波兰众议院公共财政委员会9月16日审议修法草案，拟将税务部门调取银行账户数据的权限限于"嫌疑人"，其他情形须经法院同意，并将相关规则从《国家税务管理法》移入《银行法》。此方向与UODO主席自2024年起多次主张的一致，后者指出现行条文对公民隐私构成不成比例干预。
波兰UODO主席致函总检察长，请求重启对2024年中国电商平台PandaBuy约130万客户数据泄露案的侦查准备程序，指原办案机关未全面审查证据、未查明未抓获行为人、未确定全部受害人与损失范围，属任意评价证据；强调追诉非法使用波兰公民个人数据者符合公共利益。
据印尼《Bisnis》9月27日报道，在儿童保护条例PP TUNAS实施过程中，Lazada与Blibli的部分产品及服务被划定为高风险类别。依据印尼通信与数字部2026年第9号条例，上述产品须对16岁以下未成年用户实施更严格的访问限制，平台需在年龄验证、家长同意、功能限制及儿童数据保护等方面履行义务。目前Shopee、TikTok Shop与Tokopedia尚未出现在官方公布的电商高低风险名单中。
越南政府关于数据交易活动组织的第314/2026/ND-CP号法令于2026年9月25日正式生效。该法令为数据交易平台的设立与运营设定规则，其中一项核心禁令是严格禁止在数据交易平台上买卖个人数据。这与此前生效的第330/2026/ND-CP号（网络空间安全与个人信息保护行政处罚，非法买卖个人数据最高可处违法所得十倍）与第363/2026/ND-CP号（数据领域专门处罚框架，11月11日生效）共同构成越南数据治理的规则组合。
欧盟委员会在官方公报发布《欧洲健康数据空间》（EHDS）三份实施条例：第2026/2083号规范MyHealth@EU跨境电子健康记录交换的技术、组织、安全与数据保护框架；第2026/2098号确定二次利用数据集的HealthDCAT-AP最低元数据要素；第2026/2099号建立自然人、卫生专业人员与医疗机构的互操作身份识别与认证机制。三份条例10月11日生效、2027年3月26日起普遍适用，患者摘要与电子处方2029年3月前、影像与出院小结2031年3月前实现跨境互通。
荷兰警方确认在阿姆斯特丹逮捕一名24岁男子，其涉嫌与ShinyHunters黑客团伙相关。该团伙是近年来最活跃的数据窃取与勒索组织之一，对多个行业组织发起入侵、窃取数据并实施敲诈。媒体报道显示，该男子此前已因同类罪行被定罪，被称为"改过自新"的黑客。本次逮捕涉及对其涉嫌参与ShinyHunters活动的新调查，具体指控细节尚未全部公开。
美国国防部人事数据中心（DMDC）发生数据泄露，约300万人的个人信息被未授权访问，其中在世人员约276万人、已故人员约29.4万人。泄露数据存放于一台存在漏洞的文件共享服务器上且未加密，涉及社会安全号、姓名、出生日期、联系方式、性别、族裔及军事职业专业代码等。未授权访问发生于2025年10月至2026年7月约九个月期间，漏洞于2026年7月16日被发现并修补。受影响个人已于9月获通知并获得一年信用监测服务。
日本共享汽车服务Times Car（Park24集团旗下Times Mobility运营）9月28日发布第二次报告，确认其web系统遭第三方未授权访问，约660万个账户的信息被外部获取，涉及姓名、地址、出生日期、电话、邮箱、密码与关联服务ID，以及驾照信息和身份核验文件影像。公司9月25日上午9时07分发现异常，9月26日上午7时25分前阻断访问路径，信用卡信息未被泄露，已向日本个人信息保护委员会和警方报告，并委托外部专业机构取证。
韩国个人信息保护委员会（PIPC）于2026年9月29日举办全球人工智能隐私论坛（Global AI Privacy Forum），主题为"Privacy for Innovation, Partnership for Cooperation"（创新所需之隐私，合作所需之伙伴关系）。参会者包括加拿大隐私专员公署专员兼全球隐私大会（GPA）主席Philippe Dufresne、欧洲数据保护监督官（EDPS）、日本个人信息保护委员会（PPC）、西班牙数据保护局（AEPD）、中国香港个人资料私隐专员公署（PCPD），以及微软、Meta、索尼、Viva Republica等企业代表。
太原公安杏花岭分局通报破获一起非法获取计算机信息系统数据案，3名犯罪嫌疑人利用非法软件拦截窃取外卖团购平台用户登录"CK码"（Cookie），绕过平台正规登录机制冒用用户身份领取优惠券后加价倒卖，一个月非法获取优惠券278张、获利1万余元，已被依法刑事拘留。警方明确"CK码"携带个人信息，属于身份认证凭证与计算机信息系统数据，受网络安全法、个人信息保护法与刑法保护，违法所得超过1万元即构成刑事犯罪。
