| 001 | ADA-001 | 图像缺少 ALT 标签 图像缺少替代文本属性，使视觉内容对屏幕阅读器不可见。这是提交最多的 ADA 网页无障碍投诉，也是最容易在法庭上证明的。 法律依据: WCAG 2.1 SC 1.1.1 WCAG 2.1 SC 1.1.1 | critical | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 002 | ADA-002 | 交互元素缺少 ARIA 标签 按钮、链接和交互控件缺少通过 aria-label 或 aria-labelledby 提供的可访问名称。屏幕阅读器用户无法确定这些元素的目的，造成使用障碍。 法律依据: WCAG 2.1 SC 4.1.2 WCAG 2.1 SC 4.1.2 | critical | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 003 | ADA-003 | 颜色对比度不足 文本与背景的对比度低于正常文本所需的 4.5:1 最小比率。低视力用户无法阅读页面内容，这是一个可测量、可自动化的违规行为，经常在需求函中被引用。 法律依据: WCAG 2.1 SC 1.4.3 WCAG 2.1 SC 1.4.3 | critical | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 004 | ADA-004 | 缺少跳过导航链接 页面缺少作为第一个可聚焦元素的“跳至主要内容”链接。键盘和屏幕阅读器用户必须在每次页面加载时通过整个导航，这是一个记录在案的无障碍障碍。 法律依据: WCAG 2.1 SC 2.4.1 WCAG 2.1 SC 2.4.1 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 005 | ADA-005 | 键盘无法访问的交互元素 下拉菜单、模态框或自定义控件等交互元素无法仅通过键盘操作。无法使用鼠标的用户完全无法使用关键功能。 法律依据: WCAG 2.1 SC 2.1.1 WCAG 2.1 SC 2.1.1 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 006 | ADA-006 | 表单字段缺少标签 表单输入缺少关联的 <label> 元素或 aria-label 属性。屏幕阅读器用户无法识别请求的信息，阻止表单完成。 法律依据: WCAG 2.1 SC 1.3.1 WCAG 2.1 SC 1.3.1 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 007 | ADA-007 | 标题层级损坏 页面缺少 H1 元素或跳过标题级别（例如，从 H1 到 H3）。屏幕阅读器依赖标题结构进行页面导航；损坏的层级使内容难以扫描和理解。 法律依据: WCAG 2.1 SC 1.3.1 WCAG 2.1 SC 1.3.1 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 008 | ADA-008 | 缺少 HTML Lang 属性 <html> 元素缺少指定页面语言的 lang 属性。屏幕阅读器无法确定正确的发音规则，导致所有页面内容输出为乱码语音。 法律依据: WCAG 2.1 SC 3.1.1 WCAG 2.1 SC 3.1.1 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 009 | ADA-009 | 安装了 ADA 覆盖小部件 安装了第三方无障碍覆盖小部件（例如，AccessiBe、UserWay）。这些覆盖被视为“流氓律师的危险信号”，不提供法律合规性，并已被残疾倡导组织和法院明确拒绝。 法律依据: ADA Title III; DOJ Web Guidance 2022 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 010 | ADA-010 | 职业/求职申请门户无法访问 职业页面或求职申请门户对残疾用户不可访问。这在 ADA 第一章（就业）和第三章（公共住宿）下都产生责任，并且是连续 ADA 原告的频繁目标。 法律依据: ADA Title I § 12112; Title III § 12182 | advisory | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 011 | HIPAA-001 | 医疗预约页面上的 Meta Pixel Facebook/Meta 跟踪像素在预约安排或医疗服务页面上触发，向 Meta 传输患者健康状况数据。HHS 已发布明确指导，指出这构成不允许的 PHI 披露。 法律依据: 45 CFR § 164.502; HHS Bulletin Dec 2022 45 CFR 164.502 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 012 | HIPAA-002 | 患者门户上的 Google Analytics 缺少 BAA Google Analytics 在患者门户页面上收集数据，但没有签署商业伙伴协议。Google 不为标准 Analytics 签署 BAA，使任何患者门户跟踪成为自动 HIPAA 违规。 法律依据: 45 CFR § 164.502(e) 45 CFR 164.502 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 013 | HIPAA-003 | 缺少善意估算页面 网站未提供有关患者有权根据《无意外法案》获得预期费用善意估算的信息。自付和无保险患者必须在安排服务前被告知此权利。 法律依据: No Surprises Act § 112; 45 CFR § 149.610 45 CFR 149.610 | serious | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 014 | HIPAA-004 | 健康服务页面上的社交媒体像素 TikTok、Snapchat 或其他社交媒体跟踪像素在描述特定健康状况或治疗的页面上处于活动状态。这些像素传输 URL 路径，揭示用户正在研究健康状况。 法律依据: 45 CFR § 164.502; FTC Health Breach Notification Rule 45 CFR 164.502 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 015 | HIPAA-005 | 与表单 SaaS 提供商缺少 BAA 患者入院或联系表单通过第三方 SaaS 平台（例如，Typeform、JotForm）处理，但没有签署商业伙伴协议。通过这些表单提交的所有患者数据都是不安全的 PHI 披露。 法律依据: 45 CFR § 164.502(e); § 164.504(e) 45 CFR 164.502 | serious | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 016 | HIPAA-006 | 未经同意收集症状的医疗聊天机器人 AI驱动或脚本化的聊天机器人正在收集症状信息、健康投诉或医疗历史，而未展示HIPAA授权或隐私实践通知。这创建了一个不受控制的PHI收集点。 法律依据: 45 CFR § 164.520; § 164.508 45 CFR 164.520 | serious | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 017 | HIPAA-007 | 未加密的患者入院表格 患者入院表格通过未加密的HTTP连接提交或在静态时未加密存储。HIPAA要求对传输中和静态的电子PHI进行包括加密在内的技术保障。 法律依据: 45 CFR § 164.312(a)(2)(iv); § 164.312(e)(1) 45 CFR 164.312 | moderate | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 018 | HIPAA-008 | 缺少患者PHI访问请求链接 网站未提供患者请求访问或下载其受保护健康信息的机制。HIPAA赋予患者访问其PHI的权利，且该过程必须明确传达。 法律依据: 45 CFR § 164.524 45 CFR 164.524 | moderate | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 019 | HIPAA-009 | 跨州远程医疗服务无执照过滤 向提供者未获执照的州提供远程医疗服务，且未设置地理资格过滤器。公司行医法（CPOM）和州执照要求可能被违反。 法律依据: State Medical Practice Acts; CPOM Statutes | moderate | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 020 | HIPAA-010 | 健康追踪未获MHMDA同意 健康或健康网站在未获得华盛顿州《我的健康我的数据法案》（MHMDA）要求的同意下追踪用户行为。该法律适用于从华盛顿居民收集健康数据的任何实体，而不仅限于HIPAA覆盖实体。 法律依据: RCW 19.373 (Washington MHMDA) RCW 19.373.030 | advisory | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 021 | CCPA-001 | 缺少"不销售或分享"页脚链接 网站页脚缺少"不销售或分享我的个人信息"链接。CCPA要求此链接对加州消费者清晰、醒目且在每个页面可用。 法律依据: Cal. Civ. Code § 1798.120(a) Cal. Civ. Code § 1798.120 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 022 | CCPA-002 | 电子邮件折扣弹窗无财务激励通知 电子邮件注册弹窗提供折扣（例如“订阅享9折”），但未提供财务激励通知。CCPA/CPRA要求企业披露与数据收集相关的任何财务激励计划的实质条款。 法律依据: Cal. Civ. Code § 1798.125(b) Cal. Civ. Code § 1798.125 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 023 | CCPA-003 | 第三方追踪器在Cookie同意前触发 分析、广告和社交媒体追踪脚本在用户提供同意前执行。根据CCPA/CPRA，用于跨上下文行为广告的第三方数据共享至少需要退出功能。 法律依据: Cal. Civ. Code § 1798.120; 11 CCR § 7025 Cal. Civ. Code § 1798.12011 CCR § 7025 (CCPA Regulations) | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 024 | CCPA-004 | 缺少或不充分的隐私政策 网站缺少全面的隐私政策，或现有政策未能披露CCPA要求的类别：收集的个人信息类型、目的、第三方共享和消费者权利。 法律依据: Cal. Civ. Code § 1798.130(a)(5) Cal. Civ. Code § 1798.130 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 025 | CCPA-005 | 职业页面缺少申请人隐私通知 职业或求职申请页面在收集简历和个人数据时未提供申请人隐私通知。CPRA将隐私权扩展至求职者和员工，要求在收集点进行披露。 法律依据: Cal. Civ. Code § 1798.100(b); CPRA Employee/Applicant Extension Cal. Civ. Code § 1798.100 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 026 | CCPA-006 | 无数据删除请求机制 网站未提供消费者请求删除其个人信息的方式。