北源资讯 | 数据合规资讯月刊（2024年10月）

2024-11-06

国内数据合规资讯

最新法规

国家发展改革委、国家数据局等部门联合印发《国家数据标准体系建设指南》
《广东省数据条例》公开征求意见
《网络安全技术信息安全控制》等9项国家标准获批发布
中共中央办公厅和国务院办公厅发布《关于加快公共数据资源开发利用的意见》
国家工信部公开征集《人工智能办公大模型系统技术要求》等198项行业标准计划项目的意见
《山东省数据交易管理办法（试行）（征求意见稿）》发布
国家数据局发布《可信数据空间发展行动计划（2024—2028年）》（征求意见稿）
国家数据局发布关于向社会公开征求《数据领域名词解释》意见的公告
国家数据局拟出台企业数据开发利用等政策文件
《金融数据安全治理实施指南》等4项标准发布

热点案例

北京高院发布涉中华优秀传统文化知识产权保护典型案例
广州两个案例入选2024年度知识产权信息服务“十佳案例”
杭州中院公开审理“AI数字人”专利侵权案

监管执法

上海市发布新一批生成式人工智能服务登记信息公告
中央网信办部署开展“清朗·规范网络语言文字使用”专项行动
某医疗科技企业未履行保护义务被网信部门依法处罚
中国网络空间安全协会建议对英特尔启动网络安全审查
国安部披露某境外企业在我国非法开展地理信息测绘活动
两家公司违反《数据安全法》被网信部门行政处罚

国际数据合规资讯

立法活动

EDPB就《基于合法利益处理个人数据的指南》征求公众意见
欧盟理事会通过《网络弹性法案》
新加坡分别与韩国和德国签署消费智能产品网络安全标签互认协议
欧盟EDPB发布关于《电子隐私指令》的指南
美司法部发布拟议规则防止中国等国家获取美国人的敏感个人数据
沙特阿拉伯发布数据泄露指南

监管动态

美国14州总检察长对TikTok采取联合行动
比利时数据保护局（DPA）对RTL比利时公司处以每天4万欧元的罚款
LinkedIn暂停使用香港用户的个人资料训练AI模型
印度个人数据保护法采取“黑名单”的方式管控数据跨境流动
LinkedIn因违反GDPR被处以3.1亿欧元罚款

安全快讯

思科机密开发数据疑遭大规模泄漏
万豪酒店因数据泄露被罚5200万美元
澳洲数十万消费者个人信息被窃取

一、国内数据合规资讯

最新法规

01、国家发展改革委、国家数据局等部门联合印发《国家数据标准体系建设指南》

2024年10月8日，国家发展改革委、国家数据局、中央网信办、工业和信息化部、财政部、国家标准委联合印发《国家数据标准体系建设指南》《建设指南》，以数据“供得出、流得动、用得好、保安全”为指引，从基础通用、数据基础设施、数据资源、数据技术、数据流通、融合应用、安全保障等7个部分，加快构建数据标准体系，全面指导数据标准化工作开展，为制修订数据领域相关标准提供了重要指引。

来源：https://mp.weixin.qq.com/s/m1U30J-1RraXc2eN4U1vsw

02、《广东省数据条例》公开征求意见

2024年10月8日，广东省政务服务和数据管理局发布《广东省数据条例（草案征求意见稿）》，公开征求意见。该条例适用于广东省行政区域内的数据处理、数据流通、数据相关的区域和国际合作，以及数据安全管理等活动，主要内容包括数据权益保护、数据资源开发利用、数据流通体系建设、数据安全与保障等。

来源：https://mp.weixin.qq.com/s/vscP-TrudpignDftRYaMWw

03、《网络安全技术信息安全控制》等9项国家标准获批发布

2024年10月9日，全国网安标委发布9项国家标准，具体包括《网络安全技术实体鉴别第2部分：采用鉴别式加密的机制》《网络安全技术消息鉴别码第2部分：采用专门设计的杂凑函数的机制》《网络安全技术杂凑函数第1部分：总则》《网络安全技术杂凑函数第2部分：采用分组密码的杂凑函数》《网络安全技术杂凑函数第3部分：专门设计的杂凑函数》《网络安全技术网络和终端隔离产品技术规范》《网络安全技术信息安全控制》《网络安全技术办公设备安全规范》《网络安全技术智能门锁网络安全技术规范》。

