数据安全每周观察|互联网应用程序个人信息收集使用规定征求意见

政策趋势

一、《互联网应用程序个人信息收集使用规定（征求意见稿）》公开征求意见

为规范互联网应用程序个人信息收集使用活动，保护个人信息权益，促进个人信息合理利用，根据《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《网络数据安全管理条例》等法律法规，国家互联网信息办公室起草了《互联网应用程序个人信息收集使用规定（征求意见稿）》，现向社会公开征求意见。

《规定》强调，互联网应用程序、软件开发工具包、分发平台运营者和智能终端厂商违反本规定的，履行个人信息保护职责的部门依照《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《网络数据安全管理条例》等相关法律法规处理；构成犯罪的，依法追究刑事责任。

二、《人工智能应用安全指引 总则（征求意见稿）》等4项网络安全标准实践指南公开征求意见

为有效应对人工智能技术快速发展与应用带来的新风险、新挑战，全面提升各行业人工智能应用安全水平，保障人工智能高质量发展，秘书处组织编制了《人工智能应用安全指引 总则》《人工智能应用安全指引 广播电视和网络视听》《用户使用人工智能安全指南》《人工智能训练数据清洗安全指南》等4项网络安全标准实践指南征求意见稿。

根据《全国网络安全标准化技术委员会<网络安全标准实践指南>文件管理办法》要求，全国网络安全标准化技术委员会秘书处现组织对《人工智能应用安全指引 总则（征求意见稿）》等4项网络安全标准实践指南面向社会公开征求意见。

三、《网络安全标准实践指南——人工智能加速芯片安全功能技术规范》公开发布

为指导人工智能加速芯片安全功能建设与测评工作，降低安全风险隐患，全国网络安全标准化技术委员会秘书处组织编制了《网络安全标准实践指南——人工智能加速芯片安全功能技术规范》。

《指南》旨在为人工智能加速芯片提供系统性的安全技术要求和评估方法，推动人工智能芯片产品在保障安全可控基础上实现高质量发展。指南围绕人工智能加速芯片构成与功能特性，聚焦七个安全维度：硬件安全、接口安全、固件安全、安全存储单元、密码技术机制、故障检测与诊断、数据保护，明确每类安全要求的具体指标与测评流程，构建"要求一方法"一一对应的技术规范体系。本指南适用于相关人工智能芯片研制单位、测评机构及使用方，为产业安全发展提供技术支撑与合规参考。

四、关于下达12项数据领域规范类指导性技术文件计划的通知

近日，由全国数据标准化技术委员会归口管理的《全国一体化算力网 监测调度平台建设指南》《全国一体化算力网 数据中心绿电占比核算规范》等12项规范类指导性技术文件，已在国家标准化管理委员会立项，下达工作计划。

五、工信部等六部门联合印发《新能源汽车废旧动力电池回收和综合利用管理暂行办法》

为加强新能源汽车废旧动力电池回收和综合利用全链条监督管理，构建规范、安全、高效回收利用体系，工业和信息化部、国家发展改革委、生态环境部、交通运输部、商务部、市场监管总局等六部门近日联合印发《新能源汽车废旧动力电池回收和综合利用管理暂行办法》。

《办法》第二十六条规定，信息平台开展数据处理活动，应当依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》等法律、行政法规的规定，建立健全相关管理制度，采取技术措施和其他必要措施，履行网络安全、数据安全保护义务。

六、工信部印发行动方案 部署推动未来三年工业互联网平台高质量发展

为深入贯彻落实党中央、国务院关于发展工业互联网的决策部署，引导工业互联网平台高质量发展，推动产业模式和企业形态变革，加快推进新型工业化，近日，工业和信息化部印发了《推动工业互联网平台高质量发展行动方案（2026—2028年）》。

