ARTICLE · 1210338
App 与 SDK 集中通报,AI 内容标识进入强制执行
每周梳理数据合规领域已核实的重点动态，本期起增设「境外数据合规」板块，覆盖欧盟、英国、日韩与东南亚四个方向，只收录目前已公开的规则与执法动作。以下仅陈述已公开核实的事实，附合规分析与应对方向，并标注官方或整理来源。
一、监管动态：17 款 App/SDK 被通报，深圳再查 4 起个人信息案
事实
10 月 15 日，工业和信息化部信息通信管理局发布《关于侵害用户权益行为的 APP（SDK）通报》（2026 年第 6 批，总第 59 批），共 17 款 App 及 SDK 因违法违规收集使用个人信息被点名，问题包括违规收集个人信息、App 频繁自启动和关联启动、信息窗口滑动乱跳转、超范围收集、SDK 信息公示不到位等（"爱玛出行""360 相机"等在列），要求整改，整改不到位的将依法处置。
同日，深圳网信部门通报 4 起个人信息保护执法案例，涉及违法出境个人信息、系统接口泄露风险、任意文件读取漏洞、未授权访问漏洞、数据库未加密、管理制度缺失及日志留存不完整等，相关企业均被责令改正并予以警告处罚。
合规分析
两则通报呈现同一特征：执法已从"是否收集"延伸到"技术措施是否到位"——未授权访问、日志留存不完整、管理制度虚置本身即可构成违法事实。属地网信与工信条线同步发力，企业面对的是常态化、属地化的检查节奏。
应对方向
对已在架 App、小程序、嵌入 SDK 开展一轮专项复核，重点核查整改闭环是否留有书面记录；
补齐网络日志留存（不少于 6 个月）、漏洞修复、数据库加密/去标识化等基础技术措施；
建立 SDK 清单与持续检测机制，明确 App 运营者对嵌入 SDK 实际行为负主体责任。
二、AI 与智能体合规：短视频须标"AI 生成"，登记规模持续扩大
事实
10 月 13 日，中央网信办全面推进规范短视频内容标注，明确网站平台须为用户提供 6 类"必选标签"，其中包括"含有 AI 生成内容""含有虚构演绎内容"，并将内容标注设为发布必经环节，对存量短视频分批回溯补标。
同期，生成式 AI 服务登记备案持续落地：上海截至 10 月 15 日新增 2 款登记、累计 255 款；江苏截至 10 月 12 日新增 26 款、累计 117 款；10 月 16 日粤港澳大湾区联合实验室发布成果，广东全省 195 款大模型通过国家网信办备案。
合规分析
AI 合成内容标识从"倡导"进入"强制落地"阶段：内容分发平台须把标识核验嵌入发布流程，与《人工智能生成合成内容标识办法》衔接。对面向公众提供生成式 AI 服务的主体而言，备案/登记义务与内容标识义务已成为两项并行的合规底线。
应对方向
对 AI 生成或合成的图片、视频、音频、文字素材落实显式标注，留存标注记录；
训练数据采集环节建立来源登记与授权审查，禁止抓取未授权肖像、声音等个人素材；
已在提供生成式 AI 服务的，核对是否已履行备案/登记，并在产品显著位置标明上线编号。
三、立法与政策：未成年人保护规定征求意见收官，多项数据规章在途
事实
《国务院关于保障未成年人健康安全使用网络的规定（征求意见稿）》意见反馈于 10 月 17 日截止，该规定对未成年人模式、未成年人用户识别、个人信息安全保障、算法机制审核等提出要求。
地方层面，多部数据领域规章/办法处于征求意见期：江苏省网络数据安全管理办法（草案）截止 10 月 23 日，安徽省政务数据资源管理办法（修订草案）截止 10 月 21 日，湖州市公共数据资源授权运营管理办法（修订版）截止 10 月 16 日。
合规分析
未成年人网络保护、数据分类分级、AI 训练数据来源合法性、智能体风险机制等议题正从中央立法向下沉到地方实施细则。企业尤其是面向未成年用户或处理大规模个人信息的主体，须同步跟踪中央与地方两层规则。
应对方向
涉及未成年人业务的，提前评估未成年人模式、用户识别与算法审核的合规缺口；
关注注册地数据领域规章征求意见，必要时通过官方渠道反馈意见；
将分类分级、合规审计、训练数据来源审查纳入年度合规计划。