来源：https://www.tc260.org.cn/front/postDetail.html?id=20241009104335

04、中共中央办公厅和国务院办公厅发布《关于加快公共数据资源开发利用的意见》

2024年10月9日，中共中央办公厅、国务院办公厅发布《关于加快公共数据资源开发利用的意见》。该意见的主要内容围绕扩大公共数据资源供给、规范公共数据授权运营、推动数据产业健康发展等。其主要目标是：到2025年，公共数据资源开发利用制度规则初步建立，资源供给规模和质量明显提升，数据产品和服务不断丰富，重点行业、地区公共数据资源开发利用取得明显成效，培育一批数据要素型企业，公共数据资源要素作用初步显现。到2030年，公共数据资源开发利用制度规则更加成熟，资源开发利用体系全面建成，数据流通使用合规高效，公共数据在赋能实体经济、扩大消费需求、拓展投资空间、提升治理能力中的要素作用充分发挥。

来源：https://mp.weixin.qq.com/s/FKq2nOmzeFpukGGPNnsztg

05、国家工信部公开征集《人工智能制办公大模型系统技术要求》等198项行业标准计划的意见

2024年10月14日，国家工业和信息化部根据标准化工作的总体安排，发布了《人工智能办公大模型系统技术要求》等198项行业标准制修订计划，并向社会公开征集意见。其中的198项行业标准制修订计划具体包括《人工智能大语言模型对齐能力评估》《人工智能检索增强生成通用规范》《人工智能具身智能数据采集规范》等新兴产业标准。

来源：https://www.miit.gov.cn/gzcy/yjzj/art/2024/art_6caf756fd2c64392a26b75d0b64aa48f.html

06、《山东省数据交易管理办法（试行）（征求意见稿）》发布

2024年10月14日，为规范数据交易行为，加快培育数据市场，促进数据合规高效流通使用，山东省大数据局研究起草了《山东省数据交易管理办法（试行）（征求意见稿）》，并向社会公开征求意见。

来源：http://bdb.shandong.gov.cn/art/2024/10/15/art_79227_10330702.html

07、国家数据局发布《可信数据空间发展行动计划（2024—2028年）》（征求意见稿）

2024年10月18日，国家数据局发布《可信数据空间发展行动计划（2024—2028年）》（征求意见稿），向社会公开征求意见。可信数据空间是基于共识规则，连接多方主体，实现数据资源共享共用的数据流通利用基础设施，是数据要素价值共创的应用生态，是支撑构建全国一体化数据市场的重要载体。计划提及研究制定个人数据开发利用政策文件，在切实保护个人数据合法权益的基础上，建立健全个人数据确权授权和合规利用机制。

来源：https://mp.weixin.qq.com/s/AeejoraZiqtFRaK9mo2_jw

08、国家数据局发布关于向社会公开征求《数据领域名词解释》意见的公告

2024年10月21日，国家数据局发布关于向社会公开征求《数据领域名词解释》意见的公告。为进一步凝聚共识，推动社会各界对数据领域术语形成统一认识，就《数据领域名词解释》向社会公开征求意见。根据该名词解释，数据是指任何以电子或其他方式对信息的记录。数据在不同视角下表现为原始数据、衍生数据、数据资源、数据产品、数据资产、数据要素等形式。数据要素是指能直接投入生产和服务过程中的数据，是用于创造经济或社会价值的新型生产要素。