CCPA要求至少提供两种提交消费者请求的方法，包括大型企业需提供免费电话号码。 法律依据: Cal. Civ. Code § 1798.105; § 1798.130 Cal. Civ. Code § 1798.105Cal. Civ. Code § 1798.130 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 027 | CCPA-007 | 第三方数据共享未披露 个人信息与第三方广告、分析或数据丰富服务共享，但未在隐私政策中披露。每一次未披露的共享关系均构成单独违规。 法律依据: Cal. Civ. Code § 1798.115 Cal. Civ. Code § 1798.115 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 028 | CCPA-008 | 加州用户缺少Cookie同意横幅 未向加州访客展示Cookie同意机制。虽然CCPA未具体要求Cookie横幅，但CPPA已表示将优先执行未遵守退出信号而部署追踪Cookie的网站。 法律依据: 11 CCR § 7025; Cal. Civ. Code § 1798.135(e) 11 CCR § 7025 (CCPA Regulations)Cal. Civ. Code § 1798.135 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 029 | CCPA-009 | 自动选择加入营销通信 用户在创建账户或结账时自动选择加入营销电子邮件或短信，而未获得明确同意。预选营销同意框违反CCPA原则和CAN-SPAM要求。 法律依据: Cal. Civ. Code § 1798.120; 16 CFR § 316 Cal. Civ. Code § 1798.12016 CFR Part 316 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 030 | CCPA-010 | 作为数据经纪商运营但未注册 企业收集并出售与其无直接关系的消费者的个人信息，符合数据经纪商的定义，但未按德克萨斯州SB 2105和加州《删除法案》要求在州注册。 法律依据: TX Bus. & Com. Code § 509; Cal. Civ. Code § 1798.99.82 Cal. Civ. Code § 1798.99.82 | advisory | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 031 | FTC-001 | 虚假倒计时器（黑暗模式） “限时优惠”倒计时器在页面重新加载时重置，揭示其为虚构的紧迫感。FTC 将虚假倒计时器归类为欺骗性黑暗模式，根据《联邦贸易委员会法》第 5 条进行执法。 法律依据: FTC Act § 5; FTC Dark Patterns Report 2022 FTC Act § 5 — 15 U.S.C. 45 | critical | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 032 | FTC-002 | 欺骗性划掉“原价” 显示从未是实际售价的划掉“原价”，制造虚假折扣。FTC 的《反对欺骗性定价指南》禁止虚构的前价。 法律依据: 16 CFR § 233; FTC Act § 5 16 CFR Part 233FTC Act § 5 — 15 U.S.C. 45 | critical | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 033 | FTC-003 | 虚假社会证明计数器 “现在有 X 人在查看”或“库存仅剩 Y 件”等计数器显示虚构或无法验证的数字。FTC 认为制造的社会证明属于欺骗性贸易行为。 法律依据: FTC Act § 5; FTC Endorsement Guides 16 CFR § 255 FTC Act § 5 — 15 U.S.C. 4516 CFR Part 255 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 034 | FTC-004 | 未经验证的客户评论 显示客户评论而未验证购买或真实性。FTC 2024 年《消费者评论使用规则》禁止虚假、购买或有奖励的评论而无明确披露。 法律依据: 16 CFR § 465 (FTC Review Rule 2024) 16 CFR Part 465 | critical | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 035 | FTC-005 | 订阅取消比注册更难 取消订阅需要比注册更多的步骤、电话或障碍。联邦法律 ROSCA 要求提供停止定期扣费的简便方式；加州要求对在线开通的订阅提供醒目链接或按钮以在线取消。FTC 2024 年的《一键取消规则》已于 2025 年 7 月 8 日被第八巡回上诉法院撤销。 法律依据: 15 U.S.C. § 8403(3) (ROSCA); Cal. Bus. & Prof. Code § 17602(d) 15 U.S.C. 8403Cal. Bus. & Prof. Code § 17602 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 036 | FTC-006 | 缺少联盟披露 联盟链接和推荐佣金未在页面第一个联盟链接上方清晰显著地披露。FTC 要求在消费者遇到背书之前披露实质性联系。 法律依据: 16 CFR § 255.5; FTC Endorsement Guides 16 CFR 255.5 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 037 | FTC-007 | 未披露的付费推荐 显示客户或影响者推荐而未披露评论者收到报酬、免费产品或其他激励。每个未披露的付费背书可处以高达 50,000 美元的罚款。 法律依据: 16 CFR § 255.1; FTC Endorsement Guides 16 CFR 255.1 | moderate | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 038 | FTC-008 | 未经证实的环保声明 营销文案使用“环保”、“碳中和”或“可持续”等术语而无第三方认证或证实。FTC 的《绿色指南》要求环境声明有胜任且可靠的科学证据。 法律依据: 16 CFR § 260 (FTC Green Guides) 16 CFR Part 260 | moderate | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 039 | FTC-009 | 免费试用自动转为付费而无披露 免费试用在消费者提供付款信息前，未明确显著披露转换条款、账单日期和金额即自动转为付费订阅。 法律依据: FTC Act § 5; Restore Online Shoppers' Confidence Act (ROSCA) FTC Act § 5 — 15 U.S.C. 45 | moderate | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 040 | FTC-010 | 诱饵切换定价 广告或搜索结果中显示的价格与结账时因添加费用、不同产品版本或更改条款而显示的价格不同。这构成典型的诱饵切换欺骗。 法律依据: FTC Act § 5; 16 CFR § 238 (Bait Advertising) FTC Act § 5 — 15 U.S.C. 4516 CFR Part 238 | advisory | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 041 | TCPA-001 | 联系表单缺少短信同意复选框 联系或潜在客户生成表单收集电话号码而无明确的短信通信选择加入复选框。A2P 10DLC 运营商要求和 TCPA 要求营销短信需事先书面同意。 法律依据: 47 U.S.C. § 227(b); A2P 10DLC Guidelines 47 U.S.C. 227 | critical | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 042 | TCPA-002 | 营销短信在当地时间晚上 8 点后发送 自动营销短信在允许时间外发送。佛罗里达州的《电话招揽法》(FTSA) 将短信限制在当地时间上午 8 点至晚上 8 点，其他州也有类似时段限制。 法律依据: FL Stat. § 501.059 (FTSA); 47 U.S.C. § 227 47 U.S.C. 227 | critical | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 043 | TCPA-003 | 营销短信中无 STOP 机制 营销短信未包含退出说明（如“回复 STOP 退订”）。CTIA 指南和 TCPA 要求每条营销短信包含明确的退出机制。 法律依据: 47 U.S.C. § 227; CTIA Short Code Monitoring Handbook 47 U.S.C. 227 | critical | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 044 | TCPA-004 | 营销邮件无实体地址 商业电子邮件消息未包含发件人的有效实体邮政地址。CAN-SPAM 要求每封商业邮件包含发件人当前街道地址或注册邮政信箱。 法律依据: 15 U.S.C. § 7704(a)(5)(A); 16 CFR § 316.2 15 U.S.C. 770416 CFR 316.2 | serious | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 045 | TCPA-005 | 营销邮件无退订链接 商业邮件缺少有效的退订机制。CAN-SPAM 要求每条商业消息中包含清晰显著的退出方法，且退出请求必须在 10 个工作日内处理。 法律依据: 15 U.S.C. § 7704(a)(3); 16 CFR § 316.5 15 U.S.C. 770416 CFR 316.5 | serious | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 046 | TCPA-006 | 未获得事先书面同意的弃购购物车短信 向未提供营销短信事先明确书面同意的消费者发送弃购购物车恢复短信。根据TCPA，购物车放弃不构成同意。 法律依据: 47 U.S.C. § 227(b)(1)(A)(iii) 47 U.S.C. 227 | serious | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 047 | TCPA-007 | 未获得TCPA明确同意的自动拨号器 使用自动电话拨号系统（ATDS）拨打电话或发送短信而未获得事先明确同意。TCPA禁止向手机发送未经请求的自动拨号或预录语音呼叫。 法律依据: 47 U.S.C. § 227(b)(1)(A) 47 U.S.C. 227 | moderate | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 048 | TCPA-008 | 缺少A2P 10DLC活动注册 通过长代码（10位数字）发送商业短信而未向运营商正确注册A2P 10DLC活动。未注册的活动会面临消息过滤、阻止和每条消息的运营商罚款。 法律依据: CTIA 10DLC Policy; Carrier A2P Guidelines | moderate | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 049 | TCPA-009 | 批量短信缺少STOP关键字处理程序 批量短信系统不会自动处理STOP关键字响应以立即停止发送消息。未能遵守退订关键字会使企业面临每条消息500–1500美元的TCPA集体诉讼责任。 