8
0欢迎收听《AI星辰电台》。今天我们来拆解2026年8月第一周三条全球数据治理的重大动向——日本首次为违反数据保护义务引入金钱处罚，英国上诉庭为"特殊目的"豁免划定限缩性边界，越南构建了一个涵盖数据主权、分级管控、跨境审批和AI治理的完整法律框架。
这一期的共同主线是：全球数据治理正在从原则宣示阶段进入规则精细化落地阶段——日本装上了牙齿，英国磨利了牙齿，越南正在制造一副全新的牙齿。三条新闻分别来自东京、伦敦和河内，覆盖三个大陆、三种治理路径，但共同指向一个趋势：执法工具箱的全面升级。
一、日本《个人信息保护法》修正案公布——首设课征金制度
制度背景
日本《个人信息保护法》（APPI）自2003年制定以来，建立了"每三年审查"的定期修订机制。2023年11月，个人信息保护委员会启动新一轮审查，聚焦AI时代的数据利用与保护平衡。2026年4月7日，内阁通过修正法案；7月17日，法案作为"法律第56号"在官報上正式公布，预计2027至2028年施行。
核心进展
本次修正是APPI历史上变化幅度最大的一次，五个维度同时推进：
领域修正内容合规影响数据利用促进统计/AI开发场景在不可识别特定个人时免同意提供；"本人意图不违反"的明显情形（酒店预订→住宿方、海外汇款→信息共享）不再需要单独同意降低AI训练和日常商业数据流通的合规摩擦儿童保护16岁以下未成年人数据取得原则上需法定代理人同意；新增"本人最佳利益"考虑义务首次以年龄划线设立刚性同意门槛（介于中国14岁与欧盟成员国16岁之间）生体信息面部特征等持续识别个人的生物信息适用更高标准的利用目的告知和停止请求权人脸识别和生物认证系统的合规要求升级非个人信息标识符电话号码、Cookie ID等虽非"个人信息"但能联系特定个人的标识符，禁止以不正当目的取得利用填补精准营销和网络诈骗共享的法律漏洞课征金制度（新设）恶意违法+对价+主观+权利侵害+1,000人以上大规模要件→缴纳违法所得相当额APPI历史上首次引入金钱处罚，东亚数据保护"罚款时代"到来
课征金制度的具体适用：满足对象行为该当性、对价要件（存在经济利益）、主观要件（故意或重大过失）、权利利益侵害要件和大规模要件（原则1,000人超）时，主管机关可命令违法者缴纳相当于违法所得的金额。同时新设对助长违法行为的第三方（如为非法数据交易提供托管服务的平台）的措施请求权。
企业合规观察
日本市场的合规优先级需要重新排列：此前的行政指导模式意味着"被罚概率低"，课征金的导入将实质性改变风险计算。涉及消费者面广的数据处理活动——特别是定向广告、用户画像、数据交易——应优先评估课征金触发风险。
16岁以下年龄确认流程是刚性新要求。在日运营的社交、游戏、教育类产品需在施行前建立年龄验证机制，且"本人最佳利益"标准可能引发进一步的监管指引和消费者诉讼。
委托管理合同需全面审查。修正案对受托方超范围利用数据的约束加强，意味着现行委托合同中的数据处理条款可能需要更新以反映新的责任分配。
二、TikTok诉ICO案——Upper Tribunal驳回"特殊目的"豁免上诉
制度背景
英国《数据保护法2018》（DPA 2018）第156条为新闻、学术、艺术或文学目的（"特殊目的"）的数据处理提供了特殊的程序保护：监管机关在对"为特殊目的而进行的数据处理"采取执法行动前，需先发布裁定并取得法院许可。这一条款旨在平衡数据保护与表达自由。TikTok在本案中主张其算法推荐和内容分发构成"艺术目的"，从而触发该保护机制。
核心进展
