一周数据要闻｜《小型个人信息处理者个人信息保护简化措施规定》发布；欧委会因违反《数字服务法》对全球速卖通处以5.5亿欧元罚款

以下为近期国内外数据与网络安全合规前沿资讯概要，如需获取详细内容与要点解读，请联系我们：wuyating@zhonglun.com

点评：《规定》明确了适用范围和总体要求。小型个人信息处理者，是指处理不满10万人个人信息的个人信息处理者。规定支持小型个人信息处理者在遵守个人信息保护相关法律、行政法规和国家有关规定基础上，依据本规定采取与小型个人信息处理者规模、能力等相当的简化措施保障个人信息安全，保护个人信息权益。

点评：7月20日，国务院新闻办公室举办新闻发布会，工信部相关负责人介绍今年上半年工业和信息化发展情况。工信部相关负责人介绍，今年上半年我国规模以上工业增加值同比增长5.4%，创新成果持续涌现、产业结构不断优化。上半年我国算力规模持续提升，截至今年6月底，智能算力规模达2185EFLOPS（每秒执行2185百亿亿次浮点运算）；智能机器人领域，我国研发的四足机器人占全球销量份额接近70%，人形机器人整机产品达400余款、超全球半数；人工智能开源大模型全球累计下载量突破100亿次。

点评：7月17日，工信部组织召开重点汽车生产企业座谈会，部署开展汽车生产企业及产品有关监督检查等工作。会议要求汽车生产企业深入开展产品安全风险隐患排查，加强产品创新设计测试验证，充分评估有关安全风险，加强组合驾驶辅助和自动驾驶功能安全评估，进一步强化企业在功能安全、预期功能安全、网络安全、数据安全、软件升级等方面的安全保障能力，加强安全事件监测和处置。

点评：7月20日，欧盟委员会宣布根据欧盟《数字服务法》（DSA），对全球速卖通（AliExpress）处以5.5亿欧元罚款。欧盟委员会认定，全球速卖通未充分履行DSA项下对其电子商务平台销售非法、不安全或假冒产品相关风险进行评估和缓解的义务。全球速卖通未通过多种方式充分评估非法、不安全或假冒产品传播风险，且未采取有效措施降低非法产品传播风险。全球速卖通没有充分认识到其推荐系统和广告系统在加剧非法产品传播方面所起的作用，许多非法产品在被彻底下架之前就已经被推荐给了消费者。商务部新闻发言人就该罚款答记者问中表示，中方坚决反对欧方以平台监管为由设置数字壁垒，并采取歧视性措施，限制打压中国电商企业在欧正常经营。中方敦促欧方停止利用法律条文的模糊性滥用自由裁量权，公平、公正对待中国企业。

点评：2026年7月23日，欧盟委员会依据《数字市场法》（DMA）对Google处以总额8.9亿欧元罚款。欧盟委员会认定，Google未履行DMA项下有关核心平台服务的合规义务。其中，4.6亿欧元罚款涉及Google Search中对自有服务的优待行为；4.3亿欧元罚款涉及Google Play限制应用开发者向用户提供其他购买渠道信息的行为。欧盟委员会表示，相关决定要求Google采取措施确保符合DMA要求，若未履行相关义务，可能面临进一步执法措施。

点评：7月20日，欧盟委员会发布关于落实《人工智能法案》第50条规定的人工智能系统提供者和开发者透明度义务的指南。《人工智能法案》以风险分类，将人工智能系统分为四个不同的风险类别，其中之一是受第50条约束的有透明度风险的人工智能系统。透明度要求主要包括四类：一是针对直接与自然人交互的AI系统，提供者应确保用户知悉其正在与AI系统进行交互；二是针对生成或操纵合成内容的AI系统，应采用机器可读方式标记，并确保内容能够被有效识别为AI生成或修改；三是针对情绪识别系统和生物识别分类系统，部署者应告知相关自然人系统正在运行；四是针对深度伪造以及用于公共利益事项的AI生成文本，部署者应明确披露内容经过人工智能生成或修改。

点评：7月20日，美国加利福尼亚北区联邦地区法院最终批准Anthropic与作者群体达成的15亿美元和解，为已知金额最高的美国版权案件和解。作者指控Anthropic未经许可使用盗版书籍训练Claude。法院此前认定以书籍训练AI构成合理使用，但Anthropic将逾700万本盗版书籍存入“中央图书馆”侵犯作者权利。部分作者和出版商选择退出和解，相关诉讼仍在继续。

点评：7月20日，法国国家信息与自由委员会（CNIL）联合法国数字与人工智能委员会发布《代理式人工智能与个人数据保护：用户面临的多未知数方程》。该报告探讨了代理式人工智能给个人数据保护带来的问题。报告指出，代理式人工智能的出现使个人数据处理的规模和复杂度显著提升，其自主决策能力和与其他应用程序的交互能力使多方主体责任划分趋于复杂，扩大了网络安全风险。报告认为，应充分考虑代理式人工智能的特点，在相关法规适用中做出调整。

点评：2026年6月24日，奥地利最高行政法院就Ro 2025/04/0007-7号案件作出判决，确认某数据控制者违法处理约220万人的政党倾向信息。该信息系根据个人对特定政党竞选广告的潜在兴趣推算所得，属于GDPR第9条规定的特殊类别个人数据（敏感个人数据）；相关数据在未经同意且不存在其他法定例外的情况下被存储并部分出售给第三方。法院最终将罚款确定为1300万欧元，并判令支付10万欧元程序费用。

点评：2026年7月22日，韩国个人信息保护委员会认定TikTok未经有效同意，通过TikTok Pixel、Events SDK等工具收集约945万名韩国活跃用户在第三方网站和应用中的点击、购买、搜索等行为信息，并结合设备标识符和会员账户推断用户兴趣，用于个性化广告；TikTok Lite还在向关联公司跨境传输个人信息时未充分披露法定事项。委员会依据《个人信息保护法》第15条第1款和第28条之8第1款，处以103.06亿韩元罚款。同案中，Apple被处以2.52亿韩元罚款。

点评：7月20日，新加坡个人数据保护委员会（PDPC）发布《生成式人工智能个人数据使用咨询指南》（Advisory Guidelines on Use of Personal Data in Generative AI）。该指南将生成式人工智能的生命周期划分为开发、部署、部署后三个阶段，就模型开发过程中个人数据的收集与使用、全生命周期中的数据保护责任分配，以及个人数据处理相关个人请求的应对等问题提供指引。该指南在PDPC先前发布的《人工智能推荐与决策系统中个人数据使用咨询指南》和《关于新加坡个人数据保护法中关键概念的咨询指南》的基础上制定，并应与上述指南一并解读。

点评：2026年5月20日，巴西发布第12,975号法令，修订实施《互联网民事权利框架法》的第8,771号法令。新规要求互联网应用提供者在巴西设立并维持办公机构和法定代表人，设置便捷的违法内容举报渠道，采取措施保障服务安全与透明，并监测、评估和管理系统性风险；同时细化犯罪或违法内容的通知、处理及申诉程序，规定付费广告和推广信息保存一年，由国家数据保护局负责相关监管执法。法令自公布之日起60日后生效。