合规资讯

摩纳哥个人数据保护局（APDP）2026年9月24日发布，其秘书长与两名秘书处人员当日出席首届「DPO论坛摩纳哥」（DPO Forum Monaco）。该论坛在 Méridien Beach Plaza 举办，汇聚数据保护官（DPD/DPO）、律师、信息安全官、网络安全专家、IT决策者与机构代表，围绕法规演进、人工智能相关议题与数字时代隐私挑战展开讨论。APDP在开幕致辞中系统介绍了2024年12月3日第1.565号个人数据保护法为公国处理责任者设定的义务（处理活动登记簿、特定情形下指定DPO、数据泄露通报等）、数据主体的新权利，以及监管机关被强化尤其是新增罚款制裁的权力。

西班牙数据保护局（AEPD）公布其收到的首例由自主人工智能智能体实施攻击的个人数据泄露通报：某机构报告称，攻击者使用一款广泛可用的大语言模型驱动智能体，先扫描机构通用文件寻找可利用弱点，获取有效企业凭据后登录内部系统，随后自主挖掘应用漏洞，最终得以修改个人数据记录并访问发票。AEPD强调，事实来自受影响机构自身的通报、仍待独立核实，模型被使用并不意味着该模型或其供应商基础设施遭入侵。AEPD副局长Francisco Pérez Bes就此提出被业界称为“二规则”的部署约束——智能体不应同时具备处理不可信输入、访问敏感数据与在无人监督下自主行动三项条件，并要求企业在风险分析中明确列入AI智能体攻击场景、重估响应时限、收紧凭据与API令牌权限、在人工监督之下叠加自动化检测与遏制能力。

巴西司法与公共安全部国家数字权利秘书处（Sedigi）9月21日签署第47/2026号技术说明（Nota Técnica nº 47/2026/DSPRAD-SEDIGI），对13款具名AI伴侣（AI Companion）应用可能违反《数字ECA》（Lei 15.211/2025）及第12.880/2026号法令的情形作初步梳理，并分别移交巴西国家数据保护局（ANPD）与全国消费者秘书处（Senacon）评估。该说明自认属初步性质、不构成违规认定亦不具约束力，其实质信号在年龄核验解释：仅标注“仅限成年人”不构成抗辩（只要青少年访问具有可能性），在提供露骨性互动的情形下用户自报年龄亦不足；ANPD与Senacon将决定是否正式立案。

越南国会常务委员会第六次会议9月23日审议《数据安全法》草案。草案共六章25条，按全生命周期思路管理与数字经济、数字基础设施、投资、技术转让、人工智能、新兴技术、供应链及跨境数据流动相关的数据安全风险，并设立四级数据安全风险：三级与四级沿用《数据法》重要数据与核心数据分类，一级与二级由数据控制者自行判定并承担责任、不增设行政审批。对党政机关与武装力量持有的四级数据，草案设定2035年1月1日前迁移至后量子密码的期限；对三、四级数据泄露、窃取或毁损的严重违规，最高行政罚款为上一年度越南营收或全球营收的5%，中小企业与创新初创企业可获优惠待遇。

欧盟委员会9月17日提出的《EU KIDS Act》（Keeping Internet Digital Spaces Accountable and Trustworthy）于9月23日在Coreper I向成员国常驻代表介绍后进入审议。提案以年龄分档替代单一门槛：13岁以下不得持有社媒账号（仅可由家长账号访问面向低龄的儿童友好视频平台），13至15岁为家长管理的“迷你账号”且每日限用1小时，15岁起可自主持有账号。安全设计义务覆盖无限滚动、夜间推送、连胜机制、默认私密、陌生人不可主动联系等；对话式与伴侣型人工智能系统在未成年人账户中默认关闭且不得设计成造成情感依赖。提案还将举证责任从监管机构转移至超大型平台，须自证服务对儿童安全。

英国Nottingham University Hospitals NHS信托称，8月18日一次常规技术操作中“人为错误”导致产科数据库被意外覆盖：技术人员原本要复制放射治疗数据库用于报告，使用了此前为另一套医院系统编写的指令且未修改设置，结果操作落在产科数据库上。受影响范围为2011年9月至2022年11月间接受诊疗的妇女与婴儿记录，目前大部分临床数据已恢复，但无法完整还原该期间“谁查看过产科记录”的完整历史轨迹。信托已向英国信息专员办公室（ICO）自报并通知警方，同时称已强化技术控制与流程。该信托正处产科丑闻调查核心，此事件可能影响相关刑事与独立调查。

科罗拉多州总检察长与44州及哥伦比亚特区组成的跨党联盟宣布，与实验室公司Labcorp就其第三方医疗债务催收商American Medical Collection Agency（AMCA）2019年数据泄露事件达成和解，Labcorp将支付2,287,455美元并强化信息安全与供应商风险管理：制定涵盖供应商安全事件内部报告的事件响应计划、减少向供应商共享的数据、扩充供应商风险管理团队与评估工具、对催收商合同与网络安全标准提出专门要求并要求数据分段与审计，另聘第三方评估机构开展以供应商风险为重点的信息安全评估。该泄露波及全美逾2750万人，其中Labcorp患者约1020万。

英国信息专员办公室（ICO）宣布，TikTok已撤回对2023年1270万英镑罚款的上诉并同意缴纳，该处罚通知就此终局；TikTok同时撤回针对ICO信息通知的上诉，该信息通知要求其提供13至17岁用户在推荐系统中的个人数据处理细节，撤回后ICO可继续推进自2025年2月启动的推荐算法调查。ICO估算2020年约有175万英国13岁以下儿童使用TikTok，平台未做充分年龄核查、未移除低龄用户、未就数据收集使用提供清晰信息、也未取得父母同意。此前8月上级法庭已驳回TikTok关于“艺术目的”的抗辩。

国家数据局介绍，随着国家数据产权登记服务系统9月11日上线试运行，我国正式开展数据产权登记工作，推行统一的数据产权登记制度，解决以往登记杂乱、标准不一、互认不足的问题，实现“一次登记、全国通用”。数据产权包括数据持有权、数据使用权、数据经营权，三项权利相互独立，可申请登记一项、两项或三项。目前北京国际大数据交易所、上海数据交易所、深圳数据交易所三家机构率先开展登记工作，流程包括申请、受理、审查、公示、异议处理、信息存证、凭证核发七步，凭证有效期一般5年、到期前6个月可申请续期。凭证可用于数据交易、数字贸易，并支持资产确认、融资担保与作价入股。

成都市温江区法院审结一起侵犯公民个人信息罪案。吴某某在温江区某培训机构从事招生工作，为招生推广先后10次向他人支付8540元购买小学和中学学生及家长个人信息7275条，整理后将其中1367条打印交由员工用于拨打电话招生。法院认为其行为已构成侵犯公民个人信息罪，情节严重，判处拘役3个月、缓刑6个月，并处罚金3000元，扣押的手机、笔记本电脑、U盘予以没收。承办法官指出，即便非法获取的信息仅用于自身招生推广，只要条数达到一定程度即构成“情节严重”，凸显对未成年人个人信息的从严保护。