法律依据: 47 U.S.C. § 227; CTIA Messaging Principles 47 U.S.C. 227 | moderate | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 050 | TCPA-010 | 未获得选择加入的预录语音消息 向消费者发送预录或人工语音营销消息而未获得事先明确书面同意。TCPA的机器人呼叫条款规定每通电话法定损害赔偿为500–1500美元。 法律依据: 47 U.S.C. § 227(b)(1)(B) 47 U.S.C. 227 | advisory | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 051 | GDPR-001 | Meta Pixel在Cookie同意前触发 Facebook/Meta跟踪像素在访客与Cookie同意横幅互动前加载并传输用户数据。根据GDPR，非必要跟踪需要事先、知情且肯定的同意。 法律依据: GDPR Article 6(1)(a); ePrivacy Directive Article 5(3) GDPR Art. 6(1)(a)ePrivacy Directive Art. 5(3) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 052 | GDPR-002 | 欧盟访客无Cookie同意横幅 网站未向欧盟成员国访客显示Cookie同意机制。ePrivacy指令和GDPR要求在放置非必要Cookie或跟踪技术前获得知情同意。 法律依据: GDPR Article 7; ePrivacy Directive Article 5(3) GDPR Art. 7ePrivacy Directive Art. 5(3) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 053 | GDPR-003 | Google Analytics未获得GDPR同意 Google Analytics在未获得事先同意的情况下收集欧盟用户的访客数据。多个欧盟数据保护机构已裁定Google Analytics传输构成非法处理和跨境数据传输。 法律依据: GDPR Article 44; Austrian DSB & French CNIL Rulings 2022 GDPR Art. 44 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 054 | GDPR-004 | 与处理者无数据处理协议 代表控制者处理个人数据的第三方服务在没有签署数据处理协议的情况下运行。GDPR要求书面合同明确处理范围、目的和安全义务。 法律依据: GDPR Article 28(3) GDPR Art. 28(3) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 055 | GDPR-005 | 无72小时违规通知流程 组织没有在意识到个人数据泄露后72小时内通知监管机构的文件化程序。未能通知是单独的、可独立罚款的违规行为。 法律依据: GDPR Article 33 GDPR Art. 33 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 056 | GDPR-006 | 无保障措施的跨境数据传输 欧盟居民的个人数据被传输到美国服务器或服务，而未遵循Schrems II裁决采用标准合同条款（SCCs）、充分性决定或其他批准的传输机制。 法律依据: GDPR Articles 44–49; Schrems II (C-311/18) GDPR Art. 44–49CJEU C-311/18 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 057 | GDPR-007 | YouTube嵌入泄露视频观看数据 标准YouTube嵌入结合跟踪像素会造成类似VPPA违规的视频观看数据泄露。YouTube的标准嵌入在获得同意前与Google共享观看习惯。 法律依据: GDPR Article 6(1)(a); ePrivacy Directive Article 5(3) GDPR Art. 6(1)(a)ePrivacy Directive Art. 5(3) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 058 | GDPR-008 | 无“被遗忘权”机制 网站未提供数据主体请求删除其个人数据的方式。GDPR的删除权要求控制者在没有压倒性法律依据时根据请求删除个人数据。 法律依据: GDPR Article 17 GDPR Art. 17 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 059 | GDPR-009 | 未发布数据保留政策 隐私政策未指定个人数据保留时长或确定保留期限所使用的标准。GDPR要求在收集时透明地告知保留期限。 法律依据: GDPR Article 13(2)(a); Article 5(1)(e) GDPR Art. 13(2)(a) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 060 | GDPR-010 | 同意横幅使用预选复选框 Cookie同意横幅为分析或营销Cookie显示预选同意框。欧盟法院在Planet49案中裁定预选复选框不构成GDPR下的有效同意。 法律依据: GDPR Article 4(11); CJEU Planet49 (C-673/17) GDPR Art. 4(11)CJEU C-673/17 | advisory | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 061 | PCI-001 | 缺少 Content-Security-Policy 标头 该网站未设置 Content-Security-Policy HTTP 标头，使其容易受到跨站脚本 (XSS) 和数据注入攻击。CSP 是防止未经授权脚本执行的关键防御层。 法律依据: PCI-DSS v4.0 Req. 6.4.3; OWASP CSP Cheat Sheet PCI DSS — PCI Security Standards CouncilOWASP Content Security Policy Cheat Sheet | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 062 | PCI-002 | 前端源代码中暴露 API 密钥 Google Maps、Stripe 或 SendGrid 等服务的 API 密钥在客户端 JavaScript 源代码中可见。暴露的密钥可能被机器人获取，用于未经授权的 API 访问、账单欺诈或数据外泄。 法律依据: PCI-DSS v4.0 Req. 2.2.7; OWASP API Security Top 10 PCI DSS — PCI Security Standards Council | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 063 | PCI-003 | 支付表单未使用令牌化 信用卡号直接收集到商户服务器的表单字段中，而非通过符合 PCI 的令牌化服务（如 Stripe Elements、Braintree）。这将整个站点置于 PCI-DSS 范围内。 法律依据: PCI-DSS v4.0 Req. 3.4; Req. 4.2 PCI DSS — PCI Security Standards Council | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 064 | PCI-004 | 表单或支付页面缺少 HTTPS 包含表单、登录字段或支付输入的页面通过未加密的 HTTP 提供服务。这些页面上提交的所有数据都可能被任何网络中介截获。 法律依据: PCI-DSS v4.0 Req. 4.2.1 PCI DSS — PCI Security Standards Council | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 065 | PCI-005 | HTTPS 页面存在混合内容 页面通过 HTTPS 提供服务，但子资源（图像、脚本、样式表）通过不安全的 HTTP 加载。混合内容破坏了 HTTPS 的安全保障，可能被用于中间人攻击。 法律依据: PCI-DSS v4.0 Req. 4.2.1; OWASP Transport Layer Security PCI DSS — PCI Security Standards Council | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 066 | PCI-006 | 开放目录列表 服务器目录（如 /wp-content/uploads/）可被浏览，暴露上传的文件、内部文档和潜在敏感数据。必须在所有可通过 Web 访问的路径上禁用目录列表。 法律依据: PCI-DSS v4.0 Req. 2.2.7; CIS Apache Benchmark PCI DSS — PCI Security Standards Council | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 067 | PCI-007 | XML-RPC 端点已启用 WordPress XML-RPC 端点 (xmlrpc.php) 可公开访问并响应请求。该端点是已知的暴力破解放大攻击和 DDoS 滥用向量。 法律依据: PCI-DSS v4.0 Req. 6.3.3; CVE-2015-5623 PCI DSS — PCI Security Standards Council | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 068 | PCI-008 | 存在已知 CVE 的过时 CMS 内容管理系统（WordPress、Magento、Drupal）运行的版本存在公开披露的安全漏洞。未打补丁的 CMS 安装是网站被入侵的主要向量。 法律依据: PCI-DSS v4.0 Req. 6.3.1; Req. 6.3.3 PCI DSS — PCI Security Standards Council | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 069 | PCI-009 | 第三方脚本缺少 SRI 外部 JavaScript 文件加载时未使用子资源完整性 (SRI) 哈希。如果第三方 CDN 或脚本主机被入侵，恶意代码可能被注入页面而无法检测。 法律依据: PCI-DSS v4.0 Req. 6.4.3; W3C SRI Specification PCI DSS — PCI Security Standards Council | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 070 | PCI-010 | 表单缺少 CAPTCHA 保护 联系表单、登录页面和注册表单缺少 CAPTCHA 或机器人检测机制。未受保护的表单容易受到凭证填充、垃圾注入和大规模自动化滥用。 法律依据: PCI-DSS v4.0 Req. 6.2.4; OWASP Automated Threats PCI DSS — PCI Security Standards Council | advisory | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 071 | STATE-001 | CIPA：聊天机器人未经同意进行录音 第三方聊天机器人记录并存储对话记录，而未告知用户并获得同意。根据加州《隐私入侵法》(CIPA)，这构成非法窃听，每次对话罚款 5,000 美元。 法律依据: Cal. Penal Code § 631; § 632.7 (CIPA) Cal. Penal Code § 631Cal. Penal Code § 632.7 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 072 | STATE-002 | BIPA：虚拟试穿未获得生物识别同意 虚拟试穿或人脸扫描功能在未获得伊利诺伊州 BIPA 要求的知情书面同意的情况下收集生物识别标识符。