一周数据要闻｜最高人民法院发布《关于依法审理涉人工智能纠纷案件的意见》；欧盟《网络韧性法》漏洞及严重安全事件报告义务正式适用

以下为近期国内外数据与网络安全合规前沿资讯概要，如需获取详细内容与要点解读，请联系我们：wuyating@zhonglun.com。

点评：9月7日，最高人民法院发布《关于依法审理涉人工智能纠纷案件的意见》，围绕人工智能技术应用过程中产生的人格权、知识产权、数据权益、合同责任及侵权责任等纠纷类型，提出司法审理规则。该《意见》共24条，明确人民法院审理涉人工智能纠纷案件，应依法平衡技术创新发展与权益保护。根据《意见》，人工智能模型训练在合理范围内处理个人自行公开或者其他已经合法公开的个人信息，且个人未明确拒绝的，一般不认定为侵害个人信息权益；但处理个人权益有重大影响的，应依法取得个人同意。对于“合理范围”的判断，人民法院应综合考虑处理目的与模型功能的必要性、个人信息类型及敏感程度、对个人权益的潜在影响、个人公开信息时的合理预期等因素。此外，《意见》明确，利用人工智能技术侵害人格权益、实施“深度合成”“人脸替换”“声音伪造”等行为的，应依法承担责任；针对利用人工智能实施侵害个人信息权益、自动化决策侵害消费者权益以及“大数据杀熟”等情形，也明确了相应裁判规则。该《意见》为人工智能开发者、服务提供者及数据处理者开展模型训练、产品部署和风险管理提供了司法裁判参考。

点评：9月11日，国家数据产权登记服务系统上线试运行，全国统一的数据产权登记制度进入落地实施阶段。此前，国家数据局于7月1日印发《数据产权登记工作指引（试行）》，推动统一登记对象、登记类型、登记流程、审查标准、登记效力和登记系统，着力解决多种登记并存、标准不一及登记结果互认不足等问题。此次上线的系统主要汇集全国数据产权登记结果，面向全国提供统一的登记公示、登记结果查询核验等服务，为登记结果全国互认提供基础支撑。北京国际大数据交易所、上海数据交易所、深圳数据交易所已纳入全国数据产权登记机构目录，相关登记结果将同步汇集至该系统。国家数据局表示，下一步将持续优化系统功能，并拓展登记凭证在数据流通交易、数据资产入表、融资担保、作价入股和纠纷解决等场景中的应用。

点评：9月11日，工业和信息化部公开发布《“人工智能+软件”专项行动实施方案》（工信部信发〔2026〕209号），推动人工智能与软件产业深度融合。在安全合规方面，《实施方案》提出引导企业采购使用安全可靠的智能编程工具，覆盖需求分析、代码生成、测试验证等研发环节，并强化人工智能生成代码安全，指导企业建立生成代码安全审查机制，推动重点行业新上线软件在上线前开展安全检测、及时整改风险。同时，文件提出加强自主开源许可协议应用与合规指引。该文件属于产业政策文件，但其中关于AI生成代码安全、软件上线安全检测及开源合规的要求，对人工智能软件开发和应用治理具有参考意义。

点评：9月10日，工业和信息化部、国家发展改革委、公安部、交通运输部、商务部、自然资源部、住房和城乡建设部、市场监管总局、国家网信办联合印发《智能网联新能源汽车产业发展“十五五”规划》。在数据和网络安全方面，《规划》将“智能网联新能源汽车安全筑基工程”列为重大工程之一，提出进一步健全功能安全、网络安全、数据安全管理体系，并建立安全监测平台。同时，《规划》部署“人工智能+汽车”发展行动，从基础能力建设、车端应用和数据供给等方面推进人工智能与汽车产业融合；在国际化方面，明确提出推进数据跨境流动相关工作。该《规划》属于“十五五”时期智能网联新能源汽车产业发展的纲领性政策文件，对汽车企业后续网络安全、数据安全及跨境数据合规体系建设具有重要政策参考意义。

点评：9月11日，中央网信办、农业农村部、工业和信息化部联合印发《数字乡村高质量发展行动计划（2026—2030年）》。在数据治理方面，《行动计划》提出完善国家农业农村大数据体系，加快建设农业农村领域高质量数据集，建立健全涉农公共数据资源开发利用机制，建设面向农业农村的可信数据空间，并鼓励涉农企业开展数据管理国家标准（DCMM）贯标。安全方面，文件要求完善风险评估与预警机制，加强数字乡村重点领域网络安全防护，规范数据采集、存储和使用管理，做好个人信息保护并保障涉农重要数据安全。该文件属于政策行动计划，相关要求主要体现未来农业农村数据开发利用与安全治理的政策方向。

