加拿大网络安全高管在宾州被捕，案件疑与 ShinyHunters 黑客团伙相关
加拿大网络安全高管 Edward Dubrovsky 在宾夕法尼亚州被捕，多篇报道将其与 FBI 对 ShinyHunters 黑客团伙的持续打击联系起来。54 岁的 Dubrovsky 曾在为数据泄露和勒索软件受害者提供勒索付款谈判服务的网络安全公司担任高级职务，法院记录显示他被转至德克萨斯东区，面临共谋与勒索相关指控，起诉书目前仍处于封存状态。
#执法/处罚
BleepingComputerAI 评分6262 EFF精选AI 评分6262 EFF 分析联邦数据整合的三波浪潮与应对路径
EFF 指出过去两年联邦政府以三波方式非法整合数据：DOGE 获取 OPM、社会保障局和财政部等敏感数据库，DHS 与 ICE 共享国税局、Medicaid 和住房数据用于移民执法，以及用 SAVE 系统核查选民资格并推动各州交出选民信息。
推荐理由：EFF 梳理联邦数据整合的三条路径与相关诉讼进展，读者可了解美国隐私执法与立法补漏的现状。
BleepingComputerAI 评分7171 FBI 在系统被入侵后再逮捕一名 ShinyHunters 嫌疑人
FBI 局长 Kash Patel 周五宣布，又逮捕了一名涉嫌参与近期 FBI 系统入侵的 ShinyHunters 勒索团伙成员，该团伙被认为与 FBIjobs.gov 平台事件有关。
404 MediaAI 评分6666 404 Media 调查后，参议员 Ron Wyden 要求公开白宫车牌监控项目信息
在 404 Media 调查报道后，参议员 Ron Wyden 致函白宫国家毒品控制政策办公室（ONDCP）主任 Sara Carter，要求公开有关联邦车牌识别监控项目的信息。
The RecordAI 评分7474 FBI 就招聘网站数据泄露再逮捕一名 ShinyHunters 嫌疑人
FBI 本周再逮捕一名据称与 ShinyHunters 组织有关的人员，该组织此前接管 FBIjobs.gov 域名并窃取几乎全部 FBI 员工的敏感数据，包括医疗记录、家庭住址、电话号码和工作领域。
EDPB 欧洲数据保护委员会精选AI 评分6262 意大利数据保护机构因未尊重客户反对直销的意愿对 BBVA 罚款 5 508 000 欧元
意大利数据保护机构对 BBVA 处以 5 508 000 欧元罚款，原因是其未尊重一名客户对直销的反对。同一批通报中，意大利数据保护机构还因乘客健康数据违规对 Emirates 罚款 180 000 欧元，因非法处理患者健康数据对 IQVIA 罚款 7 000 000 欧元，并因员工数据违规对一家安保公司罚款 39 000 欧元。
EDPB 欧洲数据保护委员会AI 评分4949 意大利 DPA 因乘客健康数据处理违规对 Emirates 罚款 18 万欧元
意大利数据保护机构因 Emirates 处理乘客健康数据违规对其罚款 18 万欧元，涉及 GDPR 第 5(1)(a)、5(1)(e)、12 和 13 条。Emirates 通过 MEDIF 表格收集乘客健康、医生及陪同人员信息，但未提供清晰透明的处理说明，且七年留存期过长。DPA 责令其在 30 天内整改，明确需填表乘客类别及必要字段，并删除超期留存数据。
EDPB 欧洲数据保护委员会AI 评分2626 意大利数据保护机构因员工数据处理违规对一家安全公司罚款 3.9 万欧元
意大利数据保护机构以员工数据处理违规为由，对一家安全公司处以 3.9 万欧元罚款。同日该机构还公布另外三起处罚：对 Emirates 因乘客健康数据侵权罚款 18 万欧元，对 BBVA 因未尊重客户反对直接营销的权利罚款 5 508 000 欧元，对 IQVIA 因非法处理患者健康数据罚款 7 000 000 欧元。
EDPB 欧洲数据保护委员会AI 评分7777 意大利数据保护机构因非法处理患者健康数据对 IQVIA 罚款 700 万欧元
