ARTICLE · 1284435

42款APP复测15款未整改下架;良品计划确认2726万条会员信息或外泄

发布时间：2026-10-31 10:20:25 最近访问：2026-10-31 10:20:26

每日数据合规资讯

2026年10月31日 · 数据合规e资讯

国内数据要素与个人信息保护同步推进。执法侧，国家网络安全通报中心通报35款移动应用违规收集个人信息，30款未经同意即收集，上批42款复测15款未整改下架。立法侧，青岛市人大常委会表决通过《青岛市数据条例》，九章七十二条，把数据产权登记凭证的效力从权属证明延伸到会计处理依据。基础设施侧，中国气象局启用气象行业可信数据空间，首批4类33种数据、85%以上首次开放，原始数据不出域；同日启用的上海节点定位跨境枢纽与来数加工专区。制度运行侧，国家网信办公布第十九批深度合成算法备案清单；江苏省知识产权局印发AI领域数据知识产权登记指引，以实质性加工划定门槛。境外方面，英国ICO斥责斯塔福德郡警察局把家暴受害人新住址写入通知并送达嫌疑人，并就Ofcom十六岁门槛年龄保证表态要求平台设限。日本PPC就APPI安全管理措施指引修订征求意见，新增禁止ID密码复用与多因素认证；良品计划确认MUJI APP约2726万条会员信息或外泄，中国台湾官网订单经91APP数据库同步受影响。通用汽车以2.2亿美元与35州及华盛顿特区和解；加州以180万美元了结Lyft缺失App内退出入口的指控。荷兰AP认定债务催收不得以算法完全自动化决策；韩国Coupang就约6246亿韩元罚款申请停止执行并已开庭。整体看，监管重心正从取得同意移向权利是否可用。

一、国内合规资讯

1国家网络安全通报中心通报35款移动应用违法违规收集使用个人信息：30款未经同意即收集，上批42款复测仍有15款未整改被下架

10月30日，国家网络安全通报中心通报35款移动应用存在一项或多项违法违规收集使用个人信息问题，检测由公安部计算机信息系统安全产品质量监督检验中心实施。违规集中于八个方面，其中30款属未经用户同意收集使用个人信息，涉及《360你财富》《IT桔子》《单读》《爱租机》《天相财富》《好买基金》等，覆盖理财、证券资讯、租机与记账类目；另有4款未列明向第三方提供个人信息的种类、目的、方式与接收方名称联系方式，7款在申请可收集个人信息的权限时未同步告知目的。上批42款违法违规移动应用经复测仍有15款存在问题，相关分发平台已予以下架。这也意味着告知一致性已成为独立检查项，隐私政策列明的目的、方式、范围须与实际代码调用一致。（中新经纬同日报道）

来源：国家网络安全通报中心（据公安部计算机信息系统安全产品质量监督检验中心检测，中新经纬报道）

原文链接：https://www.jwview.com/jingwei/html/10-30/694826.shtml

2青岛市人大常委会表决通过《青岛市数据条例》：九章七十二条，登记凭证可作数据资源会计处理与流通交易证明，支持上合示范区与自贸片区先行先试跨境流动

10月29日上午，青岛市十七届人大常委会第三十八次会议表决通过《青岛市数据条例》，待报山东省人大常委会批准后公布施行，系该市数据领域第一部基础性、综合性地方性法规。条例共九章七十二条，含总则、数据资源、数据流通、数据应用、数据产业、数据安全、保障措施、法律责任与附则，以规范促发展、以保护促利用为立法主线。数据资源章确立共享优先、不得重复收集原则，由数源部门牵头收集并统一提供公共数据服务；流通章明确数据产权登记凭证可以作为数据资源会计处理、流通交易等活动的证明；流通章就跨境流动作出专门规定，支持上合示范区、青岛自贸片区先行先试。数据产业单独成章，体现立法对产业促进的侧重。（新华网山东频道10月30日报道）

来源：青岛市人大常委会（据新华网山东频道报道）

原文链接：https://www.sd.news.cn/20261030/60ead6920eb24a358b86edac1ffa8018/c.html

3气象行业可信数据空间正式启用：首批4类33种高频精细化气象数据、85%以上首次对外开放，原始数据不出域实现可用不可见；同日启用的地球系统数据国际交换上海节点定位跨境流通枢纽与来数加工专区

