一周数据要闻｜《中国禁止出口限制出口技术目录》修订，增列人工智能、生物医药、光伏技术；欧洲数据保护委员会发布智能眼镜声明

以下为近期国内外数据与网络安全合规前沿资讯概要，如需获取详细内容与要点解读，请联系我们：wuyating@zhonglun.com。

点评：10月16日，商务部、科技部发布2026年第48号公告，就修订《中国禁止出口限制出口技术目录》公开征求意见，拟新增人工智能、生物医药、光伏三大领域合计40项技术（拟禁止出口14项、限制出口26项），同步实施临时出口前登记管理，征求意见期为10月16日至11月15日。其中 AI 领域含大模型、智能体、算力集群等23项技术，开源、已发表论文进入公共领域的技术不纳入管理；生物医药覆盖细胞和基因治疗、小核酸药、病原微生物5项技术，非所有权转让的对外授权适用自动许可便利措施；光伏包含多晶硅、硅片、电池制造等12项技术，管控范围涵盖承载相关技术的核心关键设备。政策坚持精准列管、分级分类，产品本身不在管控范围，同时配套多项便利安排，兼顾技术安全与正常国际科技交流合作，后续将动态调整目录范围。临时登记阶段，企业出口目录所列技术，需在商务部业务平台完成登记，涵盖技术所有权转让、境外授权、实际控制人变更为境外主体等情形。

点评：10月16日，上海公布《上海市推动高水平对外开放 促进数据跨境流动便利化的若干举措》，提出推动数据出境安全评估、个人信息出境标准合同备案、个人信息出境认证与负面清单制度衔接，动态拓展负面清单行业范围，并编制场景化操作指引。上海将依托“一网通办”支持企业在线办理使用负面清单开展数据出境活动的备案，完善材料补正及进度查询等功能；同时聚焦全球研发、供应链、金融风控及生物医药等场景提供分类指导，探索个人信息匿名化应用试点。

点评：10月13日，西安市网信部门公布五类网络安全典型案例。其中，一家电子商务企业未按规定对生成式人工智能服务开展安全评估，存在内容审核、风险识别机制及训练语料安全审查不到位等问题，被约谈并责令下线相关服务。另有两家企业因程序接口未设置有效身份校验，导致涉及敏感个人信息的业务数据存在泄露风险，被责令限期整改并予以警告。通报还涉及停运网站未及时关闭、注销备案及日常运维缺位等情形，体现接口认证、服务退出和持续运维均属监管关注事项。

点评：10月15日，香港金融管理局公布以可问责、具韧性及可信赖为核心的“ART”框架，并发出新版《负责任应用人工智能的监管指引》（Supervisory Guidance for Responsible Adoption of Artificial Intelligence）。指引要求认可机构制定整体AI策略，为每项已部署用例指定负责人，并按风险及重要性实施全生命周期管理和适当的人为监督。金管局同时提出合作建设AI训练数据共享平台，通过“GenA.I.沙盒++”进一步测试代理式AI，并发布管治概念说明；详细讨论文件将另行发布。

点评：10月15日，全国数据标准化技术委员会秘书处发布2026年第二批数据领域国家标准需求的通知，申报截至10月31日。清单涉及电子商务等行业的重要数据识别目录、高质量数据集安全技术要求、数据流通安全审计、企业数据安全治理框架及具身智能数据安全评估等方向，并包含医疗、疾控等领域的数据安全需求。本次属于标准及技术文件需求征集和项目申报安排。

点评：10月13日，全国网络安全标准化技术委员会秘书处发布通知，公布由其归口管理的25项网络安全推荐性国家标准计划，包括《网络安全技术 JSON密码使用语法规范》等项目。通知要求相关工作组制定推进计划，督促牵头承担单位落实制修订任务，并加强协调、广泛征求意见。相关项目涉及密码应用、数字证书等网络安全技术方向，可供企业跟踪后续标准化进程。本次公布的是标准制修订计划，不代表25项标准已经正式发布、进入实施阶段或形成新的强制性要求。