来源：https://mp.weixin.qq.com/s/uMcMcauaM6Hy0E-3vJMvyw

09、国家数据局拟出台企业数据开发利用等政策文件

2024年10月25日，2024年“数据要素×”大赛全国总决赛颁奖仪式在北京举行。国家数据局党组书记、局长刘烈宏表示，一年来，国家数据局已经出台公共数据开发利用、数字经济高质量发展、城市全域数字化转型、数字经济促进共同富裕、“数据要素×”三年行动、全国一体化算力网、国家数据标准体系建设指南等方面的重要政策文件8份。后续拟出台企业数据开发利用、数据产业高质量发展、公共数据资源登记、公共数据授权运营、数据基础设施建设指引、数据空间行动计划、数据流通安全治理等方面的政策文件，还将推动建立数据产权制度，完善数据流通交易规则，提升数据安全治理水平，促进数据“供得出、流得动、用得好、保安全”。

来源：https://mp.weixin.qq.com/s/DPTaoP4OI6hYwPSaXq2J8A

10、《金融数据安全治理实施指南》等4项标准发布

2024年10月25日，中国互联网金融协会在京召开金融数据安全治理工作研讨会暨金融数据安全系列标准发布会。会上，协会正式发布了《金融数据安全治理实施指南》《金融数据资产管理指南》《金融数据安全技术防护规范》《金融数据安全应急响应和处置指引》等4项标准，旨在从金融数据治理、金融数据资产管理、金融数据安全技术防护、金融数据安全应急管理等不同角度为做好新时代的金融数据安全治理工作提供相应指引和规范。

来源：https://mp.weixin.qq.com/s/o1dBWW2P4L3RK--bazca0g

热点案例

01、北京高院发布涉中华优秀传统文化知识产权保护典型案例

2024年10月15日，北京高院召开“弘扬中华优秀传统文化服务保障公共文化数字化建设”新闻发布会。会上发布了涉中华优秀传统文化知识产权保护典型案例。本次发布会发布的典型案例有以下特点：一是聚焦文博机构文化遗产的知识产权保护，服务保障文化遗产创造性转化与创新性发展。二是严格执行惩罚性赔偿制度，加大对历史文献类智力成果的知识产权保护力度。三是划定履行公共文化服务职能的合法边界，促进公共文化服务机构更好地发挥传承弘扬中华优秀文化的职责作用。四是紧跟行业发展前沿，不断完善文化创意产业知识产权保护制度，促进文化创意产品市场的健康发展。

来源：https://www.ciplawyer.cn/html/ctwh/20241015/154758.html?prid=108

02、广州两个案例入选2024年度知识产权信息服务“十佳案例”

2024年10月15日，国家知识产权局办公室发布2024年度知识产权信息服务“十佳案例”和“优秀案例”，广州市两个案例入选“十佳案例”。获奖案例分别为：知识产权数字化集成服务平台：构建新型服务生态，培育新质生产力；以及科研项目全过程知识产权管理，助力科技成果转化。

来源：https://mp.weixin.qq.com/s/chFourUYdoqNjYvlZFTFXg

03、杭州中院公开审理“AI数字人”专利侵权案

2024年10月18日，杭州中院公开开庭审理了一起涉人工智能领域的“AI数字人”侵害发明专利权纠纷案件。本次公开庭审的案件涉及一项自然人机交互领域的方法专利，争议焦点在于被告提供的“AI数字人”服务中使用的音频驱动人物口型模型是否侵犯了原告的专利权。该案因涉及的技术问题复杂，具有较强的专业性，具有相关学科专业背景的技术调查官协助法官查明有关技术事实，庭审现场完整展示了发明专利侵权案件的技术比对过程。

来源：https://mp.weixin.qq.com/s/l4WquxO9T4aae0k3BoeE8g

监管执法

01、上海市发布新一批生成式人工智能服务登记信息公告

截至2024年10月8日，上海市新增8款已完成登记的生成式人工智能服务，累计已完成38款生成式人工智能服务登记。上海市网信办按照《生成式人工智能服务管理暂行办法》要求，有序开展生成式人工智能服务备案工作。同时，对通过API或其他方式直接调用已备案模型能力，且面向境内公众提供具有舆论属性或者社会动员能力的生成式人工智能服务开展登记工作。已上线的生成式人工智能应用或功能，应在显著位置或产品详情页面标明所取得的上线编号。

