澳大利亚信息专员办公室（OAIC）2026年9月25日发布公告，说明其就**2023年Latitude数据泄露**已采取的行动并为受影响个人提供指引。OAIC于**2023年5月10日**对 Latitude 集团公司的个人信息处理实践**启动职权调查**（Commissioner-Initiated Investigation），审查重点为Latitude 是否采取**合理措施**保护其持有的个人信息免遭误用、干扰、丢失、未授权访问、修改或披露，以及是否对不再需要的个人信息采取**销毁或去标识化的合理措施**。此外，OAIC 已接受一项针对该泄露的**代表制投诉**（Representative Complaint），投诉群体为 Latitude 的现任与前客户。
葡萄牙国家数据保护委员会（CNPD）2026年9月25日发布消息，其主席 Paula Meira Lourenço 教授出席**首届伊比利亚数字法学术会议**（I Encontro Ibérico de Direito Digital）。该国际会议以「**数字监管——GDPR十年**」（Regulação Digital — 10 Anos do RGPD）为主题，由里斯本大学法学院 Lisbon Public Law Research Centre 主办，于**2026年9月17日至18日**在该法学院举行。会议的高光环节是**CNPD主席与西班牙数据保护局（AEPD）主席 Lorenzo Cotino Hueso 教授的直接对话**，就 GDPR 的适用以及欧洲与伊比利亚层面科技监管的未来提供战略性与比较性视角。
奥地利数据保护局（DSB）2026年9月25日发布公告，由**奥地利城市联盟（Städtebund）、联邦总理府（Bundeskanzleramt）与奥地利数据保护局**共同主办的**第七届公共数据保护官年会**于**2026年9月21日至22日**在下奥地利州首府**圣帕尔滕（St. Pölten）城市酒店**举行。约**160名与会者**参加，**人工智能**为第一天主题，**信息公开法（IFG）**为第二天主题。AI 相关报告涉及「AI与数据保护的实际应用」「**AI条例（AI-VO）在奥地利的国内转化**」「**AI训练数据匿名化的技术辅助权衡决策**」以及「公共行政中AI系统的使用经验」。
土耳其个人数据保护委员会（KVKK）2026年9月24日公告，由其主办、在「安纳托利亚信息技术聚会」（Anadolu Bilişim Buluşmaları）框架下举办的「**人工智能、5G与智能技术时代个人数据保护峰会**」于**2026年9月24日**在KVKK会议厅举行。峰会主题为「**数字信任生态：人工智能、个人数据保护与负责任数据治理**」，围绕数字化世界中个人数据保护的重要性、**5G与人工智能技术带来的新风险**、数据隐私、数字信任与负责任数据治理展开讨论。会议设置四场专题环节，涵盖5G与AI交叉场景下的数据隐私以及新一代技术中的信任构建。
土耳其个人数据保护委员会（KVKK）2026年9月23日依**第2026/2081号决定**在同一日公示三起数据泄露通知（Veri İhlali Bildirimi），依据为第6698号《个人数据保护法》第12条第5款。三起事件的**共同成因均为「数据处理者系统的服务器遭未授权访问」**，且均由**数据处理者主动告知控制者后被发现**。涉及企业为：Eipom İç ve Dış Tic. Ltd. Şti（受影响人数无法确定，涉姓名、邮箱、地址、电话与哈希后的登录凭据）、Seylan Hazır Giyim San. ve Dış Tic. Ltd. Şti（经营 puanestore.com，**779人**）、以及 Shule Çanta ve Cüzdan Pazarlama Tic. Ltd. Şti（经营 shulebags.com，**680人**，受影响群体含员工、用户、订阅者/会员与客户）。
挪威数据保护局（Datatilsynet）2026年9月25日发布听证意见，对司法与应急准备部（JD）送审的《刑事案件中采集的生物材料用于**法医方法开发、质量保证与研究**》报告提出批评。Datatilsynet表示**支持该报告的立法目的**，但认为其**严重低估了对个人隐私的后果**。核心分歧在于同意机制：报告中仅规定数据主体可以「**保留**」（reservere seg）反对用于研究，而Datatilsynet主张**研究用途应当以积极同意（aktivt samtykke）为前提**，仅在**方法开发与质量保证**用途上可以保留**异议退出机制**。
罗马尼亚国家个人数据处理监管局（ANSPDCP）2026年9月25日公告，已结束对 **TIP TOP FOOD INDUSTRY SRL** 的调查，认定其违反《通用数据保护条例》**第5条第1款(c)项（数据最小化）结合第9条（特殊类别数据）**。该公司被处以**26,236列伊（约5,000欧元）**罚款。调查源于一名自然人投诉：公司在自有场所使用**基于员工指纹的考勤与门禁系统**。ANSPDCP认定，控制者**在缺乏法律依据**的情况下处理了员工生物识别数据，用于门禁与工时记录，不符合第9条确立的合法性条件。
波兰个人数据保护局（UODO）2026年9月25日公告，媒体报出医疗机构软件 Medyc 遭网络攻击，可能涉及多达**500万波兰人**的医疗数据。案件由中央打击网络犯罪局（CBZC）在更广泛侦查框架内办理，涉事开发商为 Qbusoft Sp. z o.o.。UODO主席 Mirosław Wróblewski 已宣布将对该公司**实施检查**。与此同时，因8月MyDr平台泄露事件（涉1900万人）已收到超过50件投诉与2000余份控制者通知，UODO主席于9月16日决定**扩大健康数据处理的检查范围**，并在2026年底前追加多轮检查。
据VILAF律师事务所9月法律简报，越南第333号法令细化了2025年《网络安全法》下的数据本地化与本地存在要求。须在越南存储的数据包括越南境内服务用户的个人信息，以及用户在越南境内产生的数据（账户名、服务使用时间、信用卡信息、邮箱、最近登出登入IP地址与注册电话号码等）。从事电信、云数据存储与共享、电商、在线支付、社交网络、在线游戏、在线应用等11类业务的境外企业，在发生特定违法情形并经公安部专业力量三次书面通知仍未整改时，须存储数据并在越设立分支机构或代表处，数据存储期限不少于24个月。
美国参议院司法小组委员会9月24日就Flock Safety覆盖全美的车牌识别（LPR）网络举行听证，审查车辆位置数据的检索权限、留存期限、共享范围、员工访问与安全防护措施。证词对系统漏洞与滥用风险给出了相互矛盾的说法，Flock建议将新执法客户的默认留存期由30天缩短至7天的做法受到关注，但听证本身未产生任何有约束力的义务或违法认定。同期BigCommerce关联应用被入侵暴露商户客户姓名、邮箱、电话与收货地址，平台已移除该应用并撤销访问权限。
