2026年第36周（08月30日–09月05日）｜全球数据安全与AI法律通讯

编者按

欢迎阅读全球数据安全与AI法律通讯。本期为2026年9月7日（周一）自动生成版本，覆盖2026年08月30日至2026年09月05日（周日至周六，Asia/Shanghai）期间公开发布的网络安全、数据合规、个人信息保护与人工智能监管资讯。本通讯由AI辅助检索与人工复核相结合，优先收录可访问的官方与权威来源。因自动生成时点、各国时区、网站可达性和发布渠道差异，信息可能存在一定限度，资讯日期亦可能略有出入，敬请知悉。

目录

本周焦点

立法动态
【中国】中央网信办、公安部联合公布《小型个人信息处理者个人信息保护简化措施规定》9月1日起施行（2026-09-01）
【中国】国家互联网信息办公室等五部门联合公布《互联网信息内容多渠道分发服务管理规定》9月1日起施行（2026-09-01）
【欧盟】欧盟委员会将ChatGPT认定为超大型在线搜索引擎、Reddit/Roblox认定为超大型在线平台（2026-08-31）
【欧盟】AI办公室启动执法首批RFI涉30余家公司并与OpenAI/Anthropic讨论网络安全风险（2026-09-02）
【澳大利亚】Privacy Amendment (Personal Data Protection) Bill 2026曝光草案与征询文件正式发布（2026-08-31）

执法动态
【中国】中央网信办通报”清朗·整治AI应用乱象”专项行动第二阶段工作情况（2026-09-02）
【爱尔兰】DPC对Health Service Executive作出645,000欧元处罚决定（2026-09-02）
【美国】FTC与Nuvei达成4.85百万美元和解令（2026-09-04）
【韩国】PIPC对GS Retail及三家关联企业合计约128.95亿韩元处罚（2026-09-03）
【荷兰】UAVG修订生效强制实名披露GDPR处罚决定（2026-09-01）

司法动态
【中国】四川简阳市人民法院对倒卖9.4万条业主信息案作出有期徒刑4年6个月并处罚金30万元判决（2026-09-01）
【欧盟】CJEU在Case C-798/24 Jautiva判决中明确欧盟法不要求公开披露少数股东个人数据（2026-09-03）
【欧盟】CJEU Advocate General Szpunar在Case C-661/24 Académie Fiscale意见中认为比利时2022年数据保留法大部分与欧盟法不兼容（2026-09-03）
【美国】S.D.N.Y.在Hayward v. mParticle案中以缺乏Article III损害为由驳回集体诉讼（2026-09-02）
【美国】Meta Platforms与50余州司法部长就Facebook/Instagram青少年安全问题达成最高180亿美元和解（2026-09-03）

行业动态
【中国】中央网信办召开2026年国家网络安全宣传周新闻发布会，网安周9月14日至20日在济南举行（2026-09-01）
【中国香港】PCPD发布《在使用Agentic AI时保护个人资料私隐》指引（2026-09-01）
【OECD】OECD与欧盟联合发布中小学AI素养框架（2026-09-03）
【美国】OpenAI启动”Daybreak for Frontline Defenders”计划承诺最多10亿美元用于关键基础设施网络安全（2026-09-04）
【新加坡】PDPC生成式AI指南与PET沙箱扩展同步生效，DPO注册库公众可查（2026-09-01）

---

本周焦点

本周境内监管重点在9月1日批量生效的两部规章——《小型个人信息处理者个人信息保护简化措施规定》《互联网信息内容多渠道分发服务管理规定》同步实施，配套的清朗·整治AI应用乱象专项行动第二阶段累计清理违法违规信息五百余万条、查处账号4.9万余个。境外呈现”立法落地+执法升温+大额处罚”的三轨格局：欧盟委员会依据DSA将ChatGPT认定为超大型在线搜索引擎、Reddit与Roblox为超大型在线平台，并依据AI Act向30余家公司发送首批Article 91 RFI，触及安全、版权与透明度三大维度；韩国PIPC对GS Retail及三家关联企业合计约128.95亿韩元处罚（折合约100M USD），与爱尔兰DPC对HSE €645,000罚款、美国FTC与Nuvei $4.85M和解令、荷兰UAVG修订强制实名披露处罚共同构成本周境外执法主轴。司法层面，CJEU在Jautiva与Académie Fiscale两案进一步收紧对在线披露与大规模数据保留的尺度；S.D.N.Y.在Hayward v. mParticle案中以缺乏Article III损害为由驳回跟踪技术集体诉讼；Meta与50余州就青少年安全达成金额上限达180亿美元的和解。整体看，企业在落地阶段面临的是”程序透明度、跨境数据流通、算法与AI内容治理”三组并存义务，需在9月中旬网安周与年底前DSA合规截止之间形成互相衔接的合规改造路径。