来源：https://mp.weixin.qq.com/s/8VUq75ZqDS-PCFMYRq3ZbA

02、中央网信办部署开展“清朗·规范网络语言文字使用”专项行动

2024年10月11日，中央网信办宣布，部署开展“清朗·规范网络语言文字使用”专项行动，专项行动聚焦部分网站平台在热搜榜单、首页首屏、发现精选等重点环节呈现的语言文字不规范、不文明现象，重点整治歪曲音、形、义，编造网络黑话烂梗，滥用隐晦表达等突出问题。专项行动要求，各地网信、教育部门要强化协同联动，集中清理不规范、不文明网络语言文字相关信息，严格落实整治任务。

来源：https://mp.weixin.qq.com/s/eKYXR-kKJb9ds-okVARjNg

03、某医疗科技企业未履行保护义务被网信部门依法处罚

2024年10月14日，根据“网信上海”微信公众号消息，上海市网信办接到线索，反映属地某医疗科技公司所属系统存在网络安全漏洞，致使系统大量个人信息数据发生泄漏被境外IP访问窃取。针对这一问题线索，上海市网信办立即赴涉事企业开展现场核查。经查实，该企业的确存在数据泄漏问题，暴露出公司未能履行好网络安全、数据安全保护义务，上海市网信办依据《数据安全法》对该公司予以立案调查。针对相关违法情况，上海市网信办依据《数据安全法》第四十五条规定对该医疗科技公司给予警告，并处以罚款的行政处罚。

来源：https://mp.weixin.qq.com/s/p1zx0XpCV6nQwNb9vnD0dQ

04、中国网络空间安全协会建议对英特尔启动网络安全审查

2024年10月16日，中国网络空间安全协会发文指出英特尔公司及其产品存在漏洞频发、故障率高，可靠性差的问题，并且漠视用户投诉。该公司假借远程管理之名，行监控用户之实，暗设后门，危害网络和信息安全。英特尔在所谓涉疆问题上积极站位打压中国，要求其供应商不得使用任何来自新疆地区的劳工、采购产品或服务，在其财报中更是将台湾省与中国、美国、新加坡并列，还主动对华为、中兴等中国企业断供停服，这是典型的“端起碗来吃饭，放下碗就砸锅”。中国网络空间安全协会建议对英特尔在华销售产品启动网络安全审查，切实维护中国国家安全和中国消费者的合法权益。

来源：https://mp.weixin.qq.com/s/rgRmOfoPr7x1TZhyb-1ifg

05、国安部披露某境外企业在我国非法开展地理信息测绘活动

2024年10月16日，根据“国家安全部”微信公众号消息，国家安全机关工作发现，某境外企业A公司通过与我国具有测绘资质的B公司合作，以开展汽车智能驾驶研究为掩护，在我国内非法开展地理信息测绘活动。A公司为某国重点敏感领域项目承包商，根据《中华人民共和国测绘法》规定，并不具备在我国内单独开展地理信息测绘活动的资质。为规避我国行业主管部门监管，该公司以汽车智能驾驶研究为由，将项目多次外包，最终委托具备测绘资质的国内B公司具体实施。在经济利益的诱惑驱使下，B公司完全沦为A公司的牵线木偶，其所具有的测绘资质为A公司在我国境内非法获取测绘数据起到了掩护作用。最后在A公司的操控指使下，B公司将测绘所得数据转移出境。