阶段时间事件ICO调查2018-2022ICO认定TikTok在2018.5-2020.7期间处理13岁以下儿童个人数据违反UK GDPR第5(1)(a)、8、12、13条罚款决定2023.4.4ICO开出1,270万英镑罚款（MPN）FTT初步裁定2025.6.27First-tier Tribunal驳回TikTok的vires挑战，认定MPN并非针对"特殊目的"处理UT上诉判决2026年（庭审5.11-12）Upper Tribunal三位法官合议庭驳回上诉，维持FTT裁定
Upper Tribunal的五项核心认定：
TikTok的数据处理不构成"为了"特殊目的——仅仅"协助"或"关联"具有艺术属性的内容分发不够，处理本身的目的必须是艺术性的。TikTok收集数据、算法分析、生成推荐——这一系列操作的目的不是艺术创作，而是运营商业平台和投放定向广告。
《人权法1998》第3条的解释义务不要求将特殊目的前置条件"读入"ICO的执法程序。
MPN中关于UK GDPR第5(1)(a)和8条的部分，正确限定在低龄儿童数据处理范围。
第12、13条违规涉及的是透明度等程序义务，不涉及数据处理本身。
案件发回FTT继续审理实体问题（违规是否成立、罚款金额是否合理）。
法院特别批评：一个2023年4月发出的罚单，到2026年仅走完管辖权初步问题，谴责了将案件分割审理导致的程序拖延。
企业合规观察
"特殊目的"豁免的适用范围被实质性限缩。内容平台不能用"我们推送的是艺术/新闻内容"为由，将整个商业数据处理链条包装成表达自由活动。算法推荐的"处理目的"与内容的"属性"是两个独立的法律判断。
这个判决与欧盟DSA的逻辑形成跨法域共振：平台的内容分发行为是商业行为，商业行为应接受商业监管。依赖"特殊目的"或类似豁免条款的企业应当重新评估其法律风险敞口。
程序策略上，将案件分割为初步问题和实体问题可能带来严重拖延——但也给了被监管方更多时间调整合规策略。这是一个双刃剑。
三、越南《数据安全法》草案——东南亚最完整的数据主权立法框架
制度背景
越南数据治理体系建设正在加速。2024年《数据法》（Luật Dữ liệu số 60/2024/QH15）确立了基本概念体系和数据分类框架；2025年《个人数据保护法》生效；现在，《数据安全法》草案由公安部起草，2026年7月17日启动公开征求意见，8月5日截止。8章56条的体量，使这部法律成为越南数据治理体系的"操作手册"。
核心进展
草案的四大支柱：
（一）四层数据风险分级
级别名称定义标准保护要求1级普通数据公开数据或一般民商事活动数据，侵害仅造成低风险基础保护2级内部数据机关/组织/企业内部管理和运营数据、商业秘密泄露将损害正常运营或竞争环境3级重要数据与《数据法》"重要数据"定义完全对接，涵盖关键行业领域泄露严重危害国家安全/经济安全/公共利益4级核心数据与《数据法》"核心数据"定义完全对接，涉及国防、主权、最高战略利益侵害将危及国家
（二）数据本地化与跨境转移
本地存储：核心数据和战略性重要数据强制存储在越南境内。使用国际云服务须维持越南实时备份，确保越南国家机关"最高控制权"。
跨境审批：重要/核心数据出境须经公安部事前安全审批。
免审通道（仅商业秘密数据）：接受国被认定为"同等保护水平" / 签署公安部标准合同条款（SCC） / 获得跨境数据安全合规认证。
事后审计：即使免审，企业也须完成数据安全影响评估并每年向公安部报告。违规可被停止数据流出。
强制本地化：外国电信/互联网服务商违法且不整改的，强制在越南设立基础设施并存储数据。
（三）AI系统治理
生成式AI运营者须：训练数据验证与清洗 + 确保数据来源合法不侵权 + 数字水印标注AI生成内容 + 主动过滤危害国家安全和社会秩序的内容。
公安部有权要求AI服务商解释算法透明度与训练数据来源——当系统输出涉及越南主权、历史、边界、文化或政治的虚假信息时。
严重违规：公安部可暂停服务或采取技术阻断措施。
（四）执法与制裁
