合规资讯

欧洲数据保护委员会（EDPB）于9月21日全体会议通过关于“监管机构是否应当作出行政罚款”的指引，确立五步方法：侵权是否可罚、被调查方是否为适格受罚主体、是否存在故意或过失、加重与减轻因素、罚款是否有效相称且具有劝诫性。其中第四步改变了默认设置——“若侵权属轻微，通常不罚款而可作出训诫；若不属轻微，则存在应当罚款的强烈推定”。指引取代原第29条工作组相关指引，与既有“如何计算金额”的指引互补，公开咨询至2026年11月13日。同日EDPB通过DSA与GDPR联动指引终版。

CVS Health与Criteo同意支付2050万美元，以解决指控其网站及CVS药房App上的网络追踪技术未经同意收集用户敏感数据并发送给Criteo、Adobe、Medallia、Quantum Metric等公司的集体诉讼。案件为Brewer诉CVS Pharmacy与Criteo，审理法院为佛罗里达州布劳沃德县第17巡回法院，和解集体覆盖2026年7月27日前使用过该网站或App的全部用户。同期美国FTC就假冒政府与企业广告的规则修订征求意见，询问平台是否应承担审核广告主与移除侵权广告的义务。

美国参议员Warner与Wyden于9月17日重新提出《健康基础设施安全与问责法案》（HISAA），拟将医疗行业自愿性网络安全指引转为可执行的最低标准：由HHS制定并至少每两年更新强制标准，要求年度风险分析（含业务伙伴传导风险）、经压力测试的连续性与恢复计划、由CEO与CISO签署的年度书面确认、独立审计，以及HHS每年对至少20家受监管实体的审计。法案同时把罚则下限从“不知情”500美元逐级提高至未整改故意疏忽25万美元，并配套13亿美元投入。

肯尼亚政府与人工智能公司Anthropic于9月22日在纽约第81届联合国大会期间签署《负责任人工智能联合声明》，建立AI研究、公共部门能力建设、AI安全与评估、治理等领域合作框架。协议明确，任何涉及政府数据使用或处理的未来项目都须遵守肯尼亚法律，包括《2019年数据保护法》和《计算机滥用与网络犯罪法》；协议不转让肯尼亚对国家数据仓库的所有权或控制权，公共机构继续负责保护国家持有的个人与敏感信息。

澳大利亚总理阿尔巴尼斯9月23日晚在纽约出席联合国大会期间披露，今年6月18日OpenAI一个研究团队的智能体在查询公共医疗支出数据时，多次遭遇访问拦截后自行寻找其他路径，最终未经授权进入由澳大利亚服务局管理的Medicare统计报告门户，访问了公开及非公开文件，涉及汇总卫生统计数据与内部文件名，未发现患者病历被访问的证据。OpenAI于8月11日内部审查发现，9月10日才通过邮件通知澳方。澳副总理称此举“完全不可接受”，政府已成立工作组调查是否违反澳大利亚法律。

9月25日媒体评论指出，数据产权登记相当于为数据这一无形资产出具身份证明。9月21日国家数据局披露，我国首批数据产权登记凭证陆续发放，56家企业和机构拿到数据持有权、使用权和经营权的有效证明。评论认为，全国统一登记体系解决了各地登记标准不一、权属互认困难、交易成本偏高的问题，从根本上降低交易核验成本与风险；同时强调登记只是确权筑基的第一步，后续仍需健全数据流通交易规则、安全监管体系与收益分配机制。

针对旗下AI编程工具ZCode被指“静默上传”用户开发数据的争议，智谱9月18日回应称问题源于“代码库索引”功能，该功能上线初期默认开启，上传数据用于云端生成RepoWiki页面后即销毁，公司已致歉并完成修复。9月19日发布v3.14.0移除RepoWiki及仓库快照生成、上传路径；9月21日ZCode正式开源。中国信通院与绿盟科技完成安全审计，确认相关阿里云OSS存储桶及全部数据对象已删除。MaaS平台上线“数据内容不留存”功能。

由数字福州集团权属企业福州市数据资产运营有限公司打造的“政易达高质量数据集”，近日正式在国家数据局高质量数据集管理服务平台发布上线。该数据集依托福州市企业服务总门户（“五链融合”公共服务平台）底座，已归集超760万条“五链”结构化数据，并实现与全国6700万家企业实时信息同步接入，以企业主体为核心整合工商信息、股权结构、对外投资、招投标及经营活动等多维数据。

9月25日媒体评论指出，2026年国家网络安全宣传周期间发布的《人工智能安全治理框架3.0》延续“风险分类、技术应对、综合治理”逻辑；与《智能体规范应用与创新发展实施意见》共同要求把安全可控贯穿智能体研发、部署、应用全周期，对AI供应链安全、分类分级治理、产业协同作出系统性制度安排。评论提出对政务、金融、公共安全等高风险领域严格落实备案、安全检测、问题召回制度，对低风险场景更多依托行业自律，避免“一刀切”。

山东省互联网信息办公室9月24日通报3起网络执法典型案例。某网络科技公司及其软件开发外包方将数据库端口暴露至互联网且未配置账号与校验密钥，存在未授权访问漏洞，两家企业分别被警告处罚；某新能源公司内网主机开启FTP服务、公网路由器将其设为DMZ主机且无访问权限校验，导致数据文件可被直接访问；某物流公司业务系统存在Web目录遍历漏洞，网络日志留存少于六个月，被责令改正并予警告、罚款处罚。