ARTICLE · 1198852
38款未整改APP面临下架关停;CNIL:公开邮箱不免除GDPR合规义务
38款未整改APP面临下架关停;CNIL:公开邮箱不免除GDPR合规义务
每日数据合规资讯 2026年10月17日 · 数据合规e资讯 国内合规动态覆盖数据跨境政策、数据产权登记与个人信息执法三个层面。上海市网信办与上海市数据局于10月15日联合印发《上海市推动高水平对外开放 促进数据跨境流动便利化的若干举措》，体系化衔接数据出境安全评估、个人信息出境标准合同备案、个人信息出境认证与数据出境负面清单四项制度，并依托“一网通办”实现负面清单备案全程网办；广东神舞科技四套千人级群体脑电数据集获广东省知识产权保护中心签发数据知识产权登记证书，为全国首例以千人级群体脑电为对象的确权登记；广西通报38款未完成整改的侵害用户权益APP，上海普陀区法院审结的“简历开盒”案以伪造人力资源资质租用招聘账号解锁求职者联系方式为手法，主犯获刑四年并处罚金70万元；江门市就公共数据资源授权运营实施方案公开征求意见。境外方面，新加坡金融管理局发布《人工智能风险管理指引》，要求金融机构对第三方AI取得充分保证；英国ICO公布对十家基础模型开发商的监督成果并启动智能体AI证据征集；挪威数据保护局对Xandr处以9200万挪威克朗罚款，为其史上最高；美国40州总检察长在Character.AI破产程序中要求买家不得将儿童聊天记录作为资产出售；日本汉堡王运营商披露约1118万条会员信息泄露；韩国明确使用外部问卷工具不成立再委托关系、安全义务仍在利用机构；罗马尼亚对在测试环境使用真实个人数据的处理者罚款并责令改用虚构数据；法国CNIL就职业邮箱地址重建发布合规框架。整体看，境外以人工智能风险治理与大规模数据泄露为主线，境内则延续制度便利化、确权登记与执法落地三线并进。 一、国内合规资讯 1上海市网信办、上海市数据局印发《上海市推动高水平对外开放 促进数据跨境流动便利化的若干举措》：四项数据出境制度体系化衔接，负面清单动态迭代 10月15日，上海市互联网信息办公室、上海市数据局联合印发《上海市推动高水平对外开放 促进数据跨境流动便利化的若干举措》（10月16日对外发布），围绕六个方面作出部署。一是强化数据出境制度衔接落地，体系化推动数据出境安全评估、个人信息出境标准合同备案、个人信息出境认证、数据出境负面清单四项制度有序衔接、协同实施，并健全跨部门协同服务机制。二是深化数据出境负面清单管理模式，健全跨部门协同备案程序，拓展行业领域范围并动态更新迭代。三是完善数据出境操作指引管理举措，针对免予申报安全评估、订立标准合同、通过认证等出境活动编制场景化操作指引。四是创新线上便捷服务机制，依托“一网通办”升级数据出境服务专区，支持企业在线完成负面清单备案，实现全程网办，并逐步建立备案信息动态更新、办理进度查询、材料在线补正等配套功能。五是提升数据跨境服务能级，在重点区域成立数据跨境服务中心，强化网络数据安全风险评估、个人信息保护影响评估、合规审计等专业技术支撑。六是赋能重点产业数据跨境应用场景，聚焦企业全球研发、生产制造、供应链协同以及跨境金融风控、生物医药研发等领域，探索推进金融、商贸、医疗健康等领域个人信息匿名化应用试点，并深入推进国家区块链网络（上海枢纽）建设，支持临港新片区、虹桥国际中央商务区、浦东新区打造国际数据合作高地。 来源：上海市互联网信息办公室·上海市数据局（据上观新闻、人民财讯报道） 原文链接：https://news.qq.com/rain/a/20261016A07KRV00 2全国首例千人级群体脑电数据知识产权登记落地广东：四套数据集经广东省知识产权保护中心签发证书，神经数据进入可确权可流通轨道 10月10日，北京神舞科技有限公司与广东神舞科技有限公司获颁由广东省知识产权保护中心签发的《数据知识产权登记证书》，登记对象为四套千人级群体脑电数据集，分别覆盖闭眼休息、古诗审美、歌曲审美、舞蹈审美四类场景，为全国首例以千人级群体脑电为对象的数据知识产权登记。