数据处理/分析/经纪/存储/销毁服务列为有条件安全经营行业。
外国专家参与3-4级数据项目须经安全审查+保密协议+技术隔离访问。
外国组织违法可被剥夺系统访问权或驱逐出境。
国家安全关键系统产品可指定采购或特采国产安全产品。
企业合规观察
越南市场的数据合规门槛正在从软性号召变成硬性许可条件。核心/重要数据的本地存储义务和跨境审批制度，直接影响在越运营的云服务商、社交平台和电商企业的基础设施策略。
这部法律最值得警惕的不是任何一个单独条款，而是整个架构的完整性和速度——越南用不到两年时间搭建了"数据分类+主权+跨境+AI+执法"五位一体的制度框架。制度模仿的对象是中国《数据安全法》+GDPR+DSA，但以"国家数据主权"为核心做了系统性整合。
AI治理条款中的算法透明度解释义务和第26条第4款赋予公安部的"暂停服务"权力，为外国AI服务进入越南市场设置了较高的不确定性——合规的门槛不低，但判断"什么时候跨过了门槛"的标准目前仍由行政机关裁量。
主编深度洞察
今天这三条新闻放在一起看，揭示了一个清晰的全球趋势：数据治理的"牙齿"正在从欧洲这一个发源地，向亚洲和新兴市场同步扩散。
日本引入课征金的意义，不仅是APPI第一次有了金钱处罚工具——更深远的是，它标志着日本数据保护执法从"行政指导文化"向"执法威慑文化"的范式转换。1,000人的大规模门槛虽然设置了启动条件，但这个条件对面向消费者的平台企业来说并不高。结合日本2025年对生成式AI和数据利用的积极政策导向，修正案体现的是一个"松绑利用+收紧滥用"的双轨逻辑——我给你更多AI训练的同意豁免，但如果你拿数据去作恶，我也有了真正的处罚工具。
TikTok案的英国判决，则是对"表达自由掩护商业数据处理"策略的司法否定。一个值得关注的细节是：法庭并没有讨论TikTok的内容到底是不是"艺术"——法庭直接切入了更根本的层面：即使内容本身是艺术，处理数据的行为也不是。这个"手段与目的"的分离推理，很可能被其他普通法管辖区在类似案件中所引用。结合欧盟DSA对推荐系统透明度和风险管理的规制，一个跨大西洋的共识正在形成——算法分发是受监管的商业行为，不是受保护的艺术创作。
越南草案最令人印象深刻的是它的制度野心和模仿速度。从2024年《数据法》到2025年《个人数据保护法》再到现在这部《数据安全法》，越南不是在逐条"抄作业"，而是在用自己的"数据主权"理念做系统性编排。对外国企业来说，关键问题是：这些法律会不会真的被严格执行？从草案赋予公安部的多项审批、暂停服务和强制本地化权力来看，执行机制已经写进了法律文本——剩下的只是政治意志和行政能力的问题。
给企业一句话：不要把合规地图锁定在今天的监管格局上。东亚和东南亚的数据执法能力正在快速追赶立法速度，法律文本在变，监管者的牙齿也在长。
延伸阅读
日本官報 令和8年7月17日号外第160号 — 個人情報の保護に関する法律等の一部を改正する法律（法律第56号）: www.kanpo.go.jp
森・濱田松本法律事務所 — 令和8年改正個人情報保護法案セミナー（全5回）: www.morihamada.com
TikTok Inc & Anor v The Information Commissioner [2026] UKUT 277 (AAC): caselaw.nationalarchives.gov.uk
Bộ Công an Việt Nam — Hồ sơ dự án Luật An ninh dữ liệu: bocongan.gov.vn
资源领取
欢迎关注我们的公众号"那一片数据星辰"。
#日本APPI #课征金 #TikTok #英国数据保护 #特殊目的豁免 #越南数据安全法 #数据主权 #跨境数据转移 #AI治理 #数据合规 #AI星辰电台
