炜衡2026年第一季度数据安全与合规季报摘要

作者｜姚李英 邢静文

在全球数字化和信息化的浪潮中,数字经济正以前所未有的速度崛起,已成为推动新质生产力发展的重要支撑和关键引擎。数字经济发展速度之快、辐射范围之广、影响程度之深前所未有。从5G网络的普及到工业互联网的广泛应用,从算力网络的建设到物联网的应用场景日渐丰富,中国数字经济的基础设施建设呈现出盎然生机，截至目前，中国已建成全球最大规模的5G独立组网网络，基站总数突破380万座，工业互联网平台连接设备超8900万台，算力总规模达到180 EFLOPS，全球领先。与此同时,人工智能、TMT技术、云计算、大数据、量子计算机、脑机接口等关键技术的突破与前沿技术的创新,不仅提升了中国在全球数字经济领域的竞争力,也为中国数字经济的高质量发展奠定了坚实的基础。

图 1 《数据安全与合规季报（2026Q1）-法规标准精要与案例启示》封面

回顾我国数字经济发展，“三法一条”共同构建了中国网络空间治理的顶层设计，引领着我国网络法治建设迈上新台阶，并在“总体国家安全观”指引下日臻完善。我国已经全面进入拥抱和步入网络安全与数据合规2.0时代，网络安全与数据合规不断激活，数据价值不断开发利用，带动了新一轮以生成式人工智能服务为代表的人工智能技术蓬勃发展。然而，伴随而来的数据泄露、隐私侵犯等风险也显著增加，迫使各国政府和行业监管机构需要不断完善数据保护法律法规。企业在全球范围内运营时，面临着不同法律体系下的合规挑战，需要有效应对复杂多变的法规要求。本法报告旨在通过检索并简要分析我国2026年第一季度新出台的与数据安全与合规领域相关法律法规、标准和案例，为数字经济下我国企业的数据安全与合规提供支持与帮助。

（一）数据安全与合规相关新规一览表（2026Q1）

（二）数据安全与合规相关新增标准一览表（2026Q1）

（三）重点法律法规简要介绍

随着移动互联网的深度普及和政务数字化进程的加速，应用程序（APP）作为连接用户与服务的核心载体，其治理工作已成为数据安全与合规领域的重中之重。2026年第一季度，监管机构持续聚焦APP生态的规范化发展，尤其针对个人信息保护、政务应用程序管理等重点领域，密集出台了一系列细化规定：

第一，《政务移动互联网应用程序规范化管理办法》，由国务院办公厅印发，是统筹为基层减负与赋能、防治“指尖上的形式主义”的纲领性文件。其出台目的在于解决部分政务APP存在的强制使用、过度留痕、同质化建设等问题。该办法确立了政务APP“谁主办谁负责”的主体责任原则及强制备案制度，明确规定未经备案的政务APP不得要求用户下载使用。同时，该文件严禁政务APP设置打卡签到、积分排名等强制性功能，从源头上规范政务APP的建设和使用。

第二，《政务移动互联网应用程序备案工作指南（第一版）》，作为配合上述《管理办法》的实施细则，由国家网信办制定。该指南为政务APP主办单位提供了清晰、可操作的备案流程指引，明确了分级申请、材料审核、技术检测等具体环节与时限要求。其核心目的是将备案制度落到实处，确保政务APP在功能设置、数据安全等方面符合规范，并建立了备案变更与注销的动态管理机制。

第三，《互联网应用程序个人信息收集使用规定（征求意见稿）》，由国家网信办起草，面向全社会征求意见。该规定旨在将《个人信息保护法》等上位法的原则性规定，具体化为APP全生命周期、全参与方的操作性规则。其内容极具系统性，不仅对APP运营者（含小程序等）的个人信息收集、使用、存储、删除等环节提出了“最小必要”“显著告知”等细化要求，更创新性地将软件开发工具包（SDK）、应用程序分发平台、智能终端厂商等生态参与方纳入统一监管，明确了各自的审核与安全管理义务，构建了覆盖“APP-SDK-平台-终端”的共治格局。