来源：https://mp.weixin.qq.com/s/R7d0-O3mbDndUIyfl5p6lg

06、两家公司违反《数据安全法》被网信部门行政处罚

2024年10月23日，根据“网信郑州”微信公众号消息，郑州市网信办工作中发现，两家公司未履行网络安全保护义务，未采取必要的安全防护，导致大量敏感数据被窃取。郑州市网信办依据《数据安全法》分别对两家公司作出责令改正，给予警告，并处人民币5万元罚款的行政处罚。两家公司所涉问题主要包括未建立健全全流程数据安全管理制度，未采取相应的技术措施和其他必要措施保障数据安全，网络安全管理方面存在缺失，未能按照《数据安全法》要求对企业重要数据进行分级分类管理，系统日志存储时未对用户个人敏感信息进行脱敏处理，存在安全风险等。

来源：https://mp.weixin.qq.com/s/TNdGXuqWwebR0xfcK6DPvA

二、国际数据合规资讯

立法活动

01、EDPB就《基于合法利益处理个人数据的指南》征求公众意见

2024年10月9日，欧洲数据保护委员会（EDPB）宣布，该委员会于2024年10月8日通过了关于根据GDPR第6(1)(f)条处理个人数据的指南1/2024（“《基于合法利益处理个人数据的指南》”），并就该指南征求公众意见。该指南概述了基于合法利益进行数据处理的三个累积条件：控制者或第三方追求合法利益；为了追求合法利益而处理个人数据的必要性；以及有关数据主体的利益或基本自由和权利不优先于控制者或第三方的合法利益。

来源：https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2024/guidelines-12024-processing-personal-data-based_en

02、欧盟理事会通过《网络弹性法案》

2024年10月10日，欧盟理事会宣布通过《网络弹性法案》。该法案规定了基本的网络安全要求，包括针对具有数字元素的产品的设计、开发和生产，以及经济运营商在网络安全方面的义务；此外，制造商需为确保含有数字元素的产品在预计使用期间的网络安全而制定漏洞处理流程，并明确经济运营商与这些流程相关的义务。“具有数字元素的产品”被定义为“软件或硬件产品及其远程数据处理解决方案，包括单独投放市场的软件或硬件组件”。下一步，《网络弹性法案》需经理事会主席和欧洲议会议长签署，并在欧盟官方公报上公布20天后生效。

来源：https://data.consilium.europa.eu/doc/document/PE-100-2023-INIT/en/pdf

03、新加坡分别与韩国和德国签署消费智能产品网络安全标签互认协议

2024年10月16日，新加坡网络安全局（CSA）在国际物联网安全圆桌会议上分别与韩国互联网安全局（KISA）和德国联邦信息安全局（BSI）签署了网络安全标签互认协议（MRA）。韩国和新加坡的协议将于2025年1月1日生效。根据这份互认协议，获得韩国信息安全局IoT网络安全认证（CIC）和新加坡网络安全标签的智能消费产品将在两国相互认可。根据德国和新加坡的互认协议，获得德国IT安全标签和新加坡网络安全标签的智能消费产品将在两国相互认可。CSA将认可获得BSI标签的产品满足CLS(IoT)2级要求，而BSI将认可CLS(IoT)2级及以上的产品。这份互认协议以2022年签署的上一份互认协议为基础，后者扩大了网络安全标签认可范围，包括家庭网关，并继续涵盖智能设备，例如智能摄像头、智能扬声器、家庭自动化集线器和健康追踪器。

来源：https://mp.weixin.qq.com/s/hd7ZMBg1pW41TtVKLo0zhg

04、欧盟EDPB发布关于《电子隐私指令》的指南

2024年10月16日，欧洲数据保护委员会（EDPB）发布了关于《电子隐私指令》第5（3）条技术范围的第2/2023号指南，就各种技术操作是否适用《电子隐私指令》第5(3)条作出解释，包括设备指纹识别、Cookie和物联网设备。指南指出，第5（3）条适用于涉及用户或订阅者的“终端设备”中存储或访问的“信息”的操作，其中包括连接到公共通信网络的设备。《电子隐私指令》第5（3）条规定，只有在同意或出于特定目的的必要性下才允许在用户或用户的终端设备中存储信息或访问已存储的信息。