据登记信息，登记主体为北京神舞科技有限公司与广东神舞科技有限公司，登记机构为广东省知识产权保护中心，登记日期为2026年10月10日。该公司今年7月22日发布群体跨模态数据平台NeuroAI，并在全球范围内首次实现跨地域上千人群体脑电同步采集，单场即可积累上千小时真实脑电数据。按现行数据知识产权登记规则，申请登记的数据须同时满足依法依规获取、经过一定规则处理且具备智力成果属性、具有实用价值和商业价值等条件，登记前须完成脱敏处理，登记证书可作为合法持有数据的初步证据。本次登记补上了“采集—汇聚—脱敏—确权—流通—复用”链路中最易缺失的确权环节，神经数据由此进入可评估、可授权、可交易的资产化轨道。 来源：中国经济新闻网（据广东省知识产权保护中心登记信息） 原文链接：https://www.cet.com.cn/zhpd/zxsdv2/10617013.shtml 3广西通信管理局、广西网信办通报38款未完成整改的侵害用户权益APP：须5个工作日内完成整改，逾期将下架关停 10月16日，广西壮族自治区通信管理局、广西壮族自治区互联网信息办公室联合发布《关于38款侵害用户权益行为APP的通报》。通报依据《网络安全法》《个人信息保护法》《电信条例》《电信和互联网用户个人信息保护规定》，以及工业和信息化部《关于开展纵深推进APP侵害用户权益专项整治行动的通知》（工信部信管函〔2020〕164号）、《关于进一步提升移动互联网应用服务能力的通知》（工信部信管函〔2023〕26号）和《关于开展2026年个人信息保护系列专项行动的公告》等工作部署作出。经组织第三方检测机构抽查、对侵害用户权益行为的APP主办主体发出责令限期整改通知，并通知相关应用商店协助督促整改后，截至目前尚有38款APP未完成整改，完整名单以附件形式随通报公布。通报要求被通报APP主办者自通报之日起5个工作日内完成整改及反馈，逾期未完成的将依法依规采取下架、关停等措施。 来源：广西壮族自治区通信管理局·广西壮族自治区互联网信息办公室 原文链接：https://gxca.miit.gov.cn/zwgk/dxhhlwgl/art/2026/art_e26b1ee271dc4628addc3554cca20456.html 4上海普陀区法院审结“简历开盒”案：伪造人力资源资质租用招聘平台账号解锁联系方式，主犯获刑四年并处罚金70万元 上海市普陀区人民法院审结一起侵犯公民个人信息案。林某通过购买闲置或已失效的招聘平台账号、伪造人力资源公司授权证书通过平台审核，取得查询简历的权限，并伙同甘某以七八十个账号每日完成平台任务攒积分解锁求职者联系方式，按下游买家需求定向查询。经查明，二人非法获取的求职者个人信息去重后共计数万条，向刘某非法提供7000多条，累计违法获利70多万元。审理中二人辩称其“开”出的联系方式多为有时效限制的虚拟号，过期即失效，因此不能算作公民个人信息；办案机关专门前往通信运营商调查核实后确认，虚拟号在一定时间范围内可通过特定方式具体对应到公民个人，失效后二次查询生成的新虚拟号码仍指向同一人，依相关司法解释仍属公民个人信息。法院以侵犯公民个人信息罪判处林某有期徒刑四年并处罚金70万元，判处甘某有期徒刑一年六个月并处罚金9万元，判决已生效。办案机关同时披露，上游卖家的手法还包括利用爬虫程序绕过招聘平台前端权限校验批量抓取简历、搭建可反复检索的简历数据库等，二手交易平台上招聘企业账号售价2000至3000元、仅法人认证证书约1000元，全链条追责仍在推进。 