（四）数据安全与合规新增法规政策动态总结

2026 年第一季度，我国数据立法延续了“场景化、精细化、技术化”的监管趋势，在巩固既有制度框架的基础上，显著向重点行业纵深穿透，并着力构建覆盖数据全生命周期的技术合规标准体系，通过“指引细化、责任压实、技术赋能”三大抓手，推动数据治理从原则性要求向可操作、可验证的实践规范全面转型。

1. 数据跨境流动制度的流程优化

本季度，数据出境监管的核心进展体现在对汽车等关键行业的专项规则深化。以工业和信息化部等八部门联合发布的《汽车数据出境安全指引（2026版）》为标志，监管实现了从通用规则到行业专属场景清单的重大跨越。该指引以“具体场景+判定规则”的方式，对研发设计、生产制造、驾驶自动化、软件升级服务、联网运行及其他情形共六大场景下的“重要数据”进行了详细界定，为汽车数据处理者提供了明确的合规判定依据。此外，指引细化了管理要求（如设立安全负责人、建立内部审批机制）、防护技术要求（如采用密码技术、对出境流量进行全量1周或抽样不少于1个月的留存）、日志留存（不少于3年）及应急处置要求，形成了“数据识别-路径选择-安全保护”的闭环管理指引。

同时，中国互联网协会发布的团体标准 《数据跨境合规流通体系建设指南》，首次系统性地提出了覆盖数据管理、技术体系、场景运营、监管要求、数据生态五大维度的合规体系建设框架。该指南要求企业将合规起点前置至数据战略规划，并建立常态化的风险自评估、负面清单及对境外接收方的持续监督机制，标志着监管导向从“应对单项审批”转向“构建内生治理能力”。

2. 重点行业数据治理的刚性约束

在金融领域，中国证券监督管理委员会于2026年1月9日发布金融行业标准《证券期货业信息系统密码技术应用指引》，旨在帮助证券期货业机构对标《信息安全技术 信息系统密码应用基本要求》开展密码应用改造，并作为监管机构进行评估的参考。《指引》明确要求，为满足密码应用要求，必须采用指定的密码产品。同时发布的 《证券期货业信息系统分类与代码》标准，对全行业信息系统进行了前所未有的精细化分类（涵盖证券、基金、期货等8类机构，细分至具体业务功能系统），为实施差异化的、精准的密码保护和数据安全监管提供了统一标尺。此外，2026年1月24日，国家互联网信息办公室会同有关部门组织起草并发布《金融信息服务数据分类分级指南（征求意见稿）》，指南将数据按业务属性划分为业务数据、用户数据、企业数据三大类，并进一步细分至二级分类9类、三级分类66类，以供境内金融信息服务提供者开展数据分类分级与重要数据识别。

在人工智能领域，全国网络安全标准化技术委员会于2026年第一季度连续发布多项《网络安全标准实践指南》。《网络安全标准实践指南——人工智能加速芯片安全功能技术规范》将安全要求前置至AI算力底层，《网络安全标准实践指南——网络数据标签标识技术要求》 明确提出了数据标签的生成、绑定、传输、核验规则，《网络安全标准实践指南——工业企业数据安全能力成熟度模型》 提供了覆盖数据识别、存储、处理、交换、销毁等全生命周期的能力评估模型。

3. 数据要素市场培育与新型风险防范的规则协同

本季度立法在积极培育数据要素市场的同时，对伴随数据流通、数字技术应用而衍生的新型市场失序与腐败风险，出台了具有高度针对性的监管规则，体现了 “促发展”与“防风险”的协同并进。

首先，为有效遏制网络犯罪源头、整治网络犯罪生态，提升人民群众网络安全感和满意度，经充分调研论证，公安部起草了《网络犯罪防治法（征求意见稿）》，于31日向社会公开征求意见。根据征求意见稿，实名制等要求得到进一步明确，规定任何个人、组织不得实施干扰、破坏实名制的行为，将有效遏制网络犯罪“物料供应”黑灰产。立足网络犯罪黑灰产现状，征求意见稿对其中起到基础作用的网络支付、引流推广等黑灰产业链条予以法律规制，为打击治理网络犯罪生态提供进一步法律支撑。

