2. 第三方SDK数据合规法律基线

第三方SDK合规不是“凭经验判断”，而是由一组具有强制约束力的法律规范共同划定的边界。对App运营者和SDK提供方而言，最需要先建立的是“基线意识”：哪些行为被法律明确禁止，哪些义务是必须主动履行的，哪些责任在双方之间可以约定但不能对外免除。本节围绕《个人信息保护法》《数据安全法》《网络安全法》《移动互联网应用程序信息服务管理规定》四部核心规范，梳理与SDK场景直接相关的条款逻辑，并给出可落地的判断方法。

一、四部规范的定位与分工

这四部规范并非并列重复，而是各有侧重。《网络安全法》是基础性法律，确立了网络运营者的安全保护义务、用户身份信息管理、日志留存等底层要求；《数据安全法》从数据全生命周期出发，强调数据分类分级、风险监测、安全评估和数据处理活动的合法正当；《个人信息保护法》聚焦个人信息处理规则，是SDK合规中最直接、最细密的依据；《移动互联网应用程序信息服务管理规定》则针对App这一具体载体，明确了应用程序提供者和应用分发平台的管理责任，对SDK的接入、告知、同意和安全管理提出了更贴近业务的要求。

二、《个人信息保护法》中与SDK最相关的条款

《个人信息保护法》对SDK场景的约束集中在几个关键制度上。第一是“告知—同意”规则。App在接入SDK前，必须以显著方式、清晰易懂的语言，真实、准确、完整地向用户告知SDK的名称、提供方、处理目的、处理方式、个人信息种类和保存期限。实践中常见的问题是隐私政策只写“可能接入第三方SDK”，却不列明具体清单，这不符合“完整告知”的要求。

第二是最小必要原则。SDK收集的信息必须与实现其功能直接相关，不得超范围采集。例如，一个仅用于统计崩溃日志的SDK，如果同时读取通讯录或位置信息，就构成超范围收集。判断标准是：该信息是否为SDK当前功能所必需，且是否存在对用户权益影响更小的替代方案。

第三是单独同意。涉及敏感个人信息、向第三方提供个人信息、公开个人信息等情形，必须取得用户的单独同意，不能混在整体隐私政策中“一揽子”同意。SDK如果涉及设备标识符、位置、通讯录等敏感或准敏感信息，App应在调用前弹出独立说明并获取单独授权。

第四是委托处理与共同处理的责任划分。如果App运营者委托SDK提供方处理个人信息，双方应签订数据处理协议，明确处理目的、期限、方式、安全措施和违约责任。如果双方共同决定处理目的和方式，则构成共同处理，对外承担连带责任。这一条直接决定了SDK合规协议中必须写清“角色定位”。

三、《数据安全法》与《网络安全法》的底层要求

《数据安全法》要求数据处理者建立数据分类分级制度，对重要数据加强保护，并定期开展风险评估。对SDK而言，这意味着App运营者需要识别SDK所处理的数据是否属于重要数据或核心数据，并据此采取相应的安全措施。如果SDK涉及大量用户行为数据汇聚，可能触发数据安全评估义务。

《网络安全法》则从网络运行安全角度提出要求：网络运营者应当采取技术措施防范网络攻击、侵入、干扰和破坏，留存网络日志不少于六个月。SDK作为App运行中的网络组件，其通信链路、接口调用和日志记录都应纳入App整体的安全防护体系。实践中，很多SDK会自行与服务器通信，如果App未对其通信行为进行监控和审计，一旦发生数据泄露，App运营者难以证明已尽到安全保护义务。

四、《移动互联网应用程序信息服务管理规定》的针对性要求

该规定直接针对App提供者和应用分发平台。对App提供者而言，需要落实信息内容管理主体责任，对SDK等第三方服务进行安全管理，确保其不传播违法信息、不违规收集使用个人信息。对应用分发平台而言，需要对上架App进行审核，包括其使用的SDK是否合规。这意味着SDK合规不仅是App自己的事，还会影响App能否顺利上架和持续运营。

五、合规基线检查表（示例）

以下检查表可作为SDK接入前的快速自查工具，字段和判断标准均来自上述法律条款的实务转化，供参考使用。

理解这四部规范的分工与交叉，是后续开展SDK合规治理的前提。基线不是终点，而是判断“能不能做、做到什么程度”的起点。下一阶段的工作，需要把基线要求转化为具体的SDK准入流程、协议条款和技术检测手段。