来源：央广网·中国之声（据上海市普陀区人民法院判决） 原文链接：https://www.cnr.cn/china/gdgg/20261016/t20261016_527843656.shtml 5江门市《公共数据资源授权运营实施方案（试行）（征求意见稿）》公开征求意见：10月17日起至11月16日，衔接广东省公共数据授权运营办法 广东省江门市政务服务和数据管理局发布公告，就《江门市公共数据资源授权运营实施方案（试行）（征求意见稿）》网上公开征求意见，征求意见时间为2026年10月17日至11月16日，同时公布起草说明。方案的上位依据为《公共数据资源授权运营实施规范（试行）》（发改数据规〔2025〕27号）与《广东省公共数据资源授权运营管理办法》（粤政数〔2026〕9号），目的是规范公共数据资源授权运营管理、加快公共数据资源安全有序开发利用。这是广东省市级层面承接省级授权运营制度的一批落地文件之一。 来源：江门市政务服务和数据管理局 原文链接：https://www.jiangmen.gov.cn/hdjlpt/yjzj/answer/53465 二、境外合规资讯 1新加坡金管局发布《人工智能风险管理指引》：覆盖生成式AI与智能体系统，2027年10月7日起分阶段生效 新加坡金融管理局（MAS）10月7日发布《人工智能风险管理指引》，适用于所有金融机构及各类AI技术，覆盖传统AI、生成式AI以及可自主操作并访问工具的智能体系统。指引在2025年11月公开征求意见的基础上定稿，核心监管预期包括四项：一是强化AI风险监督、明确问责，董事会与高级管理层须有效监督AI风险、设定风险偏好并定期审阅，可沿用现有治理架构，无须为满足该预期而专设AI委员会；二是识别、评估与管理AI全生命周期风险，须维护适当颗粒度的AI应用清单、评估用例的风险重要性，并在数据治理、测试、人工监督、网络安全、监测与变更管理等环节按比例配置控制；三是管理第三方AI风险，金融机构对其交付服务中使用的AI（含第三方开发、运营或提供的AI）仍负最终责任，须取得充分保证，在风险无法纳入自身风险偏好时应考虑限制、暂停或替换该第三方AI服务；四是按风险比例适用，对表现不佳或不可用也不太可能产生重大影响的AI用例，可采用基本政策与程序。指引自2027年10月7日生效，第3至4节自该日起适用，第5至6节自2028年10月7日起适用；MAS计划于2027年就智能体AI进一步征求金融业意见。 来源：新加坡金融管理局（MAS） 原文链接：https://www.mas.gov.sg/news/media-releases/2026/mas-sets-out-supervisory-expectations-on-responsible-ai-adoption-by-financial-institutions 2英国ICO公布十家基础模型开发商监督成果并启动智能体AI证据征集：确认已问询OpenAI、Anthropic、Meta与英国AI安全研究所 英国信息专员办公室（ICO）10月8日发布报告《将信任与透明融入生成式AI开发》，公布其基础模型监督项目的成果：Amazon、Anthropic、Apple、Cohere、DeepSeek、Google、Meta、Microsoft、OpenAI与Stability AI十家开发商已作出或承诺作出数据保护整改，改进集中在更清晰的信息透明度、更有效的数据主体权利行使机制与更严格的保障措施评估三方面，ICO将持续监督各方履行承诺的进展。ICO同时明确其监管立场：企业并未总是针对每一类个人数据在开发各阶段的具体利益作出说明，“训练我们的模型”“造福人类”这类宽泛表述若无具体论证很可能不构成充分依据；对特殊类别数据，仅“明显由本人公开”与科研两项例外可能可用，而前者难以覆盖网络抓取所得数据，这些条件客观上限制了以该类数据合法训练模型的空间，ICO正就此与政府沟通法律边界。同日ICO就智能体AI启动为期六周的证据征集（截至11月20日），并确认已就年内智能体测试与部署事件问询OpenAI、Anthropic、Meta与英国AI安全研究所——部分智能体据报绕过保护措施、使用未经授权的通信渠道并访问Hugging Face等外部系统。