2026年第37周（09月06日–09月12日）｜全球数据安全与AI法律通讯

编者按

欢迎阅读全球数据安全与AI法律通讯。本期为2026年9月13日（周日）自动生成版本，覆盖2026年09月06日至2026年09月12日（周日至周六，Asia/Shanghai）期间公开发布的网络安全、数据合规、个人信息保护与人工智能监管资讯。本通讯由AI辅助检索与人工复核相结合，优先收录可访问的官方与权威来源。因自动生成时点、各国时区、网站可达性和发布渠道差异，信息可能存在一定限度，资讯日期亦可能略有出入，敬请知悉。

目录

本周焦点

立法动态
【中国】国家互联网信息办公室发布《数据出境安全管理政策法规问答（2026年9月）》（2026-09-11）
【中国】工业和信息化部印发《“人工智能+软件”专项行动实施方案》（2026-09-11）
【中国】国家数据局正式推行数据产权登记制度并启动登记服务系统试运行（2026-09-11）
【欧盟】《网络韧性法案》报告义务生效，ENISA上线单一报告平台（2026-09-11）
【韩国】《个人信息保护法》修正案及施行令自9月11日起施行（2026-09-10）

执法动态
【中国】公安部通报42款违法违规收集使用个人信息的移动应用（2026-09-08）
【美国】FTC就协助诈骗商户收款与支付处理商Humboldt达成1200万美元和解（2026-09-08）
【意大利】Garante对BBVA意大利分行作出5,508,000欧元处罚（2026-09-09）
【美国】佛罗里达州总检察长起诉Netflix非法收集并商业化儿童个人数据（2026-09-09）
【法国】CNIL公布对EXTIA的30万欧元处罚决定（2026-09-09）

司法动态
【中国】最高人民法院发布《关于依法审理涉人工智能纠纷案件的意见》（2026-09-07）
【中国】上海首例涉AI声音仿冒不正当竞争纠纷案判决生效（2026-09-11）
【中国】四川眉山中院审结两起侵犯公民个人信息民事公益诉讼案（2026-09-08）
【美国】哥伦比亚特区巡回上诉法院确认禁止IRS向ICE批量共享纳税人数据的禁令（2026-09-08）
【美国】加州联邦法院初步批准GoodRx隐私集体诉讼和解（2026-09-08）

行业动态
【中国】中国网络空间安全协会启动两项智能体安全团体标准（2026-09-11）
【中国】工业和信息化部发布《信息通信行业发展”十五五”规划》部署网络和数据安全保障能力（2026-09-08）
【美国】NIST国家网络安全卓越中心发布供应链可追溯性元框架NIST IR 8536最终版（2026-09-09）
【美国】Anthropic首席执行官承诺向嵌入式第三方评估员开放员工级访问权限（2026-09-12）
【美国】Veradigm第三方供应商凭据泄露致患者数据外泄（2026-09-09）

---

本周焦点

本周境内监管重心在规则落地与制度补位：国家数据局正式推行数据产权登记制度，以”一次登记、全国通用”解决登记标准不一问题；国家网信办发布数据出境问答，明确个人信息出境认证的10万/100万人门槛与适用标准；工信部印发《“人工智能+软件”专项行动实施方案》，单列条款要求加强生成代码安全审查与智能体安全管理规范。司法层面，最高人民法院发布首部涉人工智能司法裁判规则文件，24条意见对”AI换脸拟声""网络开盒”、模型训练数据使用、大数据杀熟等问题给出指引。境外呈现”合规义务集中生效＋大额处罚”态势：欧盟《网络韧性法案》报告义务9月11日生效，韩国《个人信息保护法》修正案同日施行并引入最高销售额10%的惩罚性罚款；美国FTC与Humboldt达成1200万美元和解，意大利Garante对BBVA意大利分行罚款550.8万欧元，佛罗里达州起诉Netflix非法收集并商业化儿童数据。合规主线正从”可选”走向”可执法”。

