国家保密局官方公众号“保密观”10月10日发布两起侵犯公民个人信息警示案例。案例一为王某等人2023年3月至8月组团投递简历、伪装求职者“混入”杭州多家互联网公司，在办公电脑植入木马程序，窃取手机号、身份证号、收货地址等736万余条数据并出售给境外不法人员，非法获利68.2万元，直接诱发80余起电信网络诈骗、涉案金额500余万元，2024年11月17名被告获刑四年三个月至一年；案例二为四川渠县房产销售楚某利用岗位便利收集3.5万条购房者信息出售给13家装修家电销售商，2025年3月获刑二年缓刑三年并承担公益损害赔偿金。
上海市互联网信息办公室10月10日发布属地App、小程序等服务产品个人信息收集使用问题通报，本批为2026年第六批，主题为SDK专项。通报依据中央网信办、工业和信息化部、公安部联合发布的《关于开展2026年个人信息保护系列专项行动的公告》，以及《网络安全法》《数据安全法》《个人信息保护法》《未成年人保护法》《网络数据安全管理条例》《App违法违规收集使用个人信息行为认定方法》等规定，由上海市网信办组织检测后作出。相关运营者应当在通报发布之日起15个工作日内完成整改并将整改情况报市网信办，市网信办将会同有关部门核查并依法依规处置处罚。
爱沙尼亚数据保护监察署（AKI）播客《Andmehääl》邀请Swedbank人事负责人讨论雇主监控边界：出勤不等于成果，应评价成果而非工时；技术能够不等于应当，屏幕截图与键盘记录等持续监视已超出数据保护允许范围；为安防目的（摄像头、门禁）收集的数据不得事后改作监控工作节奏之用，摄像头不应整日对准员工工位，员工应能在不被拍摄处休息；Swedbank指纹片段门禁向员工说明数据用途与离职后处理，不接受者可用门禁卡加PIN（CERV计划资助）。
欧洲数据保护委员会（EDPB）10月9日转载意大利Garante对阿联酋航空的处罚（决定日2026年5月14日）：Garante认定Emirates要求乘客填写MEDIF医疗信息表以评估旅行适宜性本身合法，但未就该处理提供足够清晰、完整与透明的信息，乘客无法预先判断是否需填表或辨识处理目的、法律依据与保存期限；MEDIF数据7年保存期限亦属过长，违反GDPR第5(1)(a)、5(1)(e)、12、13条，被罚18万欧元并须在30日内整改（明确应填表乘客类别与必需字段、重设保存期限并删除超期数据）。
瑞士联邦数据保护与信息专员（EDÖB）10月1日公告，其在2026年9月29日的决定中认定巴塞尔乡村州交通公司（BLT）使用执法记录仪录制乘客与列车工作人员影像和声音缺乏法律依据——既无《客运法》及其条例依据，也不符合联邦最高法院关于授权规范层级与密度的要求，违反《联邦数据保护法》合法性原则。专员命令BLT停止相关处理并删除全部已收集数据，并强调监控措施收益与基本权利侵害的权衡属立法与监管机关职责，不得由交通企业自行决定；专员欢迎联邦委员会推进公共交通新技术监控能力的临时规范。
爱沙尼亚数据保护监察署（AKI）10月9日发布消息，介绍其律师参与播客讨论学校使用人工智能的数据保护要求：教育机构须保障学生个人与健康数据不流入AI模型，引入新技术前必须开展影响评估，并就数据处理向家长告知与取得同意。节目援引AKI本学年开学季通函，议题还包括AI用于教学与作业评分的条件、教育机构DPIA的编制，以及学校AI解决方案的数据处理安排与服务器所在地；AKI强调数据处理合规责任在于教育机构自身。
爱沙尼亚数据保护监察署（AKI）10月8日通报：2026年第三季度共收到123起个人数据泄露通报（7月25起、8月47起、9月51起），同比增长116%创历史新高，其中25起涉及公共部门；主要推手是夏季被迅速利用的Magento与WordPress漏洞，以及一家牙科诊疗软件服务商的大规模泄露。AKI同时列举六起典型案例，包括银行员工将劳动合同上传至公开AI服务致同事可获取、开发者GitHub账号被攻陷、攻击者以支付API密钥调取游戏平台客户数据等。
CiberLATAM 10月报道，拉美多国数据保护立法同步推进。危地马拉国会国家安全事务委员会以“有修改”方式对第6347号倡议（《网络安全法》）出具新的有利意见，该法案拟设立由总统主持的国家网络安全委员会、行政制裁机制及刑事与程序规则，国家网络安全局隶属内政部，国防部保留网络防御权。哥斯达黎加议员Sigrid Segura提出第25.826号法案，拟修订第8968号法律，对未加密存储个人数据的公共机构与私营企业处以罚款，公共部门有18个月整改期、处理敏感或信用数据的私营企业为两年。智利方面，议员就行政部门请求的一年延期提出六个月或分阶段实施等替代方案，相关争论已提交参议院。
据路透社报道，肯塔基州总检察长Russell Coleman办公室于10月7日提交了针对Character Technologies（Character.AI运营方）的未删节版起诉书。该案于2026年1月向富兰克林巡回法院提起，指控其违反《肯塔基州消费者保护法》《肯塔基州消费者数据保护法》及其他法律。此前起诉书大部分内容被涂黑，未删节版本指称2025年部分Character.AI聊天机器人向用户提供了涉及自残与进食障碍的有害建议，且至少部分用户为儿童。路透社同时指出，起诉书所援引对话的产生情境尚不清晰；Character.AI未即时回应并称优先保障用户安全，Google声明未参与Character.AI产品开发。法院尚未就指控作出任何裁决。
据路透社10月9日报道，欧盟科技主管Henna Virkkunen在受访时表示，欧盟两年前通过的《人工智能法案》完全有能力应对“失控智能体”风险，该法案覆盖这些模型的全生命周期；监管机构正就如何评估模型及分配评估时间向企业提供指引，并将参考由60名来自高校与机构的AI专家组成的科学小组的建议。她披露，欧盟委员会已于2026年8月下旬向30余家AI公司发出信息请求，要求说明其安全与保障措施，随后又就其透明度与版权义务追加提问，此类请求可导向调查，罚款最高可达企业全球年营业额的7%；她表示正在评估各方答复，并确认也已向中国AI初创企业发出信息请求。