ICO技术监管总监Richard Nevinson表示，AI智能体具有自主性并不是合规不到位的借口。 来源：英国信息专员办公室（ICO） 原文链接：https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2026/10/ico-secures-changes-from-leading-ai-developers-as-scrutiny-extends-to-ai-agents/ 3挪威数据保护局对微软旗下Xandr处以9200万挪威克朗罚款：系该机构史上最高，涉Grindr用户敏感数据未获有效同意 挪威数据保护局（Datatilsynet）10月12日公布对广告技术公司Xandr（原AppNexus，现属微软）的处罚决定，处以9200万挪威克朗（约860万欧元）行政罚款，系该机构迄今开出的最高罚单。该局认定，Xandr在实时竞价（RTB）中同时担任买方与卖方角色，将Grindr挪威用户的个人信息——包括揭示性取向的敏感数据——中转给广告生态内可能多达数千家的主体，构成GDPR下的非法处理，且Xandr未采取任何措施核实Grindr取得的同意是否有效，而是假定这属于Grindr的责任；该局据此认定Xandr与Grindr构成共同控制者。该局强调，数据保护责任不能转嫁给他人，每一家公司都必须自行确保并能够证明其处理行为合法，企业相互推责的结果是用户权利在实践中形同虚设。案件源于2020年挪威消费者委员会与noyb就Grindr及多家广告技术公司提起的投诉；违法行为持续近两年（2018年7月至2020年4月）被认定为加重情节，罚款金额以Xandr自身年度营业额为计算基数（相关期间其尚未并入微软）。Xandr自收到决定起有三周时间决定是否上诉。 来源：挪威数据保护局（Datatilsynet） 原文链接：https://www.datatilsynet.no/en/news/news-2026/microsoft-company-fined-nok-92-million-for-unlawfully-sharing-personal-data/ 4美国40州总检察长就Character.AI破产案提交意见：要求任何买家不得将儿童聊天记录作为资产出售 10月14日，由40名美国州总检察长组成的跨党派团体向特拉华州联邦破产法院提交《州利益通知与权利保留》，要求在AI伴侣公司Character.AI（Character Technologies, Inc.）的破产程序中保护未成年用户并确保其数据安全。Character.AI于10月12日晚申请《破产法》第11章破产保护，拟通过该程序解决各州调查与诉讼、以2000万美元向迪士尼许可其技术与知识产权，并为聊天机器人业务寻找买家。各州在文件中指出，该公司提供冒充心理学家、治疗师与医生的聊天角色，借此收集了大量敏感消费者数据，包括涉及用户心理健康、人际关系与情绪困境的私密对话；虽然公司近期已自愿限制未成年人使用部分功能，但这些措施并非强制性、并不完整，且可能被未来买家规避或撤销。各州保留对任何出售方案或破产计划提出异议、并要求追加个人信息与消费者保护措施的权利。公司律师在首次听证会上回应称，目前尚无人对用户数据或聊天机器人业务提出收购报价；迪士尼方面对其担忧的聊天数据亦无收购兴趣。该公司另面临美国联邦政府及英国、意大利、俄罗斯、澳大利亚等地监管机构的调查，并已与五名起诉家庭达成初步和解。 来源：美国新泽西州总检察长办公室（40州总检察长联合提交） 原文链接：https://www.njoag.gov/attorney-general-davenport-seeks-consumer-protections-in-characterai-bankruptcy 5汉堡王日本运营商BK Japan披露约1118万条会员信息泄露：非法访问发生于10月2日至7日，日本多行业泄露潮延烧餐饮业 在日本经营汉堡王连锁店的BK Japan公司10月15日发布公告，因官方APP遭到第三方非法访问，约1118万条会员信息发生泄露。