合规资讯

日本数字厅披露，连接23个中央部委与机构的政府共享IT平台GSS遭未授权访问，攻击者利用VPN设备漏洞并借用运维账户大规模访问文件，约24.6万条个人信息可能泄露，含约23.6万个姓名、23.1万个邮箱、9.4万个电话号码及约1000个地址。事件6月25日发现、7月9日确认，至9月11日才公开披露，间隔78天。

EDPB于2026年7月7日发布的《匿名化指引》02/2026草案，在9月引发欧洲隐私实务界密集讨论，公开咨询至10月30日。指引核心是“相对可识别性”概念：同一数据集对持有重识别密钥的组织而言是个人信息，对无法现实关联到个人的接收方则可能是匿名数据。但若接收方是受托处理者，则承继控制者的判断标准。

2026年9月17日，欧洲数据保护委员会（EDPB）在公开咨询后通过《数字服务法（DSA）与通用数据保护条例（GDPR）相互关系指引》3/2025终版，同时统一了监管机构的罚款计算方法。该指引明确DSA与GDPR在平台合规、推荐系统、广告投放等场景下的适用边界与协同机制，并要求各成员国监管机构在处罚尺度上趋于一致。

2026年9月15日，欧盟AI办公室设定的首个系统性风险截止日到期，训练算力达到10的25次方FLOPs以上的通用人工智能模型提供者须提交首份正式系统性风险评估，内容包括红队测试方法论、能耗披露，以及按欧盟委员会7月发布的标准化版权训练数据摘要模板所作的合规说明。AI办公室将据此决定是否要求整改或启动罚款。

加州州长纽森9月18日签署行政令，要求加速落实SB 813与AB 1405两部AI监管法律，并召集专家在两个月内提出强化AI安全法律的建议。拟议方案包括要求前沿AI企业引入独立第三方驻场审计、对其安全框架与风险评估报告实施独立核验，以及推进前沿模型“终止开关”的建设，并将失控事件纳入关键安全事件定义。

爱尔兰数据保护委员会（DPC）对Google Ireland处以4.03亿欧元行政罚款，并责令其在六个月内整改。调查始于2020年2月，源于BEUC等欧洲消费者组织投诉，覆盖“网络与应用活动”“位置历史”“位置精确度”三项功能在2018年5月25日至2020年2月4日期间的位置数据处理。DPC认定Google在位置数据处理的合法性、公平性及留存期限上违反GDPR，且未能证明合规。

网信北京公告，截至2026年9月18日，北京市新增51款已完成登记的生成式人工智能服务，累计完成登记246款。按规定，通过API接口或其他方式直接调用已备案大模型能力的应用或功能采用登记管理方式，允许上线提供服务。已上线服务须在显著位置或产品详情页面公示上线编号，并根据《人工智能生成合成内容标识办法》添加生成合成内容标识。

北京市政府印发《北京市“十五五”时期优化营商环境规划》，提出促进数据要素有序流通高效配置，完善政务数据共享、公共数据开放、授权运营与数据资产管理配套制度；构建多元算力供给体系，优化算力券、模型券等政策工具，降低中小企业获取算力与模型服务门槛；迭代升级跨境数据负面清单政策体系，畅通医疗健康、人工智能、智能网联汽车、科技金融等重点行业数据跨境流通。

江苏公安机关在国家网络安全宣传周前公布5起行政执法案例，涉及政务系统运维、住宿登记、智慧停车、养老通信、在线论坛等场景。宿迁某运维公司未加密存储人员数据且违规部署远程连接工具被罚；徐州某酒店未对住宿人员信息加密去标识化并向科技公司提供信息邀约好评被罚；泰州某交通公司智慧停车小程序存在高危漏洞致车牌与轨迹数据被窃。

河北省通信管理局发布2026年三季度APP通报，经第三方检测机构抽查，共发现8款APP存在侵害用户权益行为，涉及花儿匠、水之爱快家鲜、云勤货联、五社善治、念鹏、叮个饭商家、医视利康医生版、智慧家园等。问题集中在违规收集个人信息、APP强制频繁过度索取权限，以及信息窗口点击乱跳转。通报要求限期整改，落实不到位的将依法处置。