用户在某个电商小程序里下了单，转头就接到境外诈骗电话，信息泄露的源头是小程序开发商偷卖了订单数据——用户该告小程序商家、告开放平台、还是告开发商？又比如一款进账不错的APP嵌了免费的统计SDK，SDK悄悄把通讯录回传境外服务器，APP开发者和应用商店谁兜底？网络数据安全管理条例2025年1月1日施行，第40条、第41条第一次在行政法规层面把平台第三方数据责任的链条写全：平台规则约定、督促管理、按过错分担。很多人搜「小程序泄露数据平台有责任吗」「SDK偷数据谁赔」「应用商店要不要审核APP」，这篇按条文把责任链条拆开。
先看这三个要点
- 平台义务是约定加督促：第40条第一款要求平台通过平台规则或合同明确第三方的数据安全保护义务，并督促第三方加强管理——光有入驻协议不管数据安全，本身就不合规。
- 责任按过错分担，不是平台全兜：第三方违规处理数据对用户造成损害的，平台、第三方、预装设备生产者依法承担相应责任——相应二字意味着按各自义务和过错划分。
- 应用商店有核验义务：第41条要求分发平台建立核验规则并开展数据安全核验，发现违规APP要警示、不予分发、暂停或终止分发。
一、条文原文
- 第四十条 网络平台服务提供者应当通过平台规则或者合同等明确接入其平台的第三方产品和服务提供者的网络数据安全保护义务，督促第三方产品和服务提供者加强网络数据安全管理。
- 预装应用程序的智能终端等设备生产者，适用前款规定。
- 第三方产品和服务提供者违反法律、行政法规的规定或者平台规则、合同约定开展网络数据处理活动，对用户造成损害的，网络平台服务提供者、第三方产品和服务提供者、预装应用程序的智能终端等设备生产者应当依法承担相应责任。
- 国家鼓励保险公司开发网络数据损害赔偿责任险种，鼓励网络平台服务提供者、预装应用程序的智能终端等设备生产者投保。
- 第四十一条 提供应用程序分发服务的网络平台服务提供者，应当建立应用程序核验规则并开展网络数据安全相关核验。发现待分发或者已分发的应用程序不符合法律、行政法规的规定或者国家标准的强制性要求的，应当采取警示、不予分发、暂停分发或者终止分发等措施。
二、责任要件对照
| 要件·主体 | 条文依据 | 法定义务 |
|---|---|---|
| 平台侧约定 | 第四十条第一款 | 通过平台规则或合同明确第三方数据安全保护义务 |
| 平台侧督促 | 第四十条第一款 | 督促第三方加强数据安全管理，不能签完约就不管 |
| 第三方自身 | 第四十条第三款 | 遵守法律法规和平台规则、合同约定，违规致损是第一责任人 |
| 设备生产者 | 第四十条第二款、第三款 | 预装APP的终端厂商同样负有约定督促义务和相应责任 |
| 分发平台核验 | 第四十一条 | 建立核验规则，开展数据安全核验，发现问题分级处置 |
| 保险机制 | 第四十条第四款 | 国家鼓励开发数据损害责任险、鼓励平台和厂商投保 |
三、一根链条，三段责任
第一段：第三方的责任是源头责任。偷卖订单数据的小程序开发商、回传通讯录的SDK服务商，自己是网络数据处理者（第62条定义），直接违反第8条（不得非法获取、出售、提供数据）和第22条（同意规则），对用户的损害承担第一位的赔偿责任，情节严重的还可能触及侵犯公民个人信息罪。平台监管处罚（第55条）对第三方的直接处罚也有依据——网信、电信、公安部门按各自职责对违规的第三方责令改正、罚款。
第二段：平台的责任是管理责任加相应责任。第40条给平台设了两道工序：事前用平台规则或合同把数据安全义务写清楚（收集范围、存储要求、禁止行为、审计配合、退出机制）；事中督促——定期检查、接投诉后核查、发现苗头约谈整改。出了损害事件，平台是否担责、担多少，看的是这两道工序做没做到位：规则齐全、督促留痕、接到投诉及时处置的平台，可以主张自己尽到管理义务，责任落在直接侵权的第三方；规则空白、对明显的违规信号装看不见、投诉挂着不处理的平台，相应责任就坐实。民事层面这与侵权法的网络服务提供者责任框架衔接，行政层面第55条对平台违反第40条第一、二款的直接处罚（警告、罚款直至停业）同样在。
