中央网络安全和信息化委员会办公室（国家互联网信息办公室）2026 年 9 月 18 日发布《关于加强涉企侵权信息管理 持续推动营商网络环境优化的通知》，主送各省级党委网信办和新疆生产建设兵团党委网信办。通知要求压实网站平台主体责任，健全涉企信息事前审核、事中巡查、事后处置全链条管理机制，并列明应主动清理处置的五类涉企侵权信息（含泄露企业家个人信息与敏感个人信息）；本件为规范性文件，不新设法律责任，平台强制义务仍以《网络安全法》《个人信息保护法》等为基础。
国家互联网信息办公室于 2026 年 8 月 7 日就《大型个人信息处理者个人信息保护规定（征求意见稿）》公开征求意见，意见反馈截止 2026 年 9 月 7 日。该草案由《大型网络平台设立个人信息保护监督委员会规定（征求意见稿）》《大型网络平台个人信息保护规定（征求意见稿）》整合完善而成，共六章五十条，另附监督委员会工作规则要点十八项；以「处理 1000 万人以上自然人个人信息」等三项条件认定大型个人信息处理者，配套申报认定与清单公告机制，并规定单独同意、境内存储、出境申报、合规审计、影响评估备案、个人信息保护监督委员会等义务；施行日期条款留空未定。
案情、裁判结果与典型意义取自最高人民法院 2026 年 5 月 8 日《人民法院依法惩治侵犯公民个人信息犯罪及关联犯罪典型案例》发布文本（该批共 5 件，本案为案例一），以直接引述或紧贴原文的归纳为限，不作超出原文的推论。 案件名称与案号 博某软件有限公司、何某某等侵犯公民个人信息案 ——依法惩治外包公司窃取患者隐私行为，筑牢医疗数据安全防线 一审 江苏省无锡市锡山区人民法院 ｜ 发布：最高人民法院《人民法院依法惩治侵犯公民个人信息犯罪及关联犯罪典型案例》（2026-05-08 发布）案例一 案号与裁判日期：官方发布文本未附案号、未载裁判日期，本页不作推测补写。 关键词 刑事 / 侵犯公民个人信息罪 / 医疗服务外包 / 网上挂号系统 / 提供服务过程中收集 / 数据去重 / 单位犯罪 基本案情 2015 年至 2020 年间，被告单位博某软件有限公司负责为某医院开发、维护网上挂号系统，被告人何某某系公司法定代表人。在提供服务过程中，何某某暗中收集从后台非法获取的该医院挂号用户相关个人信息，并安排公司员工被告人熊某、罗某某将所获取的信息数据导入公司自建数据库。2021 年初，熊某又安排人员在为该医院开发的软件上安装接口，自动将挂号用户个人信息导入公司自建数据库。 案发后，在公司服务器、自建数据库及何某某家中设备内均提取到包含有挂号用户的个人信息，数据去重后合计 2 878 070 条。 法院审理与说理 一审（江苏省无锡市锡山区人民法院） 认定： 被告单位博某软件有限公司在提供服务过程中非法获取公民个人信息，情节特别严重，已构成侵犯公民个人信息罪，应依法惩处； 被告人何某某等人为被告单位直接负责的主管人员和其他直接责任人员，均已构成侵犯公民个人信息罪； 综合本案事实、情节、后果等作出量刑（见下栏）。 法律定性路径（官方发布文本「典型意义」栏所载）：互联网企业在为医疗卫生领域提供服务过程中，应当严格依照法律法规、企业经营范围、合同约定及隐私协议等，在服务和授权范围内合理合法地处理公民个人信息。互联网企业利用为医疗机构提供服务的便利，非法获取患者信息、医疗数据的行为，属于《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第四条规定的在「提供服务过程中收集公民个人信息」的情形，情节严重，应依法惩处。人民法院追究被告单位和直接负责的主管人员、其他直接责任人员的刑事责任，同时适用财产刑。 