意大利数据保护机构对 IQVIA Solutions Italy S.r.l. 处以 700 万欧元行政罚款，认定其处理约 100 万名患者、来自 800 名全科医生的健康数据缺乏适当法律依据，且未提供充分告知。
ICO 英国信息专员办公室精选AI 评分6262 ICO：自动骚扰电话投诉创五年新高，三个月内近乎翻三倍
ICO 表示，公众关于自动骚扰电话的投诉从 7 月的 1,374 件升至 8 月的 2,178 件（增长 58%），9 月又增至 3,684 件（再增 69%），达到 2021 年以来的最高水平。
推荐理由：ICO 披露自动骚扰电话投诉三个月内近乎翻三倍，并说明其执法权限与已开出的罚款，可了解英国对营销电话的监管现状。
Garante 意大利数据保护局精选AI 评分6262 意大利数据保护局 10 月通讯：IQVIA 被罚 700 万欧元，奖学金名单与市镇监控同遭处罚
意大利数据保护局在 10 月 8 日通讯中公布多项处罚：IQVIA Solutions Italy 因建立含 100 万名患者健康数据的数据库被罚 700 万欧元，监管机构认定这些数据并非匿名，患者代码可长期追踪并配合出生年份、性别、诊断、处方和位置数据实现重识别，数据库中还混入 3300 多名患者的身份信息。
推荐理由：汇总意大利数据保护局近期多项处罚与指南，可对照了解奖学金名单公开、市镇监控和健康数据二次利用的合规边界。
EDPB 欧洲数据保护委员会AI 评分8787 荷兰数据保护机构因违法自动化决策和画像信息不足对 Uber 罚款 8.2499 亿欧元
荷兰数据保护机构以违法自动化决策和画像信息不足为由，对 Uber 罚款 8.2499 亿欧元。同一页面还列出希腊数据保护机构就涉及 E.E.T.A.A. S.A. 的数据泄露作出决定、瑞典数据保护机构因技术和组织措施不足对 Miljödata i Karlskrona 罚款约 16 万欧元，以及爱尔兰数据保护委员会因 Google 位置数据处理问题对其罚款 4.03 亿欧元。
EDPB 欧洲数据保护委员会AI 评分3434 希腊 DPA 就 E.E.T.A.A. S.A. 作为社会凝聚与家庭事务部处理者涉及的数据泄露作出决定
希腊数据保护机构就 E.E.T.A.A. S.A. 作为社会凝聚与家庭事务部处理者所涉数据泄露作出决定。该决定由 EDPB 于 2026 年 10 月 8 日发布。
EDPB 欧洲数据保护委员会AI 评分4242 瑞典 DPA 因信息安全技术与组织措施不足对 Miljödata i Karlskrona 罚款约 16 万欧元
瑞典数据保护机构因技术与组织措施不足以保障信息安全，对 Miljödata i Karlskrona 处以约 16 万欧元罚款。该处罚由 EDPB 于 2026 年 10 月 8 日发布的国家新闻中披露。
BleepingComputerAI 评分3131 Empire Market 暗网市场联合创始人 Raheim Hamilton 获刑 40 年
Empire Market 联合创始人 Raheim Hamilton 因协助 2018 至 2020 年间 4.3 亿美元非法交易，被判处 40 年监禁。该暗网市场通过 Tor 访问、仅接受加密货币，累计促成超 400 万笔交易，毒品销售额近 3.75 亿美元，2020 年 8 月峰值时约有 168 万注册用户。
KMCC 韩国广播媒体通信委员会AI 评分88 韩国广播媒体通信委员会第41次委员会结果：有偿广播订户数验证专门审议会委员委任
韩国广播媒体通信委员会（KMCC）公布2026年第41次委员会结果，委任“第6期有偿广播订户数验证专门审议会”委员，任期自2026年10月8日至2028年10月7日，该审议会负责在每半年确定有偿广播订户数与市场占有率前审议调查结果适当性。
ICO 英国信息专员办公室精选AI 评分7575 ICO 公布十家 AI 基础模型开发者整改结果，并就智能体 AI 启动证据征集