《方案》提出释放工业数据要素价值。支持工业互联网平台提升数据采集与汇聚能力，推进多源设备兼容与系统贯通。推动构建以业务场景为核心的工业数据标签体系，开发智能标注、数据清洗、质量评估等治理工具，提升数据治理水平。推动平台企业联合工业企业面向工业典型场景开展专识数据集建设，鼓励有条件的企业开发跨行业、跨场景的通识数据集。支持平台企业探索数据经纪、数据托管等新模式新业态，深化工业互联网标识解析、区块链技术等应用，强化数据跨域管控，为数据流通提供安全可信环境。鼓励平台向中小企业开放数据资源，为中小企业提供普惠性技术工具和数据产品。加强工业数据资源开发利用全过程知识产权保护，维护各方权益。

《方案》要求，要强化平台安全保障。加强对平台企业的合规指导，支持企业建立健全合规管理体系。推动平台企业实施工业互联网安全分类分级管理，落实自主定级、分级防护、符合性评测、安全整改等工作，提升企业网络安全防护水平。指导平台企业落实重要数据识别备案、分级防护、风险评估等数据安全责任义务，提升数据安全监测预警与应急处置等技术能力。

七、《教育数据分类分级指南》正式发布并实施

近日，教育部正式发布《教育数据分类分级指南》（JY/T 0661-2025）教育行业标准，2026年2月18日正式实施。该标准由国家信息中心等多方专业力量共同参与编制，为全国教育系统的数据安全管理提供统一、科学的操作规范。

此项工作是落实国家数据安全工作协调机制统一部署，健全教育领域数据安全治理体系的关键举措。《指南》构建了一套清晰的数据分类分级框架，明确了教育数据的分类与分级规则、方法和流程，将有效指导各级各类教育机构识别和管理其核心、重要、一般数据。

《指南》的实施，为落实教育数据全生命周期的安全保护要求奠定了坚实基础，对提升教育系统数据安全防护能力具有重要意义。在后续标准落地实施中，国家信息中心将继续开展相关研究工作，进一步提升行业数据价值能力。

八、《交通运输数据安全管理办法（征求意见稿）》公开征求意见

近日，交通运输部发布《交通运输数据安全管理办法（征求意见稿）》公开征求意见通知。起草背景为贯彻落实中央相关文件及《数据安全法》《个人信息保护法》等法律法规，参考部门制度并调研修改而成。

《办法》共七章四十五条，核心内容包括：总则明确“谁管业务谁管数据安全”及“属地管理”原则，界定交通运输部、省级主管部门及数据处理者职责，数据处理者承担主体责任；分类分级保护将数据划分为一般（细分为三级）、重要、核心数据，明确级别变更规则；全生命周期管理覆盖收集、存储、使用等各环节，对重要/核心数据要求境内存储、容灾备份、严格访问控制等，跨境提供需合规；风险评估要求特定主体每年评估，重大变化或高风险活动时需评估；监测预警与应急处置建立机制，事件分四级，明确处置流程；监督检查与责任追究规定主管部门权限及处罚措施；附则定义关键术语及报告流程。

九、国家医保局开展“个人医保云”试点申报，汇聚、治理和应用多维度的个人医保健康数据

近日，国家医保局发布《关于开展医保云建设试点申报工作的通知》，明确开展“个人医保云”建设试点申报工作,探索构建覆盖全人群、全周期、全场景的智慧医保管理新范式。

《通知》指出，国家医保局将以全国统一医保信息平台为基础，以数据要素为核心驱动，遵循“要素归集、资源整合、智能应用、多方赋能”的建设路径，构建省（市）域个人医保云。通过试点，形成一批架构科学、数据鲜活、应用实效显著的个人医保云建设与运营模式。坚持稳中求进、急用先行，鼓励试点地区在筑牢数据与安全底座的前提下，优先推动业务流程清晰、技术路径成熟、群众感知明显的服务场景快速落地，形成可示范、可推广的阶段性成果。在此基础上，稳步拓展全域（院内精准用药数据与院外日常诊疗健康数据等）、全域（跨区域就医购药数据）、全域（各类健康数据如体检机构、健康管理服务机构等）、全生命周期（从出生到老年全阶段健康数据等）医保健康数据覆盖，打造一批示范性的“个人医保云”医疗保障“应用样板”，促进“医保+”产业生态协同发展，提升医保精细化管理水平和参保人健康获得感。

