2026年第39周（09月20日–09月26日）｜全球数据安全与AI法律通讯

编者按

欢迎阅读全球数据安全与AI法律通讯。本期为2026年9月27日（周日）自动生成版本，覆盖2026年09月20日至2026年09月26日（周日至周六，Asia/Shanghai）期间公开发布的网络安全、数据合规、个人信息保护与人工智能监管资讯。本通讯由AI辅助检索与人工复核相结合，优先收录可访问的官方与权威来源。因自动生成时点、各国时区、网站可达性和发布渠道差异，信息可能存在一定限度，资讯日期亦可能略有出入，敬请知悉。

目录

本周焦点

立法动态 【中国】江苏省互联网信息办公室就《江苏省网络数据安全管理办法（草案）》公开征求意见（2026-09-23） 【国际】芬兰、挪威等20国领导人联合发布《呼吁管控前沿人工智能模型》国际倡议（2026-09-22） 【欧盟】欧洲证券和市场管理局将数字创新列入2027年战略监管优先事项（2026-09-23）

执法动态 【中国】中央网信办通报30款App个人信息收集使用问题（2026-09-20） 【中国】国家计算机病毒应急处理中心检测发现82款违法违规收集使用个人信息的移动应用（2026-09-22） 【中国】山西省通信管理局下架16款侵害用户权益App（2026-09-24） 【爱尔兰】数据保护委员会对谷歌处以4.03亿欧元罚款（2026-09-21） 【英国】信息专员办公室：TikTok撤回两起上诉并接受1270万英镑罚款（2026-09-24）

司法动态 【中国】“两高”联合发布依法惩治网络食品安全犯罪典型案例（2026-09-22） 【美国】新墨西哥州陪审团裁定Meta违反该州《不公平竞争法》（2026-09-25）

行业动态 【中国】国家数据局发放我国首批数据产权登记凭证（2026-09-21） 【中国】国家数据局启动十大行业数据资源开发利用攻坚行动（2026-09-22） 【中国】中央网信办召开网络直播规范发展工作会议（2026-09-22） 【美国】网络安全和基础设施安全局将4个已遭利用漏洞列入KEV目录（2026-09-22） 【美国】谷歌、OpenAI与Anthropic筹建“前沿人工智能标准局”（2026-09-24）

本周焦点

本周境内呈现“专项执法密集落地、数据要素制度加速成型”的双线特征。个人信息保护系列专项行动在本周连续产生处置结果：中央网信办20日通报30款App在告知同意、权限索取、信息列明与账号注销方面的典型问题；国家计算机病毒应急处理中心22日另行通报82款违法违规收集使用个人信息的移动应用，其中上期75款经复测仍有28款不合格并已被分发平台下架；山西省通信管理局24日对整改不到位的16款App作出下架处置。制度侧，国家数据局21日宣布首批56份数据产权登记凭证陆续发放，22日又部署工业制造、医疗健康等十大行业数据资源开发利用攻坚行动；江苏省网信办23日就《江苏省网络数据安全管理办法（草案）》公开征求意见，是《网络数据安全管理条例》施行后省级专门立法的又一尝试。境外方面，监管处罚与司法追责同步推进：爱尔兰数据保护委员会21日以位置数据处理违反GDPR为由对谷歌处以4.03亿欧元罚款，英国信息专员办公室24日宣布TikTok撤回两起上诉、1270万英镑罚单终局并恢复推荐系统调查，美国新墨西哥州陪审团25日裁定Meta就该州用户数据与言论政策作出误导性陈述。前沿人工智能治理亦有新动向，芬兰、挪威等20国领导人联合发布《呼吁管控前沿人工智能模型》倡议，谷歌、OpenAI与Anthropic则转向筹建行业自律性质的“前沿人工智能标准局”。

1. 立法动态

境内

【中国】江苏省互联网信息办公室就《江苏省网络数据安全管理办法（草案）》公开征求意见（2026-09-23）

江苏省互联网信息办公室9月23日发布通知，就《江苏省网络数据安全管理办法（草案）》（征求意见稿）向社会公开征求意见，意见反馈截止时间为2026年10月23日。草案依据《网络安全法》《数据安全法》《个人信息保护法》《网络数据安全管理条例》《政务数据共享条例》及《江苏省数据条例》等制定，明确在本省行政区域内开展网络数据处理活动及其安全监督管理适用本办法，要求推进实施网络数据分类分级保护制度、保障重要数据安全、加强个人信息保护，并鼓励网络数据在各行业各领域的依法合理有效应用。这是《网络数据安全管理条例》施行后，省级层面以专门办法落实网络数据安全治理的一次立法尝试，对在该省开展数据处理活动的企业具有直接指引意义。