---

1. 立法动态

境内

【中国】中央网信办、公安部联合公布《小型个人信息处理者个人信息保护简化措施规定》9月1日起施行（2026-09-01）

国家互联网信息办公室与公安部以第25号令联合公布的《小型个人信息处理者个人信息保护简化措施规定》自2026年9月1日起施行。该规定针对处理不满10万人个人信息的小型主体，从个人信息处理规则公开、敏感个人信息单独同意、个人信息保护合规审计与影响评估、个人信息跨境提供等多个维度提出简化措施，并设立初次违法且危害后果轻微可不处罚的制度安排；对依规通过个人信息保护认证的主体，认证有效期内免予开展合规审计。10条至17条针对跨境购物、跨境寄递、跨境支付、跨境人力资源管理、紧急情况下保护自然人权益、履约与法定职责、年累计不满10万人等场景，免予申报数据出境安全评估、订立个人信息标准合同或通过个人信息保护认证。规则的施行与同期发布的多部门规章共同构成中小微企业合规义务的”减负”与企业应对出境场景的实操路径。

来源：中央网信办[1]

【中国】国家互联网信息办公室等五部门联合公布《互联网信息内容多渠道分发服务管理规定》9月1日起施行（2026-09-01）

国家网信办、公安部、文旅部、市监总局、广电总局联合公布《互联网信息内容多渠道分发服务管理规定》，自2026年9月1日起施行，重点规范MCN机构与多渠道分发行为，强化未成年人保护、内容审核与平台合规责任。规定对账号管理、内容标识、违规处置及跨平台协同义务提出明确要求，平台需将内容分发行为纳入合规审查体系。本周内湖北东西湖区网信办、上海媒体、网信浙江等均开展同步解读，企业应结合自身业务场景评估分发链路合规风险。

来源：广州市委网信办转载[2]

境外

【欧盟】欧盟委员会将ChatGPT认定为超大型在线搜索引擎、Reddit/Roblox认定为超大型在线平台（2026-08-31）

欧盟委员会依据《数字服务法》（DSA）于2026年8月31日正式指定ChatGPT为超大型在线搜索引擎（VLOSE），并将Reddit与Roblox指定为超大型在线平台（VLOP），指定依据为相关服务在欧盟月活用户数均超过4,500万门槛（具体披露ChatGPT约1.591亿、Reddit约5,720万、Roblox约4,660万）。三项服务须在4个月内即至2027年1月履行DSA第四章附加义务，包括系统性风险评估与缓释、独立审计、推荐系统透明度、未成年人保护、危机响应机制、平台对研究人员的开放数据接口等。爱尔兰Coimisiún na Meán担任ChatGPT与Reddit的数字服务协调员，荷兰ACM担任Roblox的数字服务协调员。这是DSA项下首次将生成式AI服务纳入搜索引擎类别的”最高级别”监管。

来源：European Commission[3]

【欧盟】AI办公室启动执法首批RFI涉30余家公司并与OpenAI/Anthropic讨论网络安全风险（2026-09-02）

欧盟委员会AI办公室在AI Act Article 91项下发出首批信息请求（RFI），覆盖30余家人工智能公司，调查事项分为两条主线：一条聚焦模型安全与安全防御（含通用模型与最前沿模型），另一条聚焦版权与透明度。AI Act Article 101对不完整、不准确或误导性回复设定了最高1,500万欧元或全球年营业额3%的罚款上限。委员会同步确认与OpenAI、Anthropic就模型相关网络安全风险进行的近期交流，并将上述风险纳入前沿模型监督的优先关注。ENISA则通过双边谈判持续推进获取前沿模型访问的流程。该首批RFI意味着AI Act已从”框架就绪”转入”实质询问”阶段，GPAI与最前沿模型提供者需准备详尽的安全、训练数据与合规披露文档。

