3月11日，为落实数字中国建设整体部署，进一步加强和规范民航数据管理，保障数据安全，促进数据共享，激发数据价值，提升行业治理能力和服务水平，更好支撑民航高质量发展，按照智慧民航建设工作安排，民航局智慧民航建设领导小组办公室组织编制了《民航数据管理办法（征求意见稿）》《民航数据共享管理办法（征求意见稿）》，意见反馈截止2024年3月22日。《民航数据管理办法》适用于任何在中华人民共和国境内从事的民航数据的收集、存储、使用、加工、传输、提供、公开等数据处理活动。民航数据管理应当遵循统筹谋划、协同共享、应用牵引、便利服务、保障安全的原则。《民航数据共享管理办法》适用范围是依托各级数据共享与服务平台开展数据共享活动的行为。民航数据共享遵循统筹谋划、应享尽享、依法应用和安全可控原则。

来源：https://www.caac.gov.cn/HDJL/YJZJ/202403/t20240312_223180.html

1.1.2.国家标准《数据安全技术 数据分类分级规则》发布

3月15日，全国网络安全标准化技术委员会发布GB/T 43697-2024《数据安全技术 数据分类分级规则》（以下简称《规则》）。《规则》规定了数据分类分级的原则、框架、方法和流程，给出了重要数据识别指南，适用于规范各行业各领域、各地区、各部门和数据处理者开展数据分类分级工作；但不适用于涉及国家秘密的数据和军事数据。

来源：https://www.tc260.org.cn/front/postDetail.html?id=20240321160121

1.1.3.国家金融监督管理总局就《银行保险机构数据安全管理办法（征求意见稿）》公开征求意见

3月22日，为规范银行保险机构数据处理活动，保障数据安全，促进数据合理开发利用，稳步提升金融服务数字化、智能化水平，保护个人和组织的合法权益，国家金融监管总局制定了《银行保险机构数据安全管理办法（征求意见稿）》。主要内容包括：明确数据安全治理架构；建立数据分类分级标准；强化数据安全管理；健全数据安全技术保护体系；加强个人信息保护；完善数据安全风险监测与处置机制；明确监督管理职责。

来源：https://www.cbirc.gov.cn/cn/view/pages/ItemDetail.html?docId=1155866&itemId=915

1.1.4.国家互联网信息办公室公布《促进和规范数据跨境流动规定》

3月22日，国家互联网信息办公室公布《促进和规范数据跨境流动规定》（以下简称《规定》），自公布之日起施行。国家互联网信息办公室有关负责人表示，数据跨境流动已经成为全球资金、信息、技术、人才、货物等资源要素交换、共享的基础。为了促进数据依法有序自由流动，激发数据要素价值，扩大高水平对外开放，《规定》对数据出境安全评估、个人信息出境标准合同、个人信息保护认证等数据出境制度作出优化调整。

《规定》明确了重要数据出境安全评估申报标准，提出未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估；《规定》规定了免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证的数据出境活动条件；《规定》设立自由贸易试验区负面清单制度；《规定》明确了应当申报数据出境安全评估的两类数据出境活动条件；《规定》同时对数据出境安全评估的有效期限和延期申请、数据安全保护义务和监督管理责任、与数据出境安全管理其他规定的衔接适用等作了规定。

来源：https://www.cac.gov.cn/2024-03/22/c_1712776612187994.htm

1.1.5.自然资源部印发《自然资源领域数据安全管理办法》

为规范自然资源领域数据处理活动，加强数据安全管理，保障数据安全，促进数据开发利用，自然资源部于3月22日印发《自然资源领域数据安全管理办法》（以下简称《办法》），要求自然资源部、国家林业和草原局及地方行业监管部门将数据安全纳入党委（党组）国家安全责任制，按照“谁管业务，谁管数据，谁管数据安全”的原则，落实本行业本地区本领域数据安全指导监管责任。《办法》明确自然资源领域数据的概念，提出数据分类分级管理、数据全生命周期安全管理和数据安全监测预警与应急管理方面的要求。

来源：http://gi.mnr.gov.cn/202403/t20240328_2840784.html

1.2.1.欧盟委员会提议加拿大和欧盟就PNR数据传输达成新协议

3月4日，欧盟委员会宣布通过并向欧盟理事会提交了加拿大与欧盟之间关于转移和处理乘客姓名欧洲记录数据（Passenger Name European Record，简称“PNR”）的协议的提案。欧盟于2018年6月20日与加拿大展开了新的谈判，寻求纳入欧盟法院（CJEU）要求的保障措施，并于2023年10月11日敲定了初步协议。提交给理事会的最新提案包括但不限于以下新谈判的内容：明确处理的目的，包括在出于其他目的进行处理时的事先审查；禁止加拿大处理敏感数据；包括独立公共当局对加拿大合规情况的监督；通知个人；为个人提供数据主体权利行使机制；将自动化处理限制为仅基于非歧视性和可靠的标准；确定最长保留期；在将PNR数据转发给其他政府机构时，需要采取适当的保护措施。

来源：https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=comnat:COM_2024_0094_FIN

1.2.2.西班牙数据保护局发布关于GDPR在处理安全和数据泄露方面的义务的博客

3月13日，西班牙数据保护局（AEPD）发布了一篇关于个人数据泄露的博客。该博客强调了《通用数据保护条例》（GDPR）规定的控制者有义务实施适当的技术和组织措施来保护个人数据。该博客指出，专注于处理的安全性比仅专注于系统的安全更全面；同时该博客称GDPR的适用范围是处理个人数据，可以被理解为是最终的并具有特定目的，而其他法规如网络安全或最近批准的欧盟人工智能法案（AI Act）的适用范围是面向信息和通信系统。