点评：10月13日，欧洲数据保护委员会（European Data Protection Board，EDPB）通过《关于智能眼镜的第1/2026号声明》（Statement 1/2026 on smart glasses），就透明度及责任分配提供初步指导。用户将影像发布至公开社交账号，或将设备用于职业等活动时，可能成为数据控制者；纯粹私人、家庭活动则可能适用家庭活动例外。生产商及关联应用、服务提供者不能将自身义务转嫁给用户。声明强调录制提示应明显可靠，并特别关注儿童及医院、学校、工作场所等环境的数据保护风险。

点评：10月12日，挪威数据保护局（Datatilsynet）公布对Xandr Inc.处以9200万挪威克朗罚款的决定，决定作于10月2日。监管认定，Xandr在实时竞价广告中处理挪威Grindr用户的广告标识符、IP地址及使用该应用的信息，缺乏合法依据，并违法处理涉及性取向的特殊类别数据。Xandr作为广告供给端和需求端平台均构成相关处理的共同控制者，不能仅依赖Grindr取得的无效同意。监管强调，各共同控制者须独立核验同意是否有效并覆盖自身处理活动。

点评：意大利《官方公报》于10月8日公布第179/2026号立法法令（Decreto legislativo 7 ottobre 2026, n. 179），将于10月23日生效。法令围绕欧盟《人工智能法》（AI Act）落实国家主管机关权限、市场监督及处罚等制度，并涉及专业服务、劳动和医疗等领域。第四十九条规定，专业人员使用AI可能引起公平报酬调整，相关参数应考虑系统风险分类，并在法令生效后12个月内完善。

点评：10月14日，爱荷华、堪萨斯、内布拉斯加、西弗吉尼亚、阿肯色、亚利桑那、爱达荷及蒙大拿八州分别在州法院对OpenAI提起诉讼。爱荷华州指控公司就ChatGPT安全性误导公众，产品可能向儿童等脆弱用户提供危险建议、强化妄想及不健康依赖，并依据该州消费者欺诈法律寻求救济。各州诉讼涉及AI产品安全宣传、未成年人保护及危险内容回应等问题，具体法律依据和救济请求有所不同，相关指控尚待法院审理。

点评：10月14日，法国国家信息与自由委员会（CNIL）公布9月23日作出的结案决定，确认Google已在期限内完成2025年整改命令涉及的两项要求。公司补充了创建账号与广告Cookie之间关系的说明，并调整Gmail广告格式，使其与真实邮件明确区分。CNIL强调，结案仅针对原整改命令范围，不预判整个账号创建流程是否符合Cookie规则，并保留进一步调查权。

点评：10月15日，金融稳定理事会（Financial Stability Board，FSB）发布《负责任应用人工智能良好实践》（Sound Practices for Responsible Adoption of Artificial Intelligence）最终报告，吸收6月咨询稿反馈，提出12项良好实践。报告覆盖董事会及高级管理层监督、责任分工、AI用例记录和风险评估，以及数据治理、可解释性、持续监测、人为监督和第三方依赖管理。报告特别关注第三方AI服务的性能、透明度、数据质量、供应链集中度及业务连续性风险，鼓励金融机构按自身风险状况纳入现有治理及风险管理框架。

点评：10月14日，日本个人信息保护委员会（PPC）公布《个人信息保护法》修订后的配套规则讨论材料，重点涉及限制可用于联系特定个人的信息被不当利用或不正当取得、加强基于个人退出机制的第三方数据提供管理，以及细化旨在削弱违法获利动机的课征金制度。讨论范围包括电话号码、电子邮箱、Cookie标识符等信息，以及第三方提供中的接收方身份和使用目的核验。相关配套政令、规则仍在制定过程中，具体适用条件和实施要求有待进一步明确。

点评：10月16日，荷兰个人数据保护局（Autoriteit Persoonsgegevens，AP）宣布，对两家在收到解释及警告后仍使用误导性Cookie横幅的机构启动调查。相关横幅缺少直接可见的跟踪Cookie拒绝按钮，使用户更容易选择接受。AP强调，拒绝应与接受同等容易，接受按钮旁应提供直接可见的拒绝按钮。监管近月已向约100家机构发出警告，涉及媒体、医疗健康及保险等领域，约70%随后调整。两家机构目前处于调查阶段，横幅设计和拒绝操作便利度是此次核查重点。