违规行为每次扫描可处以 1,000–5,000 美元的法定损害赔偿。 法律依据: 740 ILCS 14/15 (Illinois BIPA) 740 ILCS 14/15 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 073 | STATE-003 | 犹他州 AI 法案：AI 聊天机器人未披露 AI 身份 AI 驱动的聊天机器人或虚拟助手在用户直接询问时未能表明其为人工智能。犹他州 AI 政策法案要求 AI 系统在被询问时披露其非人类性质。 法律依据: Utah Code § 13-72 (Utah AI Policy Act 2024) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 074 | STATE-004 | CA BOT 法案：AI 使用人类名称而未披露 AI 聊天机器人或自动化账户使用人类名称、头像或角色，而未披露其非人类身份。加州 BOT 法案 (SB 1001) 要求在 AI 在线互动中冒充人类时进行明确披露。 法律依据: Cal. Bus. & Prof. Code § 17941 (SB 1001) Cal. Bus. & Prof. Code § 17941 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 075 | STATE-005 | 65 号提案：缺少有毒物质警告 运往加利福尼亚州的产品含有 65 号提案所列化学品，但未附带要求的“已知可致癌或生殖危害”警告。违规行为每天每项违规可处以 2,500 美元罚款。 法律依据: Cal. Health & Safety Code § 25249.6 (Proposition 65) Cal. Health & Safety Code § 25249.6 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 076 | STATE-006 | CA 自动续订：年度收费前无提醒 年度订阅在收费前未发送提醒邮件。加州的《自动续订法》要求企业在每次续订前提供清晰的提醒和取消说明。 法律依据: Cal. Bus. & Prof. Code § 17601 (ARL) Cal. Bus. & Prof. Code § 17601 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 077 | STATE-007 | 受限产品的年龄验证不足 酒精、电子烟或CBD产品的年龄验证仅依赖简单的“我已满21岁”按钮，而无真实身份验证。多个州要求对受限产品销售进行超出自我声明的严格年龄验证。 法律依据: State Alcohol Control Acts; 27 CFR § 6 27 CFR Part 6 | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 078 | STATE-008 | SB 478：结账时隐藏服务费 强制性费用、服务费或附加费仅在结账时显示，而未包含在广告价格中。加州的SB 478（垃圾费禁令）禁止未提前披露的隐藏费用。 法律依据: Cal. Civ. Code § 1770(a)(29) (SB 478) Cal. Civ. Code § 1770 | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 079 | STATE-009 | NY SHIELD法案：数据安全不足 企业在收集纽约居民的私人信息时，未实施SHIELD法案要求的合理数据安全保障措施。必须记录行政、技术和物理保障措施。 法律依据: NY Gen. Bus. Law § 899-bb (SHIELD Act) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 080 | STATE-010 | 职位发布未包含薪资范围 职位列表未按加州、纽约、科罗拉多和华盛顿的薪资透明法要求包含薪酬范围。每条不合规的发布可处以高达10,000美元的罚款。 法律依据: Cal. Lab. Code § 432.3; NY Lab. Law § 194-b; CO SB 19-085 | advisory | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 081 | FIN-001 | GLBA：通过不安全电子邮件传输敏感财务文件 企业通过标准未加密电子邮件接受敏感财务文件（纳税申报表、银行对账单、SSN）。GLBA的保障规则要求金融机构为客户数据实施安全传输方法。 法律依据: 16 CFR § 314 (GLBA Safeguards Rule) 16 CFR Part 314 | critical | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 082 | FIN-002 | FinCEN BOI：缺少受益所有权报告 有限责任公司或公司未按《企业透明法》要求向FinCEN提交受益所有权信息报告。不合规将导致每日500美元的罚款，最高10,000美元，并可能承担刑事责任。 法律依据: 31 U.S.C. § 5336; 31 CFR § 1010.380 (CTA/BOI) 31 U.S.C. 533631 CFR 1010.380 | critical | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 083 | FIN-003 | FINRA：投资通信使用个人电子邮件 投资顾问或经纪自营商使用个人Gmail或未存档的电子邮件进行客户通信，而非受监督、存档的企业电子邮件系统。FINRA要求保留和监督所有业务通信。 法律依据: FINRA Rule 3110; SEC Rule 17a-4 | critical | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 084 | FIN-004 | 网站上缺少承包商执照号码 持牌承包商的网站未显示州承包商执照号码。大多数州要求在所有广告和商业通信中显示执照号码，罚款为2,000–5,000美元。 法律依据: Cal. Bus. & Prof. Code § 7030.5; State Contractor License Acts Cal. Bus. & Prof. Code § 7030.5 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 085 | FIN-005 | 无DMCA代理或删除政策 网站未在美国版权局注册DMCA代理，也未发布DMCA删除政策页面。没有这些，企业将失去用户生成内容的避风港保护。 法律依据: 17 U.S.C. § 512(c)(2) (DMCA Safe Harbor) 17 U.S.C. 512 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 086 | FIN-006 | 服务条款中缺少仲裁条款 服务条款缺少集体诉讼豁免和强制仲裁条款。没有这些条款，企业将面临任何消费者纠纷的集体诉讼风险。 法律依据: 9 U.S.C. § 2 (Federal Arbitration Act) 9 U.S.C. 2 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 087 | FIN-007 | 退货政策未显著展示 加州法律要求在销售点显著展示无退货或有限退货政策。如果未展示，消费者有权在30天内获得全额退款，无论商家的原定政策如何。 法律依据: Cal. Civ. Code § 1723 Cal. Civ. Code § 1723 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 088 | FIN-008 | 信用卡附加费未提前通知 信用卡附加费或便利费在结账时添加，但未在入口处提前通知。多个州要求提前标牌/披露，卡网络规则将附加费限制在3%以内并要求强制披露。 法律依据: Visa Core Rules § 5.6.2; State Surcharge Statutes | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 089 | FIN-009 | 投资顾问缺少SEC Form CRS 注册投资顾问的网站未按SEC最佳利益规定发布Form CRS（客户关系摘要）。Form CRS必须交付给零售投资者并公开可用。 法律依据: SEC Rule 17a-14; Regulation Best Interest | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 090 | FIN-010 | 保险线索生成缺少所需披露 网站生成保险报价或线索时，未提供州要求的关于服务性质、补偿安排和许可状态的披露。多个州要求保险线索生成器提供特定披露。 法律依据: State Insurance Codes; NAIC Producer Licensing Model Act | advisory | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 091 | OPS-001 | 缺少 DMARC 记录 该域名缺少 DMARC（Domain-based Message Authentication, Reporting & Conformance）DNS 记录。没有 DMARC，Gmail、Yahoo 和其他执行 DMARC 政策的主要提供商越来越会拒绝或将邮件归入垃圾邮件文件夹。 法律依据: RFC 7489; Google/Yahoo Sender Requirements 2024 RFC 7489 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 092 | OPS-002 | 缺少 SPF 记录 该域名没有 SPF（Sender Policy Framework）DNS 记录，使其容易受到电子邮件欺骗的攻击。攻击者可以发送看似来自该域名的电子邮件，从而对客户和合作伙伴发起网络钓鱼攻击。 法律依据: RFC 7208; Google Sender Guidelines 2024 RFC 7208 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 093 | OPS-003 | 指向过期域名的出站链接损坏 网站包含指向已过期、停放或潜在恶意域名的链接。损坏的出站链接会损害 SEO 权威，如果过期域名被恶意行为者重新注册，还可能将用户重定向到网络钓鱼或恶意软件站点。 法律依据: Google Search Quality Guidelines; OWASP Broken Link Hijacking | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 094 | OPS-004 | 来自已停止服务的不活跃跟踪脚本 网站从已停止、被收购或废弃的服务加载 JavaScript。这些僵尸脚本会浪费页面加载时间，可能破坏功能，如果域名被重新注册，还会带来供应链安全风险。 法律依据: PCI-DSS v4.0 Req. 6.4.3; OWASP Supply Chain Security PCI DSS — PCI Security Standards Council | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 095 | OPS-005 | 缺少 DKIM 电子邮件身份验证 该域名未发布用于电子邮件身份验证的 DKIM（DomainKeys Identified Mail）记录。没有 DKIM，接收邮件服务器无法验证电子邮件内容在传输过程中是否被篡改，从而降低送达率。 