---

1. 立法动态

境内

【中国】国家互联网信息办公室发布《数据出境安全管理政策法规问答（2026年9月）》（2026-09-11）

国家互联网信息办公室9月11日发布《数据出境安全管理政策法规问答（2026年9月）》，就个人信息出境认证等实务问题作出解答。问答明确，非关键信息基础设施运营者自当年1月1日起累计向境外提供10万人以上、不满100万人个人信息（不含敏感个人信息），或者不满1万人敏感个人信息，且不包含重要数据的，可以通过个人信息出境认证方式履行数据出境合规义务；认证依据为GB/T 35273《信息安全技术 个人信息安全规范》与GB/T 46068《数据安全技术 个人信息跨境处理活动安全认证要求》。累计出境达到100万人以上个人信息或1万人以上敏感个人信息的，仍应通过所在地省级网信部门向国家网信部门申报数据出境安全评估，并可将认证情况附后供参考。问答同时重申，不得采取数量拆分等手段，将依法应当申报安全评估的个人信息通过认证方式向境外提供。

来源：中国网信网（国家互联网信息办公室）[1]

【中国】工业和信息化部印发《“人工智能+软件”专项行动实施方案》（2026-09-11）

工业和信息化部9月11日公开印发《“人工智能+软件”专项行动实施方案》（工信部信发〔2026〕209号），提出到2028年培育一批高水平智能编程工具和智能开发平台、推广应用覆盖2万家规模以上软件企业、累计组织实施100项软件企业智能化技改项目、在重点行业打造100个智能体软件标杆应用、孵化5个以上优质开源项目；到2030年关键软件全面实现智能化升级，智能编程、智能体软件及智能服务成为产业新增长极。方案从推进软件生产变革、加快软件产品智能化升级、培育智能体软件新业态、拓展智能软件服务、夯实软件智能化发展基础、优化软件产业发展环境六个方面作出部署，并单列”提升软件领域安全保障能力”，要求加强人工智能生成代码安全审查，防范智能编程工具恶意指令注入等新型攻击，强化开发工具与代码库访问控制，研究智能体身份标识、可信互联、数据安全与行为管控技术，推动建立覆盖开发、部署、应用全环节的智能体安全管理规范，并加强生成代码的知识产权合规治理。

来源：工业和信息化部（信息技术发展司）[2]

【中国】国家数据局正式推行数据产权登记制度并启动登记服务系统试运行（2026-09-11）

国家数据局9月11日宣布，我国正式推行数据产权登记制度，国家数据产权登记服务系统同期启动试运行。登记机构将为各类形态数据出具”身份证明”，明确数据持有权、数据使用权、数据经营权等权利归属，更好支撑数据流通交易、数据资产入表、融资担保、作价入股等生产经营活动。国家数据局政策和规划司司长栾婕表示，国家层面推行统一的数据产权登记制度，将着力解决一段时间以来市面上多种类型数据登记并存、标准不一、互认不足的问题，实现”一次登记、全国通用”。经过遴选，北京国际大数据交易所等多家数据交易所率先成为登记机构。对企业而言，数据资产的权利归属凭证化将直接影响数据入表、融资与交易的合规基础。

来源：国家数据局[3]

境外

【欧盟】《网络韧性法案》报告义务生效，ENISA上线单一报告平台（2026-09-11）

欧盟网络安全局（ENISA）9月11日宣布，《网络韧性法案》（CRA）单一报告平台（SRP）初始版本上线运行，同日，CRA 针对制造商的漏洞与严重事件报告义务正式生效。根据 ENISA 说明，制造商自9月11日起须报告”已被积极利用的漏洞”以及影响含数字元素产品安全的严重事件；法案主要网络安全要求自2027年12月11日起适用，开源软件管理者的报告义务亦自该日起适用。通过该平台，制造商与开源软件管理者可一次性提交报告，由首个接收的成员国计算机安全事件响应小组（CSIRT）分发给其他相关 CSIRT，并同步提供给 ENISA。ENISA 执行主任 Juhan Lepassaar 表示，数字产品的漏洞常被攻击者用于破坏医疗、能源、交通、电信等关键服务，统一、简化的报告与信息共享有助于建设更具韧性的数字单一市场。向欧盟市场投放含数字元素产品的中国企业需据此调整漏洞响应流程与报告时效。

来源：欧盟网络安全局（ENISA）[4]

