瑞典隐私保护局（IMY）2026年10月2日发布消息，称当日举行了圆桌会议，讨论欧洲数据保护委员会（EDPB）新制定的《匿名化指南》。该指南由 IMY 参与起草，澄清了个人数据匿名化的含义，并确立了数据在何种条件下可被认为已获安全匿名化（即不再能够关联到特定个人）的明确标准；安全匿名化可在保护个人基本权利的同时为数据利用留出空间。IMY 表示，圆桌会议旨在提升业界对新指南的认识并收集意见，这些反馈将带入 IMY 参与指南修订的工作；指南目前公开征求意见至2026年10月30日。
波兰个人数据保护局（UODO）2026年10月5日公布一起因不执行监管决定而被处以行政罚款的案例。案情为：UODO 此前作出决定，要求控制者向投诉人履行告知义务；控制者长期沉默，UODO 遂要求其提交执行决定的说明与证据，当事人仍不予回应，投诉人亦确认未收到告知。UODO 据此认定该决定未获执行，向其发出催告（upomnienie，行政执行程序的前置文件，同时给义务人最后自愿履行机会），该催告同样未获任何答复。除可依《行政执行程序法》采取强制执行措施外，UODO 主席还可依据 GDPR 对拒不执行监管决定的主体单独处以行政罚款——不执行监管机关决定本身即构成独立的处罚事由。
波兰个人数据保护局（UODO）2026年10月5日发文指出，并非每一宗个人数据泄露都须向 UODO 主席报告。依据 GDPR 第33条，控制者仅在泄露可能对自然人的权利与自由造成风险时才负有报告义务；若风险评估显示不存在风险（例如数据已加密且密钥未被获取、泄露仅涉及公开信息等），可不作报告。但 UODO 强调，不报告并不免除控制者的其他义务：仍须开展并记录风险评估，并在内部泄露登记册中说明不报告的理由——GDPR 要求对所有个人数据泄露予以记录，无论是否已向监管机关报告；若分析显示存在高风险，还须依第34条通知当事人。
挪威数据保护局（Datatilsynet）2026年10月5日发布消息称，近期接到多起当事人反映，在不知情的情况下被登记为宗教与人生观念团体的会员。Datatilsynet强调，团体不得在当事人未自行入会或缺乏其他有效会员依据的情况下将其登记为会员，此类未经知情的登记不应发生。当事人如发现被错误登记，可联系该团体要求更正或删除，亦可向 Datatilsynet 投诉；错误登记同时意味着相关团体基于该登记处理个人数据可能缺乏合法基础。
香港个人资料私隐专员公署（PCPD）2026年10月5日发表第039-26号传媒声明称，注意到24小时健身连锁24/7 FITNESS更衣室近期被发现安装隐蔽针孔摄像头，引发会员对私隐的关注。为确保该健身连锁会员的个人资料私隐得到充分保障，PCPD已主动对其展开合规检查，并要求该公司就事件后为保障会员个人资料私隐所实施的安全措施提供进一步资料，同时审查这些措施是否足以防止同类事件再次发生。PCPD提醒，怀疑个人资料私隐受侵者可向有关机构查询，亦可向PCPD查询或投诉。
独立分析站点dpdprules.org于2026年10月2日发布的解读指出，印度《数字个人数据保护法》（DPDP）框架下个人数据传输默认允许出境：一旦第15条生效，数据受托人可依中央政府以一般或特别命令指定的条件向境外传输；第16(1)条是限制向特定国家传输的单列权力，属「负面清单」而非「受认可名单」，截至该站核对的2026年10月2日未发布任何此类通知。该站同时指出，框架唯一的本地化要求来自第13(4)条：一经生效，重要数据受托人须确保中央政府经委员会建议指定的个人数据及其流量数据不被传输至印度境外。
据TechGDPR数据保护周报（2026年10月5日）报道，德国2025年推出的电子病历（ePA）除推进全国医疗体系数字化外，其健康数据自2026年10月起可用于研究目的，且不再需要患者同意，患者须主动提出异议（opt-out）才可排除。患者可通过其医保机构的ePA应用或联系医保机构监察专员提出异议。首批ePA健康数据预计自10月底起传输至联邦药物与医疗器械研究所（BfArM）下设的健康研究数据中心（FDZ Gesundheit），供公益性研究申请使用，且数据在提供前须去除姓名、地址等直接识别特征并替换为假名。
EDPB更新「一站式」案例摘要：聚焦反对权与删除权，纳入数百件新增数据保护机构决定
EDPB更新「一站式」案例摘要：聚焦反对权与删除权，纳入数百件新增数据保护机构决定
2026-10-06欧洲数据保护委员会（EDPB）更新了其「一站式」（OSS）专题案例摘要，聚焦GDPR项下的反对权与删除权，纳入自原版编制以来新增的数百件数据保护机构决定。该更新在「专家支持池」（SPE）项目下完成，属EDPB 2024—2027战略中提升监管机构执法能力的一部分。摘要梳理常见侵权类型、机构对义务履行流程的评估以及采取的不同救济措施，涉及直接营销反对权与账号或在线资料删除请求等典型场景。
加州州长纽森2026年9月30日签署SB 690，修改加州《侵犯隐私法》（CIPA）民事救济条款，取消针对网站、在线应用与移动应用上「笔式记录器与诱捕追踪」行为（刑法典第638.51条）的私人诉权，仅加州总检察长可提起该类诉讼。法律自2027年1月1日生效，并溯及适用于2027年1月1日前两年内（即2025年1月1日起）提起且仍在审理中的案件。第631条窃听与第632条窃听类私人诉权不受影响。
印度尼西亚国会立法机构与政府2026年10月5日同意推进《单一数据印尼法案》（RUU Satu Data Indonesia），将于10月6日上午举行第二阶段全会表决以通过为法律。该法案共141条，旨在把2019年第39号总统条例升级为法律层级，强化国家数据治理的标准、元数据、参考代码、主数据、数据清单、互操作与数据共享，并首次规定数据破坏与操纵的刑事责任：攻击、破坏、操纵、销毁、未经授权传播或接管国家数据中心及互操作技术设施，最高可判15年监禁或第8类罚金。