法律依据: RFC 6376; Google/Yahoo Sender Requirements 2024 RFC 6376 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 096 | OPS-006 | 页脚版权年份过时 网站页脚显示过时的版权年份，向访问者、搜索引擎和潜在诉讼者表明该网站可能已被放弃或未维护。这会侵蚀信任，并可能对搜索排名产生负面影响。 法律依据: Google Search Quality Evaluator Guidelines § 4.5 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 097 | OPS-007 | 缺少 robots.txt 和站点地图 网站缺少 robots.txt 文件和/或 XML 站点地图。没有这些，搜索引擎可能会低效地抓取网站、索引敏感页面或完全遗漏重要内容，直接影响有机搜索可见性。 法律依据: RFC 9309 (robots.txt); Sitemaps.org Protocol RFC 9309 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 098 | OPS-008 | 移动点击目标过小 交互元素（按钮、链接、表单字段）小于 48x48 CSS 像素或位置过于靠近，导致移动设备上频繁误触。这既是 UX 问题，也是 WCAG 2.5.5 可访问性违规。 法律依据: WCAG 2.5.8; Google Mobile Usability Guidelines WCAG 2.2 SC 2.5.8 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 099 | OPS-009 | 联系表单无速率限制 联系表单没有速率限制、蜜罐或滥用预防机制。未受保护的表单经常被用于垃圾邮件注入、网络钓鱼中继和针对表单处理程序的拒绝服务攻击。 法律依据: OWASP Automated Threats; PCI-DSS v4.0 Req. 6.2.4 PCI DSS — PCI Security Standards Council | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 100 | OPS-010 | 缺少或过期的 SSL 证书 网站缺少有效的 SSL/TLS 证书或证书已过期。浏览器会显示突出的安全警告，赶走访问者，搜索引擎也会在排名中惩罚非 HTTPS 网站。 法律依据: PCI-DSS v4.0 Req. 4.2.1; Google HTTPS Ranking Signal PCI DSS — PCI Security Standards Council | advisory | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 101 | ADA-101 | 产品/服务缺少无障碍信息 受EAA监管的数字服务未在其数字界面中提供清晰的无障碍信息和功能，违反了欧盟指令2019/882对电子商务和银行的要求。 法律依据: Directive (EU) 2019/882 Art. 4 European Accessibility Act Art. 4 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 102 | ADA-102 | 公共反馈流程不合规 网站反馈机制对残障人士不可访问，违反了安大略省AODA客户服务标准。 法律依据: AODA IASR Sec. 7 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 103 | COP-101 | 非法收集儿童个人信息 网站在未获得可验证的父母同意的情况下收集13岁以下用户的个人数据（姓名、电子邮件、跟踪Cookie），违反COPPA法规。 法律依据: 16 CFR Part 312 (COPPA) 16 CFR Part 312 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 104 | PIP-101 | 缺少强制性隐私官联系信息 针对加拿大的网站未公布负责PIPEDA合规的指定隐私官姓名或联系方式。 法律依据: PIPEDA Schedule 1 Sec. 4.1 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 105 | PIP-102 | 个人数据收集目的不明确 表单字段在收集时或之前未明确说明收集的具体且有限目的，不符合PIPEDA要求。 法律依据: PIPEDA Schedule 1 Sec. 4.2 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 106 | LGP-101 | 未任命数据保护官（DPO） 针对巴西的网站未在网站上标识或提供其DPO（Encarregado）的联系方式，违反LGPD第41条。 法律依据: LGPD Art. 41 LGPD Art. 41 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 107 | LGP-102 | 缺少有效的处理法律依据 网站处理个人数据时未列出每项处理活动的明确法律依据（如同意、合法利益），不符合LGPD要求。 法律依据: LGPD Art. 7 LGPD Art. 7 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 108 | POP-101 | 未经选择同意的直接营销 网站为电子直接营销使用预选同意框或退出表单，违反南非消费者POPIA选择同意规定。 法律依据: POPIA Sec. 69 POPIA Sec. 69 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 109 | POP-102 | 跨境数据传输披露不合法 南非网站向南非境外传输个人数据时，未确保接收国具备充分数据保护法律或向用户披露，违反规定。 法律依据: POPIA Sec. 72 POPIA Sec. 72 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 110 | APP-101 | 海外数据披露声明不合规 针对澳大利亚的网站未在其隐私政策中说明是否可能向海外接收方披露个人信息以及具体国家。 法律依据: APP 1.4(g) APP 1.4(g) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 111 | APP-102 | 缺少匿名/假名交互选项 网站在非实际或法律必要的情况下强制用户提供身份信息进行一般咨询，违反澳大利亚隐私原则2。 法律依据: APP 2 APP 2 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 112 | PDP-101 | 未提供访问/更正请求信息 新加坡网站未在其隐私披露中说明用户如何请求访问或更正其个人数据。 法律依据: PDPA Sec. 21 & 22 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 113 | PDP-102 | 不合理条款强制个人数据同意 网站要求同意收集超出提供产品或服务合理范围的个人数据，违反PDPA同意要求。 法律依据: PDPA Sec. 14(2) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 114 | AIA-101 | 生成式AI输出/深度伪造未标记 网站以机器可读格式呈现AI生成文本、音频或视频（深度伪造）时未进行AI生成标记，违反欧盟AI法案透明度规则。 法律依据: AI Act Art. 50(2) AI Act Art. 50(2) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 115 | AIA-102 | 缺少AI用户交互披露 网站使用AI系统（如客户支持聊天机器人）与自然人交互时未告知其正在与AI交互，违反透明度要求。 法律依据: AI Act Art. 50(1) AI Act Art. 50(1) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 116 | DSA-101 | 设计中使用欺骗性UI模式（暗黑模式） 网站采用扭曲或损害用户自主知情选择能力的暗黑模式（如难以取消订阅流程、欺骗性同意弹窗）。 法律依据: DSA Art. 25 Digital Services Act Art. 25 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 117 | DSA-102 | 缺少当局单一联系点 数字服务提供商未发布与欧盟当局沟通的直接、电子且易于访问的单一联系点。 法律依据: DSA Art. 11 Digital Services Act Art. 11 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 118 | DMA-101 | 跨服务非法数据组合 守门人规模平台在未经特定用户同意的情况下将其核心平台数据与其他服务数据组合，违反DMA法规。 法律依据: DMA Art. 5(2) Digital Markets Act Art. 5(2) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 119 | STA-101 | 欺骗性设计鼓励儿童数据共享 网站使用暗黑模式诱导儿童提供超出必要范围的个人信息，违反加州AB 2273要求。 法律依据: Cal. Civ. Code § 1798.99.31 Cal. Civ. Code § 1798.99.31 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 120 | STA-102 | 缺少消费者上诉权利流程 隐私政策未说明消费者对隐私权利请求拒绝结果提出上诉的流程，违反弗吉尼亚VCDPA和得克萨斯TDPSA。 法律依据: Va. Code § 59.1-577 / Tex. Bus. & Com. Code § 541.053 Va. Code § 59.1-577Tex. Bus. & Com. Code § 541.053 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 121 | STA-103 | 缺少敏感数据处理选择同意 网站在未获得科罗拉多或弗吉尼亚居民明确选择同意的情况下处理敏感个人数据（如精确地理位置、健康数据、种族信息）。 法律依据: Colo. Rev. Stat. § 6-1-1308 / Va. Code § 59.1-578 Va. Code § 59.1-578 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 122 | NYD-101 | 缺少网络安全多因素身份验证（MFA） 金融服务网站未对企业电子邮件或客户门户数据库访问强制执行多因素身份验证，违反NY DFS要求。 法律依据: 23 NYCRR Section 500.12 23 NYCRR Part 500 (DFS text) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 123 | NYD-102 | 未实施私人数据保护措施 针对纽约的网站未维护个人信息的行政、物理和技术保护措施，违反NY SHIELD法案。 法律依据: N.Y. Gen. Bus. Law § 899-bb N.Y. Gen. Bus. Law § 899-bb | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 124 | QBL-101 | 跨境传输缺少隐私影响评估（PIA） 网站向魁北克境外传输个人信息时未进行强制性隐私影响评估，违反第25号法律。 法律依据: Quebec Law 25 Sec. 17 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 125 | DOR-101 | ICT第三方风险披露不充分 金融实体未维护与其ICT第三方服务提供商合同安排的全面信息登记册，违反DORA指南。 