再次，在国家数据局等四部门联合印发的 《关于培育数据流通服务机构加快推进数据要素市场化价值化的意见》中，明确了三类服务机构（数据交易所、数据流通服务平台、数据商）的差异化功能定位，鼓励探索数据换数据、换服务、作价出资等多样化流通模式，并特别提出要“拓展适应人工智能发展的高质量数据集流通交易”。

其次，在中国人民银行等八部门联合发布的《关于进一步防范和处置虚拟货币等相关风险的通知》中，明确境内开展RWA代币化活动涉嫌非法金融活动，对境内主体赴境外发行虚拟货币或开展以境内权益为基础的RWA业务，实行“相同业务、相同风险、相同规则”的严格监管。

最后，国家市场监督管理总局发布的部门规章《商业秘密保护规定》，对“不为公众所知悉”、“保密措施”等进行了非穷尽式列举，为权利人举证和执法机关认定提供了清晰指引。除此之外，《规定》将“电子侵入”明确列为不正当获取手段，并将“教唆、引诱、帮助”侵权以及第三人“应知”而使用等间接侵权形态纳入规制范围，对商业秘密构建了更加严密的保护体系。

4. 人工智能治理的精细化落地

本季度人工智能领域的技术标准制定，呈现出监管从应用层向基础设施层穿透、从通用能力向行业场景深化的治理倾向。通过《网络安全标准实践指南——人工智能加速芯片安全功能技术规范》，监管将安全要求前置至硬件底层，强制芯片具备防攻击能力并预置受硬件保护的根密钥，从算力源头构建可信体系；《基于大模型的企业级AI知识库能力要求》则引导企业实现知识智能化转型，强化多源数据的合规处理与多模态场景融合，推动AI切实赋能业务；而《民航端侧大模型技术能力的技术要求》聚焦高价值行业，系统规范了端侧模型在离线环境下的全链条安全部署，为高风险行业提供了可复制的“场景化合规”样板。这些标准共同构建了“硬件安全为基、企业应用为体、行业场景为用”的立体治理框架，通过具体可验证的技术指标，推动人工智能产业进入“标准驱动、精细落地”的发展新阶段。

（五）数据安全与合规领域典型案例

1. 赵某、成某某非法利用信息网络案

2023年至2024年1月间，被告人赵某在北京市海淀区、成某某在广东省，伙同境外犯罪分子使用加密通讯工具Telegram（俗称“电报”）联络，通过Telegram访问已泄露的公民个人信息数据库，收买、非法获取公民个人信息数据，并在用于“开盒”的Telegram“A”频道、“B”群组中担任管理员。被告人赵某、成某某将某虚拟偶像团体的配音演员及“粉丝”的户籍、手机号、行踪轨迹信息、健康生理信息等个人隐私信息，混合编辑成针对个人的侮辱谩骂、造谣诽谤的违法犯罪信息文案，并将文案在频道、群组中发布，诱导关注者、群组成员以电话、短信轰炸等方式对被侵害人开展侮辱、谩骂。经查，被告人累计非法获取公民信息900余组，在“A”频道发布的非法文案600余组，“A”频道成员3万余人，文案总查看量1000万余次，总评论量1.9万余条；“B”群组成员5千余人。以上行为导致非法信息从境外隐秘网络空间传播至境内网络空间，不知情的网民对被侵害人线下跟踪骚扰，对其社交媒体账户跟帖辱骂，使被侵害人直接面对网络暴力压力与现实侵害风险，严重危害正常生活、工作、人身财产安全，其中2名被侵害人因此罹患抑郁症。

2024年8月12日，海淀区人民检察院以赵某、成某某涉嫌犯非法利用信息网络罪向海淀区人民法院提起公诉。2025年3月29日，北京市海淀区人民法院对该案作出一审判决，以被告人赵某犯非法利用信息网络罪，判处有期徒刑一年六个月，罚金人民币一万元；以被告人成某某犯非法利用信息网络罪，判处有期徒刑一年六个月，罚金人民币一万元。被告人均未上诉，判决已生效。2026年2月5日，最高检将赵某、成某某非法利用信息网络案同其他4件案件共同作为“强化刑事检察监督推进更高水平平安中国建设”典型案例发布。

