【要闻周报】网络安全与数据合规 12-31

国家网信办发布《网络数据安全风险评估办法（征求意见稿）》

2025年12月6日，国家互联网信息办公室（以下简称“国家网信办”）发布了《网络数据安全 风险评估办法（征求意见稿）》（以下简称《办法》），向社会公开征求意见，意见反馈截止 时间为2026年1月5日。《办法》旨在规范网络数据安全风险评估活动，保障网络数据安全，促 进网络数据依法合理有效利用。《办法》明确，各有关主管部门应当按照“谁管业务、谁管业 务数据、谁管数据安全”的原则，定期组织开展本行业、本领域风险评估，可以根据工作需要 对本行业、本领域的重要数据处理者开展风险评估情况进行检查，并于每年1月底前向国家网 信部门报送年度风险评估及检查计划。《办法》规定，重要数据处理者应当每年度对其网络数 据处理活动开展风险评估。重要数据安全状态发生重大变化可能对数据安全造成不利影响的， 应及时对发生变化及其影响的部分开展风险评估；《办法》鼓励一般数据处理者至少每3年开 展一次风险评估。《办法》指出，风险评估工作应当按照《网络数据安全管理条例》有关要求 和《数据安全技术 数据安全风险评估方法》（GB/T 45577）等有关国家标准开展。有关主管 部门对本行业、本领域风险评估工作另有规定的，从其规定。（查看更多）

国家计算机病毒应急处理中心检测发现69款违法违规收集使用个人信息的App

2025年12月4日，国家计算机病毒应急处理中心检测发现了69款违法违规收集使用个人信息的 App，所涉问题包括但不限于：（1）在App首次运行时未通过弹窗等明显方式提示用户阅读隐 私政策等收集使用规则；隐私政策难以访问；个人信息处理者在处理个人信息前，未以显著方 式、清晰易懂的语言真实、准确、完整地向个人告知个人信息处理者的名称或者姓名、联系方 式、个人信息的保存期限等；（2）隐私政策未逐一列出App（包括委托的第三方或嵌入的第三 方代码、插件）收集使用个人信息的目的、方式、范围等；（3）个人信息处理者向其他个人信 息处理者提供其处理的个人信息的，未向个人告知接收方的名称或者姓名、联系方式、处理目 的、处理方式和个人信息的种类，并取得个人的单独同意；（4）未向用户提供撤回同意收集个 人信息的途径、方式；个人信息处理者未提供便捷的撤回同意的方式；（5）未采取相应的加 密、去标识化等安全技术措施。（查看更多）

《贵州省大数据发展应用促进条例》自2026年1月1日起施行

2025年12月3日，《贵州省大数据发展应用促进条例》（以下简称《条例》）经贵州省第十四届 人民代表大会常务委员会第二十次会议修订通过，自2026年1月1日起施行。《条例》明确，贵 州省坚持存算一体、智算优先，推动通用计算、智能计算、超级计算等多元算力资源协调发 展，提高数据中心计算力和存储力，扩大算力规模，提升算力能级水平，打造面向全国的算力 保障基地；鼓励算力相关企业在贵安数据中心集群建设智算中心，支持已建智算中心扩容升 级。《条例》指出，贵州省人民政府数据主管部门应当加强数据统筹管理，按照国家和省的有 关规定制定数据分类分级基本规则，建立数据资源目录编制规范。《条例》强调，开展大数据 发展应用相关活动，应当遵守法律、法规，尊重社会公德和伦理，遵守商业道德和职业道德，诚实守信，履行数据安全保护义务，承担社会责任，不得危害国家安全、公共利益，不得损害 个人、组织的合法权益。（查看更多）

湖南省网信办发布2025年度湖南省汽车数据报送工作的通知

2025年12月3日，湖南省互联网信息办公室（以下简称“湖南省网信办”）发布了2025年度湖南 省汽车数据安全管理情况和风险评估报告报送工作的通知。根据《汽车数据安全管理若干规定 （试行）》第十条、十三条、十四条的要求，开展重要数据处理活动的汽车数据处理者，应当 在每年12月15日前向省级网信部门和有关部门报送年度汽车数据安全管理情况；应当按照规定 开展风险评估，并向省级网信部门和有关部门报送风险评估报告。此次报送工作的对象为：注 册地为湖南地区的开展重要数据处理活动的汽车数据处理者，包括汽车制造商、零部件和软件 供应商、经销商、维修机构以及出行服务企业等。不涉及重要数据处理活动的汽车数据处理 者，无需报送。（查看更多）

上海发布5起不履行个人信息保护义务的典型案例

2025年12月1日，上海网信部门、市场监管部门联合发布了5起不履行个人信息保护义务的典 型案例，所涉违法违规行为包括：（1）某新能源科技企业用户数据泄露案：该企业因测试需 要，将已生成的换电日志和用户数据导入测试数据库并允许互联网访问，未采取相应安全防 护措施，涉嫌个人信息数据泄露；（2）某医疗科技公司患者数据泄漏案：该企业所开发的系 统主要用于为互联网医院提供服务，存储患者诊疗数据（包含病情、开药信息等敏感个人信 息），且均未采取加密措施存储，相关数据库在未采取防护措施的情况下对互联网开放访问 服务，涉嫌个人信息数据泄露；（3）某装修服务企业客户数据泄露案：该企业提供室内装修 装饰服务，其业务系统中存有合同信息、报价信息、客户信息等相关数据，内部人员为工作 便利将内部数据库向互联网开放，涉嫌个人信息数据泄露；（4）某餐饮企业变相强制消费者 同意收集与经营活动无直接关系的个人信息案：消费者在使用该餐饮企业运营的扫码点餐小 程序进行“到店点餐”时必需提供个人手机号码，如不提供则无法完成点餐；（5）某药店违 法使用消费者个人信息销售处方药案：该药店先后2次在未经消费者本人同意情况下，使用前 期经营过程中获取的消费者姓名、联系方式、地址等个人信息，以前述消费者名义在外卖平 台下单并申请虚假处方，再向其他消费者现场销售处方药。（查看更多）

欧盟：欧盟委员会依据DSA对X处以1.2亿欧元罚款

2025年12 月5日，欧盟委员会因X违反《数字服务法案》（DSA）项下的透明度义务，对其处 以1.2亿欧元罚款。违法行为包括：（1）X“蓝色对勾”的欺骗性设计：X 将“蓝色对勾”用于 “认证账号”的做法对用户构成欺骗，违反了DSA中关于在线平台应禁止其服务中存在欺骗 性设计行为的义务。在 X上，任何人只需付费即可获得“认证”状态，而X并未对账号背后的 主体进行实质性核验，这使得用户难以判断其所互动账号及内容的真实性；（2）X 广告数据 库缺乏透明度：X的广告数据库未达到DSA规定的透明度及可访问性要求。X设置了设计特征 及访问障碍（例如处理流程存在过度延迟），这些均削弱了广告数据库的核心功能。此外， 其广告数据库还缺失关键信息，包括广告内容、广告主题以及付费法律主体等，这阻碍了研 究人员及公众独立审查在线广告中存在的潜在风险；（3）未向研究人员提供获取公开数据的 途径：X未履行DSA项下的义务，未向研究人员提供获取平台公开数据的途径。（查看更多）