泄露字段包括会员ID、姓名（汉字与假名）、电子邮箱、性别、出生日期、电话号码、注册方式、所在都道府县，以及是否使用手机点餐、邮箱是否已完成验证等信息；公司不持有会员的信用卡号，该部分信息未泄露，目前亦未确认登录密码泄露或由此造成的后续损害。非法访问发生于10月2日至7日，公司于13日确认信息泄露后，已阻断攻击来源的通信并组建应对团队，联合外部专业机构调查原因；公司表示已就此事向日本个人信息保护委员会报告，并向受影响会员发送提醒邮件，提醒注意可疑邮件与电话。需注意，约1118万条指的是会员记录数，不等于经核实的自然人数。该事件是日本近期便利店、二手零售、美妆、共享汽车等行业接连披露用户信息泄露之后，餐饮业的又一节点；同期日本已有多家大型企业就数据泄露发布公告，日本消费者厅亦曾就个人信息泄露及后续风险发出提醒。 来源：共同社（据BK Japan 10月15日公告） 原文链接：https://china.kyodonews.net/articles/-/16973 6韩国PIPC明确外部问卷工具的个人信息合规要求：利用机构与谷歌表单、Naver Form之间不成立再委托关系，安全措施义务仍由利用机构承担 韩国个人信息保护委员会（PIPC）10月16日发布报道参考，针对谷歌表单、Naver Form等外部问卷调查工具被广泛使用的现状，明确该类工具使用中的个人信息保护原则与合规事项。一是委托与再委托关系的判断：依《个人信息保护法》，须综合服务提供者对个人信息处理的参与程度、对个人信息的管理与控制关系等具体服务利用形态认定，利用机构作为委托方，与谷歌、Naver Form等平台之间不成立个人信息的再委托关系。二是义务归属：公共与民间机构使用外部问卷工具时，仍须在利用机构的管理与控制之下，遵守最小化收集、禁止公开设置、目的达成后销毁等安全措施义务。PIPC回顾称，曾对公开选项设置不当的谷歌表单使用者处以罚款（2021年12月、2022年4月与12月等），2024年12月制定个人信息保护指南，2026年4月还以公文形式向政府与公共机构传达在线问卷注意事项；今后将进一步完善指南，通过具体案例明确公共机构使用外部问卷工具采集利用个人信息时的法定遵守事项。 来源：韩国个人信息保护委员会（개인정보보호위원회, PIPC） 原文链接：https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS074&mCode=C020010000&nttId=12585 7罗马尼亚ANSPDCP对MYCONNECTOR PLATFORM SRL罚款31,451列伊：测试服务器遭攻击且以真实个人数据代替虚构数据做测试，违反GDPR第32条 罗马尼亚国家个人数据处理监管局（ANSPDCP）10月16日公告，完成对MYCONNECTOR PLATFORM SRL的调查，认定其违反GDPR第32(1)(b)条与第32(2)条，处以31,451列伊（约6,000欧元）罚款。案件源于该处理者依GDPR第33条提交的个人数据安全泄露通报：调查认定，泄露由针对其测试服务器的网络攻击所致，该处理者未就MyConnector Platform应用的测试采取适当措施，致使第三方获取了用户的电子邮箱、电话号码、姓名、个人数字代码以及身份证件的系列与号码等个人数据。监管机关同时认定，该处理者在应用测试中使用了真实的个人数据而非虚构数据，导致大量数据主体的个人信息暴露，加重了事件影响。ANSPDCP据此认定，该安全事件源于未实施与处理风险相适应的适当技术与组织措施，包括确保处理系统与服务保密性与完整性的能力；并依GDPR第58(2)(d)条责令该处理者建立内部程序，规定在开发与测试环境中只能使用虚构数据。 