来源：https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf

05、美司法部发布拟议规则防止中国等国家获取美国人的敏感个人数据

2024年10月21日，美国司法部发布了一份拟议规则制定通知(NPRM)，以实施美国总统拜登此前发布的第14117号行政命令“防止受关注国家获取美国人的大量敏感个人数据和美国政府相关数据”。该项拟议规则拟解决因受关注国家和受监管人员获取美国人大量敏感个人数据和某些敏感的美国政府相关数据而产生的特定国家安全风险。拟议规则确定了禁止和限制交易的类别，界定了适用该规则的受关注国家和相关人员的范围，规定了豁免交易的类别，解释了商务部制定批量阈值的方法，提供了商务部对经济和其他监管影响的初步评估，建立了颁发授权某些禁止或限制交易的许可证、发布咨询意见和指定相关人员的程序，并解决了相关交易的记录保存、报告和其他尽职调查义务。

来源：https://www.justice.gov/opa/pr/justice-department-issues-comprehensive-proposed-rule-addressing-national-security-risks

06、沙特阿拉伯发布数据泄露指南

2024年10月21日，沙特数据和人工智能管理局（SDAIA）发布了《个人数据泄露事件程序指南》。该指南规定了处理个人数据泄露事件的必要程序，并减少对数据主体造成的后果和风险。该指南要求如果事件预计会损害个人数据或数据主体，或者与其权利或利益相冲突，控制者应在知晓数据泄露事件后72小时内向SDAIA通报，并建议控制者采取措施应对和遏制数据泄露。该指南还规定，控制者应保留向SDAIA提交的有关数据泄露、采取的纠正措施以及任何相关的适当记录或文件的副本。

来源：https://sdaia.gov.sa/en/SDAIA/about/Documents/PersonalDataBreachIncidents.pdf

监管动态

01、美国14州总检察长对TikTok采取联合行动

2024年10月8日，美国加州、纽约州、伊利诺伊州等14州的总检察长宣布对TikTok采取联合行动。这些总检察长已在各自的州对TikTok提起诉讼，指控TikTok违反了各州的消费者保护法。更具体地说，总检察长指控TikTok存在不公平和具有欺骗性的做法，并认为其社交媒体应用程序的功能对用户，尤其是儿童的身心健康有害。

来源：https://ag.ny.gov/press-release/2024/attorney-general-james-sues-tiktok-harming-childrens-mental-health

02、比利时数据保护局（DPA）对RTL比利时公司处以每天4万欧元的罚款

2024年10月11日，比利时数据保护局（比利时DPA）发布了第131/2024号决定，针对RTL比利时AS违反GDPR的行为处以每天40,000欧元的罚款。该决定的背景是，2023年7月19日，比利时DPA收到NOYB的投诉，指控RTL比利时网站的cookie横幅存在多个元素违反GDPR。比利时DPA指出，这一投诉源于NOYB发起的一个项目，旨在验证属于比利时大型新闻集团的某些网站。NOYB的投诉强调了“拒绝所有”按钮的缺失，以及使用误导性颜色来促进cookie接受的做法。比利时DPA要求RTL比利时实施“拒绝所有”按钮，并使用非误导性颜色，以确保“接受”和“拒绝”选项具有同等重要性。

来源：https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n0-131-2024.pdf

03、LinkedIn暂停使用香港用户的个人资料训练AI模型

2024年10月15日，香港个人资料私隐专员公署发表声明称，LinkedIn决定暂停使用香港用户的个人资料来训练生成式AI模型以创作内容。私隐公署将继续跟进和监察有关情况，以确保香港用户的个人资料私隐得到保障。此前，私隐公署曾表示关注LinkedIn使用用户个人资料训练生成式人工智能模型的默认“选择加入”设置是否正确地反映了用户的选择，并致函LinkedIn查询此事。香港个人资料私隐专员曾提醒LinkedIn用户应留意LinkedIn私隐政策的更新，并了解相关政策，以决定是否同意LinkedIn使用其个人资料训练AI模型。

来源：https://www.pcpd.org.hk/english/news_events/media_statements/press_20241015.html