第三段：设备厂商和分发平台各有各的岗。预装APP的手机厂商适用第40条——出厂预装的应用数据出事，厂商与开发者按过错分担，厂商至少要在预装协议里明确数据义务并做上架审核。应用商店则单独受第41条约束：核验规则要成文，核验动作要真做（对申请分发的APP查权限申请是否必要、是否嵌已知问题SDK、是否符合国家标准的强制性要求），发现问题的处置工具按严重程度递进——警示、不予分发、暂停分发、终止分发。商店对已分发APP还有持续巡查义务，「上架时就坏、上架后不管」的躺平式审核在条例下不合规。
第40条第四款的保险安排是个风向标。国家鼓励开发网络数据损害赔偿责任险种、鼓励平台和厂商投保——数据泄露的赔偿规模化之后，责任险会成为大型平台的标配风控工具。对中小第三方开发者，这意味着谈判时可能被平台要求投保作为入驻条件，成本预算里可以提前考虑。
这条规则的边界
- 第40条管的是「接入平台的第三方产品和服务」。平台自营业务的数据违规按平台自身作为处理者的责任处理（第9条、第22条），不适用本条的分担逻辑。
- 「相应责任」不是连带推定。用户起诉时仍需按侵权规则指向过错方；平台的过错在于管理失职，管理到位的平台不因第三方侵权而当然连带——但举证上平台要先亮出规则和督促记录。
- 第41条的核验针对数据安全合规，不是内容审核。APP内容违法的处置适用内容治理的其他规定；第41条管的是权限滥用、违规收集、不符合强制性国家标准这类数据安全维度。
- 设备生产者的义务以预装为限。用户自行下载的APP出事，厂商一般不担责；预装、深度定制商店、默认开启的服务才落入第40条射程。
四、常见疑问快答
开放平台要怎么改入驻协议才算符合第40条？**
至少写清四件事：第三方可收集的数据范围和目的边界、安全措施要求（加密、存储、访问控制）、平台检查与投诉处置权、违规的下架与追责条款。配套做年度合规自查和投诉响应台账，督促动作留痕。
我的APP接的SDK偷偷收集数据，开发者被罚冤不冤？**
不冤。APP运营者对自己的产品和嵌入组件承担处理者责任，接SDK前要做尽职审查（看SDK的数据收集说明、权限要求），接入后通过第12条的委托处理合同约束并监督——「SDK是别人写的」不是抗辩理由，与SDK商的追偿是后手。
用户能同时起诉平台和第三方吗？**
可以一起诉，法院按第40条第三款和侵权规则分配责任。实操建议用户先固定损害与泄露源头的证据（订单记录、通话时间线、平台披露的处理者信息），先向平台投诉触发其核查义务，平台处置不力本身也是责任认定的证据。
五、实操建议
- 平台方做一次规则体检：对照第40条把入驻协议、开放平台协议里的数据条款补齐，建立第三方数据安全巡检和投诉处置流程，全部留痕；
- 第三方开发方做合规自查：自己就是处理者，第8条、第9条、第22条的义务一条不少，接平台前把自查报告准备着，应对平台审核；
- APP开发者管好SDK供应链：建SDK清单（名称、用途、收集字段、更新版本），用第12条合同加监督双抓手，淘汰来路不明的免费组件；
- 分发平台补核验规则：把数据安全核验写进上架流程，对已分发APP定期复检，处置动作（警示、暂停、终止）分级记录。
站内《个人信息被内部人员倒卖，企业要担责吗》讲了内部人员泄露场景的责任划分，与第三方向外泄露的链条互补；《爬取别家平台数据算不正当竞争吗：robots协议与数据条款》讲了平台数据条款的竞争法维度，可一并参考。
相关阅读
一句话总结：第40条、第41条把第三方数据责任写成三段链条——第三方担源头责任、平台担约定加督促的管理责任、厂商和商店各守预装与核验的岗位，出事按过错分担相应责任，谁没做功课谁多担。
以上内容为一般性法律知识介绍，不构成正式法律意见。具体责任认定请结合事实证据，咨询执业律师后处理。