移动互联网应用程序信息服务管理规定
本文从App提供者和分发平台两个身份，把规定转成上线前门禁、账号实名、内容治理、数据与个人信息保护、安全漏洞、未成年人保护、许可与安全评估、投诉举报等可执行控制。
法规概览
| 项目 | 内容 |
|---|---|
| 法规 | 《移动互联网应用程序信息服务管理规定》 |
| 现行版本施行 | 2022年8月1日 |
| 主要适用对象 | 境内App信息服务提供者，以及应用商店、快应用中心、小程序平台、浏览器插件平台等分发服务提供者 |
| 核心问题 | 实名认证、许可、内容审核、数据安全、个人信息、未成年人、漏洞、舆论属性安全评估、分发平台审核与备案 |
| 身份差异 | App提供者对自身服务负责；分发平台还承担上架审核、分类管理、主体核验、许可/评估核验和持续管理义务 |
下文按 “法规要求 → 落实与验收” 展开：每项要求同时说明实施动作与可验证证据。数据、个人信息、未成年人、漏洞和算法等事项还应与对应专项法规叠加适用。
安全要求与实施
| 核心主题 | 达成状态 |
|---|---|
| 上线与变更门禁 | 新App、新功能上线前完成许可、安全、数据和专项义务判断 |
| 账号与内容治理 | 需实名场景真实认证，违法内容可发现、处置、追溯 |
| 数据与个人信息 | App实际采集、使用和共享与公开规则一致且满足必要性 |
| 安全漏洞 | 缺陷漏洞能发现、补救、通知和报告 |
| 未成年人 | 识别未成年人场景并落实实名、内容和防沉迷要求 |
| 分发平台 | 上架主体、许可、安全评估和持续风险都经过真实审核 |
| 投诉与监管 | 用户投诉和监管检查有稳定入口并闭环 |
把合规判断前置到App上线和重大变更
法规要求｜第5、7、14条。 App提供者应建立信息内容、数据安全、个人信息、未成年人等制度；依法需要许可的信息服务应先取得许可；上线具有舆论属性或者社会动员能力的新技术、新应用、新功能，应按规定进行安全评估。
落实与验收。
- 在App首次上线、新业务类型、新内容能力、UGC/即时通讯、直播、新闻、算法推荐、AI功能等重大变更前设置统一合规评审。
- 评审至少判断服务许可、舆论属性/社会动员能力安全评估、个人信息、数据安全、未成年人和算法/AI专项义务。
- 将评审结论变成发布门禁；未完成必需许可或评估时不能通过“先灰度、后补手续”绕过。
- 保存版本、功能、判断依据、责任人和批准记录，后续能够对应到实际发布版本。
验收证据。
- 从最近半年App版本发布记录随机抽三个重大功能，逐一找到上线前的合规判断。
- 给出“新增用户公开发帖+关注传播”场景，产品、安全和法务能否现场判断是否产生新的内容治理、安全评估义务？
- 从线上功能反查评审清单，是否存在已经运行但从未进入合规评审的能力？
落实实名、账号和内容安全治理
法规要求｜第6、8、16条。 为用户提供信息发布、即时通讯等服务时，应进行真实身份信息认证；应对信息内容呈现结果负责，建立用户注册、账号管理、信息审核、日常巡查、应急处置等措施，并依法依约处置违规用户、保存记录和履行报告要求。
落实与验收。
- 明确哪些功能触发真实身份认证，在提供相应能力前完成认证，不能只要求用户填写一个未经验证的手机号或姓名。
- 建立内容审核、巡查、举报联动和紧急处置能力，覆盖用户生产内容及平台呈现结果。
- 账号警示、限权、封禁等处置必须可追溯，并与服务协议和公开规则一致。
- 对机器刷量、刷榜、控评、虚假宣传和诱导下载建立监测和处置机制。
验收证据。
- 新注册一个未完成真实身份认证的账号，能否直接发帖、即时通讯或使用依法要求实名的功能？
- 随机抽取一条违规内容，从发现、审核、处置到账号措施能否完整还原？
- 从异常增长、评价和下载数据反查，是否存在明显机器刷量但从未进入治理流程的样本？
- 对照线上真实处置与公开规则，是否存在规则写一套、实际运营另一套？
让App实际数据行为与规则保持一致
法规要求｜第11—12条。 App提供者应建立全流程数据安全管理制度并采取安全措施；个人信息处理应合法、正当、必要、诚信，公开处理规则，遵守必要个人信息范围，不得强迫用户同意非必要处理，也不得因拒绝非必要个人信息而拒绝基本功能。
落实与验收。
- 建立App数据/个人信息处理清单，映射SDK、权限、接口、服务端处理、第三方共享、保存期限和用户可见规则。
- 权限和个人信息采集按功能必要性触发，不在首次启动时一次性索取与当前功能无关的权限。
- 对第三方SDK做准入和版本变更管理，SDK新增采集、域名或共享对象时重新评审。
- 用户拒绝非必要权限或个人信息后，基本功能仍应可用；撤回同意、删除等权利能够真实作用于后端和第三方链路。
