拉脱维亚国家数据监察局2026年10月6日发布「#DVIskaidro」释法专栏，就患者就诊过程中个人数据的拍摄、传输与删除作答。DVI 指出，就医难免处理个人数据，但医疗机构须能说明处理目的、所需保存期限与保护措施；简单的就诊提醒与详细检验结果的传输不可等同评价；删除权并非绝对，依法须保存的病历不因患者请求而整体删除，且数据删除与数据更正并非同一件事。
德国联邦数据保护与信息自由专员 Moritz Hennemann 于2026年10月6日在联邦新闻发布会上公布其任期重点：符合数据保护要求的国家现代化、德国与欧盟的数字主权，以及对重大技术跃迁及早作出数据保护法上的定位。他强调「不只说不能做什么，更要说什么可以做、怎么做」，将更紧密地与监管机关合作并积极为立法者提供咨询。
韩国个人信息保护委员会2026年10月6日发布报道参考，提示近期部分金融公司个人信息泄露后可能引发钓鱼、短信诈骗等二次损害。金融当局已发出消费者「注意」级警报，并于10月6日紧急召集金融公司，设立一个月（可延长）的二次损害特别应对期，运营受害客户专责窗口、强化结合泄露信息的异常交易探测系统（FDS），并通过钓鱼信息共享与分析AI平台（ASAP）应对。
丹麦研究与教育及数字化部10月6日召开新闻发布会披露，约880万在世与已故人员CPR号码及个人资料的泄露，是因一家小型丹麦企业提交了异常大额的查询账单而被发现——该企业拥有对CPR登记册的合法访问权限。部门负责人Mikkel Leihardt表示，之所以引起警觉是因为“被计费的金额非常大”，说明存在大量查询活动；由于CPR登记系统缺乏针对被滥用查询方式的自动告警，若非例行账单核对发现，泄露可能再延迟至少30天至下一个计费周期才被察觉。丹麦严重犯罪调查局表示现阶段尚难判断幕后主使与作案手法，此类案件常见跨境犯罪特征。事后脆弱点已被封堵，人工监控已建立，并已启动对全部关键国家IT系统的全面安全审计。
美国联邦贸易委员会（FTC）于2026年8月27日最终确定对CMG Media Corporation、MindSift LLC与1010 Digital Works LLC的行政同意令，三家公司合计支付93万美元，其中Cox Media Group支付88万美元，MindSift与1010 Digital Works各支付2.5万美元，并接受20年合规监督。FTC指控三家公司向小企业客户谎称使用AI和算法通过智能手机、智能电视等设备“主动监听”消费者对话以实现本地化广告定向；调查发现其并未使用语音数据，服务实为转售标准电子邮件与营销列表，还虚假声称消费者已通过通用服务条款同意语音数据采集。该案依据《联邦贸易委员会法》第5条，属“AI合规行动”的一部分。
印尼通信与数字事务部（Komdigi）正与印尼国家警察协调，调查近期引发公众关注的疑似个人数据非法交易。Komdigi数字空间监督总司长Alexander Sabar表示，该部已与国家网络与密码局（BSSN）协调，据BSSN说明，当前引发关注的数据由旧数据重新流入市场所致；即便如此，Komdigi仍将继续跟进调查与执法。该部同时与国家警察就出售个人数据的网站开展协调，将按各自职权处理，包括封堵违规网站。Komdigi呼吁公众不要参与传播他人个人数据，并强调已在数字空间中流通的数据仍属个人数据，不会自动变为可自由传播的信息，无合法依据传播可能依第27/2022号《个人数据保护法》承担严重刑事后果。
昆士兰州信息专员办公室年度报告显示，该办公室上一财年收到公共部门数据泄露通报82起，较前一财年的53起明显上升；同期收到隐私投诉353起，超过前一财年的两倍，创下纪录。这是昆士兰州2025年7月启动强制数据泄露通报制度的首个完整财年。办公室表示，多数泄露由事故或人为错误造成，最常见的是未经授权披露，如邮件、短信或系统通知误发给错误接收方，或包含本不应包含的个人信息；少数为恶意行为，涉及故意未经授权访问。2026年7月起，该通报义务扩展至地方政府。
罗马尼亚国家网络安全局（DNSC）依据第155/2024号紧急政府令，对一家中央公共行政机构处以5万列伊（约9350欧元）罚款，理由是未遵守NIS2框架下的通知期限。该机构未按第18条第2款要求通知DNSC以注册为基本或重要实体，构成同法第60条第1款(o)项规定的违法行为。处罚于2026年9月29日作出，DNSC未披露该机构名称，并明确这是其就违反该通报义务开出的首例罚款。该案的实务提示在于：许多组织把NIS2合规理解为事件发生后的报告义务与安全措施要求，却忽视了“确认自身是否在适用范围并完成注册”这一首要行政步骤。
克罗地亚个人数据保护局（AZOP）对一家未具名的博彩运营商处以259万欧元罚款，认定其存在多项《通用数据保护条例》（GDPR）违规，包括非法处理生物识别数据与未能取得有效同意。调查发现，该运营商在身份证件核验之外，还提供RFID芯片或指纹识别两种玩家身份识别方式；运营商称仅采集两枚指纹，但监管机构查明实际采集并使用四枚指纹做生物识别，认定此举对识别玩家而言超出必要范围。监管机构还认定生物识别处理的同意无效，因为同意声明混合了不同处理目的，导致玩家无法就可选处理作出单独选择；同时注册文件对处理目的与合法基础的信息不完整且前后不一致。
美国得克萨斯州总检察长10月2日发布的披露文件显示，甲骨文公司医疗业务部门2025年发生的网络安全泄露事件波及近2000万人，其中约300万为得州居民，被盗数据包括社保号码、住址与医疗信息。甲骨文曾于2025年3月向部分客户通报该攻击，称入侵发生在1月22日之后，但当时未公布受影响电子健康记录数量。攻击者利用被泄露的客户凭据访问原Cerner公司尚未迁入甲骨文云的老旧服务器。截至10月1日，至少有29家医院与医疗系统公开确认受影响，此前有行业分析估计可能多达80家医院。该数字尚未经美国卫生与公众服务部民权办公室独立核实。