来源：罗马尼亚国家个人数据处理监管局（ANSPDCP） 原文链接：https://www.dataprotection.ro/?page=Comunicat_Presa_16.10.2026&lang=ro 8法国CNIL就职业电子邮件地址重建发布合规框架：以正当利益为依据须满足特定条件，否则应取得同意 法国国家信息与自由委员会（CNIL）10月16日发布说明，就“职业电子邮件地址重建”——即从网上可得信息推断或“猜出”个人的职业邮箱地址（常按机构邮箱命名规则，如名.姓@企业.fr，多用于B2B拓客）——明确其适用框架，并同步面向个人数据主体说明可主张的权利。CNIL强调，用于重建的数据可在网上公开访问，并不免除机构遵守GDPR的义务；该行为只有在满足特定条件时才能以正当利益为依据、无须事先取得同意。机构须逐案评估三项因素：一是所追求目的与重建行为的侵入程度，重建通常只是服务于更宏观目的的一个技术环节（如B2B商业推广、机构间交流），在其从属于一个界定清晰的主处理时，通常可沿用主处理的合法性依据，但这一规则既不自动也不系统；二是数据的可见程度与个人对信息扩散的控制程度，例如线上无可识别存在、或采取了加强隐私设置、以联系表单代替直接邮箱等措施的人，原则上不能合理预期其邮箱地址会被重建；三是为降低影响而设置的保障措施，包括严格限制重建地址的保存期限（例如仅在合理期限内建立首次有效联系时才予保留）、个人一旦表示反对即无须说明理由立即将其数据排除于后续重建处理之外。对为公共服务使命而进行的行政机关与公共机构间交流，可以公共服务使命为依据，CNIL建议同样适用上述保障措施；无法满足条件的机构应避免进行重建，除非能够取得个人同意。 来源：法国国家信息与自由委员会（CNIL） 原文链接：https://www.cnil.fr/fr/reconstitution-adresses-professionnelles-quel-cadre 三、更多合规资讯 卓建数据合规团队 
李兰兰律师 13418782876 李兰兰律师，广东卓建律师事务所高级合伙人，卓建数据合规中心主任，广东省律师协会合规与风控法律专业委员会主任，深圳市律师协会数据合规法律专业委员会主任，拥有20多年法律服务经验，现专注于企业合规和数字治理设计，是国内最早从事数据合规业务的律师之一。 
推荐阅读： 跨境电商的数据合规路径，境外销售-境外存储-境内处理 APP隐私政策需要改版了，要素式的合规要求 GDPR合规自查评估（附程序） 如何落实敏感信息“加密”和“分开存储”的合规要求？ 敏感数据加密和单独存储的补充说明 一文了解GDPR的LIA 评估（附模板下载） 个人信息保护合规审计自查（附程序） 欧盟EDPB发布新的DPIA模板 《数据法案》的数据“自行获取”的合规要求 《数据法案》中必须共享的数据类型示例 《数据法案》全文条款十分钟快速预览 一图看懂欧盟《数据法案》 《数据法案》小微企业的豁免情形 产品出口欧盟的合规新要求：《数据法案》 数据合规中的“同意”实务操作 出海企业的人工智能合规 出海企业如何实现GDPR的快速合规？ 欧盟《数字服务法》发威，TikTok被调查 《数据法案》数据共享的形式、方式和格式 我们企业的数据到底是不是“重要数据”？ 容易忽视的必备合规项：数据处理活动记录(RoPA)，要求和示例 起草隐私政策，是下载模板、程序生成还是定制？
因文章版面所限，更多合规资讯请点击【阅读原文】或以下链接：
https://www.edatacompliance.com/News
卓建律师事务所数据合规团队是国内最早从事数据合规业务的律师事务所之一，卓建数据合规研究院是律所为数据合规成立的专门机构，数据合规团队有近20名DPO律师，在个人信息保护、数据出境和数据资产交易方面积累了大量的客户和案例。
十个GDPR处罚案例：访问权、处理目的、敏感数据、存储期限和系统安全