四、执法案例：两起个人信息案进入刑事与治安处理
事实
10 月 14 日，广西钦州公安机关通报，当地某企业 2 名员工多次通过信息中介非法购买公民个人信息后牟利，期间数据交易量超 5 万条，董某某等 3 人被依法采取刑事强制措施。
10 月 13 日，四川攀枝花公安机关通报，违法行为人孙某某利用非法公民信息数据库实施网络"开盒"，私自查询、搜集并在网络群组转发他人身份证、住址、电话等隐私数据，被依法予以行政拘留。
合规分析
两案分别对应侵犯公民个人信息的刑事打击与治安处罚路径。"开盒"类行为即便未造成大规模泄露，只要非法获取并扩散他人隐私信息即可能触发《治安管理处罚法》乃至《刑法》责任；企业内部人员违规购买、导出个人信息，则同时面临刑事追责与企业"一案双查"的行政责任。
应对方向
建立员工个人信息访问、导出行为留痕与异常监测机制；
禁止采购或流转来源不明的个人信息数据；
完善内部管理制度与从业人员培训，防范"管理失职"被独立评价为行政违法。
五、数据要素：全国统一数据产权登记制度落地实施
事实
10 月 12 日，人民日报报道，国家数据产权登记服务系统上线首日有 56 份数据产权登记凭证向社会公示，涉及信息传输、交通运输、科研技术服务、卫生和社会工作等行业，标志全国统一的数据产权登记制度正式落地实施。同期，全国数标委发布 2026 年第二批数据领域国家标准需求清单，申报截止 10 月 31 日。
合规分析
数据产权登记、国标需求征集、地方公共数据授权运营与政务数据管理办法征求意见同步推进，数据流通交易配套规则正在从顶层走向操作层。企业参与数据要素流通，须将登记、来源合法、分类分级与授权运营合规前置。
应对方向
评估自身数据产品是否具备登记条件，关注登记凭证在司法、金融领域的采信进展；
数据采集合规审查前移到建设阶段，避免"先建设、后补合规"；
跟踪所在地数据集建设、算力券、数据产权登记配套细则。
六、境外数据合规：欧盟、英国、日韩、东南亚
本板块按现有已公开发布的规则、决定或执法动作整理汇编。
事实
10 月 13 日，欧洲数据保护委员会（EDPB）全体会议通过《关于智能眼镜的声明》（Statement 1/2026），并同期发布研究报告《连接的目光：智能眼镜时代的视频录制、监视与证据固定》。声明将该类设备界定为外形接近普通眼镜或太阳镜、集成摄像头、扬声器、麦克风及翻译、物体识别等 AI 功能、可联网的可穿戴设备。
适用范围：只要设备捕获、记录、存储或处理与可识别自然人有关的信息，即构成个人数据处理，受欧盟《通用数据保护条例》（GDPR）约束，不另设专门制度。
责任主体：取决于谁决定处理目的与方式。用户、设备制造商、关联应用或 AI 服务提供者均可能成为控制者或共同控制者；用户仅在纯粹个人或家庭活动中不适用 GDPR，一旦公开发布影像或用于职业、政治活动，即须承担控制者义务。
义务不可转移：制造商与关联服务提供者不能把自身义务转移给用户，且须确保新的处理与原始收集目的相容。
透明度：被列为核心难点。建议以明亮 LED、音频信号、语音激活提示、手机近距提醒或差异化外观设计，使录制行为对旁观者显而易见，且提示须可靠、难以忽略。
场景与人群：医疗、学校、更衣室、泳池、厕所及工作场所风险更高，儿童尤甚；建议限制连续录制时长与存储期限、对旁观者影像作模糊化或匿名化处理、对敏感场所设置使用禁令。
合规提示
可穿戴 + AI 产品，隐私影响评估应在硬件形态与指示灯设计阶段介入，而非上线后补告知。旁观者场景下取得有效同意在实务中难以成立，合规路径主要落在产品设计、最小化与期限控制上。
事实
10 月 14 日，英国信息专员办公室（ICO）公布对大都会警察局（MPS）发出谴责（reprimand）与执行通知（enforcement notice）。决定于 9 月 23 日作出，10 月 14 日公开。
事实经过：2023 年 3 月至 2024 年 9 月，MPS 警员与职员使用未经警队正式批准的第三方零售犯罪情报共享平台（Auror），共创建约 500 个账号，其中 375 个实际用于警务活动。