裁判结果 对被告单位博某软件有限公司以侵犯公民个人信息罪判处罚金人民币三十万元； 对被告人何某某等人以侵犯公民个人信息罪判处有期徒刑五年六个月至一年六个月不等，并处罚金人民币十万元至一万元不等。 数据法 / AI 法要点 受托处理方的义务边界：为医疗机构开发、维护信息系统的承包方，对其在提供服务过程中接触的个人信息负有法定处理边界；超出合同约定与授权范围获取数据，属于非法获取，不因「具备系统访问权限」而正当化。 「提供服务过程中收集」的定性：官方文本明确援引《办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第四条，将在履行职责或者提供服务过程中收集公民个人信息作为情节要素适用，本案是该条款在医疗信息系统外包场景下的适用例证。 单位犯罪与双向追责：既对被告单位判处罚金，又对直接负责的主管人员（法定代表人）与其他直接责任人员追究刑事责任，体现对数据处理组织中决策层与执行层的双向追责。 数据规模作为核心事实：去重后 2 878 070 条挂号用户个人信息，是「情节特别严重」认定的基础事实之一。 接口化的持续性外流：除人工导出外，法院查明行为人在为医院开发的软件上安装接口自动导入数据，把一次性窃取转化为持续性、工程化的数据外流通道，是医疗信息化外包场景下的典型风险形态。 医疗数据的敏感属性：挂号用户信息关联就诊事实，官方文本将其表述为「患者隐私」「医疗数据」，并据此强调医疗机构数据安全体系建设，以及对泄露、非法获取患者医疗信息犯罪的严厉打击。 相关法条 《中华人民共和国刑法》第二百五十三条之一（侵犯公民个人信息罪）。 《最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题的解释》第四条——官方发布文本「典型意义」栏明确援引，即「在履行职责或者提供服务过程中收集公民个人信息」的情形。 裁判文书中具体援引的其他条款，官方发布文本未载明，本页不代官方补写。 权威来源 最高人民法院 · 《人民法院依法惩治侵犯公民个人信息犯罪及关联犯罪典型案例》发布文本（2026-05-08） 组级发布口径：最高人民法院官网「典型案例发布」栏目 材料来源：最高人民法院 2026 年 5 月 8 日《人民法院依法惩治侵犯公民个人信息犯罪及关联犯罪典型案例》发布文本（案例一），该批共 5 件（案例一至案例五，序号连续）。 ...
《国务院关于保障未成年人健康安全使用网络的规定（征求意见稿）》官方全文：国家互联网信息办公室组织起草，2026 年 9 月 18 日发布并公开征求意见（反馈截止 2026 年 10 月 17 日）。草案共二十五条，不分章，施行日期留空；随通知附《起草说明》。本件尚未通过、尚未施行，不产生规范效力。
《个人信息保护合规审计管理办法》官方文本：国家互联网信息办公室令第 18 号，2024 年 5 月 20 日国家互联网信息办公室 2024 年第 15 次室务会会议审议通过，2025 年 2 月 12 日签署公布，自 2025 年 5 月 1 日起施行；全文 20 条，附件《个人信息保护合规审计指引》27 项，规定自行审计与保护部门要求审计两种情形、处理超过 1000 万人个人信息的处理者每两年至少审计一次、专业机构回避与不得转委托等规则。
国家互联网信息办公室、公安部令第25号《小型个人信息处理者个人信息保护简化措施规定》于2026年6月26日经国家互联网信息办公室2026年第14次室务会会议审议通过，2026年7月22日签署公布，自2026年9月1日起施行；全文22条，将“小型个人信息处理者”界定为处理不满10万人个人信息的个人信息处理者，并就处理规则、告知同意、合规审计与影响评估、个人信息出境、不予处罚与从轻情形作出简化安排。
