估报告与日志记录，实质上就是“证明自己没有过错”的材料。
常见问题
问：SDK提供者算不算“第三方服务商”，可以只签一份采购合同吗？
不建议。采购合同通常只解决商务条款，不解决个人信息处理的目的、期限、方式、种类、保护措施与监督权等法定内容。属于委托处理的，应当补充符合《个人信息保护法》第二十一条的委托处理条款；属于向其他处理者提供的，应当明确数据处理目的范围，并由运营者负责取得单独同意。
问：用户已经同意了隐私政策，是否等于同意SDK共享？
不等于。向其他处理者提供个人信息需要取得单独同意（第二十三条），不能在隐私政策的概括同意中一并取得。单独同意应当是独立于其他处理目的的、针对该项具体处理活动的同意。
问：SDK里还嵌套了其他SDK（二次转委托），怎么处理？
委托处理情形下，未经个人信息处理者同意，受托人不得转委托他人处理个人信息（第二十一条第三款）。因此协议应当明确是否允许转委托、转委托的条件与层级，并要求提供者披露嵌套SDK清单；运营者应当将该清单纳入自身的第三方共享清单与影响评估范围。
问：出现数据事件，运营者和SDK提供者谁对外担责？
取决于法律关系定性。共同处理的，对个人承担连带责任；委托处理中受托人超出约定范围处理的，受托人应就其行为承担责任，运营者如未尽到监督义务亦可能被认定为有过错。实务中，对外承担责任后能否向SDK提供者追偿，主要取决于协议中的责任分配与赔偿条款是否完备。
七、行业参考：监管依据与标准
除《个人信息保护法》《数据安全法》外，SDK合规的监管依据主要包括：《移动互联网应用程序信息服务管理规定》《工业和信息化部关于开展纵深推进APP侵害用户权益专项整治行动的通知》（对应用服务提供者、SDK提供者和应用分发平台提出四类共十项整治任务，其中包括SDK违规收集、超范围收集、违规使用个人信息）、《工业和信息化部关于开展信息通信服务感知提升行动的通知》（双清单要求）以及《App违法违规收集使用个人信息行为认定方法》。
标准层面的主要参考是《信息安全技术 个人信息安全规范》（GB/T 35273—2020）与《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》（GB/T 41391—2022）。
律师提示：SDK合规的技术含量不在“写多长的隐私政策”，而在三张表——SDK清单（名称、版本、字段、场景）、授权映射表（字段与单独同意事项的对应关系）、责任分配表（法律关系定性与对应条款）。三张表做出来，隐私政策、双清单与影响评估报告都可以直接生成；三张表缺失，任何一份文件都只是纸面合规。
法条与依据核验：《中华人民共和国个人信息保护法》第六条（最小必要）、第十三条（合法性基础）、第十四条（同意的要件）、第十五条（撤回同意）、第十六条（不得因不同意而拒绝提供服务）、第十七条（告知事项）、第十九条（保存期限）、第二十条（共同处理与连带责任）、第二十一条（委托处理与禁止擅自转委托）、第二十二条（因合并分立等原因转移）、第二十三条（向其他处理者提供与单独同意）、第二十四条（自动化决策）、第二十五条（公开）、第二十六条（公共场所图像采集与身份识别）、第二十八条至第三十条（敏感个人信息）、第三十九条（向境外提供）、第五十一条（安全措施）、第五十五条（应当事前进行影响评估的情形）、第五十六条（影响评估内容与三年记录保存）、第六十九条（过错推定与举证责任）；《中华人民共和国数据安全法》；《移动互联网应用程序信息服务管理规定》；《工业和信息化部关于开展纵深推进APP侵害用户权益专项整治行动的通知》；《工业和信息化部关于开展信息通信服务感知提升行动的通知》（双清单要求，具体发文文号请以工业和信息化部公布为准）；《App违法违规收集使用个人信息行为认定方法》；《信息安全技术 个人信息安全规范》（GB/T 35273—2020）；《信息安全技术 移动互联网应用程序（App）收集个人信息基本要求》（GB/T 41391—2022，2022年4月15日发布、2022年11月1日实施，现行有效）。特别说明：①GB/T 35273—2020与GB/T 41391—2022均为推荐性国家标准，不具有直接法律强制力，但在监管执法与司法实践中通常作为认定处理者是否尽到合理注意义务的参考；②双清单要求出自工业和信息化部的专项整治与提升行动文件，属规范性文件，执行中请以主管部门最新要求为准；③本文所列高频违规情形系对监管实践与执法案例的归纳，不引用任何具体案例与案号。请以全国人大、国家网信办、工业和信息化部、国家市场监督管理总局官方公布文本为准。
