合规资讯

国家网信办、公安部联合公布的《小型个人信息处理者个人信息保护简化措施规定》（第25号令）自9月1日起施行，明确“处理不满10万人个人信息”的小微主体可适用简化合规：线下张贴公告公开规则、园区统一制定规则、符合条件时仅公开规则即履行告知义务、出境免评估条件、通过认证免合规审计。

9月1日，国家网络安全通报中心通报42款违法违规收集使用个人信息的移动应用，绝大多数为医疗健康类，覆盖微信小程序、支付宝小程序及多个应用商店。问题集中在未公开收集使用规则、未经用户同意收集、超必要范围收集、未列明第三方共享、未提供有效注销功能等八类。

9月1日，《重庆市数据安全管理条例》正式施行。作为全国首部系统性规范数据全生命周期安全管理、细化数据分类分级保护的地方性法规，条例共6章45条，明确六大职能部门监管权责，确立“谁管业务、谁管业务数据、谁管数据安全”责任制，将数据划分为核心、重要、一般三级实行差异化管控，并建立6个月至3年的分级日志留存制度。

菲律宾国家隐私委员会（NPC）发布公众公告《关于在AI生成图像中使用真实人物肖像的公告》，就AI工具生成合成媒体涉及真实人物的合规问题作出提示。委员会指出，人的面部与肖像属于第10173号共和国法案即《2012年数据隐私法》（DPA）下的个人信息，在某些情况下，照片与视频媒体还可能构成直接识别个人的生物识别信息。使用AI工具基于真实人物的面部与肖像生成图像或视频，以及发布或分享由此产生的图像与视频，无论所生成媒体的性质或目的如何，均构成个人数据处理行为。与其他个人数据处理一样，这些行为必须具有合法目的并符合DPA规定的任一合法处理标准；虽然被描绘者的同意是最易识别的标准，但DPA还提供其他依据。然而，在没有任何法律依据的情况下使用他人面部与肖像创作合成媒体，可能构成DPA第25条下的未授权处理；视处理程度（包括发布与分享此类AI生成媒体）还可能违反DPA其他刑事条款，须承担刑事责任及可能的民事与行政责任。委员会强调，伪造的图像或视频即属虚假个人数据；依据DPA第16(e)条，数据主体在有实质证据证明数据不实时，可要求屏蔽、删除或销毁该个人数据，并可通过向委员会投诉主张该权利。委员会同时指出，讽刺、戏仿、评论及公共利益事项报道可能受宪法言论、表达与新闻自由保护，且DPA不适用于新闻、艺术或文学目的的个人数据处理，但这些保护仅在为实现该目的所适合且必要的最小范围内适用；是否落入其中取决于个案情形，包括图像是否被呈现为真实、其合成性质是否披露等。

荷兰数据保护局（AP）就经期（月经周期）追踪应用的隐私风险发出提示。研究显示，近四分之一的荷兰女性使用经期或受孕追踪应用记录月经周期或怀孕情况，包括经期开始时间、激素相关症状等。这类应用收集大量高度私人化的信息，属于法律要求额外保护的敏感个人信息，原则上不得收集，除非取得明确同意等合法依据。但实践中，这些应用是否与广告合作伙伴共享信息、用户是否获得充分告知均不明确。AP建议在安装应用时仔细检查所同意的事项，如信息不明或存在其他问题应谨慎使用。AP副主席Monique Verdier指出，女性在这类应用中记录大量私密信息，使其处于脆弱地位，例如当这些敏感信息在无意中落入广告商手中——免费应用往往以数据"付费"；此外数据也可能落入黑客手中，这类犯罪分子专门瞄准最敏感的个人信息用于敲诈勒索，健康、生育与性生活信息不应为他人所知。

荷兰数据保护局（AP）提醒公共机构及提供公共服务的私营机构：自2027年12月起，如计划使用高风险AI系统，或作为公共或私营机构使用财务风险评分系统，须事先评估该系统可能对人的基本权利产生何种影响，此类评估称为"基本权利影响评估"（fundamental rights impact assessment, FRIA，荷兰语称grondrechteneffectbeoordeling）。FRIA义务规定于《欧盟AI法案》，涵盖平等对待权、人的尊严、隐私与司法救济等基本权利。AP算法协调总监Sven Stevenson表示，强制FRIA迫使组织事先思考AI系统对受影响人群意味着什么，有助于预防问题而非事后补救。尽管FRIA义务要到2027年12月才生效，AP建议组织现在就着手积累经验，以便更好地理解所用AI系统并及时为新的义务做准备。为此AP启动一项全国试点，参与机构可使用欧洲FRIA报告模板进行实操并获得对其方法的反馈，报名截止2026年9月21日，试点于10月初启动。