以《个人信息保护合规审计管理办法》为中心，拆解合规审计的启动情形、频次要求与《审计指引》27项重点的四大板块，并提示审计机构「不得连续三次」轮换红线与多套评估体系的整合空间。
数据出境三步判断法与2024年新规三处关键变化：申报门槛由10万人提高至100万人、起算点改为当年1月1日、评估结果有效期由2年延长至3年并可再延长，附五类豁免情形与法律文件六项必备条款。
《中华人民共和国个人信息保护法》官方文本：8 章 74 条，2021 年 8 月 20 日通过、2021 年 11 月 1 日施行。中文原文取自国家互联网信息办公室官方发布；英文译本取自全国人民代表大会官网英文版（页面自标"仅供参考"）。
案情、裁判结果与典型意义取自最高人民法院 2026-09-16 发布《人民法院网络法治典型案例》案例一发布文本，以直接引述或紧贴原文的归纳为限，不作超出原文的推论。 案件名称与案号 李某申请人格权侵害禁令案 ——明确适用人格权侵害禁令的考量因素，及时有效遏制网络暴力 一审 吉林省长春新区人民法院 ｜ 发布：最高人民法院《人民法院网络法治典型案例》（2026-09-16 发布）案例一 案号与禁令裁定具体作出日期：官方发布文本未载，本页如实注明，不作推测补写。 关键词 民事 / 人格权侵害禁令 / 网络暴力 / 名誉权 / 民法典第九百九十七条 / 群体性网暴 基本案情 李某与张某、胡某均为短视频平台自媒体博主，张某、胡某网络账号合计粉丝超 2000 万。2023 年 7 月起，张某以李某「插足」其与男友情感为由，在网络平台公开发布侮辱、诽谤言论，并联合胡某炒作话题、煽动粉丝谩骂攻击举报，形成群体性网络暴力；李某部分商业合作方因此解约。 2023 年 10 月，李某提起名誉权侵权诉讼，诉讼期间侵权行为仍持续。2024 年 3 月，李某申请人格权侵害禁令。 法院审理与说理 法院认为：张某、胡某实施群体性网暴违法行为且仍在继续，侵权信息传播快、波及广，已造成李某精神损害与经济损失，不及时制止将致其受到难以弥补的损害，符合人格权侵害禁令的适用条件。 裁判结果 裁定张某、胡某立即停止侵权； 禁令有效期 6 个月；违反禁令的，视情节轻重予以罚款、拘留，构成犯罪的追究刑事责任。 数据法 / AI 法要点 网暴情形下适用人格权侵害禁令（民法典第 997 条）的审查三要素： ① 紧迫性——综合侵权行为方式、信息传播速度与范围，判断不及时制止是否将使损害难以弥补； ② 难以弥补性——综合被侵害人格权类型、侵害行为性质、事后赔偿等救济能否充分弥补； ③ 限度——综合被侵害人格权类型、侵权行为方式、损害范围程度确定禁令措施，不得超出必要限度。 诉讼未决不影响禁令：名誉权侵权诉讼尚在进行中，侵权行为持续的前提下，禁令作为防止损害扩大的独立救济手段及时介入——「先禁令、后判决」的时序对受害人保护具有实益。 与数据合规的关联：网络暴力常伴随个人信息的非法获取与集中传播（「开盒」）。本案例与《最高人民法院关于依法审理涉人工智能纠纷案件的意见》（法发〔2026〕10 号）确立的规则一致——利用 AI 技术追踪、分析特定自然人公开信息以获取或泄露私密信息的，按侵害隐私权处理。平台与企业在处置网暴投诉时，可将「受害人申请禁令」纳入响应预案。 法律适用日分写：民法典第 997 条自 2021-01-01 施行（法律生效日）；本案例的示范效力自官方发布日（2026-09-16）确立，禁令所涉裁判行为发生于 2024 年（裁判时点）。 相关法条 《中华人民共和国民法典》第九百九十七条（人格权侵害禁令）。 ...