合规资讯

8月31日，辽宁省委副书记、省长王新伟主持召开省政府常务会议，审议《辽宁省省级公共数据资源授权运营实施方案》。会议指出，开展公共数据资源授权运营是破解公共数据流动难题的关键举措，要求做好数据资源供给、建立数据质量管控与校核纠错机制、强化分级分类管理，加快打造省公共数据资源授权运营平台，推动更多高价值数据产品转化落地。

长治市政府办公室印发《长治市公共数据资源授权运营实施细则（试行）》，自2026年9月1日起施行，有效期两年。细则构建一局一中心一公司支撑体系，遵循原始数据不出域、数据可用不可见、流通可控可溯源原则，对公共数据的供给、登记、授权运营与安全管理作出全流程规定，是山西省地级市层面公共数据授权运营的专项制度。

赣州市政府办公室印发的《赣州市公共数据资源授权运营实施方案》自2026年9月1日起施行，有效期至2029年8月31日。方案采取整体授权模式、授权期限3年，明确市大数据发展服务中心为实施机构，梳理首批21类供数单位数据资源目录与13项数据产品清单，涵盖医保、市场监管、文旅、公积金等领域，并确立谁持有谁负责、谁运营谁负责的安全责任制与收益分配机制。

重庆市通信管理局与四川省通信管理局联合发布《关于川渝两地侵害用户权益APP名单的通报（2026年第六期）》。根据四部门联合开展的2026年个人信息保护系列专项行动部署，两地组织第三方检测机构对主流应用商店APP与小程序开展检查，截至目前仍有16款APP/小程序未按要求完成整改，被公开通报并责令于2026年9月9日前完成整改落实，逾期将依法依规处置。

由国家网信办、工信部、公安部、交通运输部、商务部、中国人民银行、海关总署、税务总局、市场监管总局、金融监管总局十部门联合公布的《促进和规范电子单证应用规定》（第22号令）自2026年9月1日起施行。规章以《电子签名法》《海商法》《网络安全法》《数据安全法》《个人信息保护法》为上位法依据，对电子单证系统实行分类分级管理，明确系统可靠性与安全性要求，并首次清晰界定向境外提供电子单证相关数据的出境合规边界。

荷兰数据保护局（AP）发布针对因WordPress漏洞而遭受数据泄露的用户的建议。近期WordPress软件中被发现存在漏洞，而WordPress在荷兰使用相当广泛，这些漏洞目前正被积极利用并已导致数据泄露，AP近期收到大量相关数据泄露通报。AP发现受影响组织并未总能正确评估此类数据泄露的风险，导致数据被泄露的个人有时未能获得充分告知，因此专门发布建议。AP指出，攻击者利用漏洞可完全接管WordPress系统，进而自由访问系统中一切内容，至少包括网站用户与管理员信息、网站上（即便设有访问限制）可获取的信息，以及经由网站处理的客户与用户数据——例如论坛帖子、购买记录、报价、咨询或填写的网络表单。这些个人信息可能被犯罪分子滥用于发送垃圾邮件、实施定向钓鱼攻击和传播恶意软件。AP建议：立即核查所用WordPress版本并更新至最新版本（可参考荷兰国家网络安全中心NCSC的更新指引）；核查系统是否存在被利用的漏洞，必要时请托管服务商或IT服务提供者协助检查日志中的滥用痕迹（即失陷指标IoC）；一旦发现滥用痕迹，尽快启动事件响应流程；若涉及个人信息被访问，应依法评估并向AP通报数据泄露。

法国国家信息与自由委员会（CNIL）发布其开放权重AI模型谱系探索演示工具的新版本，显著提升了工具的性能与易用性，并实现数据更新自动化，同时新增英文界面。开放权重AI模型可被下载、修改、用新数据进行微调或与其他模型合并后再度发布，单一模型（如Kimi K3、Mistral Medium、LLaMa等）可衍生出众多派生模型。Genmod演示工具由CNIL人工智能部门与数字创新实验室（LINC）合作开发，2025年11月首次发布，可帮助用户探索模型之间的关联，追溯某个模型的"祖先"（其所源自的模型）与"后裔"（其所贡献的模型）。这种溯源能力对研究AI模型记忆训练数据的后果尤其有用：自某个已记忆个人数据的模型出发，可识别其"谱系"中可能同样保留了该信息的其他模型，从而便利研究GDPR项下权利如何行使。