来源：江苏网信网[1]

境外

【国际】芬兰、挪威等20国领导人联合发布《呼吁管控前沿人工智能模型》国际倡议（2026-09-22）

据新华社报道，芬兰总统府9月21日发布公告，芬兰、挪威等多国政府及欧盟机构领导人联合发布名为《呼吁管控前沿人工智能模型》的国际倡议，呼吁全球加强前沿人工智能治理与国际协作。倡议由芬兰总统斯图布、挪威首相斯特勒共同发起，目前已获20个国家及欧盟委员会领导人支持，仍开放供其他国家领导人签署。倡议强调人工智能必须始终置于人类引导、监督和管控之下，其开发和使用应当符合国际法，并提出三点呼吁：企业制定透明的安全规程，包括强制性部署前测试和独立评估；各国及地区组织开发和协调通用标准，强化重大安全事件通报；联合国会员国在现有国际机制基础上，探索建立负责制定标准和进行核查的国际机构。

来源：新华网[2]

【欧盟】欧洲证券和市场管理局将数字创新列入2027年战略监管优先事项（2026-09-23）

欧洲证券和市场管理局（ESMA）9月23日宣布，将数字创新列为2027年欧盟范围内的战略监管优先事项。ESMA与各国证券监管机构将首先审查受监管机构在核心业务中使用人工智能与代币化的情况，同步建设监管能力，并就治理、数据质量与投资者保护形成共同方法。该事项属于监管工作优先安排，并未为金融机构创设新的《人工智能法案》义务，但释放了欧盟金融监管部门把人工智能应用纳入日常监管视线的明确信号。对在欧盟提供金融服务的机构而言，2027年前需要准备好人工智能用例清单、数据治理记录与投资者适当性说明等基础材料。

来源：欧洲证券和市场管理局[3]

2. 执法动态

境内

【中国】中央网信办通报30款App个人信息收集使用问题（2026-09-20）

中央网信办秘书局9月20日发布关于30款App个人信息收集使用问题的通报。依据中央网信办、工业和信息化部、公安部联合发布的《关于开展2026年个人信息保护系列专项行动的公告》，中央网信办组织对App（含小程序）收集使用个人信息行为进行检测，发现Flow Fit、滑板车背诵等6款App未公开个人信息收集使用规则，iNAP Care、中英翻译通等4款App强制或频繁索要非必要权限，GPS测亩仪、ROI计算器等9款App未完整准确列明收集使用个人信息情况，红卷乐读、道臣智运等11款App未提供有效账号注销功能。通报要求相关运营者于发布之日起15个工作日内完成整改，中央网信办将会同有关部门核查并结合整改情况依法依规开展处置处罚。

来源：中央网络安全和信息化委员会办公室[4]

【中国】国家计算机病毒应急处理中心检测发现82款违法违规收集使用个人信息的移动应用（2026-09-22）

国家计算机病毒应急处理中心9月22日发布通报，经检测发现82款移动应用存在一项或多项违法违规收集使用个人信息的情形。本次检测时间为2026年7月29日至9月4日，覆盖应用商店、微信小程序、支付宝小程序、百度小程序及微信服务号等多种载体，问题共分十二类，其中隐私政策未逐一列明收集使用目的、方式、范围涉及49款应用，未按规定提示阅读隐私政策或以默认同意方式征求同意涉及20款，未采取有效安全技术措施防止未经授权访问及个人信息泄露、篡改、丢失涉及13款，另有4款应用无隐私政策。通报同时披露复测结果，上期被点名的75款应用中仍有28款存在问题，相关分发平台已予以下架。

来源：国家计算机病毒应急处理中心[5]