2. 被告人余某波等14人诈骗案

被告人余某波伙同他人利用“创利丰金业”平台，虚构可通过该平台进行黄金交易的事实，在境外组建诈骗窝点，纠集熊某钦、谢某等13人组织多名人员，针对中国境内居民实施电信网络诈骗。该犯罪集团成员伪装成资深投资者，通过社交平台批量添加被害人为好友，使用固定话术筛选后诱导被害人进入社交平台群组及直播间，发送虚假盈利截图，编造跟着“指导老师”投资黄金能够挣钱等信息，诱导被害人在“创利丰金业”平台进行虚假的“伦敦金”交易，被害人投入的资金通过第三方支付平台经多次流转后进入“创利丰金业”平台控制的账户，“创利丰金业”平台与余某波按照约定比例分赃。在一年时间内，余某波等人通过上述方式，造成1789名被害人损失共计2.8亿余元。

法院认为，被告人余某波、熊某钦、谢某等14人以非法占有为目的，虚构利用互联网平台投资盈利事实，诱导被害人投资后将资金占为己有，数额特别巨大，均已构成诈骗罪。余某波在境外组织、指挥人员实施诈骗犯罪活动，系犯罪集团的首要分子，其曾实施过电信网络诈骗犯罪，负案在逃期间，又前往境外组织实施此类犯罪，且诈骗数额特别巨大，罪行严重，虽有主动退缴违法所得、立功情节，但不足以从轻处罚，以诈骗罪对其判处无期徒刑，剥夺政治权利终身，并处没收个人全部财产。以诈骗罪判处熊某钦等人十三年至二年不等有期徒刑，并处罚金，查扣在案的7381万余元财物按比例发还被害人。本案经山东省烟台市中级人民法院一审，山东省高级人民法院二审，现已发生法律效力。2026年2月26日，最高人民法院将被告人余某波等14人诈骗案同其他4件案件共同作为“依法惩治电信网络诈骗等侵犯财产犯罪”典型案例发布。

3. 林某武等“网络开盒”侵犯公民个人信息系列案

有关林某武等人“网络开盒”侵犯公民个人信息罪犯罪事实：2023年至2025年间，林某武、王某康、刘某彪、孙某恒分别通过加密通讯工具等互联网渠道非法获取公民个人信息数据，后以虚拟货币收款等方式出售牟利。经查，林某武非法获取公民个人信息数据6亿余组；王某康非法获取公民个人信息数据3亿余组；刘某彪非法获取公民个人信息数据共计1500余万组；孙某恒非法获取他人住宿信息数据共计400余组、其他公民个人信息数据共计900余组。2025年间，林某武、王某康、王某将非法获取的公民个人信息数据搭建“社工库”网站，经查，该网站数据库中的公民个人信息数据1.7亿余组，行为人利用网站非法提供公民个人信息1300余次，网站访问人次共计10余万次。

有关林某武等人非法利用信息网络罪犯罪事实：2025年间，林某武、王某伙同他人，利用境外加密通讯工具设立群组，担任群组管理员，在群组中发布针对他人侵犯隐私、谩骂侮辱等违法犯罪信息。经查，该群组成员共计2000余人。2025年间，孙某恒作为前述群组管理员，将群组内侵犯隐私等违法犯罪信息，通过境外加密通讯工具向其他用于实施违法犯罪活动的通讯群组发布。经查，其他相关群组成员共计10万余人。2022年至2025年间，刘某彪担任境外加密通讯工具群组管理员，在群组中发布侵犯隐私等违法犯罪信息。经查，相关群组成员共计1.8万。

针对上述犯罪事实，2025年10月，北京检察机关依法以涉嫌侵犯公民个人信息罪、非法利用信息网络罪，对林某武等5人提起公诉。2026年3月2日，最高检将林某武等“网络开盒”侵犯公民个人信息系列案同其他7件案件共同作为“检护民生”专项行动典型案例发布。

/ 声明 /

本报告所提供的法规标准精要与案例启示，希望能够引起相关企业和机构的高度重视，促使各方积极行动起来，加强数据安全与合规管理，共同营造一个安全、可信、可持续发展的数字生态环境。我们将持续关注数据安全与合规领域的最新动态，定期发布相关报告，为各方提供全面、准确、及时的信息支持与决策参考。