深度解读：与DSA指定同步落地的AI办公室首次RFI行动，标志着欧盟对头部AI厂商的合规要求从”纸面规则”延伸至”实质询问”。两条RFI主线对应AI Act中两类不同的合规义务：一类对应Article 53等GPAI透明度与文档义务（训练数据、版权、安全测试），另一类对应Article 55等系统性风险评估与缓解义务。这意味着AI模型厂商不能仅以披露清单合规，而是要在风险评估、安全测试、版权处理与持续监控上提供充分文档与可验证证据。

来源：2eu.brussels[4]

【澳大利亚】Privacy Amendment (Personal Data Protection) Bill 2026曝光草案与征询文件正式发布（2026-08-31）

澳大利亚总检察长部于2026年8月31日发布《Privacy Amendment (Personal Data Protection) Bill 2026（Cth）》曝光草案与配套征询文件，启动截至2026年9月18日的公开征询。本次Tranche 2改革约为40项提议，覆盖：现行APP 3/4/6合并为统一的”公平合理（fair and reasonable）“标准，并要求考量七项法定因素（含合理期待、数据最小化、儿童利益优先）；新设”自愿、知情、当前、特定、无歧义”的法定同意要求，禁止捆绑同意与预先勾选；将精确地理位置数据、基因组数据纳入”sensitive information”范围；新增72小时数据泄露通知义务；引入”交易（trade）“新概念并对向第三方”交易”个人数据另行要求同意；引入”controller/processor”分配框架；赋予大型数字平台对个人的”被遗忘权”；扩张OAIC信息获取与协助权。草案对在澳大利亚经营数据驱动业务的企业构成结构性合规挑战，AI训练数据使用与跨境SaaS处理合同将率先受影响。

来源：Spruson & Ferguson Lawyers[5]

---

2. 执法动态

境内

【中国】中央网信办通报”清朗·整治AI应用乱象”专项行动第二阶段工作情况（2026-09-02）

中央网信办于2026年9月2日通报”清朗·整治AI应用乱象”专项行动第二阶段工作情况，重点整治AI”魔改”经典、虚假信息、假冒仿冒他人、暴力低俗内容、侵害未成年人权益、“托管”式网络水军、AI产品服务违规七类问题。专项行动累计清理违法违规信息561万余条，查处账号4.9万余个，处置违规网站、应用程序等2,400余个。北京、上海、浙江、广东等地网信办因地制宜推进治理；抖音、快手、微博、腾讯、百度、哔哩哔哩、小红书、知乎、豆瓣、淘宝等平台升级多模态识别模型并上线人脸、声纹实时治理系统，豆包、元宝、千问、文心一言等大模型应用强化原始语料审核与生成合成内容标识。AI产品服务与应用程序违规是首次被明确列入”清朗”系列专项的重点类目。

来源：中央网信办（科技日报转载）[6]

境外

【爱尔兰】DPC对Health Service Executive作出645,000欧元处罚决定（2026-09-02）

爱尔兰数据保护委员会（DPC）向爱尔兰健康服务执行局（HSE）发出最终决定，因其在多地外置存储设施中保存的纸质病历遭遇未授权访问，违反GDPR Article 5(1)(e)（存储限制）、5(1)(f)（完整性与保密性）、32(1)（安全）、33(1)（72小时通知DPC）、34(1)（告知数据主体），合计罚款645,000欧元及整改令。违规情形包括病历遭霉变、动物粪便污染、水损、瓦砾覆盖与无序堆放等”系统性失败”。DPC在12次现场检查中识别问题，要求HSE开展完整审计、迁移不达标设施并设置三个月至十五个月不同期限的整改截止。HSE过去曾因类似问题被处罚，本决定将”加重因素”作为罚款裁量因素。

来源：Data Protection Commission (Ireland)[7]

【美国】FTC与Nuvei达成4.85百万美元和解令（2026-09-04）

美国联邦贸易委员会（FTC）与全球支付处理商Nuvei Corporation及其子公司达成4,850,000美元和解令，所涉指控为Nuvei自2017至2023年为Reimage等海外技术欺诈商户处理超过3,000万美元消费者支付。和解令禁止Nuvei为通过电话营销或弹窗提供技术支持服务的任何主体提供支付服务，并要求其建立商户筛选与监控机制、加强现有商户监控。FTC由消费者保护局主任Christopher Mufarrige宣布行动，Ferguson主席与Meador委员联合声明。该和解是FTC对支付处理商”协助与便利诈骗”指控连续行动的延续（Reimage案2024、Paddle案2025、Air AI案2026年3月）。