《通知》强调，健全安全防线，健全医保协同治理体系。健全安全隐私保护体系，严格执行网络安全、数据安全与个人信息保护法律法规，建立健全数据全生命周期的安全防护与权限管理体系，建立协同监管机制，探索建立与相关部门的常态化数据共享与业务协同流程。明确与各服务渠道合作方的权责边界、服务标准与运营规则。

十、《证券期货业信息系统密码技术应用指引》《证券期货业信息系统分类与代码》发布

近日，中国证监会现公布金融行业推荐性标准《证券期货业信息系统密码技术应用指引》(JR/T 0347—2026)、《证券期货业信息系统分类与代码》(JR/T 0348—2026)，自公布之日起施行。

监管动态

一、重点军工企业3人被境外间谍策反，国家秘密遭泄露，详情披露

近日，由国家保密局主管的“保密观”微信公众号披露了重点军工企业3人被境外间谍策反案例。

某军工企业项目经理郭某因公务需要，随团赴某国某市进行项目验收工作。在境外期间，一名自称"商务代表"的境外人员通过刻意安排的社交场合接近郭某。这一看似偶然的邂逅，实则是境外间谍情报机关精心设计的围猎行动。

郭某未能抵御境外间谍情报机关精心设置的美色诱惑，最终落入对方设下的陷阱。在发生不正当关系后，某国间谍组织人员随即以曝光隐私相要挟，成功将郭某策反。此后，郭某接受某国间谍组织及其代理人布置的任务，协助其将同行的企业高级工程师、技术专家陈某及工作人员黎某策反。应某国间谍组织的要求，郭某、陈某、黎某向其提供了所在军工企业相关内部情况和涉密信息，整个情报交接过程中，由郭某进行现场翻译。

经鉴定，涉案材料中12份属于秘密级国家秘密，6份属于情报;此外，陈某、黎某提供的其在涉密岗位掌握和知悉的相关信息中，包含2份秘密级国家秘密、3份情报。

案件发生后，郭某因犯间谍罪，被判处有期徒刑十年，剥夺政治权利三年。陈某、黎某也被依法追究刑事责任。

二、Everest勒索软件声称攻陷日产汽车，窃取900GB内部数据

臭名昭著的Everest勒索软件组织于2026年1月10日声称成功入侵日本汽车制造商日产汽车公司(Nissan Motor Corporation)，并在其暗网泄露站点发布了六张截图作为证据，展示了所窃取数据的目录结构。

攻击者声称窃取了900GB内部数据，包括ZIP压缩包、文本文件、Excel表格和CSV文档。泄露的截图显示，被盗数据涵盖经销商信息、认证报告、索赔处理记录以及财务审计文件。其中一张电子表格包含经销商名称、地址、城市和州等详细信息，可能与区域运营或激励计划相关。文件格式包括.csv、.txt、.pgp和.xls，表明这些结构化数据用于报告、分析或内部通信。

Everest给予日产五天时间回应，否则将公开全部数据。这并非日产首次遭遇网络安全事件。2025年8月，Qilin勒索软件组织声称从日产设计子公司Creative Box Inc.窃取4TB数据。2024年3月，日产确认超过10万名员工和客户的个人信息在2023年12月的数据泄露中被盗。2021年1月，日产源代码因Git服务器配置错误而泄露，该服务器使用"admin"作为默认用户名和密码。

三、BreachForums 用户数据库泄露，32万账号敏感数据曝光

近日，黑客论坛 BreachForums 的最新用户数据库被泄露至暗网，涉及约 323,988 个注册账户，包括用户名、注册日期、内部信息和部分 IP 地址 等敏感字段。该数据表来自 MyBB 论坛的 mybb_users 用户表格，尽管多数记录显示本地环回地址（127.0.0.9），但约 70,296 条 对应公开 IP，可对用户的 OPSEC（操作安全）构成风险。