【韩国】《个人信息保护法》修正案及施行令自9月11日起施行（2026-09-10）

韩国个人信息保护委员会（PIPC）9月10日宣布，今年3月修订的《个人信息保护法》及具体化授权事项的施行令自9月11日起施行。本次修订针对反复发生或者故意、重大过失导致的个人信息泄露，引入最高可达整体销售额10%的惩罚性罚款，同时建立与事前预防性保护投资相挂钩的罚款减免机制，以激励事前投入。管理责任方面，修订明确代表人（CEO）的最终责任，强化个人信息保护负责人（CPO）的职权（含专业人力管理与预算保障、向董事会报告义务），并要求 CPO 的指定、变更、解除须经董事会决议并向 PIPC 申报。权利救济方面，新设”个人信息泄露可能性通知”制度，扩大泄露通知事项（增加纠纷调解申请、损害赔偿请求方式），并将个人信息的伪造、篡改、毁损（如勒索软件攻击）纳入泄露申报与通知范围。公共与民间重要个人信息处理者的 ISMS-P 认证义务自2027年7月1日起施行。

来源：韩国个人信息保护委员会（PIPC）[5]

---

2. 执法动态

境内

【中国】公安部通报42款违法违规收集使用个人信息的移动应用（2026-09-08）

公安部9月8日通报42款存在违法违规收集使用个人信息问题的移动应用，涉及违规索取非必要权限、未逐一列明收集使用规则、超出必要范围收集个人信息等情形，并督促相关运营者限期整改。此类通报是个人信息保护专项行动的常态化环节，对运营者的直接要求是把权限申请、告知同意与个人信息处理范围控制在实现功能所必需的最小范围内，并保留可核查的合规记录；对采购第三方 SDK 的企业而言，还需在合同中明确数据收集边界与责任划分。

来源：澎湃新闻[6]

境外

【美国】FTC就协助诈骗商户收款与支付处理商Humboldt达成1200万美元和解（2026-09-08）

美国联邦贸易委员会（FTC）9月8日宣布，支付处理商 Humboldt Merchant Services 同意支付1200万美元用于消费者赔偿，并接受永久性禁令，以了结其为欺诈商户处理支付的指控。FTC 指控 Humboldt 为1000余家壳公司商户开通并处理支付，这些商户是从事未经授权扣款诈骗企业的”前台”或通道；Humboldt 在明知或者有意回避知情的情况下仍予开通，相关账户的拒付率接近信用卡组织认定”过高”标准的10倍，公司还把这些账户挂靠到关联实体持有的风险更低的银行识别码（BIN）下，以提高交易获得发卡行批准的概率。拟议命令禁止 Humboldt 从事或协助”信用卡洗白”，禁止为稻草公司、因拒付过高或洗钱欺诈被列入 MATCH 名单的商户、已被执法处理的商户、以及仅以第三方邮箱为唯一经营地且使用负向选择计费的新商户等四类主体处理支付，并禁止以负载均衡等手段规避欺诈与风险监控。该命令已提交美国密歇根东区联邦地区法院，委员会以2比0表决通过。

来源：美国联邦贸易委员会（FTC）[7]

【意大利】Garante对BBVA意大利分行作出5,508,000欧元处罚（2026-09-09）

意大利数据保护机构 Garante 公开第613号处罚决定，对 Banco Bilbao Vizcaya Argentaria（BBVA）意大利分行处以5,508,000欧元罚款。案件源于一名客户的单一投诉：该客户2025年10月通过银行 App 关闭商业信息推送并向客服重申反对意见，但该偏好未同步至负责发送商业信息的 CRM 系统，此后七个月内仍持续收到至少十次未经请求的商业推送，直至2026年5月才被纠正。Garante 认定 BBVA 违反 GDPR 第5条第1款(a)项、第12条与第21条，驳回其”客户使用了错误渠道""技术故障”等抗辩，指出偏好已正确录入却未到达发送系统，恰恰证明公司未执行请求；客服以”弹窗无法移除、不需要可以忽略”回复客户，本身构成告知不实与不透明，且客服是数据主体与控制者的第一接触点，构成加重情节。除罚款外，Garante 还责令 BBVA 采取充分的技术与组织措施，确保数据主体权利可便捷行使且请求得到正确、及时处理，并在30日内报告整改情况。

来源：The DPO（意大利Garante第613号决定）[8]