10月30日，2026全球数商大会在上海开幕，中国气象局在开幕式上启用气象行业可信数据空间，并同步启用地球系统数据国际交换上海节点。可信空间定位公共气象数据流通利用的基础设施，在已发布七批气象数据产品基础上，第一批数据清单含4类33种高频次、精细化气象数据，其中85%以上为首次面向社会提供；原始气象数据不出域，在空间内完成计算、加工和产品输出，实现可用不可见、可控可计量。其可信性依托一套标准、一套规则、气象数据身份标识的专属流通体系，所有数据携带唯一标识，覆盖登记、交易、加工、交付与应用全链路。上海节点定位跨境数据流通枢纽与来数加工专区，现重点提供全球大气实况分析产品及上海区域数值预报数据（上海节点情况据中央广播电视总台央视新闻同日报道）。（可信空间情况据中国气象报社同日报道）

来源：中国气象局官网（可信空间发布原文）／中央广播电视总台央视新闻（上海节点）

原文链接：https://www.cma.gov.cn/2011xwzx/2011xqxxw/2011xqxyw/202610/t20261030_8117778.html

4国家网信办发布第十九批深度合成服务算法备案信息：备案清单同步公开，未履行备案的提供者与技术支持者须尽快补办

10月30日，国家互联网信息办公室发布第十九批境内深度合成服务算法备案信息公告，具体清单可通过互联网信息服务算法备案系统查询，异议可发送至指定邮箱，且应以事实为依据并附证据材料。公告重申《互联网信息服务深度合成管理规定》第十九条：具有舆论属性或社会动员能力的深度合成服务提供者应履行备案及变更、注销备案手续，深度合成服务技术支持者参照履行。这一提供者加技术支持者的双主体设计，使仅提供模型或API、不直接面向用户的同样落入备案范围。公告未披露本批备案数量，备案清单以附件形式给出。对企业的提示是备案并非一次性动作，模型版本重大更新与服务下线均需办理变更或注销。

来源：国家互联网信息办公室（中国网信网）

原文链接：https://www.cac.gov.cn/2026-10/30/c_1795114304542687.htm

5江苏省知识产权局印发《江苏省人工智能领域数据知识产权登记运用和保护指引》：以“实质性加工处理”划定AI数据集登记门槛，公开收集不得破坏robots协议，AI生成数据须记录提示词模板与人类加工占比

江苏省知识产权局办公室10月22日印发《江苏省人工智能领域数据知识产权登记运用和保护指引》（苏知办发（2026）29号），官网10月28日公布，登记机构为江苏省知识产权保护中心，依据为《江苏省数据知识产权登记管理办法》。指引以实质性加工处理作为登记门槛：仅依靠大模型直接批量输出、未经筛选校验重构的原始输出集合一般不认定构成实质性加工处理，单纯格式转换、复制、简单去重亦不认定。规模上，结构化数据不低于1000条、非结构化或多模态不低于100MB，医疗、具身智能等稀缺小样本可申请豁免并须提交稀缺性与价值说明。公开收集的初始数据须说明未非法侵入网络、未破坏robots协议等有效技术措施；开源协议禁止衍生成果独占登记的不予登记。AI生成或辅助加工的数据集合须强制记录基础模型名称版本、提示词模板、生成参数与人类筛选校验占比。

来源：江苏省知识产权局（官网通知原文）

原文链接：https://jsip.jiangsu.gov.cn/art/2026/10/28/art_85036_11849727.html

二、境外合规资讯

1英国ICO斥责斯塔福德郡警察局：家庭暴力保护通知误载受害人新住址并送达施暴嫌疑人，受害人多次搬家躲避仍被暴露

10月28日，英国信息专员办公室（ICO）公布对斯塔福德郡警察局的斥责。2024年3月该局签发家庭暴力保护通知（DVPN）时，将受害人当时的新住址写入通知并送达刚出狱的施暴嫌疑人，而该地址此前并不为其所知，ICO认定该披露不具合法性并造成严重痛苦。受害人此前已多次搬家以躲避所称虐待，此次披露使其再次面临搬迁家庭的风险。调查另认定该局缺乏防止未经授权披露的适当措施，数据保护与DVPN签发两项强制培训完成率偏低。该局其后已提高培训完成率、围绕家暴案件新设领导岗位、投入新技术并修订内部程序，确保在保护类通知中不写入收件人尚不知悉的地址信息。ICO要求组织把模板字段必要性作为独立检查项。

来源：英国信息专员办公室（ICO）

原文链接：https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2026/10/action-taken-against-staffordshire-police-after-victims-address-wrongly-disclosed-to-alleged-abuser/