涉及数据：2024 年 1 月至 9 月，179 人的个人信息被上传至该平台，其中 3 人未满 18 周岁；按字段拆分，128 人仅姓名，49 人为姓名加出生日期，2 人为姓名、出生日期加住址。
三项认定：共享对执法目的并非必要，构成违法处理；未采取适当技术与组织措施，第三方技术的评估与审批流程未被执行；高风险处理前未完成数据保护影响评估（DPIA）。
持续性缺陷：MPS 仍未能确保仅经批准的第三方技术被用于处理个人信息。ICO 指出其管控过度依赖政策提醒与培训等"软控制"，缺乏技术阻断，平台被使用超过 18 个月未触发任何告警。
后续：MPS 已于 2024 年 9 月停用该平台，在完成治理安排、员工培训、正式合同控制与 DPIA 后于 2026 年 1 月重新启用。执行通知要求其强化第三方服务的识别、评估与审批机制，复核控制措施，并定期向 ICO 报送进展。ICO 同时指出，这是该警队继 2021 年未经批准使用人脸识别服务后，五年内第二次因同类信息治理问题被正式谴责。
合规提示
"业务部门自行开通 SaaS"是境内外共通的失分点。第三方平台准入清单、审批留痕、DPIA 与合同控制四件事缺一不可，且应以技术手段（白名单、流量管控）而非仅靠制度宣示落地；采购合规不是 IT 部门单方职责。
事实
10 月 7 日，日本个人信息保护委员会（PPC）就企业遭未授权访问导致大规模个人信息泄露接连发生，向个人信息处理业者发出警示，要求：将访问权限降至最小并逐次判断是否放行；将访问认证升级为指纹、静脉等生物识别方式；对个人信息通信内容加密；对已无使用必要的数据及时删除。
警示将过往泄露事件归纳为九种模式（含漏洞长期搁置、集团子公司与海外据点成为攻击目标等），并附技术措施示例草案，按访问控制、用户识别与认证、防外部未授权访问、防使用过程泄露、检测未授权访问五类组织，示例包括多因素认证（含抗钓鱼形式）、设备安全状态校验、日志留存与定期分析、IDS/IPS 与 EDR 等；草案预计 2027 年 4 月定稿。
同期，日本多家企业集中披露泄露事件：
10 月 13 日，BOOKOFF 公布第三方于 10 月 4 日至 6 日非法访问会员管理系统，获取 6,427,735 条会员数据，涉姓名、生日、联系方式、注册地址及密码哈希值；
10 月 15 日，汉堡王日本运营公司 BK Japan 公布会员系统于 10 月 2 日至 7 日遭持续非法访问，约 1,118 万条会员记录存在泄露可能，公司于 10 月 13 日确认泄露；
10 月 15 日，Yellow Hat 发布第二份事件报告，将预约系统泄露事件受影响会员确定为 1,797,124 人（8 月 28 日首报给出的上限为 1,801,499 人），新增泄露字段包括地址、出生日期、性别、登录 ID；
10 月 8 日，罗森公布"罗森 ID"于 9 月 12 日至 14 日遭非法访问，2,155,345 条用户信息泄露；10 月 5 日，物语公司公布"烧肉王"App 会员管理系统泄露 10,788,963 条会员信息。
另据公开报道，吉野家控股 9 月 30 日披露的 5,784 件招聘申请者及员工信息泄露，源头为已终止合作的前业务委托方招聘管理平台——申请者资料未按约定删除，仍留存在旧受托方服务器中。
合规提示
日本本轮事件有两个共性：受害面集中在会员数据库；二次报告普遍扩大泄露字段、向下校准人数。对在日有业务的企业，一是按 PPC 警示把认证强度、设备可信状态与日志分析做实；二是终止外包关系时的数据删除与销毁证明，须作为退出条件写入合同并实际验证。
事实
10 月 13 日，韩国个人信息保护委员会（PIPC）委员长宋京姬出席国会政务委员会审计，公布下一步政策方向：
制裁体系：对不配合泄露调查的企业征收履行强制金，对隐匿、销毁证据的行为另设罚款，并针对重大案件组建专案调查组；最高可达总销售额 10% 的惩罚性罚款制度已于 2026 年 9 月生效，本轮重点从"提高上限"转向"确保可执行"。
调查资源向公共部门与金融领域倾斜，近期发生大规模泄露的公共机构与金融行业为重点对象。