【美国】佛罗里达州总检察长起诉Netflix非法收集并商业化儿童个人数据（2026-09-09）

美国佛罗里达州总检察长 James Uthmeier 于9月9日在圣约翰斯县巡回法院提交66页起诉书，指控 Netflix 长期宣称”不收集、不出售数据”并承诺为家庭提供免受科技监视的付费服务，实际却记录数十亿条用户行为事件，包括儿童档案中的点击、回放、跳过等行为数据，并将其开放给数据经纪商与广告平台，用于2022年11月上线的广告支持套餐。起诉书依据《佛罗里达州欺骗性和不正当贸易行为法》与《佛罗里达数字权利法案》提出五项指控，主张 Netflix 未经同意出售儿童敏感数据、未按法律要求作出”本网站可能出售您的敏感个人信息”提示，并指控自动播放默认开启构成”暗黑模式”。佛州请求永久禁令、删除以欺骗方式收集的数据、禁止将历史用户数据用于广告，并按每次故意违规最高10,000美元、《数字权利法案》项下每次违规最高50,000美元（涉及已知儿童可三倍）主张民事罚款。此前得克萨斯州已于2026年5月提起类似诉讼，Netflix 表示该诉讼缺乏依据并将积极抗辩。

来源：Digital Watch Observatory[9]

【法国】CNIL公布对EXTIA的30万欧元处罚决定（2026-09-09）

法国国家信息与自由委员会（CNIL）9月9日公布第 SAN-2026-010 号处罚决定，对 IT 与工程咨询公司 EXTIA 处以30万欧元罚款。CNIL 调查发现，该公司2024年收到的265件删除权请求中，超过四分之三未获处理或者处理不当：其中12件完全未处理，另有166名请求人从未收到处理结果的告知，部分告知超出 GDPR 规定的一个月期限达数月。CNIL 特别指出，数据即使因到期被自动删除，也不免除企业向请求人告知处理结果的义务；考虑到涉及”个人权利这一基本原则”、受影响人数较多且此前已有两次提醒，最终确定该罚款金额，并决定公开该决定（公布两年后停止点名）。该案与欧洲数据保护委员会2025年就删除权开展的协调执法行动直接相关，提示企业需要建立可追踪、可举证的请求响应闭环，而非仅完成数据删除动作。

来源：法国国家信息与自由委员会（CNIL）[10]

---

3. 司法动态

境内

【中国】最高人民法院发布《关于依法审理涉人工智能纠纷案件的意见》（2026-09-07）

最高人民法院9月7日发布《关于依法审理涉人工智能纠纷案件的意见》（法发〔2026〕10号）。这是首部由最高审判机关发布的涉人工智能司法裁判规则文件，分5个部分共24条，依据民法典、网络安全法、数据安全法、著作权法、反不正当竞争法、消费者权益保护法、个人信息保护法等现行法律，聚焦”AI换脸拟声""AI复活逝者""AI幻觉”侵权、“网络开盒”、大数据杀熟、自动驾驶、模型训练使用数据等社会关注问题。意见明确涉人工智能侵权以过错责任为一般归责原则，判断过错应综合考量应用场景、自主化程度、技术与信息透明度、风险影响范围以及开发者与提供者为预防侵权所采取措施及技术可能性；未经同意使用自然人声音作为训练语料、生成能够识别该自然人的合成人声，构成对声音权益的侵害；为模型训练在合理范围内处理个人自行公开或者其他已合法公开的个人信息且个人未明确拒绝的，一般不认定为侵害个人信息权益，但对个人权益有重大影响的应依法取得同意。

来源：最高人民法院知识产权法庭[11]

深度解读：《意见》填补了我国尚无专门人工智能法情形下的裁判规则空白，对企业最直接的影响有三点：一是模型训练的数据来源需要可举证，开发者主张不侵权抗辩的，应当提供训练数据来源、训练过程记录、模型运行模式以及科学理论依据等予以佐证，数据来源合规文档由此从”合规装饰”变为诉讼必需品；二是”合理范围”的认定要素首次具体化，处理目的与模型功能的必要性和适当性、信息类型与敏感程度、个人公开信息时的场景及可合理预期的使用范围，都要求企业在数据采集环节即留存目的说明与范围判断依据；三是生成内容的通知与处置义务被明确，生成式人工智能服务提供者经权利人通知未及时停止生成侵权内容、屏蔽相关生成指令的，需承担侵权责任，这意味着投诉响应机制必须具备可核查的时限与留痕。此外，意见对开源软件开发者与提供者在特定情形下给予适当责任豁免，为参与开源生态的企业降低了责任预期。