法律依据: DORA Regulation Art. 28 DORA Art. 28 | critical | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 126 | VPPA-001 | 视频跟踪像素在未经VPPA同意的情况下触发 网站在嵌入视频内容（HTML5视频、YouTube、Vimeo iframe）的同时嵌入Meta Pixel、Google Analytics或其他跟踪像素，这些像素会在未获得单独、明确书面同意的情况下将视频观看数据传输给第三方。根据VPPA，未经事先同意而故意披露与视频观看习惯相关联的消费者PII属于违规行为。 法律依据: 18 U.S.C. § 2710 (VPPA) 18 U.S.C. 2710 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 127 | EAA-001 | 未根据欧洲无障碍法案发布无障碍声明 面向欧盟消费者的电子商务或数字服务网站缺少公开可访问的无障碍声明，该声明应说明与EN 301 549 / WCAG 2.1 AA的一致性状态。欧洲无障碍法案（指令2019/882）自2025年6月28日起强制执行，要求提供覆盖服务的私营企业发布无障碍声明。 法律依据: EU Directive 2019/882 (EAA), Art. 13(2), Annex V European Accessibility Act Art. 13(2)European Accessibility Act Annex V | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 128 | NIS2-001 | 缺少security.txt或漏洞披露政策（NIS2） 能源、卫生、交通、数字基础设施等关键或重要实体的网站缺少/.well-known/security.txt文件或任何公开可访问的漏洞披露政策。NIS2指令要求覆盖实体实施事件处理和漏洞管理措施。 法律依据: EU Directive 2022/2555 (NIS2), Art. 21(2)(b), (e) NIS2 Art. 21(2)(b), (e) | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 129 | HBNR-001 | 健康数据共享未遵守FTC健康数据泄露通知规则 非HIPAA健康网站或应用（健康、健身、症状检查器）收集可识别的健康信息，并将其传输给第三方分析/广告平台，但未显示泄露通知政策。FTC健康数据泄露通知规则（2024年7月修订）将未经授权共享健康数据视为泄露。 法律依据: 16 CFR Part 318 (FTC Health Breach Notification Rule, 2024) 16 CFR Part 318 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 130 | CKWL-001 | Cookie墙在无有效拒绝选项的情况下阻止访问 网站显示Cookie同意横幅，在接受Cookie之前阻止所有内容访问，且没有有效的拒绝选项。 法律依据: GDPR Art. 7(4); ePrivacy Directive Art. 5(3); EDPB Opinion 08/2024 GDPR Art. 7(4)ePrivacy Directive Art. 5(3) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 131 | CTDP-001 | 未获得选择加入同意即使用未成年人的数据进行定向广告（CTDPA） 网站面向未成年人（18岁以下）提供内容或收集表明未成年用户存在的数据，但继续触发定向广告像素而未获得明确的选择加入同意。康涅狄格州SB 3（修订CTDPA）禁止在未获得明确同意的情况下处理未成年人的数据用于定向广告或画像。 法律依据: CT Public Act 23-56 (SB 3), amending CTDPA §§ 42-520 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 132 | OCPA-001 | 网站未响应全球隐私控制信号（俄勒冈州CPA） 面向俄勒冈州消费者的网站未检测或响应全球隐私控制（GPC）浏览器信号，将其作为针对定向广告和个人数据销售的有效退出请求。俄勒冈州消费者隐私法要求自2026年1月1日起识别通用退出偏好信号。 法律依据: ORS 646A.570–646A.589 (Oregon Consumer Privacy Act) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 133 | COAI-001 | 高风险AI系统缺少公开透明度披露（科罗拉多州AI法案） 网站使用AI驱动系统进行后果性决策（招聘、贷款、保险、住房），但缺少公开可访问的声明，披露部署了哪些高风险AI系统以及如何管理算法歧视风险。科罗拉多州SB 24-205要求部署者维护此类披露。 法律依据: Colorado SB 24-205 (Colorado AI Act), §§ 6-1-1701 AI Act | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 134 | JPAP-001 | Cookie数据在未进行日本APPI披露的情况下与第三方共享 面向日本用户的网站将Cookie/跟踪数据传输给第三方广告或分析供应商，这些供应商可将其合并以识别个人，但未披露这些传输或确认第三方同意。日本APPI和电信业务法要求对此类传输保持透明并确认同意。 法律依据: Japan APPI (Act No. 57 of 2003, amended 2022), Art. 31; Telecom Business Act, Art. 27-12 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 135 | KRPI-001 | 面向韩国用户在获得同意前设置非必要Cookie 面向韩国用户的网站在获得明确、知情同意前设置跟踪或广告Cookie。韩国PIPA要求在收集包括行为跟踪数据在内的个人信息前获得事先选择加入同意。违规可处以最高3%的总收入罚款。 法律依据: South Korea PIPA, Art. 15, Art. 17 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 136 | FERP-001 | 教育网站跟踪像素传输学生数据 教育机构网站在面向学生的页面（门户、报名表、课程目录）嵌入Meta Pixel、Google Analytics或类似跟踪技术，这些技术将可能可识别的学生数据传输给第三方。FERPA禁止未经授权披露教育记录中的PII。 法律依据: 20 U.S.C. § 1232g (FERPA); 34 CFR Part 99 20 U.S.C. 1232g34 CFR Part 99 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 137 | ESIG-001 | 电子签名同意流程缺少ESIGN法案要求的披露 网站使用电子签名或协议进行交易，但未能提供要求的预同意披露，包括：接收纸质副本的权利、撤回同意的权利及程序，以及访问记录所需的硬件/软件要求。 法律依据: 15 U.S.C. §§ 7001–7006 (E-SIGN Act), § 7001(c) 15 U.S.C. 7001 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 138 | IDDP-001 | 隐私声明未提供印度DPDP法案要求的语言版本 从印度用户收集个人数据的网站未按2023年数字个人数据保护法要求提供英语及至少22种印度计划语言之一的隐私声明。该声明必须包含收集的数据、目的和用户权利的逐项描述。 法律依据: India DPDP Act 2023 (Act No. 22 of 2023), Sections 5–6 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 139 | FACT-001 | 电子收据上显示完整信用卡号（FACTA违规） 网站在电子订单确认、收据或账户页面上显示信用卡/借记卡号超过最后五位数字，或显示有效期。FACTA要求将卡号截断为不超过五位数字，并禁止在电子打印收据上打印有效期。 法律依据: 15 U.S.C. § 1681c(g) (FACTA, § 113) 15 U.S.C. 1681c | critical | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 140 | DLDP-001 | 未为特拉华州消费者提供明确的退出机制（DPDPA） 面向特拉华州消费者的网站缺少针对定向广告和个人数据销售的清晰、显著的退出链接，或未能识别通用退出信号（GPC）。特拉华州个人数据隐私法（2025年1月1日起生效）要求同时提供这两种机制。 法律依据: Delaware DPDPA (HB 154, Chapter 12C, Title 6) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 141 | THPD-001 | 在未获得选择加入同意的情况下触发非必要Cookie（泰国PDPA） 面向泰国用户的网站在通过合规同意横幅获得明确选择加入同意前触发非必要Cookie（分析、广告、社交）。泰国PDPA要求在处理包括Cookie在内的个人数据前获得明确、主动的选择加入同意。预选框明确不合规。 法律依据: Thailand PDPA B.E. 2562 (2019), Sections 19, 23 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 142 | SEC-001 | SEC注册人缺少网络安全治理披露 SEC报告的上市公司网站未包含或链接到网络安全风险管理披露（董事会监督、管理专业知识、风险评估流程），而这是10-K备案所要求的。公司网站必须引用或链接这些披露以符合投资者关系合规要求。 法律依据: SEC Final Rule 33-11216 (2023); Regulation S-K, Item 106 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 143 | TRKV-001 | 缺少数据控制者注册通知（土耳其KVKK） 处理土耳其居民个人数据的网站未披露数据控制者的身份、VERBIS（数据控制者登记处）注册号，或提供符合KVKK要求的隐私声明，说明处理目的、第三方传输和数据主体权利。 法律依据: Turkey Law No. 6698 (KVKK), Art. 10, Art. 16 KVKK Art. 10 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 144 | NZPR-001 | 跨境数据传输未遵守新西兰隐私法IPP 12 网站从新西兰用户收集个人数据并传输到海外（通过美国/欧盟跟踪脚本证明），但未在隐私政策中披露数据可能被传输到海外以及根据信息隐私原则12采取的保障措施。 法律依据: New Zealand Privacy Act 2020, IPP 12 NZ Privacy Act 2020, IPP 12 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 145 | MNDP-001 | 隐私声明缺少明尼苏达州MCDPA要求的数据保留期限 面向明尼苏达州消费者的网站隐私政策未披露所收集个人数据的数据保留期限或政策。明尼苏达州消费者数据隐私法（2025年7月31日起生效）特别要求在隐私声明中披露保留政策。 