制度供给三条线索：用足"AI 特别条款"使个人信息可安全用于 AI 训练，并计划全国推广假名信息利用范围；回应代理式 AI 自主代替用户执行任务带来的个人信息问题；就智能眼镜等新型设备与死者信息处理确立准则。
10 月 16 日，PIPC 以"报道参考"形式发布《关于使用外部问卷调查工具时个人信息处理遵守事项》，明确：利用机构与 Google Forms、Naver Form 等平台之间不成立个人信息的再委托关系；但即便使用外部工具，利用机构仍为个人信息处理者，须自行落实最小化收集、禁止将问卷设置为公开、目的达成后销毁等安全措施。
合规提示
两条动向指向同一件事：责任不因工具外包而转移。对在韩开展线上调研、活动报名、客户满意度调查的中资机构，问卷的公开设置、字段必要性与留存期限应立即复核，并把平台自身条款与机构侧安全措施分别归档。
事实
新加坡
10 月 14 日，新加坡资讯通信媒体发展局（IMDA）在 AI Assurance Exchange 活动上发布面向智能体 AI 测试的起步工具包，提出四步方法：识别风险（错误或未授权行动）、在不受真实世界损害的前提下设计与运行贴近真实的测试、分析结果与运行日志、持续监测与复测。工具包强调评估智能体的完整推理—行动轨迹而非仅看输出，建议采用工具调用准确率、交接准确率与人工干预率等指标。
10 月 7 日，新加坡金融管理局（MAS）发布《人工智能风险管理指引》，分阶段生效：监管、清单与风险管理章节自 2027 年 10 月 7 日起适用，生命周期控制与能力要求自 2028 年 10 月 7 日起适用。
马来西亚
10 月 5 日，马来西亚个人数据保护局（PDPD）发布第 1/2026 号公开咨询文件《人工智能与个人数据保护框架》，反馈截止 10 月 23 日。核心立场：AI 不创设独立的个人数据处理合法性基础，须回到《个人数据保护法》既有框架识别依据；义务按 AI 全生命周期展开，覆盖训练数据收集、系统开发与验证、部署监测、退役；采购或集成第三方 AI 系统前须开展尽职调查、以合同明确控制者与处理者角色、评估跨境传输并保持持续监督；即使委托供应商，控制者自身义务不随之转移。配套的《人工智能治理法案》预计最迟 2027 年第一季度提呈议会。
背景（非本周动态）：越南第 330/2026/ND-CP 号法令自 2026 年 8 月 19 日起施行，是越南个人数据保护法配套的首部专门行政处罚法令，确立固定罚款、按违法所得倍数与按营收比例并行的处罚结构。
合规提示
东南亚目前是"自愿性 AI 治理框架 + 强制性个人数据法"两层规则并行。马来西亚本轮咨询把第三方 AI 采购直接纳入个人数据法义务链条，是当前最值得提前准备的节点（10 月 23 日截止）；拟在新加坡设区域总部、由智能体承接客服与运营的企业，可按 IMDA 的四步测试法先跑一轮内部验证，以应对后续审计问询。
小结
本周监管主线清晰：App/SDK 与属地个人信息执法保持高密度，AI 生成内容标识进入强制落地，生成式 AI 登记备案规模持续扩大，数据产权登记制度正式实施。
境外层面出现三条同向信号：一是监管关注点从"是否取得同意"转向"技术与治理措施是否真的落地"（英国 ICO 对第三方平台案的持续性认定、日本 PPC 的技术措施示例草案）；二是大规模泄露之后，二次通报的字段口径与人数校准成为观察企业应急能力的窗口（日本多家企业集中披露）；三是 AI 责任不因工具外包而转移（韩国问卷指引、马来西亚 AI 数据框架）。
企业宜以"属地常态化自查 + 基础安全补强 + AI 合规双端把关 + 数据流通与跨境前置合规"为框架，将合规嵌入产品与数据流转全流程。
鲍玉婷 律师
北京君泽君（合肥）律师事务所数据合规专委会 副主任 · 合规专家
14 年企业法务与合规实战经验
联系电话：13739234270
北京君泽君（合肥）律师事务所 ｜ 企业合规与数据保护团队
以上为本周（2026.10.12–10.18）数据合规领域已公开核实的动态梳理，仅供参考，不构成法律意见。关注我们，每周获取动态简报。
