合规资讯

美国医疗记录巨头Epic Systems暂停大部分产品开发约六周，集中修复Anthropic前沿网络安全模型Mythos发现的MyChart安全缺陷。MyChart在美国医院与诊所支撑逾3.2亿份患者记录。Epic首席安全官Stirling Martin称，部分客户配置可能允许外部人员在不产生入侵日志的情况下访问患者记录；Mythos未确定攻击者能否在篡改记录后不被发现，但该风险被认为足以支撑修复。Epic未披露缺陷性质，也未说明是否已有攻击者利用。

延安市数据局系列评论“延数言”第42篇聚焦场景应用，指出2026年作为数据要素价值释放年，数据要素价值最终要在真实产业场景中检验兑现。文章梳理了工信部等十部门医药工业“十五五”规划的医药行业高质量数据集与可信数据空间、中国气象局气象数据全球服务能力建设与跨境可信数据空间，以及湖南“三医”可信数据空间、广州数交所肿瘤多模态数据集、青岛全国首个海洋Token工厂、上海全国首个生成式人工智能安全测试公共服务平台等场景落地进展。

针对中小企业普遍存在的“无数据安全管理制度、无人员权责划分、无防护技术措施、无应急处置预案”的裸奔式运营状态，实务分析指出：未建立数据安全制度本身就是独立违法行为，不需以发生泄露为前提即可被立案处罚。一旦叠加数据泄露，企业将面临行政重罚、民事赔偿、刑事追责与信用惩戒四重法律风险，行政处罚实行企业与直接负责人员双罚，个人信息保护法顶格罚则为5000万元以下或上一年度营业额5%以下。

湖北省天门市政务服务和大数据管理局于2026年9月30日公示公共数据资源整体授权运营机构遴选结果，拟选定天门诚睿数字科技有限公司为整体授权运营机构，公示期为9月30日至10月13日。遴选依据《公共数据资源授权运营实施规范（试行）》《湖北省公共数据资源授权运营实施办法（试行）》及本地实施方案，该局已于9月4日发布公告面向社会公开征集，经单位申报、资格审查与专家评审形成拟定名单。

合肥都市圈数据要素综合服务中心于2026年9月30日公示首批数据要素市场化价值化案例评选结果，经自主申报、材料初审、专家评选拟确定15个案例开展宣传推广，公示期至10月13日。案例覆盖数据产权登记、挂牌交易、资产入表、质押融资、增信融资、作价入股、数据保险与资产证券化八类形态，其中含山县获得全国第一张数据产权登记证书，芜湖落地全国首例民营企业数据资产作价入股与全国首单医疗危废领域数据资产增信融资。

2026年10月1日，舟山中远海运重工有限公司研发的船型容量结构监测数据正式在浙江省数据知识产权登记平台完成确权登记，成为国内船舶修造领域首单完成合规确权的产业运行类数据资产。该数据创新性拆分“坞容总量”与“船型结构信号”，整合船长参数、进出厂时间、逐日在厂船长合计等基础运行数据，构建12项量化衍生指标体系，为数据后续跨主体共享与商业化应用扫清权属障碍。

中国人民银行河北省分行、河北省发展改革委、河北省数据和政务服务局联合制定“数据要素X”试点工作方案，围绕数据治理、共享流通、融合应用、安全合规四大方向部署重点任务，并配套组织协同与资源投入保障机制，面向全省金融机构征集优秀项目并最终遴选15个项目开展试点。方案坚持依法合规、最小必要、专事专用原则，已取得阶段性成效：省分行大数据应用平台汇聚共享80TB基础数据与18类业务系统数据，覆盖33家银行业金融机构。

河北省衡水市桃城区公共数据授权运营取得实质性突破：首款面向金融场景的公共数据产品“桃企核验通”完成首单交易，对应公共数据收益全额缴入国库，区财政局同步开出全区首张数据资产非税收入财政电子票据，标志该区公共数据从资源归集、产品开发到价值变现的全链路打通，也开启了基层行政事业单位数据资产管理的新阶段。产品以企业身份核验为首个落地场景，历时一年打磨，对接银行企业开户的权威核验需求。

英国信息专员办公室（ICO）2026年10月1日宣布加入国家网络韧性中心集团（NCRCG）「国家大使计划」，强化其改善全英网络韧性、帮助机构保护所持个人信息的承诺。该动作发生于英国数据保护监管体制转型期——ICO已于2026年9月30日正式转型为「信息委员会」（Information Commission），同日曼彻斯特总部启用。网络韧性与个人信息保护监管的衔接是英国监管机关近期持续关注方向，此前2026年8月12日ICO曾因网络安全缺陷对ACRO刑事记录办公室作出谴责，涉最多约一万人个人信息。

欧盟委员会2026年10月1日就保加利亚未遵守《数字服务法》（DSA）发出补充正式通知函（INFR(2024)2241）。委员会此前已于2025年5月发出理由意见书。委员会认为，保加利亚虽经立法赋权其中一个机关担任数字服务协调员，但仍未指定并赋权个人数据保护委员会（CPDP）与电子媒体委员会（CEM）以补全DSA国家执法框架；且其罚款权力实施不当，未始终遵守最高罚款限额、未确保处罚有效相称且有威慑力，并对自然人与法人区别对待。保加利亚须两个月内答复，否则委员会可能发出补充理由意见书。同日，保加利亚CPDP第74次例会通过两项新条例。