全球资讯

"意大利Garante对Meta违规访问安卓相册罚8.05亿欧元"

意大利数据保护机构（Garante）2026 年 11 月 14 日公布，对 Meta Platforms Ireland Limited 处以 8.05 亿欧元罚款，理由是 Facebook 安卓版应用在未取得特定同意、亦未充分告知的情况下，访问了意大利用户手机中保存的照片、视频及其元数据。 涉案功能为「浏览 Facebook 时从相册获取推荐」（Ottieni suggerimenti dalla galleria quando navighi su Facebook），自 2023 年起提供：用户浏览信息流时，应用会把手机相册中的照片与视频推作可发布的素材。调查认定三点：一是相册访问以单一授权取得，该授权对整个应用及用途各异的多个功能一并生效；二是授权前的提示仅为「启用其他功能」这类泛化表述，用户无从理解自己同时授权了相册推荐；三是该功能预置为开启状态，一旦整体授权，应用即可读取设备中的全部照片档案，且通常是长期读取，用户与监管机构均无法核实究竟哪些信息被实际使用。 Garante 认定违反隐私法典第 122 条（转化欧盟 ePrivacy 指令），该条把智能手机作为个人私人领域的组成部分加以保护——访问其中所含信息须取得自由、知情的同意，不以数据是否向外传输、是否已发生损害为前提。Garante 同时驳回 Meta 提出的应由爱尔兰机构管辖的异议，理由是 ePrivacy 规则不适用「一站式」机制（one-stop-shop）。 罚款数额的裁量因素包括：涉及人数众多（意大利约 2,000 万安卓用户）；违法行为仍在持续（对未更新应用者、对已作出授权的用户均如此）；2019 年曾对该企业作出过处理；调查期间配合不足（以上为加重情节）；举报后所作修改虽属减轻情节，但被认定为迟延且仅覆盖更新应用的用户。罚款金额约相当于该集团全球营业额的 0.47%。 整改命令要求在 60 日内完成：就该功能单独、具体地征求同意，并清楚说明用途、将涉及相册访问以及如何关闭；默认保持关闭，对已作出授权的用户同样适用；期限届满仍未整改的，未给予有效同意的用户不得启用该功能。此外，Meta 须在 30 日内报告已启动的举措、90 日内报告已采取的措施。 本案程序未涉及将相册内容用于训练人工智能的问题（Meta 予以否认）；Garante 表示保留对 2026 年上线的、允许在云端处理相册内容的新功能另行核查。调查源于 2025 年 7 月博尔扎诺消费者保护中心（Centro Tutela Consumatori Utenti）的举报，并辅以监管机构自行开展的技术分析。

"爱尔兰DPC因Tinder数据访问请求缺陷对MTCH罚款1100万欧元"

爱尔兰数据保护委员会（DPC）2026 年 11 月 13 日公布对 MTCH Technology Services Limited 的最终决定，认定其就 Tinder 服务违反 GDPR 第 15(3) 条，未在用户请求时提供个人数据的完整副本，处以谴责与 1,100 万欧元行政罚款，并命令其在三个月内整改合规。 调查聚焦 Tinder 的「Download My Data」自助工具：该工具被呈现为获取数据副本的途径，但部分类别的信息被遗漏且未告知用户，或以摘要形式提供，不符合访问权要求。DPC 指出，自动化访问工具可以提高效率，但必须就所提供数据的范围对个人保持公平与透明；成千上万用户在评估期内使用了该工具。 本案由 DPC 作为 MTCH 的主导监管机构于 2020 年 1 月自行发起，决定由三位专员共同作出，完整决定将另行公布。

"丹麦数据保护局与数字化局对愿望清单服务Ønskeskyen启动首次联合监督"