【中国】山西省通信管理局下架16款侵害用户权益App（2026-09-24）

山西省通信管理局9月24日在官网公开《关于下架16款侵害用户权益APP的通报（2026年第三批）》。通报显示，该局针对2026年第二批次整改不到位的App要求限期整改，截至通报时仍有16款App未按要求完成整改，涉及违规收集使用个人信息等情形，该局决定对上述App予以下架，并要求各应用商店自通报发布之日起立即执行下架处理。这是2026年个人信息保护系列专项行动在地市层面向处置端延伸的典型动作：地方通信管理局的执法链条已从“通报—限期整改”推进到“逾期即下架”，应用商店的分发平台责任亦被同步压实。

来源：山西省通信管理局[6]

境外

【爱尔兰】数据保护委员会对谷歌处以4.03亿欧元罚款（2026-09-21）

爱尔兰数据保护委员会（DPC）9月21日公布对谷歌爱尔兰有限公司位置数据处理调查的最终决定，开出合计4.03亿欧元行政罚款，并责令谷歌在六个月内完成整改。调查由其于2020年2月依职权启动，审查范围为2018年5月25日至2020年2月4日期间“网络与应用活动”“位置记录”和“位置精确度”三项功能的数据处理。委员会认定，谷歌在合法性与公平性、透明度以及问责义务方面违反GDPR，并将部分用户位置数据的保存期限超过了必要限度。DPC副专员多伊尔指出，位置数据可能揭示大量具有私密性质的信息，相关处理方式使用户难以了解其位置被用于广告投放或兴趣推断。谷歌回应称，本案涉及的是已经更新的历史政策。

来源：爱尔兰数据保护委员会[7]

深度解读：本案对企业的启示不在于罚款数字，而在于监管机构拆解义务的方式。DPC将合法性、公平性、透明度、问责与保存期限作为相互独立的控制点，并分别评估三条位置数据链路，意味着“同意弹窗改一改”不足以完成整改：其一，系统设置逻辑必须逐条对应告知内容，功能名称与默认状态不得使用户产生相反理解；其二，问责义务要求处理者能够举证证明自身合规，而非仅声明合规，因此处理活动记录、影响评估与决策留痕的证据价值进一步上升；其三，保存期限须有可执行的到期删除机制，技术侧的实际删除要与制度文本一致。对以位置、轨迹、设备标识作为基础数据资产的出行、本地生活与广告类企业而言，宜参照本案的“数据流—原则—证据”三维框架开展自查，并将六个月的整改窗口理解为监管对同类企业给出的现实时间表。

【英国】信息专员办公室：TikTok撤回两起上诉并接受1270万英镑罚款（2026-09-24）

英国信息专员办公室（ICO）9月24日宣布，TikTok已撤回针对2023年1270万英镑罚单的上诉，该处罚决定自此终局，TikTok同意缴纳罚款。ICO此前认定，TikTok未采取充分措施识别并移除未满13周岁的用户、未在需要时取得父母同意，也未就数据如何被收集、使用和共享提供清晰信息；据其经济分析估算，2020年英国约有175万名13岁以下儿童使用了该平台。TikTok同时撤回针对另一份信息通知的上诉，ICO据此可恢复对13至17岁用户个人数据在推荐系统中使用情况的调查。ICO副专员基尼表示，该案说明企业需要建立恰当的保护措施，包括阻止年龄不足的儿童使用服务。

来源：英国信息专员办公室[8]

3. 司法动态

境内

【中国】“两高”联合发布依法惩治网络食品安全犯罪典型案例（2026-09-22）

最高人民法院、最高人民检察院9月22日联合发布5件依法惩治网络食品安全犯罪典型案例，聚焦直播售假、虚假宣传、非法添加和“幽灵外卖”等利用网络实施的犯罪模式，涵盖通过电商平台制售假蜂蜜、伪劣奶粉，通过直播电商平台、社交网络平台销售非法添加药物成分的减肥类食品，以及伪造、买卖营业执照和食品经营许可证注册“幽灵店铺”转售牟利等情形。案例显示，不法分子借助算法推荐精准锁定目标客户，通过组织虚假交易刷单人为提升搜索排名，并通过私聊议价或使用隐晦词汇规避平台监管。司法机关在依法从严惩处的同时，通过制发司法建议、检察建议压实入网食品销售者与第三方平台主体责任。该批案例对网络平台经营者履行资质审核、信息核验与广告合规义务具有直接参照意义。

来源：中华人民共和国最高人民法院[9]