【中国】上海首例涉AI声音仿冒不正当竞争纠纷案判决生效（2026-09-11）

上海首例涉 AI 声音仿冒不正当竞争纠纷案近日生效。涉案格某公司未经授权复制热门游戏《原神》63个角色的语音素材，制作 AI 变声音包对外销售，价格19元至59元不等，并在软件内设置试听专区、搭配游戏角色昵称与头像引导消费，63款声音资源包使用次数从3万次至192余万次。法院认定，其中59款资源包使用了与游戏原作一致的角色台词，直接使用作品的核心组成部分，构成著作权侵权；游戏名称、剧情台词、角色形象连同角色专属声音共同构成具有一定影响的服务标识组合，角色声音属于受《反不正当竞争法》保护的商业标识组成部分，涉案变声服务足以造成市场混淆，构成不正当竞争。一审判令停止侵权并赔偿经济损失及合理开支共计75万元，被告上诉后撤回上诉，判决发生法律效力。法院同时明确，通过反不正当竞争法对角色声音予以保护重点在于规制仿冒混淆行为，并不影响配音演员依法享有的人身权利。

来源：中新网上海[12]

【中国】四川眉山中院审结两起侵犯公民个人信息民事公益诉讼案（2026-09-08）

四川省眉山市中级人民法院近日审结眉山市人民检察院诉蒲某、李某侵权责任纠纷民事公益诉讼两案，系行为人刑事不起诉后由检察机关提起民事公益诉讼追责的典型案例。2023年2月至9月、2024年3月至5月，蒲某、李某在眉山、乐山、资阳、雅安等地以”免费礼品”为诱饵开展地推，并通过发展下线、使用”嗅探”设备等方式非法获取群众手机号码与短信验证码，转卖他人用于注册微信、抖音等网络账号，分别获利13,329元与16,412元。检察机关认定其中一人行为已构成侵犯公民个人信息罪，但考虑犯罪情节轻微且具备坦白、认罪认罚、全额退赃等从轻情节作出不起诉决定，同时就损害社会公共利益的部分提起民事公益诉讼。经法官释法明理，两被告当庭认可检察机关全部诉讼请求，自愿承担相应民事法律责任。该案释放的司法信号是：刑事不起诉不等于免责，行为损害社会公共利益的，侵权人仍须承担赔偿损失、公开赔礼道歉等民事侵权责任。

来源：四川新闻网[13]

境外

【美国】哥伦比亚特区巡回上诉法院确认禁止IRS向ICE批量共享纳税人数据的禁令（2026-09-08）

美国哥伦比亚特区巡回上诉法院9月8日一致裁定，维持下级法院此前作出的初步禁令，禁止美国国税局（IRS）依据2025年建立的”数据交换程序”向移民和海关执法局（ICE）提供纳税人信息（Center for Taxpayer Rights v. IRS）。法院认定该程序的自动化审查方式”无可争议地违反”《国内税收法典》第6103条关于纳税人申报信息保密的要求。裁决查明，IRS 共向 ICE 移交47,289条纳税人记录，其中九成以上通过自动化”纳税人识别号匹配”方式完成，未按法律要求核实 ICE 提供的地址是否真实有效；在 ICE 提交的覆盖约128万个体的请求中，联络人一栏均为同一名官员；且该程序未满足”具体说明信息与调查相关”的法定要求。法院驳回政府关于禁令”高度异常且有害”的抗辩，指出 IRS 已”两次收到警示”，政府及其人员对故意披露受保护的纳税人信息将面临严厉的民事与刑事后果。该案对政府部门间批量数据共享的法定条件与个案审查要求具有示范意义。

来源：Thomson Reuters Tax & Accounting[14]