丹麦数据保护局（Datatilsynet）2026 年 11 月 13 日公布，与丹麦数字化局（Digitaliseringsstyrelsen）对愿望清单服务 Ønskeskyen 启动联合监督，审查该服务在保护儿童与青少年、处理其个人信息方面是否合规。 此次监督由媒体关注及儿童权益组织 Børns Vilkår 的反映触发：Datatilsynet 于 2025 年 9 月收到该组织的提示，数字化局收到涉及未成年人绕过年龄要求的投诉。两机构职责交叉，经协调后启动监督，这也是两部门之间首次联合监督。 Datatilsynet 负责的部分包括用户年龄验证、已识别的儿童数据处理风险以及隐私设计（privacy by design）的落实情况；数字化局则依据《数字服务法》（DSA）审查未成年人保护义务。两机构表示，将把在线保护与个人信息处理的知识集中到同一次监督中。

"意大利Garante对Matera放射中心患者报告可被未授权查看罚款1.6万欧元"

意大利数据保护机构（Garante）2026 年 11 月 13 日公布对 Centro Radiologico Madonna della Bruna di Matera 及信息技术公司 MedStore Srl 的处罚：分别罚款 1.6 万欧元（2026 年 10 月 7 日第 764 号决定）与 1.2 万欧元（同日第 754 号决定），原因是患者个人数据被不当公开。 案件源于一项投诉，指该中心在线报告系统存在漏洞、缺乏适当安全措施。调查认定，第三方无需任何身份验证即可查看在线报告中的患者数据，成因是平台存在 IDOR（不安全的直接对象引用）漏洞，可访问其他患者的姓名、税号等信息。MedStore Srl 作为中心指定的处理者，负责该平台的托管、管理与维护。 本案对医疗机构在线报告系统的访问控制设计具有直接警示意义。

"罗马尼亚ANSPDCP对ASAM未完整回应数据查阅请求罚款2.67万列伊"

罗马尼亚个人数据处理国家监管局（ANSPDCP）2026 年 11 月 13 日公布，已于 2026 年 10 月完成对控制者 ASAM S.A. 的调查，认定其违反 GDPR 第 5(1)(a)(c)(e) 条及第 5(2) 条、第 6(1)(f) 条、第 12(1)(2)(4) 条、第 15 条与第 35 条。 处罚为：因违反第 15 条并结合第 12(1)(2)(4) 条罚款 5,337 列伊（约 1,000 欧元）；因违反第 5 条、第 6(1)(f) 条及第 12 至 13 条罚款 21,348 列伊（约 4,000 欧元）；就第 35 条（数据保护影响评估）作出警告。合计罚款 26,685 列伊。 调查源于一名自然人的投诉，其依第 15 条请求查阅包括视频影像在内的与其职业活动相关的个人数据，控制者未作出适当、完整的书面答复，未提供第 15(1) 条要求的全部信息，也未提供相关个人数据。

"芬兰Traficom网络安全中心发布第46周网络安全周报"

芬兰交通与通信局（Traficom）下属网络安全中心 2026 年 11 月 13 日发布第 46/2026 周网络安全周报，提醒家庭智能设备与家庭网络的安全防护，并警告以银行名义拨打的机器人诈骗电话。 周报回顾了 10 月的「网络天气」态势，并提示仍可报名参加「以人工智能辅助威胁建模」的网络研讨会。其中特别提到，欧洲商业制冷系统遭网络攻击（攻击者入侵防护不足的制冷控制装置并篡改温度与除霜设置，造成食品变质与经济损失）后，芬兰也发现少量类似案例；主管机关的预先介入与设备运维方的协作减少了联网暴露设备的数量。 该周报与德国 BSI 同日发布的丹佛斯控制器漏洞提示指向同一类工业制冷控制系统风险。

"德国BSI提示丹佛斯AK-SM800A制冷控制器存在新的可利用漏洞"

