美国参议院司法小组委员会就Flock车牌识别网络举行听证：审查检索权限、留存期限、共享与认证控制，联邦采购与规则走向待观察

Flock据报建议将新执法客户的默认留存期由30天缩短至7天，这一变化值得关注，但听证本身并未产生有约束力的义务，也没有作出任何违法认定。本次听证的意义在于把网络化车辆监控的争论推入联邦监督程序：争点从“摄像头是否应当存在”转向“谁能检索数据、数据留存多久、如何共享、访问保护能否抵御滥用”——这是更可被测试的运营控制问题。

同一时期，BigCommerce关联应用的入侵事件提供了另一个供应商风险样本：攻击者访问了受影响商户店铺的客户姓名、邮箱、电话号码与收货或实体地址，BigCommerce随后移除相关应用并撤销访问权限。受影响消费者与商户的数量尚不明确，密码与支付卡数据据报不在泄露范围内。该案说明，商户的隐私暴露面可能位于其软件生态内部——一个被攻破的应用凭据即可跨商户暴露客户数据。

此外，美国司法部针对Oxygen Forensics的案件为取证工具供应链增加了新的问责问题：检方指控该公司向美国联邦客户隐瞒俄罗斯所有权与开发情况。需要说明的是，这些是指控而非认定，检方并未主张存在恶意代码或对客户数据的未授权访问。

上述动向的共同指向是“控制与证据”：留存期限、检索权限、共享规则、凭据保护、访问复核与事件通报，正在从纯技术管理事项上升为隐私合规的核心控制项。支付数据的分段隔离可以限制一类损害，但联系类数据一旦泄露仍足以支撑高度可信的欺诈与钓鱼攻击。对企业而言，第三方应用的权限范围、凭据生命周期与访问复核频率应纳入隐私影响评估的常态化审查。