荷兰数据保护局（AP）向Twitch用户发出建议：如不希望Amazon将其直播内容、图像及其他个人信息用于训练AI模型，应立即关闭相关设置。流媒体平台Twitch为Amazon子公司，已公开表示Amazon将使用Twitch用户的个人信息训练AI模型。AP指出，Twitch直播包含主播的面部、声音、姓名以及卧室等私人空间画面，均属个人信息，其中面部图像甚至属于敏感个人信息；一旦这些数据进入AI系统便无法删除。AP副主席Monique Verdier强调，将个人面部与声音等数据共享用于训练Amazon的AI模型风险极高，且此类数据一旦进入模型将永久无法移除，AI模型可能将这些数据展示给网络诈骗者用于实施欺诈。AP提示，名为"生成式AI训练"（Training van generatieve AI）的设置默认为开启状态，意味着除非用户主动关闭，Amazon将自动使用所有Twitch用户的数据进行AI训练；关闭路径为：设置（Instellingen）→ Security and Privacy 标签页。

荷兰数据保护局（AP）宣布，自2026年9月1日起，该局将被法律强制要求公开罚款及其他GDPR（AVG）制裁决定。此前AP虽已公开GDPR制裁，但依据的是自身制定的公开政策；此次系通过法律修订（《通用数据保护条例实施法》UAVG的修正案，由荷兰议会二院提出）将公开义务法定化，AP将据此调整其公开政策。AP表示，多年来一直呼吁立法者作出此项修订，因为制裁公开后，其他机构能更早看到问题所在并据此改进自身合规，且公开制裁使AP的执法更有效、有助于提升GDPR遵守水平，也契合行政机构更加开放透明的整体趋势。须公开的是行政性制裁，包括罚款、逾期罚款（last onder dwangsom）与处理禁令（verwerkingsverbod）。程序上，AP会先告知机构将公开其GDPR制裁并给予回应的机会，随后作出最终公开决定再行公布。

美国联邦贸易委员会（FTC）宣布就"个性化定价"（personalized pricing）执法政策声明公开征求意见。个性化定价指利用个人数据，按照企业认为某个消费者愿意支付的金额来设定价格。FTC主席Andrew Ferguson表示，消费者看到标价时会预期与其他人看到的价格相同，而不是零售商基于其个人数据估算的支付意愿；FTC无权在所有情形下禁止个性化定价，但未告知消费者其个人数据如何被用于定价的企业可能违反FTC法及其他由该机构执行的法律。声明指出，消费者预期价格随供求变化，而非随其上网习惯或购买历史变化；零售商若表示或暗示价格固定而实际因人而异，则存在误导客户风险。声明进一步指出，为个性化定价目的未披露地收集或使用个人数据可能违反禁止市场不公平或欺骗行为的FTC法。声明在《联邦公报》发布后，公众有30天时间以电子方式提交意见。委员会授权发布《联邦公报》通知的表决结果为2比0。

美国联邦贸易委员会（FTC）终局裁定，要求Cox Media Group（CMG）及另两家公司合计支付93万美元，就其"主动聆听"（Active Listening）AI驱动营销服务欺骗客户的指控达成和解。FTC在5月首次公布的三起独立诉状中指控，佐治亚州媒体营销公司CMG Media Corporation（经营名Cox Media Group）与其合作的两家营销公司新罕布什尔州MindSift LLC、威斯康星州1010 Digital Works LLC，宣称使用特殊算法监听并识别智能设备中的相关对话，从而向特定地理区域的消费者定向投放广告，构成欺骗。实际上该营销服务并不基于语音数据，消费者也未曾选择加入该服务。FTC强调，如果该服务真如宣传般运行，在未取得充分同意的情况下收集和使用消费者语音数据本身就违反FTC法。根据和解令，CMG支付88万美元，MindSift与1010 Digital Works各支付2.5万美元，用于向受影响的CMG客户提供救济；各被告还被禁止就其广告营销服务的性质特征、语音数据的收集使用及消费者是否同意披露语音数据、以及地理定向能力作出任何虚假陈述。委员会在收到两份公众意见后以2比0投票终局批准了该同意令。