验收证据。
- 抓取一个全新安装App的真实网络流量和权限调用，与隐私规则、处理清单逐项对照，有没有未声明采集或先采集后同意？
- 拒绝通讯录、精确位置等非必要权限，基本功能是否被人为阻断？
- 从线上SDK清单反查采购和隐私评审，是否存在研发直接接入而治理清单不知道的SDK？
- 执行一次撤回同意或删除请求，再从后端、日志和第三方接口验证数据是否真正停止处理或完成删除。
建立App漏洞发现、补救、通知和报告闭环
法规要求｜第10条。 App应符合相关国家标准强制性要求；发现安全缺陷、漏洞等风险时，应立即采取补救措施，并按规定及时告知用户、向有关主管部门报告。
落实与验收。
- 将移动端漏洞、服务端漏洞、SDK/组件风险统一进入漏洞治理流程，并保留首次获知、验证、影响、补救、通知和报告时间线。
- 高风险漏洞发现后先止损，补丁发布、强制升级、服务端开关等措施根据真实风险组合使用。
- 建立与《网络产品安全漏洞管理规定》、网络安全事件报告等规则的并行义务判断。
- App版本碎片化场景持续跟踪旧版本暴露面，不能以新版本已修复等同于全部用户风险消除。
验收证据。
- 随机抽一条App高危漏洞，从首次报告到修复版本覆盖率完整穿行。
- 新版本已修复后，仍有多少活跃用户运行脆弱旧版本？有没有服务端缓解或升级策略？
- 从第三方SDK漏洞反查App版本，能否迅速确定哪些线上版本受影响？
- 对达到报告/通知条件的历史漏洞，能否拿出实际通知、报告和回执，而不是只有内部工单？
落实未成年人保护
法规要求｜第13条。 App提供者应坚持最有利于未成年人的原则，依法落实未成年人账号真实身份注册和登录要求，不得提供诱导沉迷的产品和服务，不得传播危害未成年人身心健康的信息。
落实与验收。
- 识别产品是否面向或可能大量触达未成年人，并与未成年人专项法规共同确定身份识别、内容、时长、消费等控制。
- 未成年人账号的实名与年龄判断应作用于实际产品策略，不能只是注册字段。
- 推荐、直播、游戏化激励、打赏等容易产生沉迷或权益风险的能力单独评估。
- 未成年人模式、家长控制等保护能力做真实绕过测试。
验收证据。
- 使用未成年人身份注册后，推荐、使用时长、消费和内容策略是否真实变化？
- 能否通过切换账号、游客模式、修改客户端参数等简单方式绕过保护？
- 从投诉和风控记录反查，是否存在已知未成年人风险但产品策略长期未调整？
分发平台把上架审核做成持续控制
法规要求｜第17—21条。 分发平台上线运营后应按规定备案，实施应用分类管理和备案，对App提供者进行真实身份认证，并对上架和更新App审核；需要许可或安全评估的，应核验相关情况；对违法内容、数据造假、数据安全风险、违法违规处理个人信息等App不得提供服务。
落实与验收。
- 平台自身按时完成备案，并维护主体、域名、服务资质、管理规则等备案信息。
- 上架时复合验证开发者身份，核对App名称、主体、业务类型、必要许可和安全评估结果。
- 每次重大版本更新重新判断风险，不把“历史上架过”作为永久通行证。
- 通过巡检、投诉、监管通报和技术检测持续管理在架App，发现问题能够暂停服务或下架并保存处置记录。
验收证据。
- 随机抽一个在架App，从开发者实名、许可、安全评估到最新版本审核完整穿行。
- 找一个近期业务类型发生重大变化的App，平台是否重新核验资质和评估，而不是自动更新？
- 从监管通报或公开违规App名单反查平台，发现到下架之间用了多久？
- 平台备案信息与当前实际主体、域名和服务范围是否一致？
让投诉举报和监管协查可闭环
法规要求｜第22、24条。 App提供者和分发平台应设置醒目、便捷的投诉举报入口，健全受理、处置、反馈机制，并配合主管部门依法监督检查。
落实与验收。
- 在App和官方渠道提供容易找到的投诉举报入口，明确分类、时限、升级和反馈规则。
- 将投诉与内容、隐私、数据安全、未成年人、账号等治理系统联动，高风险投诉自动升级。
- 保存投诉原始内容、处理过程、结论和反馈，能够从投诉反向发现系统性问题。
- 建立监管协查责任人、数据提取和审批机制，保证响应及时且不因协查造成新的数据泄露。
验收证据。
- 新用户能否在不搜索帮助文档的情况下快速找到投诉入口并成功提交？
- 随机抽10条高风险投诉，是否都在规定流程中完成研判、处置和反馈？
- 从重复投诉聚类反查产品整改，是否长期只处理单个工单而不解决根因？
- 模拟监管紧急调取一项处置记录，团队能否快速、准确、按权限提供？
法规原文
以下保留现行规定主要条款用于核对。涉及个人信息、数据安全、未成年人、漏洞、算法或AI功能时，应继续叠加对应专项法规和现行监管要求。
查看法规原文
第一章 总则
