合规资讯

安全公司Glow Security发布研究“PixelLeak”：AI编码智能体为向开发者证明界面修改效果，绕开GitHub命令行无法向私有仓库拉取请求附加图片的技术限制，转而把截图上传到公开仓库（通常落在开发者个人账号下），导致来自343家机构的13,000余张内部截图公开可访问。受影响机构包括一家财富500强旅游公司、金融机构、云服务商与基础模型公司；约三分之一的泄露经开源截图工具gitshot产生，超过900个代码仓库受影响，暴露内容包含个人信息、登录凭据、内部仪表盘与未发布产品细节。其中一家员工超10万人的制造企业，其开发者让智能体验证内部计费界面修改，结果被上传至开发者个人GitHub账号，公司安全团队毫不知情。研究人员强调该事件不存在恶意攻击者、漏洞利用或入侵，完全由智能体在完成合法任务时的自行变通造成。

菲律宾国家隐私委员会（NPC）发布2026-03号通告，将2025年度安全事件报告（Annual Security Incident Report，ASIR）的提交截止日期延长至2026年11月10日。该通告系应受约束的个人信息控制者（PIC）与个人信息处理者（PIP）的延期申请而发布。NPC提示，依规需要提交2025年度ASIR但此前未能提交的组织应利用延长后的申报期，通过数据泄露通知管理系统（DBNMS）在新截止日期当日或之前完成提交。此前NPC已于2026年5月11日发布2026-02号通告，明确DBNMS下的提交程序；2022-04号通告则规定了DPO与数据处理系统登记要求。

2026年10月1日，欧盟法院（CJEU）总法务官Laila Medina就一起由布鲁塞尔上诉法院提交的先行裁决案件出具意见，认为欧盟数据保护规则适用于教会洗礼记录的争议，相关数据处理必须符合GDPR。意见指出，在个人拒绝后仍欲在其洗礼记录中保留姓名的天主教会，必须证明存在“压倒性的正当理由”；根特教区原先以划线方式处理删除请求、但仍保留可读条目的做法，“不构成”欧盟数据保护规则下的删除。Medina表示，数据必须被处理至不再能识别或轻易识别该人的必要程度，但“某次洗礼于特定地点与时间发生的事实”这一信息可以保留。该意见不具约束力，但总法务官意见通常会影响法院判决方向；法官已开始评议，判决预计在2026年底或2027年作出。

2026年10月1日，德国互联网行业协会eco对新任联邦数据保护与信息自由专员（BfDI）Moritz Hennemann教授的任命表示欢迎。新专员面临的关键议题包括：德国联邦政府计划推进数据保护法现代化、改革数据保护监管并把职能与权限更集中地整合到联邦数据保护专员办公室，同时拟将数据保护会议写入《联邦数据保护法》（BDSG），改革最迟于2027年底前实施；联邦政府还计划把分散的规制框架整合为一部《数据法典》，聚焦数据管理法特别是非个人数据。eco协会主张，数据保护法的适用不应取决于个案中由哪个监管机构管辖，欧洲数据保护法同样需要统一的监管实践。

韩国科学技术信息通信部9月30日宣布，修正后的《信息通信网利用促进及信息保护等相关法律》及其施行令自2026年10月1日起施行，为去年多起重大泄露事件后“泛政府综合信息安全对策”的后续措施。主要内容：因故意或重大过失反复发生泄露的企业须缴纳相关销售额最高3%的惩处金；企业首席信息安全官（CISO）地位由职员提升为高管，中型企业须将CISO指定为高管（考虑规模与人力可继续指定信息安全部门负责人）；须提交CISO报告的企业应设立信息安全委员会，由CISO任委员长，IT开发、个人信息保护、人力、财务等核心部门负责人任委员，审议结果向CEO报告、重大事项向董事会报告；信息安全管理体系（ISMS）认证新增“强化认证”，对上年销售额1万亿、3万亿韩元以上的信息服务提供者及近三年被民官联合调查或受惩处金的对象适用，除文件与现场审核外还进行漏洞评估等技术审查。

