EMEA数据隐私9月综述：ICO对South Staffordshire Water罚96.39万英镑，TikTok上诉被上级法庭驳回

South Staffordshire Water一案的攻击起点是一封成功投递的钓鱼邮件，恶意软件进入后长期未被发现，攻击者最终取得管理员级权限，超过63.3万人的个人信息被窃取并发布于暗网。ICO的处罚指向四项基础控制缺失：安全监测、漏洞管理、访问控制与软件维护。案件延续了英国监管机构对“基础卫生”失守的零容忍立场——该季度通报同时指出，四成以上企业在过去一年经历过网络攻击或泄露，但许多组织仍无正式事件响应计划、全面风险评估或网络安全保险。

在诉讼层面，2026年8月5日ICO发表声明，欢迎上级法庭驳回TikTok Inc及另一上诉人诉信息专员案（[2026] UKUT (AAC) 277）的上诉，并将案件发回一级法庭审理实质问题。ICO此前因TikTok不当处理儿童个人信息对其罚款1270万英镑，TikTok主张因其平台承载创作内容，ICO须先取得法院特别许可方可采取行动，该主张被上级法庭否定。

在监管创新方面，ICO发布了关于数据保护法定监管沙箱（SRS）可行性的报告，该研究与监管创新办公室的AI能力基金合作完成。SRS拟作为实验性制度满足AI与新兴技术需求，在ICO监督与保障下为创新者提供部分数据保护法义务的时间有限豁免。SRS落地需修改数据保护法律，下一步取决于政府；英国政府亦于7月15日就“AI与其他数据密集型技术时代的数据监管”发起证据征集，9月9日截止。

此外，上议院通信与数字委员会于7月27日启动对《在线安全法》实施、执法与影响的调查，并评估该法本身是否存在削弱其有效性的缺陷，书面意见征集已于9月7日截止。ICO同期宣布七名新非执行董事获任命，标志向英国新独立数据保护监管机构转型的里程碑。