合规资讯

2026年9月14日至16日，斯洛文尼亚、奥地利、克罗地亚、捷克、匈牙利五国数据保护机构在卢布尔雅那举行年度专家交流会，由斯洛文尼亚信息专员Jelena Virant Burnik主持，并于会间与斯洛文尼亚总统Nataša Pirc Musar会面。五机构通过联合声明，指出在资源、投诉量上升与案件复杂度方面的共同压力，并明确强调「数字综合法案」（Digital Omnibus）对法律框架的修改不应触及「个人数据」这一概念本身。奥地利数据保护局（DSB）于2026年9月18日对外公布该消息。

印尼第33/2026号政府条例（PP 33/2026）作为2022年第27号《个人数据保护法》的实施细则，于2026年7月16日颁布，依第225条将于2027年1月16日生效。条例共225条，细化合法处理基础、数据主体权利、高风险处理与数据保护影响评估（DPIA）、泄露管理、处理者与国际传输安排、治理与行政制裁。其第120条第2款释义明确将人工智能、机器学习、智能技术与物联网列为“新技术”示例，使用这些技术处理个人数据即落入须做DPIA的高风险类别。

洛杉矶联邦地区法院法官George H. Wu于9月19日表示，倾向驳回TikTok、字节跳动与美国司法部4000万美元以外的和解方案中关于解除2019年Musical.ly同意令的请求，并将听证会定于9月21日举行。该和解要求TikTok先支付3亿美元，另有1亿美元以法院终止同意令为条件。法官指出，法院无法认定终止构成“持久的救济”或“针对所称情势变更的适当定制”，并暗示将保留对TikTok隐私实践的监督。

加拿大政府2026年6月15日提交的Bill C-36将取代已施行25年的PIPEDA私营部门隐私法，规定最高1000万加元或企业全球营收3%（取较高者）的罚款，修改有效同意的认定标准，新增欺诈预防与商业活动例外，并把执法权交给新的委员会而非现有权限有限的隐私专员办公室。议会于2026年9月21日复会，法案将继续推进委员会审议、参议院表决与御准程序。

欧洲AI办公室于2026年9月10日公布首批执法范围的思路，将自动简历筛选与HR决策工具列为首批检查对象，按《AI法案》第50条透明度义务与高风险系统要求（人工监督、技术文档、合格评定）进行核查。执法权限自2026年8月2日随第50条透明度义务生效而启动，检查与24个成员国市场监管机构并行。由于多数大型雇主以采购而非自建方式获得此类工具，执法压力直接落在采购预算而非仅有法务部门。

韩国个人信息保护委员会（PIPC）公布《向预防导向个人信息管理体系转型方案》，核心是“隐私设计”（Privacy by Design）原则的制度化：PbD将纳入个人信息影响评估标准与ISMS-P认证标准，ISMS-P认证将分为基础、标准、强化三级并扩大适用主体范围，2027年7月起强制实施。方案还包括大规模跨境转移影响评估制度、9月11日起生效的CEO最终责任与法定损害赔偿（上限300万韩元）。

首尔行政法院就SK电讯（SKT）诉韩国个人信息保护委员会（PIPC）请求撤销罚款附加费一案举行首次庭审。PIPC去年以违反安全措施义务为由，对超过2300万用户个人信息泄露事件作出1347.91亿韩元罚款。SKT主张即便利用泄露的USIM信息复制USIM卡，在合法用户手机开机状态下也无法接入网络，根本不存在损害可能性，并质疑KISA实验条件；PIPC则称其判断依据并非实际金钱损害，而是信息规模与复制USIM成功入网等事实。

日本京都的截图分享服务Gyazo运营方Helpfeel披露，攻击者利用图片上传服务器的漏洞实现远程命令执行并访问数据库，导致约2362万条用户记录和约4.9亿条图片元数据外泄。公司9月11日晚察觉异常并于12日凌晨封堵，9月14日确认数据外泄，15日向日本个人信息保护委员会报告，16日才发布公开通报。外泄字段含姓名、邮箱、密码哈希、设备与登录会话ID、X平台集成令牌等。

在2026年国家网络安全宣传周人工智能安全治理分论坛上，中文互联网基础语料4.0、网络安全数据集1.0、AIGC检测数据集三类高质量数据集正式向社会发布。中文互联网基础语料4.0在中央网信办指导下由中国网络空间安全协会会同国家互联网应急中心等单位建设，数据量120GB；网络安全数据集1.0含5个子数据集；AIGC检测数据集含10万条文本与10万条图片数据，均上线“中文互联网语料资源平台”。

在“智汇南宁·智算出海——词元（Token）东盟生态合作推介会”上，中国（广西）自由贸易试验区集中发布三项成果：数据出境负面清单及数据跨境流动服务平台、跨境线路申报服务、南宁企业一站式出海服务平台，从数据跨境规则、跨境网络通道保障、企业全链条出海服务三个维度构筑词元出海服务矩阵，中国移动、中国联通分别与区内多家跨境数字企业签署合作协议。