加拿大隐私专员公署（OPC）宣布已向联邦法院提出申请，请求法院发出命令以落实其针对谷歌的调查结论所提出的建议。该调查源于针对谷歌的一项投诉，于2025年8月27日结束，认定该公司在其姓名被搜索时继续展示有关某一个人的特定媒体报道，违反了加拿大联邦私营部门隐私法《个人信息保护与电子文件法》（PIPEDA）。调查结论认为，在有限情形下，加拿大人享有要求将与其有关的特定信息从搜索结果中除名（de-listing）的权利，使其不出现在以其姓名检索的在线搜索结果中。OPC指出，依现行隐私法，隐私专员无权作出具有约束力的命令以强制合规，必须在调查报告发布后一年内向联邦法院申请。OPC同时说明，搜索结果除名并不等于将内容从互联网删除——相关内容仍将继续存在于网络，可在最初发布的网站上找到，也可通过使用该个人姓名以外的检索词找到。

韩国个人信息保护委员会（PIPC）与行政安全部宣布，8月25日国务会议通过中央部门个人信息保护专职人力扩编的多部门随时职制修订案，31个中央行政机构将新增个人信息保护专职人力54人（增员39人、重新配置15人）。这是韩国政府自2015年之后时隔11年首次在政府层面扩充个人信息保护专职人力，也是PIPC自2005年成立以来首次在泛政府层面实现扩编。此前PIPC于今年2月对中央行政机构、地方自治团体、公共机关、市道教育监等653个公共部门机构开展人力现状普查，结果显示公共机关个人信息保护担当人力平均仅1.9人，其中不承担其他业务、专司个人信息保护者平均每个机构仅0.7人。PIPC据此于6月提交职制要求书，经行政安全部与企划预算处审议（7月）、次官会议审议（8月21日），于国务会议最终确定。本次修订按各机构个人信息处理规模与敏感度差别配置人力，向行政安全部、国土交通部、法务部、警察厅、疾病管理厅等大规模或大量持有敏感信息的部门集中强化，并为此前全无专职人力的在外同胞厅、国家遗产厅等14个机构新设专职岗位。中央部门个人信息保护专职人力由平均1.1人增至2.1人，约翻倍。PIPC表示，正同步推进地方自治团体、公共机关、教育监等其他公共部门的扩编，并将持续开展公共领域实态检查与个人信息保护人力待遇改善。

韩国个人信息保护委员会（PIPC）于8月26日召开第17次全体会议，决议对违反个人信息保护法规的HD现代集团旗下2家企业处以7350万韩元罚款及480万韩元过怠料。涉事企业为HD建设机械株式会社与HD韩国造船海洋株式会社。经查，不明身份者于2024年3月利用HD韩国造船海洋运营的移动设备管理（MDM）服务器漏洞上传Web Shell文件，进而登录与该服务器通信的HD建设机械内部业务系统，窃取HD建设机械员工及合作企业员工的姓名、工号等9503人个人信息。调查发现，HD韩国造船海洋的MDM服务器文件上传漏洞安全措施不到位，成为外泄路径；且两家公司系统本无业务关联必要，却未限制相互访问，致使攻击者得以经由HD韩国造船海洋的个人信息处理系统访问HD建设机械的个人信息处理系统。PIPC据此对个人信息实际外泄的HD建设机械处以7350万韩元罚款，对被用作外泄路径的HD韩国造船海洋处以480万韩元过怠料。PIPC同时提醒，个人信息处理者应定期检视安全对策，防止Web漏洞导致个人信息泄露，并以IP等方式限制个人信息处理系统的访问权限，阻断不必要的访问。