合规资讯

荷兰数据保护局（AP）宣布对Uber处以8.2499亿欧元罚款，理由是其2018至2022年间使用软件监测司机行为与乘客评分，在涉嫌欺诈或评分过低时自动停用司机账户，缺乏有意义的人工介入，且未充分告知自动化决策的存在与运作方式，违反GDPR第22条及透明度义务。案件源于171名法国司机的投诉，经一站式机制由AP主导、与CNIL等协同。Uber已提起上诉。该罚单为迄今金额第二高的GDPR罚款，也是自动化决策领域最高处罚。

律所汇总的EMEA九月数据隐私动态显示：英国ICO对South Staffordshire Water处以96.39万英镑罚款，该公司遭钓鱼邮件攻击后长期未被发现，逾63.3万人个人信息被发布于暗网，暴露安全监测、漏洞管理、访问控制与软件维护短板；ICO欢迎上级法庭驳回TikTok就1270万英镑儿童数据罚款的上诉；ICO还发布数据保护法定监管沙箱可行性报告；上议院通信与数字委员会就《在线安全法》实施启动调查。

2026年9月10日，加拿大隐私专员办公室（OPC）发布《第三方服务提供商评估指南》草案，帮助受PIPEDA约束的组织在采购涉及个人信息的产品、服务或技术前评估供应商隐私实践，征求意见至12月4日。指南列出11项最佳实践：识别所涉个人信息与敏感信息、绘制数据流、确认用途、了解功能与性能、确认角色责任（含分包商）、评估境外收集与传输、确认训练数据来源、核验安全控制、评估供应商锁定与“锁出”风险、确认留存与合同终止流程、建立持续监督机制。

印尼政府于2026年7月16日颁布第33/2026号政府条例（GR 33/2026），作为2022年第27号《个人数据保护法》的实施条例，共12章225条，将于2027年1月16日生效。条例细化合法基础、透明与数据主体权利、数据安全与漏洞通报（3×24小时）、DPO、跨境传输、行政制裁与争议解决，并引入共同控制者、控制者—处理者合同与处理记录。律所提示：个人数据保护局（DPA）尚未设立，六个月过渡期相对整改任务偏短。

2026年9月9日，美国联邦贸易委员会撤销其2021年关于《健康违规通报规则》（HBNR）适用于健康应用与联网设备的政策声明，称该声明已过时、收效甚微，且已被2024年规则修订所取代。被撤销的三项扩张解释包括：将健康应用开发者视为“医疗服务提供者”、以聚合来源触发覆盖、将未经授权共享也纳入“违规”。FTC的Section 5权力不受影响，2024年修订后的HBNR文本继续有效。

来自伊利诺伊州和加利福尼亚州的两对父母及其未成年子女，于9月4日在美国伊利诺伊北区联邦地区法院对Meta提起拟议集体诉讼（Alvarez et al. v. Meta Platforms, Inc.），指控公司在未取得法定告知与同意的情况下，利用Facebook和Instagram照片提取生物识别信息，用于内部代号NameTag的人脸识别系统和Emu、Muse Image等生成式AI模型训练。伊利诺伊原告援引BIPA，加州原告主张州宪法隐私权与肖像权。Meta称诉讼毫无依据。

韩国修订后的《个人信息保护法》及配套实施令于2026年9月11日同步生效。核心变化包括：对反复发生或因故意、重大过失造成的大规模泄露，惩罚性行政罚款上限由营业额的3%提高至10%；企业主或CEO被明确为个人信息处理的最终责任人；CPO任免须经董事会决议并向委员会备案；新增“泄露可能性通知”制度并扩充通报事项；2027年7月1日起对重要信息处理者强制实施ISMS-P认证。事前投入预防的企业可获罚款减免。

国家网络安全通报中心通报多款移动应用违法违规收集使用个人信息，乐普医疗二级子公司深圳源动创新旗下“乐普健康”被点名，涉及未经用户同意收集使用个人信息、未列明向第三方提供信息的种类目的方式及接收方、超出必要范围收集位置通讯录短信等问题。该应用配合乐普智能穿戴设备使用，处理心率、心电、血压、血氧、睡眠等健康数据。源动创新旗下“源动健康”2025年9月已因同类问题被通报。

分析指出，北京市已将数据出境负面清单适用范围由自贸试验区拓展到全市域，涵盖9个行业领域、67个业务场景和612个字段。2026年服贸会期间，朝阳区披露默沙东、澳科利耳、韩国农协银行等企业完成数据出境负面清单备案，成为全市数据出境负面清单落地案例最多的区域。商务部明确将完善跨境服务贸易负面清单管理制度，推动人员、资金、数据等要素便利安全跨境流动。

9月12日，2026宁波数据要素创新发展交流活动期间，杭甬双城数据要素协同发展暨数据产权战略合作正式签约。宁波数据交易公司与杭州数据交易所将建立“宣传推广—资料收集—辅助审查—审核发证”的产权登记跨域协同工作流程。杭州自去年率先开展数据产权登记以来已完成159家单位518个登记、覆盖12个省26个市；宁波已有31个数据产品完成登记，城市可信数据空间吸引286家数商入驻。