ICO 发布报告称，Amazon、Anthropic、Apple、Cohere、DeepSeek、Google、Meta、Microsoft、OpenAI 和 Stability AI 十家在英国运营的基础模型开发者已做出或承诺做出数据保护整改，包括更清晰的透明度信息、更便于个人行使权利的机制和更严格的保障评估。
推荐理由：ICO 对十家基础模型开发者的监督结果与对智能体 AI 的取证征集，呈现监管如何把训练数据与自主行为纳入合规边界。
The RecordAI 评分3838 美国悬赏 1000 万美元征集被控参与 Hafnium 黑客行动的中国公民张宇线索
美国国务院悬赏 1000 万美元征集张宇下落，其被指为 Hafnium 黑客行动关键人物，任上海复科信息技术有限公司总监，被控代表中国政府入侵数千台计算机并窃取文件与邮件。张宇据称与徐泽伟合作，从美国高校、免疫学家和病毒学家处窃取新冠研究数据，并违反《计算机欺诈与滥用法》。FBI 称 Hafnium 针对逾 6 万家美国实体，成功入侵超 12,700 家。
CyberScoopAI 评分6666 FBI 与法国当局查封 deepfake CSAM 交易网站并逮捕一名嫌疑人
FBI 本周查封并关闭了 NudeLeaksTeens 和 NLTVIDS 两个用于传播儿童性剥削素材（含 AI 生成的 deepfake 内容）的网站，法国巴黎检察官办公室网络犯罪部门逮捕了一名 25 岁法国居民，疑为网站主要管理员。
Krebs on Security精选AI 评分7676 ShinyHunters 头目被捕前勒索波音剥离的 Jeppesen ForeFlight
涉嫌领导数据窃取与勒索团伙 ShinyHunters 的约旦安曼青年 Rey（Saif Al-din Khader）已被拘留，据报正配合 FBI 指认其他成员。
推荐理由：梳理 ShinyHunters 头目被捕前后对波音剥离业务部门的勒索过程，呈现该团伙借品牌外包持续作案的手法。
Hunton 隐私与网络安全法律博客AI 评分5555 FTC 将依据 6(b) 条款启动个性化定价新研究
FTC 主席 Andrew Ferguson 宣布计划依据 FTC Act 第 6(b) 条启动一项针对个性化定价的新研究。此前该机构已于 2024 年开展研究并在 2025 年 1 月发布初步结论，2026 年 8 月又提出针对使用消费者个人数据设定个性化价格的执法政策声明。收到 6(b) 命令的企业应视同传票和民事调查令处理，必须作出回应或申请限制、撤销该命令。
OAIC 澳大利亚信息专员办公室精选AI 评分6666 OAIC 对 HeyCyan 智能眼镜手机应用开发商启动调查
澳大利亚信息专员办公室已对 HeyCyan 智能眼镜手机应用开发商深圳青橙未来科技有限公司启动调查。该应用用于 Kmart 的 Anko 智能眼镜以及 Big W Marketplace 和 Amazon 上销售的低价产品。
推荐理由：澳大利亚信息专员办公室对未回应初步问询的 HeyCyan 应用开发商启动调查，读者可了解智能眼镜隐私监管的执法路径。
OAIC 澳大利亚信息专员办公室精选AI 评分7171 OAIC 对 HeyCyan 应用提供方深圳擎城启动正式调查
澳大利亚信息专员办公室（OAIC）宣布对提供 HeyCyan 应用的深圳擎城启动正式调查，原因是该公司未回应此前的初步问询，且第三方对其技术及隐私政策的分析引发担忧，OAIC 将动用包括强制取证通知在内的全部权力。
推荐理由：OAIC 对 HeyCyan 应用提供方启动正式调查，并说明智能眼镜场景下隐私法何时适用、何时不适用。
AGCM 意大利竞争与市场管理局精选AI 评分6262 意大利 AGCM 就霸王条款对 Suno 启动调查
意大利竞争与市场管理局（AGCM）对美国公司 Suno Inc. 启动调查，审查其生成式 AI 音乐服务 Termini di Servizio 中的条款是否构成霸王条款。
推荐理由：意大利监管机构对 AI 音乐生成平台 Suno 的服务条款启动调查，读者可了解其被指不公平的合同条款范围。