法律依据: Minnesota MCDPA (HF 2309), § 325O | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 146 | EIDS-001 | 超大型在线平台未准备好接受EUDI钱包 要求对登录、年龄验证或KYC进行强客户身份验证的超大型在线平台（VLOP）不支持或未表明准备接受欧盟数字身份钱包。eIDAS 2.0要求VLOP在2027年12月前接受EUDI钱包。 法律依据: Regulation (EU) 2024/1183 (eIDAS 2.0), Art. 12b | advisory | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 147 | AMLK-001 | 金融网站缺少AML/KYC客户识别通知 在线开设账户的金融机构、金融科技或货币服务业务网站未显示要求的客户通知，说明正在收集个人信息以遵守联邦身份验证（CIP）要求（根据USA PATRIOT Act/BSA）。 法律依据: 31 U.S.C. § 5318(l); 31 CFR § 1020.220(a)(5) (BSA/PATRIOT Act CIP) 31 U.S.C. 531831 CFR 1020.220 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 148 | CTHL-001 | 在健康设施附近使用地理围栏进行数据收集（CT SB 3） 网站或关联移动应用在精神、生殖或性健康设施1750英尺范围内使用地理围栏技术，以识别、跟踪或向消费者发送推送通知，用于健康数据收集目的。康涅狄格州SB 3明确禁止此做法。 法律依据: CT Public Act 23-56 (SB 3), § 4(d) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 149 | IDDG-001 | 印度数据主体缺少申诉救济机制 从印度用户收集个人数据的网站未提供指定申诉官员的联系方式或数据主体的投诉机制。印度DPDP法案2023要求数据受托人在其网站上建立可访问的申诉救济机制。 法律依据: India DPDP Act 2023, Section 8(10); IT Act 2000, Rule 5(9) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 150 | CBAC-001 | Cookie同意横幅使用不对称的接受/拒绝设计 网站的Cookie同意横幅使接受选项比拒绝选项更突出或更容易选择，从而破坏同意的自由性质。 法律依据: GDPR Art. 7(4), Art. 4(11); ePrivacy Art. 5(3); CNIL Deliberation 2023-010 GDPR Art. 7(4)GDPR Art. 4(11)ePrivacy Directive Art. 5(3) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 151 | CUBI-001 | 未经事先通知和同意收集生物识别信息 (Texas CUBI) 网站在未事先通知个人且未获得其明确同意的情况下，收集生物识别标识符（例如虚拟试穿或照片中的面部几何扫描，或声纹），违反了德克萨斯州 CUBI 法案。 法律依据: Tex. Bus. & Com. Code § 503.001 Tex. Bus. & Com. Code § 503.001 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 152 | EUAI-003 | AI 生成内容中缺少机器可读的元数据/水印 (EU AI Act) 生成或操纵图像、音频或视频内容（合成内容/深度伪造）的 AI 系统提供商必须确保输出以机器可读格式进行标记，并根据欧盟 AI 法案可被检测为人工生成或操纵。 法律依据: Regulation (EU) 2024/1689 (EU AI Act), Art. 50(2) AI Act Art. 50(2) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 153 | QC25-002 | 网站上缺少数据保护官 (DPO) 联系方式 (Quebec Act 25) 收集魁北克居民个人信息的网站未在网站上公布负责保护个人信息的人员（DPO/负责人）的职务 and 联系方式，违反了魁北克第 25 号法案第 3.1 条。 法律依据: Quebec Act respecting the protection of personal information in the private sector (Act 25), Section 3.1 & 60.1 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 154 | COPA-001 | 未能识别全球隐私控制 (GPC) 选择退出信号 (Colorado CPA) 针对科罗拉多州消费者的网站未能识别并处理全球隐私控制 (GPC) 通用选择退出信号，以自动让用户退出出于针对性广告目的的数据处理或销售（自 2024 年 7 月 1 日起强制执行）。 法律依据: 4 CCR 904-3 (Colorado Privacy Act Rules), Rule 5.05 & 5.06 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 155 | MHMDA-002 | 首页缺少消费者健康隐私政策链接 (WA MHMDA) 收集消费者健康数据（例如搜索症状、生殖健康追踪器、健身注册）的网站未在其首页页脚或页眉显示标题为 "Consumer Health Privacy Policy" 的独立、明显链接，违反了华盛顿州 MHMDA 的要求。 法律依据: RCW 19.373.030(1)(a) (Washington MHMDA) RCW 19.373.030 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 156 | CNPI-001 | 处理敏感个人信息缺少单独同意 (China PIPL) 针对中国居民的网站在收集敏感个人信息（例如金融账户、医疗记录、生物识别或精确位置）时，未针对每类敏感数据获得单独、具体的同意，违反了《个人信息保护法》第 29 条。 法律依据: China Personal Information Protection Law (PIPL), Article 29 & 66 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 157 | DSA-001 | 用户界面中的暗黑模式/操纵性设计 (EU DSA Article 25) 网站使用欺骗性设计技术或暗黑模式，歪曲、损害或操纵用户做出自由和知情决定的能力（例如，取消订阅的难度明显高于注册），违反了欧盟《数字服务法》(DSA) 第 25 条。 法律依据: Regulation (EU) 2022/2065 (Digital Services Act), Article 25 Digital Services Act Art. 25 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 158 | KRPA-001 | 第三方数据传输同意捆绑 (South Korea PIPA) 网站收集韩国居民的个人数据并与第三方（如广告网络、CRM 或分析工具）共享，但将第三方传输协议与一般隐私政策或服务条款捆绑在一起，而不是获得单独同意，违反了韩国 PIPA 第 17 条。 法律依据: Personal Information Protection Act of South Korea (PIPA), Article 15, 17 & 75 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 159 | UKOSA-001 | 受监管内容年龄验证不足 (UK OSA) 网站发布对儿童有害的内容（如成人内容、赌博或高度敏感的暴力内容），但未实施严格的年龄验证，而是依赖简单的 "我已满18岁" 点击式年龄门槛，违反了英国《在线安全法》。 法律依据: UK Online Safety Act 2023, Sections 11 & 12 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 160 | EUAI-004 | 缺少情绪识别/生物识别分类披露 (EU AI Act) 情绪识别系统或生物识别分类系统的提供商或部署者必须向暴露于该系统的自然人告知该系统的运行情况，违反了欧盟 AI 法案第 50(3) 条规定的透明度义务。 法律依据: Regulation (EU) 2024/1689 (EU AI Act), Art. 50(3) AI Act Art. 50(3) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 161 | CAAD-002 | 未成年用户默认启用地理定位 (CA AADC) 可能被未成年人访问的网站默认未禁用精确的地理定位跟踪，违反了加利福尼亚州《适龄设计规范法案》。 法律依据: Cal. Civ. Code § 1798.99.31(a)(5) Cal. Civ. Code § 1798.99.31 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 162 | BIPA-002 | 缺少生物识别保留和销毁政策 (BIPA) 收集或使用生物识别数据（虚拟试穿、身份验证）的网站未能发布伊利诺伊州 BIPA 授权的公开保留时间表和销毁指南。 法律依据: 740 ILCS 14/15(a) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 163 | ORPA-001 | 处理敏感数据缺少同意 (Oregon OCPA) 针对俄勒冈州消费者的网站在未经事先主动同意的情况下处理敏感数据，违反了俄勒冈州《消费者隐私法》。 法律依据: Or. Rev. Stat. § 646A (OCPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 164 | VCDP-002 | 医疗设施周围的地理围栏数据收集 (VCDPA) 网站或应用在任何医疗设施 1750 英尺范围内使用地理围栏来跟踪、识别或定位消费者以收集健康数据，这在弗吉尼亚州经修订的 VCDPA 下是被禁止的。 法律依据: Va. Code § 59.1-574 (VCDPA) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 165 | TDPS-001 | 敏感数据同意违规 (Texas TDPSA) 针对德克萨斯州消费者的网站在未获得德克萨斯州《数据隐私和安全法案》规定的明确事先选择性同意的情况下，收集敏感个人数据（包括生物识别或基因标识符）。 法律依据: Tex. Bus. & Com. Code § 541.101 Tex. Bus. & Com. Code § 541.101 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 166 | MTDP-001 | 缺少 13 岁以下未成年人父母同意验证 (Montana MCDPA) 根据蒙大拿州《消费者数据隐私法》，针对蒙大拿州消费者的网站在未获得可验证的父母同意的情况下，收集 13 岁以下未成年人的个人数据。 法律依据: Mont. Code Ann. § 30-14 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 167 | FDBR-001 | 未经明确授权通过人脸、语音识别或录制功能进行非法监控 (佛罗里达州 FDBR) 具备语音识别、人脸识别、视频或音频录制等功能的设备或关联数字化平台，在消费者未主动使用该功能时，未经消费者明确授权将其用于控制者或处理者的监控目的，违反了佛罗里达州 FDBR。 法律依据: Fla. Stat. § 501.705(3) (佛罗里达州数字权利法案 - 禁止通过人脸/语音识别进行未经授权的监控) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 168 | NJPA-001 | 缺少儿童数据隐私披露 (New Jersey Privacy Act) 针对新泽西州消费者的网站收集未成年人（18 岁以下）的数据，但未提供详细说明特定处理和共享政策的、要求更高的隐私通知。 