2026年9月17日，韩国个人信息保护委员会召开「2026个人信息未来论坛」第4次全体会议，以「个人信息境外转移制度发展方向」为主题，与会专家就AI等数字服务扩张下扩大SCC、BCR等安全境外转移手段达成共识。
2026年9月17日，欧盟委员会通过《KIDS法案》提案（EU Keeping Internet Digital Spaces Accountable and Trustworthy），首次在全欧层面统一未成年人在线保护规则，核心为「年龄阶梯+安全设计」双结构。
欧盟《网络韧性法》（CRA）迎来首个重要合规里程碑——由欧盟网络安全局（ENISA）运营的单一报告平台于9月11日启用。投放欧盟市场的联网软硬件制造商，须通过该平台向主管机关报告被在野利用的漏洞以及影响其产品的严重安全事件。
旧金山医疗科技公司zHealth向受影响个人发出通知，约11.86万人的姓名、医疗信息与医疗保险信息可能泄露。未授权第三方于2026年1月20日至21日访问其网络，公司6月15日前后才发现，9月3日完成数据审阅，9月11日起通知个人并向加州、德州、俄勒冈州总检察长报告。
韩国个人信息保护委员会（PIPC）向Coupang送达处以6247亿韩元罚款的决定书，距6月10日第11次全体会议决议公布已逾三个月。收到决定书即起算90日的异议期限，Coupang须在12月中旬前提起行政复议或行政诉讼。同时该公司拒绝集体纠纷调解，50名申请人宣布将提起联合诉讼。
印尼政府正式颁布2026年第33号政府条例（GR 33/2026），作为2022年第27号《个人数据保护法》的实施条例。条例于2026年7月16日签署，自公布之日起六个月即2027年1月16日生效，标志着印尼个人数据保护监管框架进入全面执法阶段。
2026年9月15日，意大利通过立法令将本国法律与欧盟《AI法》衔接，依托第132/2025号法的授权完成转化。核心变化是刑法新增第437-bis条，惩罚高风险AI系统在设计、训练、生产、上市或专业使用环节遗漏安全措施的作为，并通过专条将其纳入第231/2001号立法令的前提罪目录，触发企业刑事责任。
英国生物样本库（UK Biobank）首席执行官Rory Collins披露，该库50万名参与者的去标识化医疗数据被发现挂在阿里巴巴旗下闲鱼网站出售。 listings已被下架且未发生交易，涉事学术机构被禁止使用平台，在线研究平台暂停访问以加装新管控措施，英国信息专员办公室（ICO）已介入调查。
律所EMEA数据隐私月报（2026年9月刊）梳理近期欧洲关键动向：荷兰数据保护局对Uber开出8.25亿欧元自动化决策罚款，为GDPR史上第二高罚单；欧盟委员会就TikTok未成年人账户安全作出DSA初步认定；EDPB新数据泄露通报模板遭业界批评；AI Act执法工具自8月2日起全面可用。
北京市人民政府副秘书长、市政务服务和数据管理局局长沈彬华撰文指出，《数据产权登记工作指引（试行）》出台与国家数据产权登记服务系统上线，是落实“十五五”规划纲要“构建全国统一的数据产权登记体系”部署的坚实一步，并提出强化登记机构全周期监管、深化登记凭证场景化应用两项落地路径。
