合规资讯

据勒索泄露站聚合平台CTIWatch与Cyber Threat Intelligence披露，阿根廷制药企业Laboratorios Roemmers SAICF于2026年10月1日被勒索组织Aurora列入暗网泄露站。该组织声称窃取4,207名员工的CUIL（阿根廷国民身份编号）、出生日期、医保归属与雇主标识，以及逐人的精神类药物发放记录（氯硝西泮、阿普唑仑、地西泮等）、含临床症状与医生记录的新冠健康追踪数据、含完整DNI号码的入职体检结果。另称窃取82GB药品配方、193MB原料药供应商资格档案与14GB内部定价策略。上述范围均来自勒索组织单方声明，未经企业或监管机构独立确认。

罗马尼亚国家个人数据处理监管局（ANSPDCP）于2026年10月2日公布调查结论，对控制者GLOBAL CUSTOMER CARE SERVICES S.R.L.处以26,294列伊（约5,000欧元）行政罚款并责令整改。案件由其依GDPR第33条自行通报泄露触发——IT基础设施遭网络攻击，存储个人数据的机密性与可用性均受影响，涉及在职员工、前员工等，数据包括证件识别信息、银行账户、薪酬福利、学历资质、居住地与居留许可数据。监管机构认定违反第32(1)(b)、(d)项及第32(2)条，点名两项缺陷：未确保处理系统机密性、缺少定期测试评估措施有效性的程序；整改要求实施访问监控与日志记录，日志至少留存30天并备份。

波兰牙科诊室管理软件FELG Dent的开发方FELG Software于2026年10月1日告知客户遭到攻击。攻击者自称属于"Fingerprint"组织，称持有约10%数据库并索要赎金。公司已通报检察机关并联系波兰个人数据保护局（UODO），初步估计约200万条患者记录受影响，该数字部分基于攻击者说法。记录类型包括姓名、地址与PESEL号码、医疗数据、电子处方、电子病假证明（e-ZLA）与电子保险核验（eWUŚ）记录。攻击者自述入侵手法为典型IDOR缺陷，通过递增查询参数逐个拉取患者、处方与医师数据。上述规模与来源均未获独立确认。

韩国个人信息保护委员会（PIPC）2026年10月2日宣布分阶段推进《个人信息泄露与侵权事件快速调查及调查能力强化方案》。申报量从2022年167件增至2023年318件、2025年447件，2026年上半年即达432件。PIPC据此把案件分为重大、一般、轻微三级：涉及100万人以上泄露、社会关注度高或主要公共系统被黑的重大案件由专职调查团12个月内办结，一般案件6个月、轻微案件3个月。截至9月底重大案件约15件（含TVING）。小委员会处理范围将由罚款案件扩至预计罚金1亿韩元以下案件，视实绩逐步扩至10亿韩元以下。

2026年9月30日，福州高新区举办"知金融合·两岸共创"活动。会上披露，福州高新区已在全省落地首单"双证联合质押"业务，由区内企业腾信数科以数据产权证书加数据知识产权证书的组合质押方案，获福建海峡银行800万元授信。此前本地纺织企业曾凭数据知识产权登记证书获得银行"数智贷"增信贷款，为全省首笔数据知识产权增信贷款。高新区同时推出全省首个高新区专属知识产权金融产品"高新知融贷"，并与福州市市场监管局、高新区管委会签署战略协议落地五十亿元意向授信。两类登记证书均属权属初步证明，不能替代数据来源合法性实质审查。

长治市人民政府2026年9月29日公布《长治市数据工作办法（试行）》，对政务数据共享、公共数据开放、公共数据授权运营、企业数据与个人数据开发利用、数据权益保护等作出系统规定。办法要求政务数据需求部门明确使用依据、场景、范围、方式与时限，不得擅自提供给第三方；同时要求提供部门不得泛化安全要求、无正当理由不得限制共享或变更已提供的共享服务。授权运营须纳入"三重一大"决策机制并接受社会监督，优先在医疗、能源、文旅等领域试点；公共数据运营服务费实行政府指导价，遵照省级核定的最高准许收入要求。

湖南湘江新区管理委员会科技创新和产业促进局2026年9月30日发布通知，根据湖南省通信管理局、湖南省工业和信息化厅联合印发的《关于做好汽车数据安全管理及车联网平台备案工作的通知》，组织开展湘江新区范围内车联网平台备案征集。通知要求相关企业统筹推进汽车重要数据风险评估、汽车数据安全情况报送、车联网平台定级备案与备案信息年度更新等重点工作，开展重要数据识别和备案，并于2026年10月8日前报送至指定邮箱。该通知是省级通信管理与工信部门联合文件在区县层面的落地执行环节，备案年度更新属持续义务。

工业和信息化部将申请立项的《智能网联汽车 供应链网络安全技术要求及试验方法》等29项推荐性国家标准计划项目予以公示，公示时间为2026年9月30日至10月29日，公众可通过工业和信息化标准信息服务平台在"标准立项—立项公示"栏目反馈意见。据公示清单，该项目编号GQCCPZT0289-2026，属安全类别、推荐性标准，制定周期18个月，由装备工业一司牵头、全国汽车标准化技术委员会归口，起草单位包括中国软件评测中心、中国汽车技术研究中心与北京航空航天大学。同批另含等同采用ISO 34505:2025的场景评估标准等项目。需注意立项公示不等于标准发布或实施。

厦门市人民政府2026年9月30日发布《厦门市公共数据资源授权运营管理办法》政策解读。办法依据《厦门经济特区数据条例》制定，先后两轮征求全市51个相关单位意见，并完成宏观政策取向一致性评估、社会稳定风险评估、公平竞争审查、合法性审查等程序，自2026年9月22日起施行，有效期5年。办法共七章三十二条，明确市信息中心为实施机构、获授权法人为运营机构；数据提供单位编制公共数据资源目录时须同步确定授权运营属性并开展资源登记，同时确立"应授权尽授权"原则，除法律法规、国家政策另有规定外均应纳入授权运营范畴。

上海开庭公告信息显示，曹某作为原告，将上海盒礼网络技术服务有限公司、上海盒某网络科技有限公司、广东纳云科技有限公司、浙江菜鸟供应链管理有限公司列为共同被告，案由为个人信息保护纠纷，将于2026年10月29日14时45分在上海市浦东新区人民法院六里第三法庭开庭，案号（2026）沪0115民初62905号。四家被告分别涉及网络技术服务、网络科技、云科技服务与供应链管理领域，覆盖零售电商、云服务与物流供应链多个环节，目前尚未披露涉案具体事实与请求金额。案件把供应链末端主体一并列为共同被告，对委托处理与共享链条的责任分配具有参照意义。