合规资讯

国家网络与信息安全信息通报中心经公安部计算机信息系统安全产品质量监督检验中心检测，通报35款存在违法违规收集使用个人信息行为的移动应用。问题分三类：9款未公开个人信息收集使用规则；5款处理不满十四周岁未成年人信息未制定专门规则且未取得监护人同意；23款未经用户同意收集使用个人信息。被点名应用高度集中于汽车票、打车、拼车等交通出行类小程序。

越南《个人数据保护法》（第91/2025/QH15号法）及第356/2025/ND-CP号法令对个人数据处理影响评估档案作出具体要求：控制者及控制者兼处理者须准备并留存档案，并在首次处理之日起60日内向专门机关提交一份正本。豁免安排有条件地适用于小型企业、初创企业、微型企业与个体工商户，但在企业提供数据处理服务、直接处理敏感数据或达到10万名数据主体累计门槛时不适用。小型企业与初创企业的选择仅限自2026年1月1日起五年内。

美国卫生与公众服务部（HHS）民权办公室（OCR）宣布与宾夕法尼亚州牙科服务提供者Shen Smiles达成HIPAA隐私规则和解，该机构将支付14万美元。调查认定该机构缺乏对受保护健康信息访问的适当政策与程序，且未能合理保障该信息免遭不当使用或披露。该案于2026年10月8日披露，是OCR患者访问倡议下的第56起金钱处罚案件，2026年以来HIPAA罚款累计约317万美元。

欧盟成员国常驻代表委员会（Coreper）就《数字综合法案》理事会立场展开讨论，Cookie规则是核心争点。理事会163页文本保留ePrivacy指令第5条第3款的同意要求，放弃欧委会提出的浏览器级同意信号（第88b条）方案，并将网站被拒绝后再次询问同一目的的等待期从六个月的方案缩短至至少四个月。该一揽子方案同时修改GDPR、ePrivacy指令、数据法案与NIS2，其中个人数据定义的相对化修改与AI训练合法利益条款仍遭EDPB与EDPS反对。

西班牙数据保护局（AEPD）发布公告，要求两个市政府在推进其拟实施的AI视频监控项目前建立必要的数据保护保障措施。AEPD审查了两个项目的材料，其中一个包含人脸检测与识别功能，另一个为个人自动检索系统。AEPD表示并不反对在公共部门视频监控中使用AI，但市政当局必须证明拟实施的每项功能都具有正当目的、必要且适当，并包含与风险相称的保障措施。其中一个项目涉及38台新摄像头接入覆盖124台现有摄像头的管理系统。

律所研究文章梳理中国、欧盟、美国、新加坡等主要法域的数据合规监管差异。文章指出，美国CCPA/CPRA对一般个人信息采用选择退出机制、对敏感个人信息采用选择同意机制，新加坡PDPA以同意为主并于2020年修订后引入合法利益、业务资产交易等例外。在跨境数据传输上差异尤为显著：中国对个人信息出境设定安全评估、保护认证、标准合同三条路径，对重要数据出境要求安全评估；欧盟GDPR设定了充分性认定、标准合同条款、约束性企业规则等多元路径。文章建议采用就高不就低原则构建统一基线。

人民法治网刊发分析文章指出，人工智能时代个人信息既要保护又要利用，如何平衡是必须妥善应对的关键问题。文章围绕国家网信办公布的《大型个人信息处理者个人信息保护规定（征求意见稿）》展开，指出生成式人工智能对个人信息保护的挑战体现在多个维度：训练数据抓取范围广、规模大、来源杂，处理者难以逐条确认是否包含个人信息，更难逐一获得同意；即便是公开信息也不意味着可以无条件使用，无差别抓取会改变原始公开背景。

2026年服贸会期间举办的全球服务贸易企业家大会上，北京理工大学教授洪延青指出，中国通过豁免与地方数据出境负面清单相结合，正在探索具有自身特点的制度型开放路径——国家守住统一安全底线，地方利用行业知识和业务场景识别风险，为一般数据和低风险业务拓展便利流动空间。北京市互联网信息办公室副主任王飞介绍，北京数据跨境政策设计的核心是一套顶层设计和一张清单的革命，3.0版方案正推动重点领域一业一策标杆示范。

《人民日报》刊发报道，解读国家数据局《数据产权登记工作指引（试行）》落地情况。国家数据产权登记服务系统上线首日，有56份数据产权登记凭证向社会公示，行业分布与数据流通开发利用活跃领域基本一致。国家数据局数据资源司副司长栾婕表示，登记系统上线与登记机构公布标志着全国统一的数据产权登记制度正式落地实施。下一步将细化审查规则、优化系统功能，并推动登记凭证在司法、金融等领域形成更广泛的采信力。

温州市市场监督管理局发布《温州市人工智能训练数据商业秘密保护指引（2026版）》，针对训练数据商业秘密保护的特殊性系统细化。指引覆盖数据收集、整理、标注、清洗、存储、使用、传输、委托处理、跨境数据交互、境外外包标注、海外模型训练与数据销毁等全流程，并按数据价值、泄露影响与不可替代性划分三级密级。指引对大型企业与中小微企业设置分级合规要求，大型企业须从严落实物理隔离、专机专用等硬性标准。