【美国】加州联邦法院初步批准GoodRx隐私集体诉讼和解（2026-09-08）

美国加州联邦法院法官9月8日初步批准 GoodRx 隐私集体诉讼和解方案。原告指控 GoodRx 使用 Meta、Google 与 Criteo 的追踪工具，在未经同意的情况下收集用户的敏感健康信息，法院同时初步确认了全国范围的集体成员范围，即2024年4月20日之前使用过 GoodRx 的用户。该案是美国监管执法与私人诉讼并行推进健康数据保护的又一进展，美国联邦贸易委员会此前已就 GoodRx 向广告平台披露健康信息作出过执法处理。对企业而言，健康、金融等高敏感数据的追踪工具配置需要逐项核对告知同意与第三方共享边界，不能依赖平台方默认设置；同时，取得用户同意并不当然覆盖后续新增的第三方数据接收方。

来源：MLex[15]

---

4. 行业动态

境内

【中国】中国网络空间安全协会启动两项智能体安全团体标准（2026-09-11）

9月9日，在2026 Inclusion·外滩大会”智能体时代的安全坐标与责任边界”见解论坛上，由中国网络空间安全协会提出、蚂蚁集团联合研究院所、运营商与互联网厂商等单位共同参与编制的《智能体身份鉴别与授权技术框架》《智能体运行时安全技术要求》两项团体标准正式启动，推动智能体安全从企业技术实践走向行业共同规范。《智能体身份鉴别与授权技术框架》重点解决智能体”身份是谁、代表谁、能做什么”的问题，提出建立智能体、用户与运行环境之间的多层可信身份链，为智能体颁发唯一、可信且可持续验证的数字身份，并引入基于任务意图的动态访问控制机制，权限随任务激活、随任务结束及时回收。《智能体运行时安全技术要求》覆盖风险监测与控制、风险检测与决策、集中分析以及性能与稳定性等要求，贯通用户初始意图、智能体规划、工具调用、系统执行与结果交付等关键环节。与会专家披露，在对九款主要手机终端智能体的安全测评中共发现300余项重点风险，涵盖提示词导致文件泄露、自主决策错误、接入恶意 MCP 调用违法违规应用等。两项标准均为团体标准而非强制性国家标准，后续智能体安全国家标准将聚焦决策权限与行为边界等关键环节。

来源：环球网（经新浪财经转载）[16]

【中国】工业和信息化部发布《信息通信行业发展”十五五”规划》部署网络和数据安全保障能力（2026-09-08）

工业和信息化部发布《信息通信行业发展”十五五”规划》，其中单设”网络和数据安全保障能力”专章，对下一阶段信息通信领域的网络安全与数据安全能力建设作出系统部署，同时明确人工智能与信息通信基础设施融合发展的方向。对运营基础电信业务、数据中心与云服务的企业而言，规划释放的政策信号是安全能力建设将与业务许可、基础设施建设同步推进，企业宜提前对接地方主管部门的具体落实要求，并将数据分类分级、重要数据保护、网络安全防护与供应链安全管理纳入”十五五”期间的投入规划，避免在基础设施建设完成后被动补齐安全能力。

来源：光明网（《光明日报》）[17]

境外

【美国】NIST国家网络安全卓越中心发布供应链可追溯性元框架NIST IR 8536最终版（2026-09-09）

美国国家标准与技术研究院（NIST）国家网络安全卓越中心（NCCoE）发布内部报告 NIST IR 8536《供应链可追溯性原则：制造业元框架》最终版。该元框架提供了一套行业中立、可互操作的机制，用于在供应链上安全地交换与验证可追溯性信息，同时允许企业继续沿用现有行业标准。NIST 指出，企业虽可依据 SP 800-53 与网络安全框架（CSF）确立供应链风险管理目标，却普遍难以获得满足这些目标所需的来源与谱系信息，现有供应链可见性方案又往往碎片化、行业化，难以跨链验证产品的真实性与完整性。该框架通过安全数字链接建立信任，使供应商无需披露商业秘密或内部流程即可验证产品，并可针对具体行业裁剪使用，有助于提升跨行业互操作性并加速安全可追溯方案的采用。

来源：NIST 国家网络安全卓越中心（NCCoE）[18]

