博客
RSS 订阅精选
美国 AI 合规的下个战场：Denver、Hartford 和 Sacramento
Colorado 强制 AI 决策披露、Connecticut AI Profiling 08-01 生效、加州 120 天供应商认证——三州正把 AI 合规从趋势推进到作业单。
欧盟官方年龄验证应用上线，开源首日即被破解
欧盟委员会2026年4月15日宣布 EU Age Verification App 完成技术开发进入推广，基于零知识证明让用户不披露出生日期即可证明年满18岁。但开源当天安全顾问 Paul Moore 称两分钟内破解，本地存储未加密、生物识别可被逻辑绕过。
Lenovo、Temu、Google 涉华数据传输诉讼解读
2026年2月起，Lenovo、Temu（PDD）、Google 相继在美国卷入涉华数据传输诉讼。私人原告与州检察机关借助州隐私法、消费者保护法与 ECPA，将 EO 14117 的国家安全议题转化为可主张高额赔偿的民事与州级责任，形成对跨境数据合规的多维围剿。
最新
查看全部文章 →
日本细化个人信息保护课征金规则：违法收益如何计算，主动报告怎样减额？
日本PPC推进2026年修法配套规则，围绕违法收益计算、主动报告减额和数据交易核验，细化个人信息保护的执法机制。
EDPB发布智能眼镜声明，划分用户、厂商与AI服务商的责任
智能眼镜的数据保护责任须按具体处理活动判断。用户的家庭活动豁免不会延伸到服务商，厂商与AI服务商也不能将自身义务转交用户。
阿联酋航空因乘客健康数据告知不足、保存期限过长被罚18万欧元
意大利监管机构因阿联酋航空未充分告知MEDIF健康数据处理情况、将数据保存七年，对其罚款18万欧元。本文梳理告知要求、保存期限论证及整改措施。
OAIC宣布调查HeyCyan智能眼镜App
OAIC对HeyCyan启动正式调查。本文根据产品功能、公开披露和澳大利亚隐私原则，说明智能眼镜记录在本地、App后台及第三方服务之间的处理方式，以及软件提供方、硬件企业和零售商可能承担的义务。
AI 网关隐私：prompt 可能被送到中国，还可能被拿去训练
OpenRouter 上，DeepSeek 自己在中国的端点标着“Prompt training: Yes”，在两次单日统计中承接了一款模型 13% 到 15% 的 token。本文理清谁会拿 prompt 训练，免费模型也算在内，并附上线前核对清单。
AI Agent 隐私：prompt 之外的九条数据通道
一次 Agent 任务在 prompt 之外还会打开九条数据通道：截图、登录会话、本地文件、记忆、MCP 调用各有去向和留存期。我们拆开一次 Claude Cowork 任务，再对比 23 款 Agent 的默认值。
执法与罚单
47
英国Ofcom对Xgroovy罚款73万英镑，涉及年龄保障及调查配合义务
Xgroovy因未落实年龄保障措施、未按期答复监管信息请求，被Ofcom处以73万英镑罚款。本文梳理年龄保障的判断标准、实施问题及调查经过。
巴西ANPD对TikTok罚款约2亿人民币
巴西ANPD认定TikTok在游客浏览和账户注册中违法处理未成年人数据，对ByteDance罚款1.537亿雷亚尔（约2.01亿元人民币），并要求补正或删除部分未成年用户数据。
Uber因自动停用司机账号被罚近8.25亿欧元
荷兰数据保护局因Uber自动停用司机账号处以近8.25亿欧元罚款。本文将简要梳理案件事实、AP公布的处罚理由，并分析高影响自动化决定中有效人工复核的判断标准。
AI 监管
34
AI 编码 Agent 隐私：别信那个开关
Grok Build 上传整个 Git 仓库，ZCode 上传工作区快照，Trae 关掉遥测仍上报，Claude Code 在 prompt 里藏标记。逐起对照隐私政策原文和实际行为，再看 15 款有海外运营的编码 Agent 默认会把什么发出去。
13 家大模型 API 隐私尽调：至少 3 家默认拿数据改进服务，4 家没有公开 DPA
核对 OpenAI、Anthropic、Google、Mistral、xAI、Cohere 与 DeepSeek、阿里云、Kimi、Z.ai、BytePlus、MiniMax、百度面向海外的 API：谁默认拿数据训练或改进、能否零留存、推理是否在中国；再看合规团队怎么用这些事实做供应商审核，哪些文件给不出来会卡住采购。
AI 数据链路合规地图：prompt 会落进的 10 类存储各留多久