境外

【美国】新墨西哥州陪审团裁定Meta违反该州《不公平竞争法》（2026-09-25）

美国新墨西哥州圣塔菲的陪审团9月25日裁定，Meta Platforms就其数据隐私政策及平台内容治理所作陈述构成误导，违反该州《不公平竞争法》。据路透社报道，该案由新墨西哥州总检察长于2021年提起，庭审历时两周，围绕剑桥分析事件中第三方应用抓取约8700万Facebook用户数据的指控展开。陪审团认定该州提出的29项陈述中有26项具有误导性，涉及用户数据共享、仇恨言论与虚假信息治理等表述，并认定违规次数超过4300万次，按每项违规最高5000美元计算，理论罚款上限约2190亿美元；具体罚金将由法官马修裁定，州总检察长表示将争取顶格处罚并请求法院责令Meta更正过往不实陈述、审查其用户数据管理方式。Meta表示不认同裁决并将继续抗辩。

来源：CBS News[10]

深度解读：本案的裁判逻辑值得企业法务重点关注——被审查的对象不是数据泄露本身，而是企业围绕隐私保护所作的公开承诺。陪审团将高管公开表态与平台政策文本作为“陈述”逐条比对，认定其与实际做法之间存在系统性差距，从而落入消费者保护法的规制范围。这一思路意味着，隐私政策、产品说明、白皮书以及高管公开发言中的绝对化表述（如“用户完全掌控自己的信息”“不会向第三方提供”）都可能成为未来诉讼中的证据。对拟上市或已上市企业而言，数据与人工智能相关的对外沟通应与内部实际控制措施保持一致，并保留可验证的实施记录；对生成式人工智能与算法推荐业务的合规声明，同样宜避免无法举证的承诺性措辞。

4. 行业动态

境内

【中国】国家数据局发放我国首批数据产权登记凭证（2026-09-21）

国家数据局9月21日披露，我国首批数据产权登记凭证陆续发放，56家企业和机构取得数据持有权、使用权和经营权的有效证明。首批获证主体包括国有企业、事业单位和民营企业三类，覆盖医疗健康、交通运输、信息技术、科学研究等十余个行业领域；其中与人工智能应用相关场景的登记数据超过15份。登记凭证有效期一般为5年，可用于数据交易、数字贸易等场景，并可作为权利人合法拥有或控制数据的证明，支持企业将数据资源确认为资产，或用于融资担保、作价入股。目前北京国际大数据交易所、上海数据交易所、深圳数据交易所已纳入全国数据产权登记机构目录，国家数据产权登记服务系统已启动试运行。

来源：国家数据局[11]

【中国】国家数据局启动十大行业数据资源开发利用攻坚行动（2026-09-22）

国家数据局9月22日表示，国家层面将推出新举措，重点在工业制造、医疗健康、金融服务、交通物流、现代农业、能源电力、文化旅游、教育、商贸流通、公共事业十大行业开展数据资源开发利用攻坚行动。行动要求加快推动国家数据基础制度在地方和重点行业落地，鼓励组建行业数据创新联合体，围绕行业高价值场景推动公共数据与企业数据、社会数据融合应用，并构建符合人工智能发展需求的治数用数模式，创新数据、模型、智能体一体化服务能力。首轮攻坚任务已在安徽启动，重点围绕汽车和医疗健康两个行业展开。对数据密集型企业而言，行业联合体与场景化授权模式将改变数据获取路径，合规关注点随之从“能否收集”转向“授权链条与使用边界是否清晰”。

来源：国家数据局[12]

【中国】中央网信办召开网络直播规范发展工作会议（2026-09-22）

中央网信办9月21日在广州召开网络直播规范发展工作会议，会议消息于9月22日发布。会议总结网络直播治理成效并部署下一阶段重点工作，要求进一步健全网络直播管理机制、规范直播平台和MCN机构管理，加强内容管理并坚持正确导向，对直播乱象实施靶向治理，同时开展网络主播教育培训。来自地方网信办、直播平台和MCN机构的8名负责同志在会上作交流发言，各省（区、市）及新疆生产建设兵团党委网信办负责同志、网站平台和MCN机构负责人参加会议。直播业务涉及用户个人信息收集、未成年人保护与算法推荐等多重合规议题，平台与MCN机构的审核、巡查与处置机制预计将成为下一阶段的监管重点。

来源：中央网络安全和信息化委员会办公室[13]

