合规资讯

湖南日报·新湖南10月9日报道，湖南省君山农垦集团立足全域60.94万亩农垦国有土地资源优势，取得全省农垦系统首个、岳阳市农业产业首个农地数据集完成数据产权登记、数据产品登记并实现平台上架的成果，同时完成数据资产入表，入表金额1147.68万元。该集团联合湖南省农村产权交易有限公司打造“数字农地”综合管理服务平台，获2026年“数据要素×”大赛湖南分赛一等奖，并入选湖南省“数字新基建”标志性项目。截至报道时该模式已在常德、益阳、怀化等多地落地推广。

上海崇明区检察院办理一起侵犯公民个人信息刑事附带民事公益诉讼案：通信代理商员工将工号与设备交予地推人员，以赠送米面油等方式诱骗老年人办理实名手机卡，截留并层层倒卖实名制手机号及验证码，涉及公民个人信息1.6万余条，部分经“猫池”设备批量流出。刘某乙等四人分别被判处有期徒刑三年六个月至一年二个月并处罚金，违法所得合计超70万元。崇明区法院另作出刑事附带民事公益诉讼调解书，四人支付公益损害赔偿金并在国家级媒体公开赔礼道歉。

上海警方侦破一起游戏账号非法售卖案，全链条摧毁一个专业从事“造号、养号、卖号”的犯罪团伙。经查，张某、姚某伙同多人非法获取包含姓名及身份证号码的公民个人信息共计14.5万余条，用于批量注册并实名绑定《原神》《崩坏：星穹铁道》等米哈游旗下游戏账号，再通过电商店铺对外出售牟利。徐汇法院认定两人分别构成非法获取计算机信息系统数据罪与侵犯公民个人信息罪，数罪并罚决定执行有期徒刑三年十个月并处罚金六万元。米哈游已向近20家游戏账号交易平台与电商平台发函要求下架。

甘肃省公安机关网安部门10月9日公布“护网—2026”专项行动十起网络安全行政执法典型案例，覆盖个人信息保护、数据安全与网络信息安全管理义务三大板块。其中嘉峪关某游乐园的智能储物柜与入园闸机仅支持人脸识别一种认证方式，采集时未履行告知义务、缺乏特定目的与充分必要性、未落实安全技术措施，被行政处罚并监督销毁擅自留存的人脸信息；平凉某供热公司4名员工利用工作便利导出1.2万余条个人信息对外提供，除追究刑事责任外，公司同步被“一案双查”行政处罚。天水某电信公司营销中心及代理营业厅因未制定内部管理制度、未开展从业人员培训、日常监管缺失被处罚。

路透社报道，美国联邦调查局10月5日解除了一名在埃森哲任职的承包商，原因是其未按要求为所负责系统安装安全补丁，导致数千名FBI雇员敏感个人信息被窃。FBI网络部门主管称事件源于第三方机构管理平台的安全失职——承包商未实施专门为保护该平台下发的补丁。FBI未公开平台与第三方名称，但消息人士指认平台为甲骨文PeopleSoft人力资源系统、第三方机构为埃森哲。失窃数据涵盖雇员住址、电话、配偶信息、反情报岗位描述、人力情报人员住址及医疗与精神健康记录，暴露面具有明显反间谍风险。

美国南方电力公司（Southern Company）确认其在线客户门户遭未授权第三方访问，约40万个电力客户账户的有限信息被读取，涉及旗下Georgia Power、Alabama Power与Mississippi Power；据当地媒体援引公司口径，其中约30万个账户属Georgia Power、约10万个属Alabama Power。被访问信息包括姓名、邮寄地址、电话、邮箱、社保号或企业税号后四位及其他基本账户信息；公司称银行账号、完整支付卡号与驾照号码未涉及，已阻断该活动并联系执法机关。公司未披露事件发生时间与入侵路径，尚无组织宣称负责。

英国信息专员办公室（ICO）发布2025/26年度报告。本年度收到数据保护投诉76,743件，较上年度的42,315件增加逾3.4万件；仅27.4%的投诉在90日内答复（上年30%），69.5%在六个月内答复（上年98.4%），均远低于内部目标。执法方面作出8份英国GDPR罚款通知，合计32,402,373英镑，含对Reddit的1447万英镑、对Capita plc的1400万英镑及对23andMe的231万英镑罚款，另有1825.9万英镑罚款处于上诉程序；还依据《数据（使用与访问）法》新上限作出10份PECR罚款通知合计144.5万英镑。

印度电子与信息技术部依据《数字个人数据保护法》第43(1)条发布《DPDP（消除困难）令2026》，10月5日签发、10月7日在政府公报公布并自公布之日起生效。该令作出两项文字修正：一是调整第9(1)条关于儿童与有法定监护人的残障人士须取得可验证同意的表述，明确两类主体并列适用同一同意要求；二是将第10(2)(c)(ii)条中的“审计”改为“数据审计”，明确重要数据受托人的期审计义务聚焦数据保护与数据处理合规，而非泛指财务或一般IT审计。相关条款预计2027年3月13日生效。

沙特数据与人工智能局（SDAIA）于2026年10月6日就《个人数据保护法》（PDPL）实施条例修正草案公开征求意见，反馈截止11月5日。最受关注的变化是拟在实施条例第23条引入明确的数据本地化要求，而现行框架并不要求个人数据必须存储于沙特境内。泄露通报门槛亦将下调：现行第24条仅在泄露可能造成损害时触发72小时通报义务，草案拟取消该损害评估前置条件，只要发生泄露、损坏或未授权访问即须通报。其他拟议变动还包括数据处理影响评估触发情形、国家控制者登记、回应调查时限、营销规则与DPO义务调整。

10月6日，日本多家企业集中披露因服务器未授权访问导致的个人信息泄露，日本政府称情况“极为严重”。MrMax Holdings称其App与线上商店所用服务器被非法访问，最多173.5万名客户的姓名、邮箱与电话可能外泄；GMO Internet Group旗下GMO Research & AI的问卷网站infoQ约94.85万条会员记录被窃，且约286万日元积分被非法兑换。同期披露的还有Citizen Watch约10万人、大和证券约11万条、nimoca交通卡521人。内阁官房长官木原稔呼吁公众不要重复使用密码、启用多因素认证并警惕可疑邮件，政府正研判是否存在AI辅助攻击。