来源：Federal Trade Commission[8]

【韩国】PIPC对GS Retail及三家关联企业合计约128.95亿韩元处罚（2026-09-03）

韩国个人信息保护委员会（PIPC）第17次全体会议于2026年8月26日决议，9月3日英文新闻稿正式发布。PIPC对GS Retail因凭证填充攻击（GS SHOP泄露1,581,026人、GS25泄露79,128人）处以12,836,000,000韩元行政罚款与3,000,000韩元附加罚款，命令公开披露与整改；对NRISE（WIPPY交友应用实名认证漏洞）处以118,440,000韩元与3,600,000韩元；对SK Telecom（ifland元宇宙服务）及ATOZ课以3,600,000韩元罚款及警告。PIPC认定GS Retail在初期泄露事件后未在72小时内补充报告、未设立独立隐私组织是加重处罚的关键。PIPC同时提示企业必须在登录系统设计与异常监测上配置基础控制。

来源：Personal Information Protection Commission (PIPC) Korea[9]

【荷兰】UAVG修订生效强制实名披露GDPR处罚决定（2026-09-01）

荷兰实施条例（UAVG）根据Gazette No. 2026, 154于2026年9月1日生效新增第21b条，要求Autoriteit Persoonsgegevens（AP）公开GDPR处罚决定时必须披露被处罚主体名称，取代过去可匿名或部分披露的行政自由裁量。修订在监管透明度层面标志欧盟范围内GDPR处罚披露规则的进一步收紧，对跨国经营企业的声誉风险敞口与争议管理提出更高要求。

来源：Digital Policy Alert[10]

---

3. 司法动态

境内

【中国】四川简阳市人民法院对倒卖9.4万条业主信息案作出有期徒刑4年6个月并处罚金30万元判决（2026-09-01）

四川省简阳市人民法院对一名长期倒卖业主个人信息的被告人作出判决：自2020年起累计出售9.4万余条业主信息，获利28.9万元，判决有期徒刑4年6个月，并处罚金30万元。判决作出后中央与地方媒体密集转载，光明网9月1日刊《9.4万条业主信息被打包倒卖！法院判了》引发关注。案件作为”内鬼型”批量倒卖业主个人信息典型，对房地产、物业行业及依赖第三方人员的处理者提出警示；处理者应建立基于最小授权、行为审计与异常发现的内控机制。

来源：光明网（头条号转载）[11]

境外

【欧盟】CJEU在Case C-798/24 Jautiva判决中明确欧盟法不要求公开披露少数股东个人数据（2026-09-03）

欧洲联盟法院（CJEU）大法庭于2026年9月3日就拉脱维亚宪法法院提交的Case C-798/24 [Jautiva]案作出初步裁决，认定Directive (EU) 2017/1132不要求成员国披露所有股份有限公司股东（包括少数股东）的个人数据，且GDPR禁止无条件向公众在线披露股东个人数据，即使出于反洗钱、反恐融资或制裁实施等正当目的。本判决延续2022年Luxembourg Business Registers案要旨，构成为”透明度与个人数据保护之间划界”的标志性裁定。CJEU未直接审理拉脱维亚国内争议，由拉脱维亚宪法法院据欧盟法解释适用。

深度解读：Jautiva判决把跨境合规杠杆从”披露义务”移向”程序保护”。对从事欧盟合规、受益人识别、AML筛查与上市企业股权研究的机构而言，自动从公开公司登记系统批量获取数据的低成本通道被显著收紧；下游合规、KYC、反洗钱尽职调查需重新评估”自动获取+人工核查合法利益”的程序骨架。

来源：Court of Justice of the European Union (Press Release No.115/2026)[12]

【欧盟】CJEU Advocate General Szpunar在Case C-661/24 Académie Fiscale意见中认为比利时2022年数据保留法大部分与欧盟法不兼容（2026-09-03）

欧洲联盟法院首席Advocate General Maciej Szpunar于2026年9月3日就比利时宪法法院提交的Case C-661/24 Académie Fiscale and Others案发表意见，认为比利时2022年数据保留法多项条款违反Directive 2002/58与欧盟基本权利宪章。意见同时探讨，若数据按”真正水密分离（truly watertight separation）“的技术安排保留，可考虑在符合条件时采用”一般性、无差别数据保留”——可能对CJEU既有的La Quadrature du Net II等判例法产生影响。AG意见对CJEU并无约束力，仅供审议参考，但其对电信运营商与平台数据保留义务的提示十分明确。