04、印度个人数据保护法采取“黑名单”的方式管控数据跨境流动

2024年10月18日，国内报道印度即将实施其首部综合性数据保护法——《2023年数字个人数据保护法》（Digital Personal Data Protection Act 2023，简称“DPDPA”）。该法案在数据本地化和数据存储方面的规则与2019年公布的草案存在显著差异。数据本地化本质上意味着数据应存储在其产生国家或地区的本地服务器上。草案将数据分为敏感数据和关键数据，其中敏感数据涉及金融、健康、性生活、性取向等领域；关键数据的类别则由中央政府通知确定。草案要求敏感数据必须仅存储在印度，关键数据则仅能在印度进行处理。相比之下，DPDPA并未对任何数据类别施加无条件的本地化要求。相反，它采用了一种宽松的“黑名单”模式，允许中央政府通知特定国家，限制向这些国家的数据流动——这与欧盟《通用数据保护条例》中的“白名单”制度形成对比。该法案还允许制定更具保护主义色彩的的特定行业数据本地化法规。

来源：https://mp.weixin.qq.com/s/TNpUxR801T5ojUx_5vEP4Q

05、LinkedIn因违反GDPR被处以3.1亿欧元罚款

10月24日，爱尔兰数据保护专员 (DPC) 宣布对LinkedIn Ireland Unlimited Company处以3.1亿欧元的罚款，原因是该公司违反了《通用数据保护条例》(GDPR)。DPC 在调查中发现，LinkedIn违反了GDPR第6(1)(a)、6(1)(b)、6(1)(f)、5(1)(a)、13(1)(c）和14(1)(c）条，原因包括LinkedIn未能获得有效的同意处理用户的第三方数据，进行行为分析和定向广告；未能有效依赖合法利益原则处理用户的第一方个人数据以进行行为分析和定向广告，或处理第三方数据进行分析等。

来源：https://www.dataprotection.ie/en/news-media/press-releases/irish-data-protection-commission-fines-linkedin-ireland-eu310-million

三、全球数据安全快讯

01、思科机密开发数据疑遭大规模泄漏

2024年10月6日，思科公司（Cisco）正在调查一起严重的数据泄露事件。一位名为“IntelBroker”的知名黑客在论坛上发布消息，称他与另外两位黑客“EnergyWeaponUser”和“zjj”于2024年10月6日成功入侵了思科，并窃取了大量机密开发数据。这次攻击的目标是思科的开发项目和相关文档。根据IntelBroker的帖子，窃取的数据包括Github和Gitlab上的项目代码、SonarQube分析结果、硬编码凭证、证书、客户源代码文件、思科机密文件、Jira工单、API令牌、AWS私有存储桶、Azure存储资源、私有与公共密钥、SSL证书等多种敏感信息。

来源：https://hackread.com/intel-broker-cisco-data-breach-selling-firms-data/

02、万豪酒店因数据泄露被罚5200万美元

2024年10月9日，美国联邦贸易委员会针对多起数据泄露事件对万豪国际集团以及其子公司喜达屋酒店及度假村集团采取了行动，要求万豪实施全面的信息安全计划，以应对联邦贸易委员会的指控。指控称，万豪因数据安全措施松懈，导致2014年至2020年间发生三次大规模数据泄露事件，影响全球超过3.44亿客户的指控。美国联邦贸易委员会要求万豪及其子公司采取强有力的信息安全措施，以解决因未能实施合理的数据安全措施而引发的相关问题。

来源：https://www.ftc.gov/news-events/news/press-releases/2024/10/ftc-takes-action-against-marriott-starwood-over-multiple-data-breaches

03、澳洲数十万消费者个人信息被窃取

2024年10月25日，《每日邮报》报道，澳洲最新发生的一起数据泄露事件中，黑客据称窃取了澳洲数十万消费者的个人信息。30.4万人的私人信息于9月下旬被上传至暗网上。

来源：https://www.dailymail.co.uk/news/article-14000251/digidirect-hack.html