泄露数据最早由名为 ShinyHunters 的网站发布，其中包括论坛的 PGP 私钥（受密码保护，暂不能签名滥用）。BreachForums 管理员随后确认，这些数据源于 2025 年 8 月的数据表备份，在恢复过程中存放于一个未受保护的文件夹中，被下载后外泄。管理员建议用户使用一次性邮箱以降低风险。

四、地方医疗检测机构泄露近60万患者健康信息，赔偿超1500万元

近日消息，美国地方医疗机构Consulting Radiologist有限公司近日达成一项220万美元（约合人民币1533万元）的和解协议，以解决针对其提起的数据泄露集体诉讼。

2024年6月14日，Consulting Radiologists向美国卫生与公众服务部（HHS）民权办公室上报了一起数据泄露事件，涉及多达583824名个人的受保护健康信息。调查显示，2024年2月12日发现了一起网络入侵事件，并确认有未经授权的第三方访问了该网络，可能获取了患者数据，包括姓名、地址、出生日期、医疗信息、健康保险信息，以及19346名个人的社会安全号码。

该数据泄露事件于2024年4月对外披露，并向受影响的个人发送了通知函。随后不久，围绕该数据泄露事件提起了一起集体诉讼，之后又陆续提交了另外18起投诉。2024年8月，地区法院法官Thomas Conley发布命令，将所有针对Consulting Radiologists的相关投诉合并审理。2024年11月1日，合并后的诉讼“Consulting Radiologists数据事件诉讼案”在明尼苏达州亨内平县第4司法区地区法院正式立案。

该诉讼主张，此次数据泄露源于疏忽行为，若实施并持续维护合理且适当的网络安全措施，该事件本可避免。Consulting Radiologists曾尝试请求法院驳回该诉讼，该请求部分获得支持；但法院未予驳回关于疏忽、当然疏忽、不当得利、禁令性/宣告性救济，以及违反《明尼苏达州消费者欺诈法》和《明尼苏达州健康记录法》的相关指控。在调解及持续谈判后，双方最终达成和解协议，以终结本案，且该和解不构成对任何责任或不当行为的承认。

Consulting Radiologists同意合计支付220万美元，用于支付律师费及相关费用、和解管理与通知成本、向19名集体代表支付的服务奖励，以及向集体成员提供的各项补偿。根据和解协议，集体成员最多可申请3项补偿福利：其一，可就因数据泄露造成且未获报销、并经证明的损失申请补偿，每名集体成员最高不超过5000美元；其二，可申请为期2年的单一征信机构信用监测服务；其三，集体成员还可申请现金赔付。现金赔付金额取决于在本次事件中被泄露的数据类型，预计社会安全号码被泄露的个人可获得125美元，其他所有集体成员可获得50美元。为确保总支付金额不超过220万美元的上限，现金赔付金额将按比例进行调整。对和解提出异议或选择退出和解的截止日期为2026年1月30日。提交索赔申请的截止日期为2026年3月2日，最终公平性听证会定于2026年2月25日举行。

五、1750万名Instagram用户的姓名电话住址泄露

近日消息，安全厂商Malwarebytes Labs的研究人员警告称，一起重大的数据泄露事件导致约1750万名Instagram用户的个人数据被暴露。泄露的数据包括用户名、实体住址、电话号码以及电子邮件地址。

自1月10日以来，已有100万名用户收到了密码重置邮件，由此引发了混乱，并激起了人们对全球性网络攻击的担忧。Instagram官方推特账号在11日回应称，刚刚修复了一个允许外部人员为部分用户请求密码重置邮件的问题，系统未遭到入侵。

研究人员发现，一个包含敏感信息的数据库正在某网络犯罪论坛上出售，售卖者声称这是一个影响近1800万名Instagram用户的“人肉搜索工具包”。与以往的数据抓取事件不同，此次泄露的数据包含了与Instagram用户ID直接关联的实体家庭住址。被盗数据很可能并非仅来源于Instagram个人资料。攻击者可能将Instagram用户ID与来自外部数据库的数据进行整合，例如营销名单、数据经纪商、电商平台或已泄露的客户记录，从而实现将用户名与真实姓名及家庭住址相匹配。