GDPR Enforcement Tracker 处罚数据库AI 评分1818 罗马尼亚 ANSPDCP 对 Global Customer Care Services S.R.L. 开出 5,000 欧元 GDPR 罚单
罗马尼亚数据保护机构 ANSPDCP 于 2026-10-02 对 Global Customer Care Services S.R.L. 处以 5,000 欧元罚款，依据 GDPR 第 32(1)(b)、(d) 条及第 32(2) 条，认定其未采取充分的技术与组织措施保障信息安全。
Garante 意大利数据保护局精选AI 评分7676 意大利数据保护局因健康数据处理违规对 IQVIA 罚款 700 万欧元
意大利数据保护局对 IQVIA Solutions Italy S.r.l. 处以 700 万欧元罚款，该公司建立了覆盖 800 名全科医生、100 万名患者健康信息的数据集，用于受制药企业委托的研究。
推荐理由：意大利数据保护局对 IQVIA 开出 700 万欧元罚单，并说明为何其患者数据不构成匿名，可供理解健康数据去标识化的合规边界。
EFF精选AI 评分6969 EFF 与 ACLU 要求调查马林县警长办公室违规共享 Flock 车牌识别数据
EFF 与北加州 ACLU 就马林县警长办公室违规共享 Flock Safety 车牌识别数据发出要求函和公共记录申请。
推荐理由：马林县警长办公室再次违规共享车牌识别数据，读者可了解加州 SB 34 与和解协议的执行缺口。
DPC 爱尔兰数据保护委员会精选AI 评分6262 DPC 公布对 Children's Health Ireland 调查的最终决定
DPC 公布对 Children's Health Ireland（CHI）的最终决定，认定其 Tallaght 大学医院院区在 NCHD 办公室纸质病历的保密与安全管理上违反 GDPR 第 5(1)(f) 条和第 32(1) 条。
推荐理由：DPC 对儿童医院纸质病历安全问题的最终决定，展示了监管机构在纸质记录与保密废弃物管理上的具体整改要求。
Garante 意大利数据保护局AI 评分2222 Garante 2026年9月30日第552期通讯：Google 被罚4.03亿欧元、博洛尼亚安保公司被罚3.9万欧元
意大利数据保护局 Garante 在2026年9月30日第552期通讯中披露，Google 因隐私违规被处以4.03亿欧元罚款，该案由 Garante 与爱尔兰 DPC 联合介入。
ICO 英国信息专员办公室精选AI 评分7474 TikTok 撤回两项上诉并接受 ICO 1270 万英镑儿童隐私罚款
TikTok 撤回对 ICO 2023 年 1270 万英镑罚款的上诉，该处罚通知由此终局。ICO 认定 TikTok 未采取充分措施识别和移除 13 岁以下儿童，也未就数据收集使用提供清晰信息或取得家长同意，估计 2020 年有最多 175 万名英国 13 岁以下儿童使用该平台。
推荐理由：ICO 对 TikTok 儿童隐私罚款因撤诉而终局，读者可了解该案的法律定性与后续推荐系统调查的进展。
Krebs on Security精选AI 评分7878 荷兰警方在ShinyHunters调查中逮捕一名“改过自新”的黑客
荷兰当局逮捕了一名24岁的曾被定罪网络罪犯，怀疑其协助黑客团伙ShinyHunters实施数据窃取和勒索。三名知情人士称，被捕者是来自荷兰Almere和Lelystad的Pepijn van der Stap，他曾在2023年因一系列数据窃取和勒索被定罪，检方称其获利150万至270万欧元，并被判处四年监禁（其中一年缓刑），2025年12月出狱。
推荐理由：荷兰警方逮捕一名曾被定罪的24岁黑客，其涉嫌协助ShinyHunters实施数据窃取与勒索，案件牵出该团伙近期对FBI等目标的攻击升级。
The GuardianAI 评分6262 NHS England 负责人要求立即停职疑似窥探患者病历的员工
NHS England 负责人 Jim Mackey 致信全部 205 家 NHS 信托机构，要求对疑似不当访问患者病历的员工立即停职并切断其 NHS 系统访问权限，采取零容忍立场。