德国联邦信息安全办公室（BSI）2026 年 11 月 13 日发布新闻稿，称已掌握丹佛斯（Danfoss）AK-SM 800A 型控制器存在更多漏洞的情况。该型控制器用于工业制冷设备，攻击者可利用漏洞在设备上植入恶意软件并使其无法使用，一旦停机可能持续较长时间。 BSI 建议受影响设备不要接入互联网；如因远程维护确需联网，应至少前置虚拟专用网络（VPN）。据目前信息，固件版本至 5.3.2 均受影响；当日 13:25 的更新说明指出，此前称 2026 年 11 月发布的固件 5.4.0 不受影响，现无法排除其受影响。目前尚未发现这些漏洞已被实际利用。 该提示与欧洲多国近期针对商业制冷系统的攻击事件相呼应，属于工业控制系统与物联网设备安全的持续性风险。

"意大利ACN预警N-able N-central零日漏洞出现Agent2Shell与4EverAble2Shell利用链"

意大利国家网络安全局（ACN）下属 CSIRT Italia 2026 年 11 月 13 日发布预警 AL10/261113，称发现两条新的利用链 Agent2Shell 与 4EverAble2Shell，用于利用 N-central 远程监控与管理平台中的零日漏洞。 两条利用链被视为此前 Able2Shell 系列漏洞的延伸（此前已在预警 AL07/261110 中处理）。利用这些链条可在管理服务器及经该平台纳管的 Windows 端点上以提升的权限远程执行代码，风险类型包括认证绕过、数据操纵、拒绝服务、信息泄露、权限提升与远程代码执行。 N-central 广泛用于托管服务商与企业 IT 运维，一旦管理服务器失陷，影响面可达其所纳管的全部终端。

"波兰最高法院终审维持UODO对马佐夫舍志愿劳动队1.5万兹罗提罚款"

波兰个人数据保护办公室（UODO）2026 年 11 月 13 日发布消息，称最高行政法院（NSA）于 2026 年 11 月 3 日驳回马佐夫舍省志愿劳动队（OHP）指挥官的上诉，维持 UODO 对其作出的 1.5 万兹罗提行政罚款，华沙省行政法院此前亦于 2024 年 4 月 4 日驳回其起诉。 案件起因是一名担任管理职务人员的公务笔记本电脑在出差期间随车被盗，导致设备上 3 人的数据面临泄露风险；数据虽从备份恢复，但不特定人员可能已获取。UODO 调查中发现，该机构提交的风险分析文件前后矛盾——先在首部分将笔记本被盗评为高风险且不可接受，后文又改为低风险可接受；建议部署的 BitLocker 加密工具直到事故后才落地；面对多次询问，机构未能说明该分析形成时间，也未证明已执行自身建议。 UODO 强调，处罚并非仅因数据泄露本身，关键在于控制者在风险评估、安全措施落实、执行自身建议以及事件后与监管机构配合方面的态度。

"韩国MSIT确认谷歌地图境外转移许可所附安全条件已履行"

韩国科学技术信息通信部（MSIT）2026 年 11 月 13 日发布报道参考资料，称由国土交通部、MSIT、外交部、国防部、国家情报院及民间专家组成的「基本测量成果境外转移协商体」当日召开会议，检查谷歌（Google LLC）就 2026 年 2 月 27 日获批的 1:5,000 地图境外转移所附安全条件的履行结果。 协商体确认：谷歌已在其全球谷歌地图与谷歌地球上移除并限制显示韩国领土的经纬度坐标，并为此开发仅适用于韩国领土的专用控制层，在应用更新时检测坐标暴露并阻断发布；影像方面，谷歌于 2026 年 8 月 31 日与韩国合作企业签约，改为接收韩国国土地理信息院已完成安全处理的影像并原样加载，军事与安保设施的清单与明细不直接提供给谷歌；谷歌已于 11 月 4 日提交最终安全条件履行报告。 本案是韩国在地图数据出境领域「附条件许可＋事后核查」的完整样本，对地理信息、测绘数据跨境处理的合规设计具有参考价值。