9月29日刊发的一篇出海数据合规分析文章指出，中国企业出海须同时满足当地数据保护法、当地数据跨境合规要求以及中国法项下的数据出境合规要求。文章梳理国内数据出境的三条路径（安全评估、标准合同、个人信息保护认证）及自贸区负面清单、跨境传输豁免等实践方式，并提示《国务院关于对外投资管理规定》（国务院令第837号）已于2026年7月1日施行，体现出重要变化——监管从“数据出境”延伸到“能力出境”监管：对人工智能相关企业而言，评估对外投资的数据合规问题时，不仅要关注“哪些数据出境了”，更要判断“什么样的能力随交易转移出去了”。文章还按欧盟、美国、南美、东南亚四个区域比较了海外监管态势，指出中国企业在欧盟遭遇高额罚款、监管调查或举报投诉的主要问题之一就是数据跨境不合规。
9月底，围绕上海个人信息保护工作的五年实践综述指出，上海治理特点是从消费场景延伸到涉外数据流动、政务公共数据、未成年人保护、刑事打击多个维度，不再只是出事之后再处罚，而是事前把风险防控前置，推动个人信息保护由事后处置转向事前预防、事中监管、事后追责全链条闭环。2026年4月，上海在全国率先将数据出境负面清单覆盖范围从自贸试验区扩展至整座城市，标志数据跨境管理进入“全域实施”阶段。近日启动的长三角个人信息保护宣传活动上，现场发布《个人信息保护合规审计专业机构自律行动倡议》，并上线“长三角个人信息保护线上信息聚合平台”，设置“五年答卷”“深度观察”“前沿探索”“守护之声”四大栏目，由上海会同江苏、浙江、安徽三省网信办共同打造。
“网信中国”9月30日消息，中央网信办近日印发通知，在全国范围内部署开展为期2个月的“清朗·整治短视频虚假人设乱象”专项行动，重点整治假扮弱势群体、虚构职业资质、利用AI等仿冒人物、鼓吹奢靡迷信、编造冲突剧情5方面突出问题。治理措施包括：加大违规账号和平台查处力度，从严打击借虚假人设恶意营销牟利、通过MCN机构批量制作与多账号矩阵分发炮制同质化内容，性质恶劣的坚决封禁；强化短视频发布环节规范标注，对未按要求内容标注的虚假人设类短视频依法从严处置，督促平台不得借已标注虚构演绎、AI生成、营销、转载、个人观点等内容标签及无不良导向声明规避网络生态治理要求；严禁在榜单、推荐等位置推送虚假人设类短视频；重点处置虚假打造“AI霸总”“养生大师”等人设诱骗老年人的内容。
10月1日，人民政协网“委员说话”栏目刊文《以数据产权统一登记激发数据要素市场活力》。文章指出，制度框架逐步建立并不意味着数据价值能够自然释放，衡量数据要素市场化改革成效不能只看建了多少平台、登记了多少数据、挂牌了多少产品，更要看高价值数据能否持续供给、能否低成本可信流通、能否在真实场景中创造价值。文章提出三点建议：一是以权责利相匹配推动高价值数据“供得出”，建立高价值公共数据供给清单和跨部门协同机制，健全依法履职尽职免责制度，完善收益反哺与激励机制；二是以统一规则和专业服务保障数据“流得动”，按数据来源、敏感程度和应用风险实施分类分级监管，对权属边界清晰、来源合法合规、风险较低的数据产品建立简易审查和备案机制，降低制度性交易成本。
9月30日，北京市发布“十五五”时期数智北京发展规划。规划提出推动数据产权结构性分置制度落地，打造具有公信力的数据产权登记机构，实现重点行业数据产权登记全覆盖，拓展登记凭证多场景应用；完善数据流通交易制度，建立场内场外结合的交易规则体系；按照“谁投入、谁贡献、谁受益”原则探索数据要素收益分配机制；健全数据安全治理制度，形成数据流通交易责任界定机制；探索面向人工智能的数据合理使用制度和利益补偿机制；推动数据综合性立法，发挥北京市数据标准化技术委员会作用，率先在数据基础设施、数据技术等方面出台系列标准。
人民银行、工信部、市场监管总局、金融监管总局、证监会、国家知识产权局、国家网信办、国家外汇局八部门联合制定的《金融产品网络营销管理办法》自2026年9月30日起施行，全文共七章39条。办法把“谁有资格卖、在哪卖、内容谁审、第三方做什么、收银台怎么摆”统一纳入规则：仅金融机构及其委托的第三方平台可开展营销，非金融机构从业人员不得通过直播、短视频、公众号营销金融产品；严禁使用“低风险”“低门槛”“秒到账”“高收益”“无成本”等诱导性话术；支付页面须将“打白条”“分期付”等借贷产品与银行卡、零钱等支付工具分开展示，禁止默认勾选和违法搭售；弹窗广告须有显著关闭标志并可一键关闭；发送营销信息或拨打营销电话须提供拒收退订选项，消费者退订后不得以同样方式再次骚扰；算法推荐不得设置诱导过度消费的模型。
英国信息专员办公室（ICO）2026年9月30日宣布，其已正式转型为「信息委员会」（Information Commission），同日曼彻斯特总部启用。这是英国数据保护监管体制自《数据（使用与服务）法》确立独立监管机构以来的关键节点，此前政府已于9月15日确认改制日期，7月15日任命七名非执行委员。
拉脱维亚国家数据监察局（DVI）在#DVIskaidro 释法系列中就"私人住宅内安装摄像头并秘密监控"作答：若摄像头为摆设或仅拍到物品与室内陈设而无人物，则不构成个人数据处理；若仅在公寓私人空间内拍摄同住亲属且录像不向第三方提供，属个人或家庭活动例外。但DVI强调监控须诚信进行，隐蔽监控不被支持。
斯洛文尼亚宪法法院依信息专员（IP）的违宪审查请求，以判决第 U-I-331/22 号（2026年9月3日）一致认定《反洗钱与反恐融资法》（ZPPDFT-2）第51条第5款、第134条第2款与第145条第5款第1项违宪。上述条款使个人在8年内自动被延迟知悉自身个人数据及其被查询的信息，且不作个案评估，即使中止理由已消失亦不例外。
土耳其KVKK于2026年9月30日一次性公示9起数据泄露通告，涉券商Papara Menkul、电商与零售企业Akkoyunlar、Deve Yükü（deveyuku.com）、Bambi（bambiayakkabi.com.tr）、Walke、Unigen、Efece（eceninbutigi.com）、Ofix及Spirit Cultural Exchange。其中Papara案系境外数据处理者员工遭钓鱼邮件攻破Okta单点登录平台；Akkoyunlar案系第三方应用恶意软件，约1,690名员工身份、通信、影音记录受影响。