来源：https://www.aepd.es/en/press-and-communication/blog/personal-data-breach-security-focused-on-processing

2、个人信息保护政策与法律法规动态

2.1.1.《消费者权益保护法实施条例》公布，细化和补充消费者个人信息保护义务要求

3月19日，国务院公布《中华人民共和国消费者权益保护法实施条例》（以下简称《条例》），共7章53条，自2024年7月1日起施行。《条例》进一步细化和补充经营者义务相关规定、完善网络消费相关规定、强化预付式消费经营者义务、规范消费索赔行为，并明确政府消费者权益保护工作职责。

针对过度收集消费者个人信息等问题，《条例》第二十三条明确经营者应当依法保护消费者的个人信息。经营者在提供商品或者服务时，不得过度收集消费者个人信息，不得采用一次概括授权、默认授权等方式，强制或者变相强制消费者同意收集、使用与经营活动无直接关系的个人信息。经营者处理包含消费者的生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息以及不满十四周岁未成年人的个人信息等敏感个人信息的，应当符合有关法律、行政法规的规定。

来源：https://www.gov.cn/yaowen/liebiao/202403/content_6940206.htm

2.1.2.中消协发布2023“消费维权十大典型司法案例”，一案涉及扫码点餐个人信息保护纠纷

3月15日，中国消费者协会发布2023年“全国消费维权十大典型司法案例”，其中一案为个人信息保护纠纷案，涉及手机扫码点餐服务中个人信息收集、使用及存储问题。

该案中，被告推出送手机扫码点餐服务，要求消费者使用微信扫描二维码并关注公众号进行线上点餐，如不同意授权获取个人信息，则无法使用该服务。原告在被告门店用餐时选择了手机扫码点餐，并在此过程中成为了公司的会员。后来孔某取消关注公众号，发现个人信息仍被保留在被告处，无法自行删除，并为此起诉。北京市第三中级人民法院作出终审，判决被告向原告书面告知处理孔某个人信息的范围、方式，向原告进行书面赔礼道歉，赔偿原告公证费五千元。

专家认为，消费者选择扫码点餐服务并不代表其同意将部分个人信息权益让渡给商家。经营者通过扫码点餐等方式搜集、处理个人信息时，应当遵循合法、正当、必要原则，并征得消费者同意，不得过度处理。同时，在点餐方式上，消费者享有自主选择权，经营者不得误导和变相强制消费者使用扫码点餐。消费者对其个人信息处理享有知情权，消费者发现经营者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权要求信息处理者及时删除。

来源：https://mp.weixin.qq.com/s/NSdpp_RzLpwBOuNtNLIiNQ

2.2.1.美国国会众议院通过《保护美国人的数据免受外国对手侵害法案》

3月20日，美国国会众议院以414票对0票的全体一致通过了《2024保护美国人的数据免受外国对手侵害法案》。该法案规定，数据经纪人向北朝鲜、中国、俄罗斯或伊朗或受上述国家控制的实体（如总部设在该国或为该国人所拥有）出售、许可、出租、交易、转让、发布、披露或以其他方式提供居住在美国的个人的特定敏感数据，均属非法行为。其中，敏感数据包括政府颁发的标识符（如社会安全号码）、金融账户号码、生物识别信息、基因信息、精确地理位置信息和私人通信（如短信或电子邮件）。法案将由联邦贸易委员会负责执行。

来源：https://www.congress.gov/bill/118th-congress/house-bill/7520

2.2.2.土耳其公布《个人数据保护法修正案》

3月12日，土耳其个人数据保护局（“KVKK”）发布《刑事诉讼法及若干法律修正案》（以下简称《修正案》），宣布对《个人数据保护法》（以下简称“PDPL”）进行修订。《修订案》第33至36条对PDPL第6、9和18条进行了修改，并引入了新的临时条款。

其中，针对处理特殊类型个人数据的修订，PDPL第6（3）条被修订为禁止处理特殊类型个人数据，但某些情况除外，如明确同意、法律规定、保护重要利益、基于公共数据披露目的、权利保护以及与公共卫生和其他特定领域相关的义务。针对向国外传输个人数据的修订，PDPL第9（1）条被修订为，允许数据控制者和处理者将个人数据传输到国外，但必须符合PDPL第5条和第6条规定的条件，以及目的地国家、国内部门或国际组织的充分性决定。此外，《修正案》对PDPL第9（2）条个人数据保护委员会（以下简称“委员会”）发布的充分性决定进行了修订，概述了对此类决定的定期审查以及委员会修改、暂停或撤销这些决定的权力。《修正案》还对PDPL第9（3）条进行了修订，强调了在作出充分性决定时需考虑的因素，包括互惠性、立法、数据保护机构的存在以及国际协定。PDPL第9（4）条规定了数据控制者和数据处理者在没有个人数据充分性决定的情况下可将数据传输到国外的条件，前提是具备PDPL第5条和第6条规定的条件之一，且数据主体在将被传输到的国家有机会行使其权利并获得有效的法律补救。针对处罚，PDPL第18条第（1）款规定了对不遵守PDPL第9条第（5）款规定的通知义务的处罚，罚款额度为50000至1000000土耳其里亚尔（约合1560至31210美元）。

来源：https://www.dataguidance.com/news/turkey-kvkk-announces-amendments-personal-data

4.2.3.超火的黑客小工具，可以通过WiFi解锁特斯拉