业界之声

一、公共数据授权运营管理要求和平台建设系列标准研讨会在京召开

近日，公共数据授权运营管理要求和平台建设系列标准研讨会在北京召开。

本次会议旨在加快释放公共数据要素价值，进一步推动公共数据授权运营管理要求及技术平台有机结合、相互支撑、形成合力，有效破解当前授权运营实践中的关键堵点，共同研究制订相关国家标准。与会代表就公共数据资源授权运营的地方经验、实践难点及标准立项建议进行了深入交流，明确了WG3将聚焦公共数据授权运营管理要求，WG6将负责公共数据授权运营平台技术要求的标准研制推进思路。

下一步，全国数标委秘书处将协同WG3和WG6组织各相关单位着力推动公共数据授权运营相关标准研制，同时，将联动各地方开展试点验证工作，争取尽快形成一批可复制、可推广、可落地的公共数据授权运营模式。

二、关于征集2026年第一批数据领域国家标准需求的通知

为落实《全国数据标准化技术委员会2026年工作要点》，加快推进2026年基础通用及行业领域重点数据标准研制工作，提升标准有效供给，根据《全国数据标准化技术委员会标准制修订工作程序》规定，现公开征集WG2—WG6标准工作组及AG1—AG6行业应用组标准需求。征集范围包含：

基础通用：围绕数据治理、数据流通利用、全域数字化转型、数据技术及数据基础设施等5个重点方向，征集基础通用国家标准需求。

行业领域：围绕自然资源、生态环境、疾控、中医药、传媒及药品等6个行业领域，征集数据融合应用国家标准需求。

三、江西省数据工作会议召开

近日，江西省数据工作会议在南昌召开。会议指出，过去一年，在省委、省政府的正确领导和国家发展改革委、国家数据局的有力指导下，全省数据系统面对数据领域改革攻坚的艰巨任务，凝心聚力、攻坚克难，数据基础制度、数据基础设施、数据资源开发利用等工作取得新进展，各领域数字化建设取得积极成效，为“十四五”顺利收官提供有力支撑。

会议强调，2026年是“十五五”开局之年，也是“数据要素价值释放年”。全省数据系统要深刻把握党中央对数字中国建设的战略部署，奋力推动数字江西建设开创新局面；深刻把握人工智能发展的时代趋势，坚持以数智化赋能高质量发展；深刻把握数据要素价值释放的工作要求，着力推动政策举措落地见效。重点抓好六方面工作。一是深入推进数字江西建设，高质量编制“十五五”数字江西建设规划，统筹推进各领域数字化建设，并做好监测评估，强化开放合作，营造数字化发展良好环境。二是共建融入全国一体化数据市场，细化落实数据产权、公共数据资源授权运营、数据流通交易等数据基础制度，推进数据基础设施建设运营，培育数据市场生态。三是强化数据赋能人工智能发展，全面落实国家数据局推动人工智能发展六大行动，强化算力统筹布局，加强高质量数据集供给，促进算法模型创新应用。四是推进数字经济创新发展，协同有关部门推进数字产业化和产业数字化，大力发展数据产业，培育壮大数字产业集群，发挥投资支撑带动作用，提升数字经济综合竞争力。五是加快数据融合应用，推进城市全域数字化转型，拓宽数据应用场景，促进数据资源开发利用。六是加强数据系统干部队伍建设，着力提升数据意识，锤炼扎实专业本领，弘扬勤廉实干作风，打造忠诚干净担当的数据干部队伍。

