给孩子装的App，先关这三项

给孩子装个识字App，装个故事机，装个早教小程序，这套动作大多数家长三十秒完成，眼睛盯着的是"这个能不能学东西"，不是"这个要走了什么"。

9月4日，上海市网信办通报了2026年第五批存在个人信息收集使用问题的移动应用，一共11款。把这11个名字从头读一遍，沪学习、壹点灵、乐读、口袋故事、布布识字、ahakid启蒙、布鲁可智趣版、玩具反斗城官方商城、英孚、Stokke官方会员、宝可梦卡牌会员。

十一个里，几乎没有一个是给大人自己用的。

这不是巧合。这次通报的题目就叫"未成年人保护专项"。

— 封面图 —

第一处，14岁以下孩子的个人信息，法律是按"敏感"算的

很多人对"敏感个人信息"这四个字的理解是，身份证号、人脸、银行卡、病历。

《个人信息保护法》第二十八条写的是，敏感个人信息包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

注意最后这半句的结构，它强调的是，不满十四周岁未成年人的个人信息整体被列为敏感个人信息，而不只是身份证号这类单项信息。中国政法大学副教授苑宁宁在解读时就点明，此前未成年人保护法、《儿童个人信息网络保护规定》都没有特别突出这一点，个保法等于把14岁以下未成年人的所有个人信息都作了升格保护。

升格意味着什么，意味着后面三条全都是硬要求，不是倡议。

处理敏感个人信息，应当取得单独同意（第二十九条），应当向个人告知处理的必要性以及对个人权益的影响（第三十条），处理不满十四周岁未成年人个人信息，应当取得父母或者其他监护人的同意，并且制定专门的个人信息处理规则（第三十一条）。《未成年人保护法》第七十二条、《民法典》第一千零三十五条，口径完全一致。

而这一批通报里，英孚和Stokke官方会员的问题都写着同一条，未针对不满十四周岁未成年人制定专门的个人信息处理规则。宝可梦卡牌会员和沪学习，写的是处理敏感个人信息未取得单独同意。

翻译过来就是，孩子的信息被当成了普通信息处理。

— 三处必查 —

第二处，"同意"有两种，给孩子装的必须是那一种

装App时跳出来的隐私政策，几乎所有人都直接划到底点"同意"。这个动作本身没问题，一般个人信息，一份告知加一次同意就够了。

但敏感个人信息要的是"单独同意"。

差别在哪，单独同意是在一大段隐私政策末尾打个勾之外，还要针对这件事单独弹一次窗、单独说清楚"要收集什么、为什么必须收集、不给你会怎样"，再由你单独点一次。简单说，单独同意是把"同意"这件事拆开来做。

更关键的是第三十一条那句"应当取得父母或者其他监护人的同意"。孩子拿着手机点出来的那个"同意"，在法律上是无效的，该点这一下的是家长，不是孩子。

所以这轮通报里有一条看着很技术、其实很要命，壹点灵、乐读被指出"频繁征求用户同意收集个人信息"。频繁索权是什么意思，就是弹窗弹到你烦，弹到你随手点掉。这个设计的目标不是获得同意，是消耗同意。

还有一类更直接，口袋故事、ahakid启蒙、乐读被指出强制用户同意收集非必要个人信息，不同意就不能用。这个"强制"本身就违法，因为非必要信息你有权不给。

第三处，识字App要通讯录，这件事没有合理解释

通报里反复出现一句，在无关场景收集位置、通讯录、短信等个人信息（壹点灵、乐读、英孚）。

一个教孩子认字的应用，为什么要读通讯录，一个卖积木的会员小程序，为什么要在跟定位毫无关系的页面里拿位置。

判据其实很简单，这个功能，离了这项权限还能不能用，能，那就是无关。导航软件要定位是必要的，识字软件要定位不是。

同样一批里还有一条容易被忽略，超出最低必要频率调用个人信息权限（宝可梦卡牌会员）。意思是权限你可能确实给了，但它调用的次数远超功能需要。给一次不等于给无数次。

再往上看一层，这不是上海一地的事。公安部9月初通报的42款违法违规移动应用里，未经用户同意收集使用个人信息涉及27款，未公开收集使用规则涉及10款，申请权限时未同步告知目的涉及10款，在无关场景收集位置、通讯录、短信涉及7款。中央网信办、工信部、公安部今年联合开展的个人信息保护系列专项行动，覆盖的是全国。

第四处，注销不等于删除，这一步最容易被跳过

这一条跟前面三条不一样，它是"退出机制"的问题。

布布识字、玩具反斗城官方商城被指出，注销后未及时删除个人信息。布鲁可智趣版被指出，为注销用户账号设置不必要或不合理条件。玩具反斗城、Stokke、宝可梦卡牌会员还都有同一条，首次启动未提示用户阅读隐私政策。

连起来看是一条完整的链，进来时不告诉你规则，用的时候多拿，走了之后还留着。

很多家长以为把App删了就干净了。删App只是删了本机程序，账号还在，服务器上的数据还在。真要清干净，得走注销流程，还得确认对方真的删了。而"为注销设置不合理条件"，说的就是这条退路被人为堵了。

现在能做的三件事

第一，打开手机设置里的权限管理，把位置、通讯录、短信、麦克风这几项逐个过一遍。原则是"仅在使用中允许"，不给"始终允许"，凡是想不起来为什么需要它的，一律关掉。关掉之后App打不开的，那说明它要的本来就不是必要的东西。

第二，给孩子用的App，别让孩子自己点第一次的"同意"。第一次启动的弹窗由家长来点，顺便看一眼有没有"儿童/未成年人"专属的隐私政策入口，按第三十一条，做孩子生意的应用必须得有这么一份专门规则。找不到的，本身就是一个信号。

第三，不用的账号走注销，别只是卸载。注销之后过一段时间再去试着登录一次，登得上说明没删干净。遇到注销要填一堆材料、要人工审核拖很久的，属于通报里点名的"不合理条件"，可以向网信部门举报。

— 三步动作 —

给孩子装App这件事，大人盯的是内容有没有用、有没有广告、会不会乱扣费，很少有人盯权限。恰恰是这个最不设防的动作，把一整套信息交了出去，孩子的姓名、年龄、学校、声音、每天的活跃时段，加上家长的手机号和支付记录。

法律已经把14岁以下的孩子整体划进了"敏感"这一档，剩下的那一半在家长手里。