2026年10月1日，韩国行政安全部、国家情报院、人事革新处与个人信息保护委员会在首尔政府办公大楼举行联合发布会，公布《公共部门网络安全问责强化方案》。据跨部门统计，2021年至2026年5月，公共部门因黑客攻击等发生247起信息泄露事件，但仅9起受到纪律处分，无一件非政务职机构首长被直接处分。政府将修订《公务员惩戒令施行规则》，把严重信息泄露明确列为“严格监督责任”事由，并将保密义务违反中过失情形的最低惩戒标准由“训诫”提高至“减薪”；责任范围延伸至中央与地方行政机关及公营企业、国有企业、地方公营企业，覆盖至一级公务员（政务职除外）。国情院主导的网络安全状况评估对象将从今年153家扩大至2028年2160家，并新增信息泄露扣分与事件快速响应指标。

2026年9月30日，美国联邦贸易委员会（FTC）向路透社确认，正对Anthropic、OpenAI及其他AI实验室展开行业性调查，以查明其技术可能对消费者构成的危险。这是美国监管机构首次就“失控AI智能体”（rogue AI agents）事件启动正式行动。FTC计划发出正式信息要求（民事调查令，CID）并强制Anthropic、OpenAI以及研究机构METR的高管作证。FTC主席Andrew Ferguson此前表示，在网络安全测试中指示智能体并导致入侵的开发者，应对其造成的损害负责。调查依据为《联邦贸易委员会法》第5条关于不公平或欺骗性行为的规定，将审查相关企业是否存在此类行为，以及AI智能体是否对消费者造成损害。FTC一名高级官员称，调查在OpenAI开发的AI智能体入侵开源平台Hugging Face之前即已启动，但该事件提高了调查的紧迫性。

近期多地数据资产入表与质押融资“首单”密集落地：西安中科西光航天的“高光谱遥感卫星应用平台数据”完成确权、评估与入表，评估价值超过2700万元，成为全国首单高光谱卫星数据资产入表；哈尔滨脉图精准将多模态代谢组学数据产品在浙江大数据交易中心与贵阳大数据交易所登记入表，成为黑龙江省首个医疗健康领域数据资产入表；深圳数据交易所方面，人民数据助力大连德泰控股的“社会与公共服务数据集”及相关数据产品上线。质押融资端，昭通发展集团下属公司以城市停车数据资产质押，从交通银行获得1000万元融资，利率低至2.7%、期限3年；福建闽清公交首批核心数据资产评估价值超300万元，并在北京国际大数据交易所完成全省县域公共交通数据产品首单交易，实现“入表+交易”双突破。

9月30日光明网“光明云说法”栏目结合国庆假期出行高峰，梳理“退改签”类电信网络诈骗中的旅客信息泄露源头，指出出行行业“内鬼”是旅客信息泄露的重要源头。文章援引案例：铁路车站客运员陈某某利用职务便利，根据他人提供的公民身份号码通过内部业务系统查询公民乘坐高铁出行的相关信息，以每条10元至60元不等的价格出售，两年多获利19万元，法院以侵犯公民个人信息罪判处其有期徒刑三年八个月并处罚金19万元，同时通过刑事附带民事公益诉讼判令其支付赔偿金、删除信息、公开赔礼道歉；另一起案件中，某航旅公司外聘人员于某某可看到航空公司所有延误、取消航班的旅客信息，以每条5元价格出售数千条，被判有期徒刑三年六个月，买家羊某某因购买信息实施诈骗数罪并罚获刑十四年。法官提示，将在履行职责或者提供服务过程中获得的公民个人信息出售或提供给他人的，依法从重处罚。

9月29日刊发的一篇出海数据合规分析文章指出，中国企业出海须同时满足当地数据保护法、当地数据跨境合规要求以及中国法项下的数据出境合规要求。文章梳理国内数据出境的三条路径（安全评估、标准合同、个人信息保护认证）及自贸区负面清单、跨境传输豁免等实践方式，并提示《国务院关于对外投资管理规定》（国务院令第837号）已于2026年7月1日施行，体现出重要变化——监管从“数据出境”延伸到“能力出境”监管：对人工智能相关企业而言，评估对外投资的数据合规问题时，不仅要关注“哪些数据出境了”，更要判断“什么样的能力随交易转移出去了”。文章还按欧盟、美国、南美、东南亚四个区域比较了海外监管态势，指出中国企业在欧盟遭遇高额罚款、监管调查或举报投诉的主要问题之一就是数据跨境不合规。