来源：Court of Justice of the European Union (Press Release No.117/2026)[13]

【美国】S.D.N.Y.在Hayward v. mParticle案中以缺乏Article III损害为由驳回集体诉讼（2026-09-02）

纽约南区联邦地区法院Engelmayer法官于2026年9月1日作出Hayward v. mParticle, Inc.案判决（No. 25 Civ. 8173 (PAE), 2026 WL 2582794），以12(b)(1)程序驳回针对mParticle、Rokt等被告的跟踪技术集体诉讼，理由是原告未能证明”injury in fact”，未触及12(b)(6)的实体审查。判决援引第二巡回McMorris、Cooper、Liau、Xu判例，认定设备ID不构成PII，邮件地址与电话号码在论点下属于”less sensitive data”。本判决对管辖在第二巡回的同类跟踪技术案件与管辖转移问题具有指引意义。

来源：National Law Review（对Hayward v. mParticle判决的详细分析）[14]

【美国】Meta Platforms与50余州司法部长就Facebook/Instagram青少年安全问题达成最高180亿美元和解（2026-09-03）

由52位州及领地检察长牵头的Meta Platforms青少年安全多州和解持续进入报告与公开解读阶段。根据公开记录，和解金额上限180亿美元（约127亿美元分配参与州、53亿美元与Alphabet/YouTube及TikTok的对应付款挂钩），并对Meta旗下Facebook、Instagram施加系统性的青少年保护整改义务：每日使用上限2小时、午夜至早6点停用、白天上课时段通知静音等。事件决定日2026年8月26日略早于本周边界，但本周内持续被权威媒体覆盖并形成正式解读，对跨国社交平台与未成年人保护业务模式具有重大参照意义。

来源：AOL/Reuters 综合[15]

---

4. 行业动态

境内

【中国】中央网信办召开2026年国家网络安全宣传周新闻发布会，网安周9月14日至20日在济南举行（2026-09-01）

中央网信办于2026年9月1日召开新闻发布会宣布2026年国家网络安全宣传周将于9月14日至20日在全国范围举行，开幕式与高峰论坛设在济南。主题为”网络安全为人民，网络安全靠人民——智能时代 网安护航”，采用”1+15”分论坛架构，9月20日为个人信息保护日。发布会预告网安周期间将发布《人工智能安全治理框架》3.0版与《2026年人工智能技术赋能网络安全应用测试结果》两项重要成果，并宣布由中央网信办、济南市委宣传部等十部门联合主办。本届网安周将AI治理与个人信息保护作为重点议题，企业应提早规划参会、参与合规合作与产品发布节奏。

来源：光明网网安频道[16]

境外

【中国香港】PCPD发布《在使用Agentic AI时保护个人资料私隐》指引（2026-09-01）

香港个人资料私隐专员公署（PCPD）于2026年8月25日发布《在使用Agentic AI时保护个人资料私隐》指引，附9项核心建议与安全检查清单，覆盖过度收集、透明度、准确性、保留期、目的限制、安全保障、数据查阅与更正、持续风险评估、责任与培训等领域。指引明确Agentic AI存在五类风险：广泛访问权限、系统漏洞、插件脆弱、功能蔓延、多智能体风险。PCPD援引大陆TC260《AI Agents安全部署与使用指南》以及EDPS、UK ICO、Spanish AEPD、Dutch AP、SG IMDA等全球监管者对agentic AI的统一表态。本指引强化跨境合规耦合：在港机构、跨境数据中心、IaaS/PaaS/SaaS厂商需将其作为产品设计的安全基线。

来源：Office of the Privacy Commissioner for Personal Data (PCPD) Hong Kong[17]

【OECD】OECD与欧盟联合发布中小学AI素养框架（2026-09-03）

OECD与欧盟委员会联合发布《赋能人工智能时代的学习者：中小学人工智能素养框架》（Empowering Learners for the Age of AI），围绕Engage with、Create with、Manage、Shape AI四大领域展开，对接PISA 2029媒体与人工智能素养测评。框架覆盖伦理、隐私、digital sustainability（碳足迹）、算法偏见与版权。框架面向教育部修订课程的官方依据，是首个跨大西洋全球性中小学AI素养正式框架。

来源：OECD（中国基础教育转载解读）[18]

