合规资讯

2026年9月22日，美国证券交易委员会（SEC）对纽约经纪交易商OTC Link LLC作出谴责并处以57.5万美元民事罚款。SEC指出，该公司在2016年8月至2025年3月期间，就其OTC Link ATS系统在安全、访问控制与漏洞管理方面长期违反《系统合规与完整性条例》（Regulation SCI），未能建立、维持并执行所要求的书面政策与程序。执法部网络与新兴技术部门负责人指出，该公司多次未能及时整改已被标记的缺陷。

美国阿拉巴马州总检察长史蒂夫·马歇尔宣布，TikTok已同意支付最高3亿美元并采取新的用户保护措施，以解决该州针对TikTok提起的儿童安全诉讼。该案原定于下周一开始陪审团审判，和解使TikTok避免了州级系列诉讼首次进入法庭审理阶段。一个月前，Meta同意达成最高180亿美元的同类和解协议。阿拉巴马州总检察长称，和解为家长提供了切实的保护措施。

新西兰隐私专员Michael Webster于2026年9月23日就2025年12月Manage My Health网络攻击事件，向Manage My Health与Health NZ发出合规通知。该事件暴露近10万人的健康记录，涉及403730份Health NZ文档与22609份患者上传文档，90%受影响者位于北地大区。专员认定两家机构均未维持充分安全控制，包括访问控制与多因素认证缺陷。Manage My Health须于2027年8月31日前、Health NZ须于2027年1月29日前完成整改，本案未处金钱罚款。

据韩国Asia Business Daily 9月23日报道，法院驳回Kakao Pay对韩国个人信息保护委员会（PIPC）纠正命令的诉讼请求，维持59.68亿韩元行政罚款与公开告示命令。PIPC认定Kakao Pay为计算Apple合并支付所需的NSF评分，向支付宝提供了邮箱、手机号、账户余额、充值记录、支付与转账次数等用户数据，构成未经用户同意向境外第三方提供个人信息。法院认为约五年间Kakao Pay每日向境外传输约4000万用户的个人数据，累计达542亿条。

信用中国平台公示，威海市中心医院因未按规定填写病历资料，被威海市文登区卫生健康局作出警告并处罚款50000元的行政处罚。该违法行为对应《医疗纠纷预防和处理条例》第十五条相关要求，监管部门依据该条例第四十七条第（四）项作出处罚。涉事医院为三级甲等综合医院，2024年牵头成立文登区紧密型城市医疗集团。

报道梳理我国汽车数据出境合规框架成型过程：2026年初工信部等八部门印发《汽车数据出境安全指引（2026版）》，明确5大业务场景、27类51项汽车重要数据判定清单，提供安全评估、标准合同、个人信息出境认证三种合规路径；9月1日商务部、工信部、市场监管总局联合发布《汽车行业境外竞争行为与合规建设指引》，第十五条专门强调车联网与自动驾驶数据的跨境合规要求。

9月23日，重庆市六届人大常委会第二十七次会议表决通过《重庆市智能网联汽车发展促进条例》，2026年11月1日起施行。条例针对国家层面尚无智能网联汽车综合性法律法规、现有规章效力层级较低的问题，明确将数据安全存在隐患、交通事故责任划分不明等痛点纳入高位阶立法，构建道路测试、示范应用、示范运营到商业化探索的梯度推进路径。

针对APP开屏广告“摇一摇”乱跳转乱象，检察日报刊文梳理其合规边界。报道指出，部分APP将陀螺仪与加速度传感器触发灵敏度设置在临界值甚至直接调高，走路自然晃动、车辆轻微颠簸即被判定为用户主动摇动并跳转广告，涉嫌侵犯消费者知情权、自主选择权、公平交易权与财产安全权。有网友反映在高速行驶中因跳转险些酿成事故。

公安部网安局9月26日通报，山东枣庄公安网安部门在“净网—2026”专项行动中侦破一起侵犯公民个人信息案，打掉犯罪团伙2个、抓获涉案人员28名，查获非法获取、倒卖的公民个人信息4000余万条，查明涉案金额600余万元。嫌疑人马某某自2026年5月起规模化购买个人信息用于贷款电话推销，形成“获取—整理—分销—变现”的完整黑色犯罪链条。

上海市长宁区数据跨境服务中心指导雅华酒店管理（上海）有限公司成功获得上海市数据出境负面清单适用批复，成为该区首个申请适用并通过的企业。自2026年4月起，上海数据出境负面清单适用范围已从自贸区及临港新片区扩展至全市，涵盖4个行业领域、9个具体场景、29个数据子类、109个数据项。该企业涉集团全球会员体系个人信息同步，属典型会员管理场景跨境需求。