境外

【美国】网络安全和基础设施安全局将4个已遭利用漏洞列入KEV目录（2026-09-22）

美国网络安全和基础设施安全局（CISA）9月22日将4个存在在野利用证据的漏洞列入“已知被利用漏洞”（KEV）目录，分别为Check Point多款产品的证书校验缺陷与路径穿越漏洞（CVE-2026-85102、CVE-2026-93616）、Arista VeloCloud Orchestrator输入校验漏洞（CVE-2026-93952）以及F5 BIG-IP APM堆缓冲区溢出漏洞（CVE-2026-94127）。其中CVE-2026-93952的CVSS评分为满分10分，其余三项均为9.8分。依据约束联邦文职机构的风险导向安全更新指令BOD 26-04，CISA要求联邦机构优先处置可导致资产被完全控制的在野利用漏洞，并在打补丁前排查系统是否已被入侵。CISA同时建议所有组织采用基于风险的漏洞管理方式，优先修复KEV目录中的漏洞。

来源：美国网络安全和基础设施安全局[14]

【美国】谷歌、OpenAI与Anthropic筹建“前沿人工智能标准局”（2026-09-24）

据多家媒体报道，谷歌、OpenAI与Anthropic正推进组建一家面向前沿人工智能模型的安全标准机构，暂定名为“前沿人工智能标准局”（Standards Authority for Frontier AI，SAFA），目标在2026年底至2027年初启动，计划在无政府直接监督的情况下独立运作。该机构拟围绕前沿模型建立测试与审计体系，而非停留在一般性伦理原则：支持第三方机构在模型部署前开展安全测试，制定人工智能企业报告安全与网络安全事件的规则，并设定独立审计机构的资质要求；三家公司还在讨论SAFA是否直接开展模型安全与能力测试。人事方面，三家公司已就首席执行官人选接触前白宫人工智能高级政策顾问斯里拉姆·克里希南。三家公司最初寻求建立接受联邦监督的公私合作机制，但方案推进受阻，转而以行业自律方式填补监管空档。

来源：The Verge[15]

引用链接

[1] 江苏网信网: https://www.jswx.gov.cn/fwhd/tzgg/202609/t20260923\_1360795.shtml [2] 新华网: https://www.xinhuanet.com/20260922/c62d816231514c878a6b7ee568829fb2/c.html [3] 欧洲证券和市场管理局: https://www.esma.europa.eu/press-news/esma-news/esma-sets-new-supervisory-priority-digital-innovation-2027 [4] 中央网络安全和信息化委员会办公室: https://www.cac.gov.cn/2026-09/20/c\_1791481881543149.htm [5] 国家计算机病毒应急处理中心: https://www.cverc.org.cn/zxdt/report20260922.htm [6] 山西省通信管理局: https://sxca.miit.gov.cn/zwgk/dxhhlwgl/art/2026/art\_5699a3bc468f44dda87cdfd196bf1e53.html [7] 爱尔兰数据保护委员会: https://www.dataprotection.ie/en/news-media/latest-news/data-protection-commission-fines-google-eu403-million-following-inquiry-googles-processing-location [8] 英国信息专员办公室: https://cy.ico.org.uk/about-the-ico/media-centre/news-and-blogs/2026/09/tiktok-withdraws-two-appeals-in-children-s-privacy-action-and-accepts-127m-fine [9] 中华人民共和国最高人民法院: https://www.court.gov.cn/zixun/xiangqing/512551.html [10] CBS News: https://www.cbsnews.com/news/facebook-liable-deceiving-users-cambridge-analytica/ [11] 国家数据局: https://www.nda.gov.cn/sjj/swdt/mtsy/0921/20260921120942131211051\_pc.html [12] 国家数据局: https://www.nda.gov.cn/sjj/swdt/mtsy/0922/20260922092042919196317\_pc.html [13] 中央网络安全和信息化委员会办公室: https://www.cac.gov.cn/2026-09/22/c\_1791740786782496.htm [14] 美国网络安全和基础设施安全局: https://www.cisa.gov/news-events/alerts/2026/09/22/cisa-adds-four-known-exploited-vulnerabilities-catalog [15] The Verge: https://www.theverge.com/ai-artificial-intelligence/1000047/openai-anthropic-and-google-are-reportedly-launching-their-own-ai-safety-organization