【美国】OpenAI启动”Daybreak for Frontline Defenders”计划承诺最多10亿美元用于关键基础设施网络安全（2026-09-04）

OpenAI于2026年9月4日启动”Daybreak for Frontline Defenders”计划，承诺最高10亿美元为关键基础设施（能源、水务、地方政府等）提供AI网络安全能力、训练与技术支援。该计划与同日OpenAI agents操控DseWiki安全事件披露形成对照，标志着前沿模型厂商首次大规模把”防御性AI”承诺与”AI Act / NIS2报告义务”绑定。能源、水务、地方政府与电信运营商等关键基础设施运营方在采购AI安全能力时可将此作为合规评估锚点。

来源：unite.ai（综合解读OpenAI Daybreak官方发布）[19]

【新加坡】PDPC生成式AI指南与PET沙箱扩展同步生效，DPO注册库公众可查（2026-09-01）

新加坡个人数据保护委员会（PDPC）发布生成式AI治理指南、网络安全就绪性技术指南与PET（联邦学习、差分隐私、合成数据）指南，三项指南自2026年9月1日同步生效。DPO注册库自2026年9月1日起公众可查询，PET沙箱自2026年9月2日起扩展。在新加坡经营与跨境传输至新加坡的企业需将上述指南与基础设施纳入PDPA项下生成式AI合规预期。

来源：Personal Data Protection Commission (PDPC) Singapore[20]

引用链接

[1] 中央网信办: https://www.cac.gov.cn/2026-07/24/c_1786638889704872.htm
[2] 广州市委网信办转载: https://igz.gzwxb.gov.cn/context/contextId/216547
[3] European Commission: https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1772
[4] 2eu.brussels: https://2eu.brussels/en/news/commission-starts-ai-act-enforcement-involving-more-than-30-companies-and-discusses-cyber-risks-with-openai-and-anthropic
[5] Spruson & Ferguson Lawyers: https://www.spruson.com/proposed-tranche-2-privacy-act-reforms-australia/
[6] 中央网信办（科技日报转载）: https://www.stdaily.com/web/gdxw/2026-09/02/content_573828.html
[7] Data Protection Commission (Ireland): https://dataprotection.ie/en/news-media/latest-news/data-protection-commission-announces-final-decision-following-inquiry-health-service-executive-hse
[8] Federal Trade Commission: https://www.ftc.gov/news-events/news/press-releases/2026/09/payment-processor-nuvei-must-implement-robust-merchant-screening-practices-pay-485-million-settle
[9] Personal Information Protection Commission (PIPC) Korea: https://pipc.go.kr/eng/user/ltn/new/noticeDetail.do?bbsId=BBSMSTR_000000001&nttId=3172
[10] Digital Policy Alert: https://digitalpolicyalert.org/event/43356-act-amending-implementation-act-of-general-data-protection-regulation-requiring-publication-of-sanction-decisions-entered-into-force-gazette-no-2026-154
[11] 光明网（头条号转载）: https://www.toutiao.com/article/7679343471966028326
[12] Court of Justice of the European Union (Press Release No.115/2026): https://curia.europa.eu/site/upload/docs/application/pdf/2026-09/cp260115en.pdf
[13] Court of Justice of the European Union (Press Release No.117/2026): https://curia.europa.eu/site/upload/docs/application/pdf/2026-09/cp260117en.pdf
[14] National Law Review（对Hayward v. mParticle判决的详细分析）: https://natlawreview.com/article/you-moved-well-your-law-did-not-article-iii-standing-limits-survive-venue-shifts
[15] AOL/Reuters 综合: https://www.aol.com/articles/meta-platforms-may-escaped-worst-100000000.html
[16] 光明网网安频道: https://wlaq.gmw.cn/2026-09/01/content_38979051.htm
[17] Office of the Privacy Commissioner for Personal Data (PCPD) Hong Kong: https://www.pcpd.org.hk/english/news_events/media_statements/press_20260825.html
[18] OECD（中国基础教育转载解读）: https://www.toutiao.com/article/7681276868695196212
[19] unite.ai（综合解读OpenAI Daybreak官方发布）: https://www.unite.ai/openai-commits-1b-to-frontline-cyber-defense-launches-ms-isac-pilot/
[20] Personal Data Protection Commission (PDPC) Singapore: https://www.pdpc.gov.sg/organisations/e-services/data-protection-officers-dpo-registry