The GuardianAI 评分4444 威尔士 Dyfed-Powys 警方遭网络攻击，员工信息或已被访问
威尔士 Dyfed-Powys 警方称9月14日遭网络攻击，部分非紧急系统受影响，员工信息可能被“访问或泄露”，但暂无证据显示公众个人数据受影响。该警队有逾2000名警员及文职人员，已通报英国信息专员办公室（ICO），案件由南威尔士区域有组织犯罪部门 Tarian 调查。
GDPR Enforcement Tracker 处罚数据库AI 评分2222 罗马尼亚 ANSPDCP 对 Tip Top Food Industry 开出 5,000 欧元 GDPR 罚单
罗马尼亚数据保护机构 ANSPDCP 于 2026-09-25 对 Tip Top Food Industry S.R.L. 处以 5,000 欧元罚款，原因是其门禁兼考勤系统在缺乏法律依据的情况下处理员工指纹生物识别数据。ANSPDCP 认定，该控制者所述目的并不需要处理员工指纹，违反 GDPR 第 5(1)(c) 条与第 9 条。
The GuardianAI 评分7171 TikTok 放弃上诉，将向英国 ICO 缴纳 1270 万英镑罚款
TikTok 放弃对英国信息专员办公室（ICO）2023 年处罚决定的上诉，将缴纳 1270 万英镑罚款。ICO 认定 TikTok 未能阻止 13 岁以下儿童使用平台，2020 年最多有 175 万名英国 13 岁以下儿童使用该服务，且未向用户说明数据收集使用方式、未取得家长同意。
CNIL 法国数据保护机构AI 评分4242 CNIL 结束对 SOLOCAL MARKETING SERVICES 的整改 injunction
法国 CNIL 于 2026 年 9 月 17 日决定，结束 2025 年 5 月对 SOLOCAL MARKETING SERVICES 下达的整改 injunction。
EDPB 欧洲数据保护委员会精选AI 评分7777 爱尔兰数据保护委员会就 Google 位置数据处理开出 4.03 亿欧元罚款
EDPB 发布消息称，爱尔兰数据保护委员会在对 Google 位置数据处理展开调查后，对其处以 403 000 000 欧元罚款。
推荐理由：EDPB 汇总页列出爱尔兰 DPC 对 Google 位置数据处理的 4.03 亿欧元罚款，可对照同期各国 DPA 的执法动向。
CNIL 法国数据保护机构精选AI 评分6262 EDPB 通过 GDPR 罚款指南与 DSA 和 GDPR 衔接指南
EDPB 于 9 月 17 日通过关于数据保护机构罚款权力的指南，规定决定是否处以行政罚款时遵循五步方法，包括判断违规是否可罚、责任主体、故意或过失、加重与减轻情节，以及罚款是否有效、相称和具有威慑力。
推荐理由：EDPB 通过罚款评估五步法与 DSA 和 GDPR 衔接指南，读者可了解监管机构如何决定是否处罚及两类法规如何分工。
PIPC 韩国个人信息保护委员会精选AI 评分6060 韩国 PIPC 发布对扫地机器人厂商的个人信息处理整改建议
韩国个人信息保护委员会（PIPC）公布对 Roborock、Samsung Electronics、LG Electronics、ECOVACS、Xiaomi 五家扫地机器人厂商个人信息处理实践的调查结果，认为视频、语音、照片和地图信息在收集与传输环节总体处理安全，未发现重大隐私风险。
推荐理由：韩国 PIPC 对五家扫地机器人品牌的调查结论与整改要求，展示了家用摄像头与传感器设备在同意、跨境传输和访问控制上的合规要点。
EDPB 欧洲数据保护委员会AI 评分4747 西班牙 DPA 因将数据主体权利行使引向收费电话、增加行使难度，对 Securitas Direct 罚款 10 万欧元
西班牙数据保护机构对 Securitas Direct 处以 10 万欧元罚款，原因是该公司将个人引向收费电话号码，使数据主体更难行使自身权利。该处罚由 EDPB 于 2026 年 10 月 8 日作为国家新闻发布。