合规资讯

欧洲数据保护委员会（EDPB）于2026年9月22日在成员国执法动态中收录西班牙数据保护局（AEPD）对Securitas Direct公司处以10万欧元行政罚款的案件。案情为：该公司在视频监控告知中将数据主体引向一个收费的902电话以行使查阅权与反对权，AEPD认定此举构成对GDPR第12(2)条的违反——该条要求控制者便利数据主体行使第15至22条项下的权利，且行使权利应免费。AEPD同时指出，网站上虽另有免费渠道，但告知中专门指向付费电话，故不能弥补该缺陷。除罚款外，AEPD还下达了合规命令。

波兰个人数据保护局（UODO）主席Mirosław Wróblewski于2026年9月22日致函波兰总统，请求其支持更有效保护互联网用户、尤其是儿童与青少年，免受其形象及其他个人数据被非法利用的相关立法方案。函件指向波兰为落实《数字服务法》（DSA）而在立法过程中形成的方案，该方案可使主管部门更有效、更迅速地应对网络非法内容。UODO特别指出deepfake（深度伪造）——包括将他人置于私密场景的虚假照片与录像——构成对个人数据保护、隐私权及人格尊严的侵害，未成年人受害尤为严重。

荷兰数据保护局（AP）2026年9月22日发布警示，指摄像眼镜（camerabrillen，俗称「偷窥眼镜」）正快速普及，使用者用其拍摄他人后，不得随意使用、分享或发布所摄画面；即使是偶然入镜且可被识别的人，其隐私权同样受保护。由于多数使用者并不了解相关隐私规则，AP专门作出规则解释，并建议机构在必要时于场所规则（huisregels）中禁止使用摄像眼镜。AP同时正在研究针对摄像眼镜及其他带摄像头可穿戴设备采取进一步措施的可能性。

加拿大隐私专员办公室（OPC）2026年9月21日宣布，隐私专员Philippe Dufresne已对身份验证服务商IDScan.net的数据泄露事件启动调查。该公司数据库遭未授权第三方访问，包括驾照及其他身份证明的数字扫描件在内的个人信息被窃取。IDScan.net的技术被酒店、夜生活场所等商家用于核验客户政府签发身份证件。调查将审查IDScan.net在泄露发生时采取的安全保障措施，以及其对受影响个人的告知是否充分，以判定其是否遵守加拿大联邦私营部门隐私法PIPEDA。

美国第二大牙科福利管理商DentaQuest因今年5月的大规模数据泄露在马萨诸塞州联邦法院被提起集体诉讼（案号1:26-cv-13868）。原告指控公司未能及时通知受影响者，泄露发生于2026年5月17日至20日，公司5月20日发现异常，却直到8月才发出正式通知。涉及约1500万名患者的姓名、地址、社保号、医保号码及牙科与视力健康数据，ShinyHunters被指与入侵有关。

美国网络安全和基础设施安全局（CISA）宣布自9月底起停止发布每周漏洞公告，该公告自2004年早期持续发布，逐条列出新披露漏洞的CVE编号、严重性分值与简述。CISA称此举是依据6月发布的约束性操作指令（BOD 26-04），将联邦机构补丁优先级从严重性评分转向暴露度与在野利用等真实风险因素，并推动采用利益相关者特定脆弱性分类（SSVC）。

美国休斯顿公用事业企业CenterPoint Energy向SEC提交文件，确认外部面向互联网的系统遭未授权访问导致部分客户个人信息被获取。攻击者以别名“4d722e4d656f77”声称窃取749万条客户记录，含姓名、电话、服务与账单地址、账号、账单金额及部分社保号。据披露，攻击通过公开API批量遍历ID实施，该接口缺乏访问限流与Web应用防火墙保护。泄露窗口为8月17日至9月1日。

美国卫生与公众服务部民权办公室（OCR）9月17日宣布与基因检测与临床基因组服务商Ambry Genetics达成和解。2020年1月该公司员工邮箱遭钓鱼攻击，22.5万人的受保护健康信息可能被窃取，含姓名、地址、出生日期、部分社保号与驾照号、财务信息、诊断、化验结果与用药信息。OCR认定其未开展准确全面的风险分析、未及时终止离职人员访问权限、未分配唯一用户标识。企业支付70万美元并接受两年整改计划监督。

欧盟法院总法务官Spielmann于9月17日就Groupe Canal+案（C-317/25）发表意见：同意只有在能使数据主体知悉控制者身份时才属知情。2021年Groupe Canal+针对约390万人的电子营销活动中，数据由两家网络接入服务商基于对未具名“合作伙伴”的一般同意收集，法国CNIL认定同意无效并处以60万欧元罚款。总法务官认为，若收集时控制者身份未知，必须在营销开始前、最迟在首次通信时重新取得同意。

9月21日，隐私组织noyb公开了欧盟理事会关于Digital Omnibus的泄露文件，包括2026年9月3日的轮值主席国修订妥协文本（理事会文件12535/26）。核心争议条款为序言第33a条：为开发和部署AI系统或模型处理个人数据“可被视为”属于控制者的合法利益，同时保留数据主体权利优先时的推翻条款。文件同时涉及特殊类别数据“偶然且残留”进入训练集的豁免。欧盟立法程序仍在进行。