2英国ICO就Ofcom“16岁门槛高效年龄保证快速评估”发表声明：年龄核验须同时保障个人信息安全与信息权利，社媒与视频分享平台应立即设置有效年龄门槛

10月29日，英国信息专员办公室（ICO）儿童战略主任Katie Searle就通信管理局（Ofcom）同日发布的十六岁门槛高效年龄保证快速评估及应用商店报告发表声明。ICO表示欢迎该评估，并强调年龄保证在ICO与Ofcom共同的儿童在线保护目标中扮演重要角色，但其实施方式必须同时保障个人信息安全、并使当事人能够行使其信息权利。ICO正与政府及Ofcom密切合作，确保在制定新规过程中纳入数据保护考量，这与ICO自身对年龄保证服务商当前如何遵守数据保护法的评估工作相互补充。ICO要求社交媒体与视频分享平台现在即设置适当的年龄门槛，确保低于其现行最低年龄（通常为13岁）的用户不会因信息被非法处理而面临风险。声明把年龄核验与数据保护绑定为同一动作的两个面向。

来源：英国信息专员办公室（ICO）

原文链接：https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2026/10/ico-statement-on-highly-effective-age-assurance/

3日本PPC就APPI“安全管理措施”指引修订公开征求意见：新增禁止同一ID密码复用、多因素认证、日志留存与特权账号限制，施行期拟提前

10月29日，日本个人信息保护委员会（PPC）事务局就部分修订APPI《关于个人信息保护法的指引（通则）》及《特定个人信息正当处理指引》公开征求意见，案号240000133，截止2026年11月27日，邮寄以当日到达为准。修订落点为通则指引第10部分应实施的安全管理措施，在方法示例中新增五项：禁止同一用户ID与密码复用、日志保存一定期限、采用多因素认证、访问终端限于已批准设备、限制特权账号数量与使用。事务局说明本次仅增加方法示例、不创设新规则；施行期原计划2027年4月，鉴于近期大规模泄露频发将尽可能提前，目前表述为尽早施行而非固定日期。这五项恰好对应近期泄露事件中被反复指出的薄弱点：凭证复用、日志缺失、外部访问无强认证。

来源：ABE法律事务所（据日本PPC e-Gov 公众意见程序，案号240000133）

原文链接：https://abe-legal.jp/en/news/ppc-security-measures-guideline-revision-public-comment-2026

4良品计划确认MUJI APP约2726万条会员信息或外泄：仅邮箱、生日与性别，中国台湾官网订单经91APP数据库同步受影响

10月30日，运营无印良品的良品计划发布通报，官方应用MUJI APP遭非法访问，最多约2726万条客户信息可能已外泄，泄露字段为电子邮箱地址、出生日期与性别，不包括信用卡信息、姓名与住址。同日中国台湾无印良品在官网另行公告，称10月29日接获第三方云端服务商91APP通知其订单数据库被骇，官网购物部分订单资料亦存放于该数据库，初步确认可能受影响范围为2025年4月4日至2026年10月14日的订单，泄露字段包括姓名、电话号码、配送地址、邮箱及订单纪录，不含信用卡信息与会员密码。91APP表示该次入侵已完成阻断并全面更换内部系统与数据库账号密码，自11月2日起经品牌授权以短信与邮件通知受影响顾客。无印良品中国方面称中国会员信息存储于独立服务器、不会传输至境外。（共同社同日报道）

来源：良品计划通报（据共同社报道，凤凰网科技转载）／中国台湾无印良品官网公告（据中时新闻网报道）

原文链接：https://tech.ifeng.com/c/8xeHQkSjjDL

5通用汽车以2.2亿美元与35个州及华盛顿哥伦比亚特区和解：Smart Driver将驾驶行为与位置数据经经纪商流向保险公司，须事前明示同意并接受第三方合规评估

10月29日，美国35个州与华盛顿哥伦比亚特区共36名总检察长宣布，通用汽车将支付2.2亿美元，了结其非法向数据经纪商出售驾驶员行为与位置数据的指控。涉事产品为2016年至2024年间运营的Smart Driver项目，数据经经纪商LexisNexis与Verisk转售给保险公司并影响保费。多州总检察长联合公告披露两项加重情节：部分经销商员工未经客户同意代为接受条款，且员工奖金与注册量挂钩、经销商按开通人数排名；OnStar应用曾向超过37万名驾驶者错误显示其未加入项目，实际仍在采集并出售其数据。和解要求通用在收集或共享前取得明确同意、通过数据隐私计划限制收集范围、开展内外评估并在经销商处建立监督与培训机制。本次和解不提供消费者赔偿，另有全国性私人集体诉讼在进行。该案由华盛顿州与俄勒冈州总检察长共同牵头，科罗拉多、康涅狄格、特拉华、伊利诺伊、肯塔基、马里兰、明尼苏达、新泽西、犹他与佛蒙特州组成执行委员会。（TechCrunch 10月29日报道）