四、贵州省数据工作会议在贵阳召开

近日，贵州省数据工作会议在贵阳召开。

会议强调，2026年是“十五五”规划开局之年，全省数据系统要坚决贯彻落实习近平总书记重要讲话和重要指示批示精神，锚定目标任务，坚持算力、数据、应用、产业协同联动，加快建设数字经济发展创新区和国家数据要素综合试验区。要奋发有为主攻“四类产业”，着力推动数智产业集群发展壮大。按照大抓产业、大抓项目、大抓招商、大抓经营主体要求，强化数源供给，壮大数商主体，加强数才引育，高质量建设数园，持续优化产业发展环境，进一步扩大“免申即享”“即申即享”快速直达范围，加快培育壮大数智产业经营主体，着力做强做优数字经济。要奋发有为推进“东数西算”工程，着力建设绿色高效的算力高地。加强发展算力资源这张“王牌”，持续提升算力规模和能效，完善政策保障，拓展算力市场，推动算力基座优势更优、强势更强。要奋发有为推进“数据要素×”，着力建设可信开放的数据高地。以公共数据为牵引，在归集、治理、回流和开发利用方面下功夫，落实国家数据基础制度，建好数据基础设施，带动企业数据、个人数据价值释放，加快激发全社会供数动力和用数活力，更好赋能经济社会发展。要奋发有为推动“三大转型”，着力建设数智赋能的应用高地。更好适应数智融合发展趋势，夯实一体化数智底座，深入推进三大整合，全力建强“中国·贵州”“贵政通”两个服务终端，因地制宜推进“城市大脑”建设，以社会治理转型为牵引，带动生活服务转型、产业升级转型。要奋发有为推进“人工智能+”，赋能千行百业、千家万户。坚持有所为、有所不为，着力培育开放场景、深化融合应用，统筹推进人工智能共性支撑能力建设，深入推动全民AI，为全国人工智能发展供数、供算，打造人工智能数据工厂。

会议要求，全省数据系统要将推进数智贵州建设、发展数字经济作为践行“两个维护”的重大政治任务，牢固树立正确政绩观，始终把纪律和规矩挺在前面，进一步加强政治建设。要进一步优化完善数据工作机制，树牢“管行业必须管数智化、管区域必须管数智化”理念，全面提升能力本领，形成齐抓共管强大合力。要坚持以产业聚人才、以人才兴产业，积极营造优良的干事创业环境，完善人才“引育留用”全链条体系。

五、四川省印发《关于支持数字经济高质量发展的若干政策措施》

近日，四川省四川省发展和改革委员会等多部门联合印发了《关于支持数字经济高质量发展的若干政策措施》。

《措施》聚焦人工智能大模型、数据标注、数据流通、数据安全等细分领域，加大对数字经济创新型企业支持力度，建立数字经济创新型企业培育库，有针对性地提供各类培育政策，开展精准服务。安排资金对新获评国家制造业单项冠军企业（产品）和专精特新“小巨人”企业的给予奖补。

《措施》强调，提升数据资源供给利用水平。要实施数据企业专项培育行动，建立四川省数据企业库，并进行动态管理、分类培育，支持数据资源、数据技术、数据服务、数据应用、数据安全、数据基础设施等数据企业发展。支持有条件的市（州）创建国家级数据产业聚集区，对纳入国家试点的，在项目、资金、人才、数据等方面加大支持力度。

关于数安行

北京数安行科技有限公司以数据运营安全为理念，以AI人工智能技术为核心驱动，聚焦数据运营安全，助力数字化转型，致力于让用户的数据安全地创造价值。公司以承载和保护每一个用户的数据运营安全为愿景，持续创新，合作共赢，成就用户。公司核心团队拥有十余年网络安全与数据安全经验，服务于政府、军工、金融、运营商、互联网、教育、高端制造等各行业客户。

关于数据运营安全

数据运营安全（DataSecOps）核心是在数据运营中内嵌数据安全属性，解决数据运营过程中的数据安全问题，以一个产品或平台的方式运行。其目标是在不影响数据业务流程正常运行的情况下更有效的保护组织内的敏感数据资产，对敏感数据的扩散及滥用风险进行快速响应，将数据安全防护策略传递至参与数据运营的所有人员。