点评：9月11日，《网络韧性法》（Cyber Resilience Act，Regulation (EU) 2024/2847，CRA）第14条规定的部分报告义务正式开始适用。根据欧盟网络安全局（ENISA）说明，自当日起，数字元素产品[HY1] （products with digital elements）的制造商须按照CRA规定，报告其获悉的被主动利用漏洞（actively exploited vulnerabilities）以及对数字元素产品安全产生影响的严重事件。ENISA同日上线CRA单一报告平台（SRP），制造商可通过该平台向相关主管机构提交报告。CRA的大部分其他网络安全要求将自2027年12月11日起适用。对于在欧盟市场提供软件、联网设备等数字元素产品的企业，本次属于已经发生的法定义务适用节点。  

点评：韩国修订《个人信息保护法》（개인정보 보호법）于9月11日起正式施行。本轮修法针对个人信息泄露及企业治理显著强化监管：对重复或重大违法行为引入最高可达全部营业额10%的惩罚性行政罚款，同时建立个人信息保护预防性投资的罚款减免机制；新增在获知个人信息存在泄露“可能性”时向信息主体及时通知的要求，并将个人信息伪造、篡改、毁损纳入通知和报告范围。修法同时强化企业代表人及个人信息保护负责人（CPO）的责任和权限。主要公共及私人个人信息处理者强制取得ISMS-P认证的规定将于2027年7月1日施行。

点评：9月10日，美国加利福尼亚州州长Gavin Newsom签署SB 1119（Companion chatbots: children’s safety），进一步加强针对儿童使用AI陪伴聊天机器人（companion chatbots）的安全监管。根据加州州长办公室公布的信息，该法要求相关服务建立儿童安全保护机制，包括在识别到自杀意念等高风险情形时启动危机应对程序，提供家长控制功能，并在儿童关闭安全设置时向家长发出通知。同时，相关企业须开展独立的儿童安全审计和年度风险评估。加州政府将该法称为进一步强化其既有陪伴聊天机器人儿童保护制度的重要立法。该法已由州长签署。

点评：9月10日，加拿大隐私专员办公室（OPC）发布第三方服务提供商评估指引，面向受《个人信息保护与电子文件法》（PIPEDA）约束的企业。OPC强调，企业即使委托第三方收集或处理个人信息，仍对其控制范围内的个人信息承担责任。指引要求企业在合作前识别隐私及合规风险，并将评估结果用于供应商选择、合同条款及监管问责；相关评估涉及数据处理方式、第三方控制措施等。OPC目前就该指引征求意见至2026年12月4日，之后可能根据收到的反馈进一步修改。

点评：欧盟委员会于9月7日通过Commission Implementing Decision (EU) 2026/1970，就《Regulation (EU) 2018/1240》项下欧洲旅行信息和授权系统（ETIAS）中央系统中的数据访问、修改、删除及提前删除制定具体实施措施，并废止Commission Implementing Decision (EU) 2021/1028。该制度主要涉及免签第三国国民申请ETIAS旅行授权过程中形成的数据及有关主管机关的数据访问和管理机制。决定于9月8日在《欧盟官方公报》公布，并自公布后第20日起生效，即2026年9月28日生效。

点评：9月9日，英国政府宣布将提出新的立法，要求科技企业强化设备和平台层面的儿童保护措施，使18岁以下用户无法拍摄、查看或发送裸体图像，以降低网络诱骗、性勒索和儿童性剥削风险。英国政府表示，拟议要求将适用于相关技术产品和平台，并计划通过具有约束力的法律要求推动企业落实，而非仅依赖自愿措施。需要严格区分法律状态：目前属于英国政府宣布准备提出立法，尚非议会已经通过或已经生效的法定义务。该事项主要属于儿童在线安全及平台治理，并不改变英国个人数据保护仍以UK GDPR及Data Protection Act 2018等为主要法律框架的事实。

点评：肯尼亚通信管理局（Communications Authority of Kenya）此前公布的公共通信接入中心（PCAC）新许可条件于9月7日正式生效。根据监管机构说明，网吧等公共互联网接入服务经营者须核验客户身份，并保存证明许可合规所需的基本记录，包括客户使用的终端以及会话开始、结束时间等，以便相关设施涉及违法活动时形成审计轨迹。监管机构特别澄清，新要求不要求经营者保存用户浏览历史，亦未规定统一的身份识别系统。相关许可条件于8月7日在《Kenya Gazette》公布，经30日法定期间后于本周正式生效。