一条 prompt 从 Agent、追踪平台、AI 网关到推理方，可能落进 10 类存储：六家主要海外模型厂商默认留 30 到 55 天，追踪库和向量记忆默认留到你删，零留存覆盖范围要逐家确认，选了欧盟区也可能出区。本文逐跳讲清每类存储的合规要点、合同条款怎么用技术手段验证，以及评估任何供应商的六个问题。
儿童隐私
34
EU Kids Act拟议安排公布！欧盟拟分龄限制未成年人使用社交媒体
欧委会公布EU Kids Act分龄保护方向。结合披露草案，本文梳理账号门槛与例外、安全设计、AI专门要求及超大型平台合规审查，说明企业需关注的产品变化。
加州儿童网络保护新法：适龄设计规范修订与产品合规要求
解析AB 2246与AB 1709的规则变化、与COPPA的区别，以及年龄识别、推荐、自动播放和隐私默认设置的产品影响。
美国众议院通过KIDS Act：平台、游戏与AI聊天机器人的儿童保护要求速览
H.R. 7757已获美国众议院通过并转交参议院委员会，但尚未成为法律。本文梳理其对平台默认设置、年龄核验、联网游戏、AI聊天机器人及COPPA 2.0的主要要求。
法规解读
46
印尼个人数据保护法实施条例解读：与GDPR的主要区别
PP 33/2026细化了合同处理依据、个人权利、处理记录、泄露通报和跨境传输要求。结合PDPL上位法，分析其与GDPR的主要差异及适用边界。
ChatGPT被欧盟列为DSA下的超大型在线搜索引擎，新增义务有哪些
欧盟委员会已将ChatGPT指定为超大型在线搜索引擎。本文介绍DSA关于VLOP、VLOSE的指定标准，并梳理ChatGPT被指定后适用的主要附加义务。
加州DROP将于8月1日启动请求处理，数据经纪商须履行持续删除义务
自2026年8月1日起，加州数据经纪商须开始处理DROP统一删除请求。DROP与CCPA删除权并行适用，并增加持续处理义务。
AI 数据治理
2
跨境数据
27
EO 14117 生效一周年：举报激励与私人诉讼补位执法
EO 14117 实施细则生效一周年，DOJ 国家安全司尚未公开重大执法，但两条路径已在收紧：FinCEN 2026年4月1日发布举报人激励拟议规则，把违反数据安全计划列入 TCR 举报表、最高分成30%制裁金；私人原告与州检察长在集体诉讼中援引 EO 14117。
EO 14117 被集体诉讼引用，AdTech 生态面临新威胁
2025年9月2日，Porcuna v. Xandr 与 Baker v. Index Exchange 两起集体诉讼把 EO 14117 与 ECPA 结合：若拦截行为违反 EO 14117 大宗数据规则，即构成 ECPA 第2511(2)(d)条的犯罪或侵权目的，使 AdTech 无法再援引一方例外抗辩。
CJEU 为假名化数据传输划下新红线
2025年9月4日，CJEU 在 EDPS 诉 SRB 案中裁定：数据是否“可识别”须从控制者视角、在收集时点判断；假名化不能免除控制者的透明度义务。本文梳理判决三大结论、假名化的相对性，以及对企业数据共享实践的影响，EDPB 已就此召集专门利益相关者会议。
安全测试
1
合规认证
2
Cookie 与同意
16
SHEIN 被 CNIL 罚 1.5 亿欧元：Cookie 违规拆解
2025年9月1日，法国 CNIL 对 SHEIN 爱尔兰子公司开出 1.5 亿欧元 Cookie 罚单。本文拆解四项违规：未经同意即植入广告 Cookie、拒绝按钮缺失、第三方身份未披露、点击“全部拒绝”后仍继续放置 Cookie，并说明为何合规不能只看 GDPR。
隐私快讯｜Oracle 同意设立 1.15 亿美元的和解基金并实施非金钱救济措施
Oracle 同意设立 1.15 亿美元的基金，以和解关于其非法收集、使用用户数据的指控。
隐私快讯｜Kakao Pay 因未经同意向支付宝提供用户个人信息被调查
韩国金融监督院查明 Kakao Pay 在未取得用户同意的情况下，将用户个人信息从韩国跨境传输至中国的支付宝公司，此举或违反韩国《信用信息利用和保护法》。
生物识别
6
隐私快讯｜美国伊利诺伊州颁布《生物识别信息隐私法》（BIPA）修正案
伊利诺伊州颁布《生物识别信息隐私法》修正案，主要对第10条河第20条作出修订。
案例判罚｜Meta 以 14 亿美元达成与德州的生物识别数据诉讼和解
德州总检察长曾指控 Meta 在未获得知情同意的情况下非法收集德州居民的生物识别标识符用于商业目的。Meta 同意支付 14 亿美元，以和解该诉讼。
隐私快讯 | Zellmer 诉 Facebook 生物识别扫描技术侵犯非用户主体隐私权
Zellmer 根据伊利诺伊州《生物识别信息隐私法》起诉 Facebook 公司（现更名为 Meta）侵犯其个人隐私权。本文将对该案进行分析。