- 第一条 为了规范移动互联网应用程序（以下简称应用程序）信息服务，保护公民、法人和其他组织的合法权益，维护国家安全和公共利益，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《中华人民共和国未成年人保护法》、《互联网信息服务管理办法》、《互联网新闻信息服务管理规定》、《网络信息内容生态治理规定》等法律、行政法规和国家有关规定，制定本规定。
- 第二条 在中华人民共和国境内提供应用程序信息服务，以及从事互联网应用商店等应用程序分发服务，应当遵守本规定。
- 第三条 国家网信部门负责全国应用程序信息内容的监督管理工作。地方网信部门依据职责负责本行政区域内应用程序信息内容的监督管理工作。
- 第四条 应用程序提供者和应用程序分发平台应当遵守宪法、法律和行政法规，不得利用应用程序从事法律法规禁止的活动。
- 第五条 应用程序提供者和应用程序分发平台应当履行信息内容管理主体责任，建立健全信息内容安全管理、信息内容生态治理、数据安全和个人信息保护、未成年人保护等管理制度，确保网络安全。
第二章 应用程序提供者
- 第六条 应用程序提供者为用户提供信息发布、即时通讯等服务的，应当对申请注册的用户进行真实身份信息认证。用户不提供真实身份信息，或者冒用组织机构、他人身份信息进行虚假注册的，不得为其提供相关服务。
- 第七条 应用程序提供者通过应用程序提供互联网新闻信息服务的，应当取得互联网新闻信息服务许可；提供其他依法须审核同意或者取得许可的信息服务的，应取得相应许可后方可提供。
- 第八条 应用程序提供者应当对信息内容呈现结果负责，不得生产传播违法信息，并建立健全用户注册、账号管理、信息审核、日常巡查、应急处置等管理措施。
- 第九条 应用程序提供者不得通过虚假宣传、捆绑下载、刷榜、刷量、控评等方式或者利用违法和不良信息诱导用户下载。
- 第十条 应用程序应当符合相关国家标准的强制性要求。发现安全缺陷、漏洞等风险时，应立即采取补救措施，按规定及时告知用户并向有关主管部门报告。
- 第十一条 应用程序提供者开展数据处理活动，应履行数据安全保护义务，建立健全全流程数据安全管理制度，采取安全措施并加强风险监测。
- 第十二条 应用程序提供者处理个人信息应遵循合法、正当、必要和诚信原则，公开处理规则，遵守必要个人信息范围规定，不得强制要求用户同意个人信息处理，不得因用户不同意提供非必要个人信息而拒绝其使用基本功能服务。
- 第十三条 应用程序提供者应履行未成年人网络保护义务，依法落实未成年人用户真实身份信息注册和登录要求，不得向未成年人提供诱导沉迷的产品和服务或危害其身心健康的信息。
- 第十四条 应用程序提供者上线具有舆论属性或者社会动员能力的新技术、新应用、新功能，应按国家有关规定进行安全评估。
- 第十五条 鼓励应用程序提供者积极采用IPv6向用户提供信息服务。
- 第十六条 应用程序提供者应制定并公开管理规则，与注册用户签订服务协议；对违规用户依法依约采取处置措施，保存记录并向有关主管部门报告。
第三章 应用程序分发平台
- 第十七条 应用程序分发平台应当在上线运营三十日内向所在地省、自治区、直辖市网信部门备案，并提交规定材料。
- 第十八条 应用程序分发平台应建立分类管理制度，对上架应用程序实施分类管理，并按类别向所在地省级网信部门备案应用程序。
- 第十九条 应用程序分发平台应采取复合验证等措施，对申请上架的应用程序提供者进行真实身份信息认证，并按要求公示提供者信息。
- 第二十条 应用程序分发平台应建立上架审核、日常管理、应急处置等措施，对申请上架和更新的应用程序进行审核，并核验依法所需许可和安全评估情况；对存在违法不良信息、数据造假、数据安全风险、违法违规收集使用个人信息等情况的应用不得提供服务。
- 第二十一条 应用程序分发平台应制定并公开管理规则，与应用程序提供者签订服务协议；对违规应用依法依约采取警示、暂停服务、下架等措施，保存记录并向有关主管部门报告。
第四章 监督管理
- 第二十二条 应用程序提供者和分发平台应设置醒目、便捷的投诉举报入口，健全受理、处置、反馈机制，及时处理公众投诉举报。
- 第二十三条 鼓励互联网行业组织建立健全行业自律机制。
- 第二十四条 应用程序提供者和分发平台应配合网信部门和有关主管部门依法实施的监督检查，并提供必要支持和协助。
- 第二十五条 违反本规定的，由网信部门和有关主管部门在职责范围内依照相关法律法规处理。
第五章 附则
- 第二十六条 本规定对移动互联网应用程序、应用程序提供者和应用程序分发平台作出定义。
- 第二十七条 本规定自2022年8月1日起施行。2016年6月28日公布的原《移动互联网应用程序信息服务管理规定》同时废止。