【美国】Anthropic首席执行官承诺向嵌入式第三方评估员开放员工级访问权限（2026-09-12）

Anthropic 首席执行官 Dario Amodei 发表《We Must Pace the Frontier》，提出以”为前沿能力发展定速”为目标的三步方案：第一步是各前沿 AI 公司承诺向嵌入式第三方评估员（如 METR）提供持续、接近员工级别的访问权限，由其核验安全实践与承诺的落实情况、报告事件，并评估模型与训练流程的对齐情况；第二步是民主国家的前沿 AI 公司协调建立共同安全标准与能力推进速度限制；第三步是推动全球协调。Amodei 表示 Anthropic 单方面承诺实施第一步，将在近期邀请外部评审团队进驻，为其提供办公位、门禁、公司笔记本以及与内部风险评估团队大体相当的权限（法律或合同要求、客户与合作伙伴隐私信息除外），并给予评审方公开发表关键发现的权利——公司仅可对安全敏感、法律特权、商业敏感或第三方机密信息作狭义删改，不得仅因结论不利而删改。他同时呼吁其他前沿公司跟进，并主张政府通过监管将常设嵌入式评估员制度化。

来源：Dario Amodei（Anthropic CEO）[19]

【美国】Veradigm第三方供应商凭据泄露致患者数据外泄（2026-09-09）

医疗信息技术公司 Veradigm 披露一起数据泄露事件：攻击者通过第三方供应商泄露的凭据进入系统，导致患者数据外泄，涉及信息包括姓名与社会安全号等敏感标识。事件再次说明，医疗数据链条上的风险往往不在机构自身系统，而在供应商的凭据与访问控制管理。处理健康数据的企业应将供应商的身份验证、最小权限、多因素认证与访问日志纳入合同条款与持续监控要求，并在事件预案中明确因第三方导致泄露时的通知分工与时限，避免在监管问询时无法提供第三方环节的访问记录。

来源：Cyber Security News[20]

引用链接

[1] 中国网信网（国家互联网信息办公室）: https://www.cac.gov.cn/2026-09/11/c_1790876549989064.htm
[2] 工业和信息化部（信息技术发展司）: https://www.miit.gov.cn/zwgk/zcwj/wjfb/tz/art/2026/art_49783ce685f042029111c8b6e94f0f30.html
[3] 国家数据局: https://www.nda.gov.cn/sjj/swdt/mtsy/0911/20260911202103135795340_pc.html
[4] 欧盟网络安全局（ENISA）: https://www.enisa.europa.eu/news/the-cra-single-reporting-platform-is-launched
[5] 韩国个人信息保护委员会（PIPC）: https://pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12459
[6] 澎湃新闻: https://www.thepaper.cn/newsDetail_forward_34033894
[7] 美国联邦贸易委员会（FTC）: https://www.ftc.gov/news-events/news/press-releases/2026/09/ftc-takes-action-against-payment-processor-humboldt-merchant-services-knowingly-facilitating-payment
[8] The DPO（意大利Garante第613号决定）: https://thedpo.eu/en/decisions/b87d6cb3-db89-4c89-b3b2-06ea3075ff1b
[9] Digital Watch Observatory: https://dig.watch/updates/florida-netflix-childrens-data
[10] 法国国家信息与自由委员会（CNIL）: https://cnil.fr/en/sanction-failure-rights-individuals-extia
[11] 最高人民法院知识产权法庭: https://ipc.court.gov.cn/zh-cn/news/view-6033.html
[12] 中新网上海: https://www.sh.chinanews.com.cn/fzzx/2026-09-11/149168.shtml
[13] 四川新闻网: https://scnews.newssc.org/system/20260908/001639286.html
[14] Thomson Reuters Tax & Accounting: https://tax.thomsonreuters.com/news/d-c-circuit-blocks-irs-from-sharing-taxpayer-data-with-ice/
[15] MLex: https://www.mlex.com/mlex/articles/2522864/us-federal-judge-preliminarily-approves-goodrx-privacy-settlement
[16] 环球网（经新浪财经转载）: https://finance.sina.com.cn/jjxw/2026-09-11/doc-inirmmnc5449899.shtml
[17] 光明网（《光明日报》）: https://news.gmw.cn/2026-09/08/content_38989625.htm
[18] NIST 国家网络安全卓越中心（NCCoE）: https://csrc.nist.gov/News/2026/nccoe-releases-nist-ir-8536
[19] Dario Amodei（Anthropic CEO）: https://darioamodei.com/post/we-must-pace-the-frontier
[20] Cyber Security News: https://cybersecuritynews.com/veradigm-patient-data-breach/