来源：TechCrunch（据多州总检察长联合公告，华盛顿州与俄勒冈州共同牵头）

原文链接：https://techcrunch.com/2026/10/29/gm-reaches-220m-settlement-over-selling-drivers-private-data/

6加州总检察长与Lyft达成180万美元和解：App内无“出售或共享”退出入口、须跳转另页并重复登录，构成对CCPA退出权的不合理阻碍

10月29日，加州总检察长Rob Bonta宣布与网约车平台Lyft达成和解，Lyft将支付180万美元民事罚款，了结其违反《加州消费者隐私法》与加州《不正当竞争法》的指控。调查核心不是是否出售数据，而是退出权是否可实际行使：Lyft自2023年中起在移动应用内为定向广告目的出售或共享消费者个人信息，但用户无法在App内直接退出，须先经应用内隐私政策跳转至标注不要出售或共享我的个人信息的独立网页，到达后还需重新输入登录凭证并提供额外个人信息，尽管其已通过应用完成身份验证。涉案信息为姓名、邮箱、电话、IP地址及城市、州、邮编等非精确位置。和解要求Lyft在应用内直接提供退出选项并告知相关权利，公告未描述对受影响用户的直接赔偿方案。

来源：California Attorney General（加州司法部公告）

原文链接：https://oag.ca.gov/news/press-releases/privacy-rights-can%E2%80%99t-be-left-rearview-attorney-general-bonta-secures-18-million

7荷兰AP公布29家债务催收机构AI评分检查结果：不得以算法评分完全自动化决定，须保留可问责的人工介入、数据清单与对债务人的透明告知

10月29日，荷兰数据保护局（AP）公布对29家债务催收机构的抽查结果并面向行业发出指引。调查发现，部分机构用算法或AI按信用分、所在地与还款记录预估回收概率，据此决定先联系哪些债务人；另有机构用算法补充债务人档案，从登记册与互联网检索联系方式、银行信息、企业信息及社交媒体活动，并可能将同一批数据用于沟通策略等其他目的。AP明确对债务人有重大影响的决定不得完全交由计算机，须保留可问责的人工介入，并提出三项建议：查清所处理的个人数据并对照隐私法自查、向债务人透明说明算法如何被使用、主动沟通其权利。AP认为完全自动化决策在实践中很可能已经出现而机构并不自知。行业圆桌定于12月2日举行，报名截止11月11日。

来源：荷兰数据保护局（Autoriteit Persoonsgegevens，AP）

原文链接：https://autoriteitpersoonsgegevens.nl/actueel/ap-informeert-incassobureaus-over-verantwoorde-inzet-ai

8Coupang就约6246亿韩元个人信息罚款提起撤销诉讼并申请停止执行：首尔行政法院已开庭，PIPC以1.5万亿韩元分红与2.6万亿韩元现金资产反驳

10月29日下午，首尔行政法院行政第1部与第4部就Coupang针对韩国个人信息保护委员会（PIPC）提起的两项停止执行申请接连开庭。涉案罚没款合计约6246亿韩元：因个人信息泄露处4235亿余韩元，因未经授权收集用户网络活动记录处2011亿余韩元，Coupang已于10月7日向首尔行政法院提起撤销诉讼。Coupang主张大部分现金储备用于缴罚将损害经营、最终损及客户，并称罚款高出未采用直购模式的企业达十倍；PIPC反驳其向美国母公司支付1.5万亿韩元分红后仍持有逾2.6万亿韩元现金类资产，足以缴纳且可申请两年内分六期缴纳，海外扩张亏损不应成为停止执行的判断标准。实体争议之一是网络活动记录在可识别状态下是否属于个人信息。（Chosun Biz 10月30日报道）

来源：Chosun Biz（据首尔行政法院庭审）

原文链接：https://biz.chosun.com/en/en-retail/2026/10/30/BDOUQVTGANC7PBZWESKUZMNZCU/

数据合规资讯采集系统 · 每日精选

三、更多合规资讯

因文章版面所限，更多合规资讯请点击【阅读原文】或以下链接：

https://www.edatacompliance.com/News

卓建数据合规团队

卓建律师事务所数据合规团队是国内最早从事数据合规业务的律师事务所之一，卓建数据合规研究院是律所为数据合规成立的专门机构，数据合规团队有近20名DPO律师，在个人信息保护、数据出境和数据资产交易方面积累了大量的客户和案例。