波兰UODO专家在第15届立法研讨会（2026年9月30日至10月2日）主讲《立法过程中个人数据保护条款实施程度的评估——实践回顾》，强调法规影响评估的重要性，特别论及自动化处理时代大规模数据处理所生问题，并指出采用技术方案时不得跳过处理的合法性依据。UODO借此呈现监管机关角色与正反经验、推广良好实践并阐明「隐私测试」要义，显示数据保护影响评估与合法性论证正被前移至立法阶段。
匈牙利NAIH第862号公告：针对国家资产追回与资产保护局（NVVH）工作人员被建「列表」一事，明确即便法律基于公共利益规定某项个人数据可被知悉，该数据也不因此丧失个人数据属性，处理行为仍须全面遵循GDPR。NAIH指出基于任何标准的歧视性、政治目的列表化违反合法公平处理、目的限制与数据最小化等几乎全部基本原则，并强调公共机构工作人员不因职务关系本身成为公职人物。
意大利Garante对电信运营商Wind Tre罚款1,670万欧元，最终决定日期2026年6月5日。案件源于大量投诉：用户未同意或已行使反对权后仍遭电话营销，并在不知情下被开通合约。监管机关同时认定其销售网络管控失效、当事人权利机制不健全，另责令禁止继续处理非法取得的个人数据并强化销售网络管理，重申渠道与代理商合规责任归于控制者本身。
Live Nation于2026年10月1日向佛蒙特州总检察长披露一起数据泄露事件，称“少数个人”的敏感信息（含社会安全号码与政府证件号码）被接触。披露后该公司面临至少三起集体诉讼，原告主张其未实施“合理且充分”的数据安全措施。该公司此前在2018年与2024年分别遭遇过数据泄露事件。
美国律所Sheppard, Mullin, Richter & Hampton一名前律师助理在加州中区联邦法院提起集体诉讼，称该所8月网络攻击致至少1000人的姓名、社保号、驾照及政府证件号码泄露。该所于10月2日向加州总检察长披露，一名律师遭社交工程攻击、将文件交给不明第三方；诉状指该所员工网络安全培训与保障措施不足。
欧盟《数字综合法案》拆分为两份提案后进度严重分化。AI部分已作为（EU）2026/1744号条例于2026年7月8日通过，Annex III高风险系统义务推迟至2027年12月2日、产品嵌入式AI推迟至2028年8月2日；数据、隐私与网络安全部分在Coreper于10月7日未能通过谈判授权，截至10月12日理事会立场仍未获公开确认。
巴西ANPD公布人工智能监管沙盒第二周期报告，参与方Synapse自评得分与外部审查结果相差45分。报告认定PREVVINE所称“匿名化”实为假名化，明确延续“企业选择什么标签不决定法律是否适用”的立场，并指出方案延续性“不能仅基于自我声明或政策的正式存在”。报告同时设定第三周期的十项优先事项。
巴西国家数据保护局（ANPD）上线专门页面，受理针对第12975/2026号与第12976/2026号法令可能违规行为的在线投诉，所收集信息将用于指导监测、执法与可能的调查。两部法令分别规定平台在透明度、风险预防与打击网络欺诈方面的义务，以及保护女性免受由AI生成或修改的私密内容等数字暴力的具体指引。
芬兰数据保护专员于2026年10月2日决定，对一家提供职业健康与心理治疗服务的机构处以3.3万欧元罚款并作出训诫。该机构通过网站追踪像素将治疗预约信息发送给谷歌、Meta与微软，其中包含与性别认同、ADHD或双相情感障碍专科医生的预约记录，监管机关认定此类信息构成健康数据。
克罗地亚个人数据保护局（AZOP）对最大连锁超市Konzum罚款675000库纳（约89593欧元）。事发时一名员工受店长指示，用手机拍摄正在回放的收银台斗殴监控画面，该50秒片段半年后经WhatsApp与社交媒体传播并见诸媒体。AZOP认定公司虽有内部禁令与员工培训，但缺乏技术保障与有效管控，不足以满足GDPR第32条。