法律依据: N.J. Stat. Ann. 56:8-1 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 169 | NEDP-001 | 消费者画像通知不充分 (Nebraska NDPA) 针对内布拉斯加州消费者的网站在就业、金融或住房方面使用自动决策或画像，但未在其隐私通知中披露画像逻辑。 法律依据: Neb. Rev. Stat. § 87-301 (NDPA) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 170 | NHPA-001 | 缺少直接营销选择退出链接 (New Hampshire Privacy Act) 针对新罕布什尔州消费者的网站未能在其首页提供易于访问的针对性广告或个人数据销售选择退出链接，违反了新罕布什尔州《隐私法案》。 法律依据: N.H. Rev. Stat. § 507-H | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 171 | GDPR-011 | 数据可携性请求格式不可访问 (GDPR) 网站的数据下载工具以专有或非结构化格式（如 PDF 报告）输出个人数据，而不是 GDPR 要求的结构化、常用且机器可读的格式（如 JSON 或 CSV）。 法律依据: GDPR Article 20 GDPR Art. 20 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 172 | GDPR-012 | 非分层隐私政策信息结构 (GDPR) 网站显示单一、密集、难以导航的文本块隐私政策，而没有采用多层、标签或可展开的设计结构来确保透明度和可读性。 法律依据: GDPR Article 12(1) GDPR Art. 12(1) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 173 | DSA-002 | 缺少广告存储库和透明度日志 (EU DSA) 向欧盟用户展示广告的在线平台未能提供包含搜索过滤器、广告主身份和定位参数的公开可访问广告库，违反了 DSA 第 39 条。 法律依据: Regulation (EU) 2022/2065 (DSA), Art. 39 Digital Services Act Art. 39 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 174 | DSA-003 | 缺少官方单一联络点 (EU DSA) 针对欧盟用户的数字平台未能公布专门且易于访问的电子邮件地址和沟通渠道，以便与欧盟机构直接联系，违反了 DSA 第 11 条。 法律依据: Regulation (EU) 2022/2065 (DSA), Art. 11 Digital Services Act Art. 11 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 175 | DMA-001 | 强行捆绑守门人平台数据 (EU DMA) 作为守门人的在线平台在未获得用户明确、单独同意的情况下，将从核心平台服务收集的个人数据与其他服务的数据进行捆绑，违反了 DMA 第 5(2) 条。 法律依据: Regulation (EU) 2022/1925 (DMA), Art. 5(2) Digital Markets Act Art. 5(2) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 176 | EUDAT-001 | 智能合约缺少停用功能 (EU Data Act) 管理智能合约或物联网系统的 Web 面板未能提供安全、授权停用和终止智能合约的机制，违反了欧盟《数据法案》第 30 条。 法律依据: Regulation (EU) 2023/2854 (Data Act), Art. 30 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 177 | GDPR-013 | 缺少同意状态记录和审计跟踪 (GDPR) 收集个人数据的网站未能记录、登记和维护 Cookie 同意协议的确切时间戳、同意版本和用户行为的审计跟踪，违反了 GDPR 第 7(1) 条。 法律依据: GDPR Article 7(1) GDPR Art. 7(1) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 178 | EPRIV-002 | 同意前执行 Cookie 和跟踪器 (ePrivacy) 在用户与 Cookie 同意横幅交互之前，网站就运行了非必要的分析或广告跟踪脚本（例如 Google Analytics、Meta Pixel），违反了 ePrivacy 指令。 法律依据: Directive 2002/58/EC (ePrivacy), Art. 5(3) ePrivacy Directive Art. 5(3) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 179 | DORA-002 | 缺少运营韧性披露 (EU DORA) 金融实体或关键第三方服务商的网站未能披露网络安全运营风险管理框架和紧急联络途径，违反了 DORA 第 30 条。 法律依据: Regulation (EU) 2022/2554 (DORA), Art. 30 DORA Art. 30 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 180 | GDPR-014 | 隐私声明中缺少数据保留期限 (GDPR) 隐私政策未能指定具体的数据保留期限或用于确定不同类别个人数据保留期限的的标准，违反了 GDPR 透明度原则。 法律依据: GDPR Article 13(2)(a) GDPR Art. 13(2)(a) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 181 | AUPA-002 | 数据销毁标准违规 (Australia Privacy Act) 保存澳大利亚居民个人数据的网站未能实施自动脚本或计划，以永久去标识化或销毁不再需要的数据，违反了 APP 11.2。 法律依据: Australian Privacy Act 1988, APP 11.2 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 182 | SGPD-001 | 缺少撤回同意机制 (Singapore PDPA) 收集新加坡居民数据的网站未能提供易于访问的的在线工具或表单，允许用户撤回对营销或数据处理的同意，违反了新加坡 PDPA。 法律依据: Singapore PDPA 2012, Sec. 16 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 183 | SGPD-002 | 数据保护官联系方式未公开 (Singapore PDPA) 针对新加坡用户的网站未能公布指定的的敏感数据保护官的联系信息（如直接电子邮件地址），违反了新加坡 PDPA 第 20 条。 法律依据: Singapore PDPA 2012, Sec. 20 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 184 | DPDP-002 | 缺少提名代表权利通知 (India DPDP Act) 针对印度居民的网站未在其隐私政策中告知用户，在死亡或丧失行为能力的情况下，他们有权提名任何其他个人代表他们行事，违反了 DPDP 法案第 14 条。 法律依据: India DPDP Act 2023, Section 14 India DPDP Act 2023, Sec. 14 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 185 | DPDP-003 | 缺少同意管理器接口集成 (India DPDP Act) 网站未能支持或链接到授权的“同意管理器”，以允许印度数据主体通过自动化门户给予、管理、查看和撤回同意，违反了 DPDP 法案第 6(7) 条。 法律依据: India DPDP Act 2023, Section 6(7) India DPDP Act 2023, Sec. 6(7) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 186 | JPAP-002 | 缺少处理匿名化数据披露 (Japan APPI) 利用日本居民匿名化数据的网站未能公布匿名化数据中包含的个人信息项目以及所采取的的安全措施，违反了 APPI 第 36 条。 法律依据: Japan APPI, Article 36 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 187 | NZPR-002 | 缺少隐私官联系链接 (New Zealand Privacy Act) 网站收集新西兰居民的数据，但未能展示其指定隐私官的联系方式，违反了新西兰《隐私法案》第 201 条。 法律依据: New Zealand Privacy Act 2020, Sec. 201 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 188 | THPD-002 | 同意流程中缺少 DPO 联系详情 (Thailand PDPA) 网站收集泰国居民的个人数据，但未能在其同意横幅或政策中提供数据保护官或代表的联系方式，违反了泰国 PDPA 第 42 条。 法律依据: Thailand PDPA B.E. 2562, Section 42 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 189 | VNDP-001 | 敏感数据缺少本地数据保护官 (Vietnam Decree 13) 收集越南居民敏感个人数据（如位置、健康、财务）的网站未能按照第 13 号法令的要求设立本地数据保护部门或任命 DPO。 法律依据: Vietnam Decree 13/2023/ND-CP, Art. 28 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 190 | PHDP-001 | 画像和自动决策的捆绑同意 (Philippines DPA) 网站收集菲律宾居民的数据并进行自动画像或决策，但未获得单独的明确同意，违反了菲律宾《数据隐私法案》。 法律依据: Philippines Data Privacy Act of 2012, Sec. 12 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 191 | LGPD-002 | 缺少数据主体权利门户链接 (Brazil LGPD) 网站未能在其主页上显示清晰、独立的链接，以允许巴西居民直接提交访问、更正、删除或匿名化其个人数据的请求，违反了 LGPD 第 18 条。 法律依据: Brazil LGPD, Article 18 LGPD Art. 18 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 192 | POPI-001 | 处理信用数据缺少事先授权 (South Africa POPIA) 针对南非居民的金融或信用评估服务的网站在未获得事先注册或授权的情况下处理消费者信用报告或历史，违反了 POPIA 第 57 条。 法律依据: South Africa POPIA 2013, Section 57 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 193 | SAPD-001 | 直接营销缺少选择性同意 (Saudi Arabia PDPL) 针对沙特阿拉伯居民的网站在未获得事先明确选择性同意的情况下，发送促销信息或出于广告目的跟踪行为，违反了 PDPL 第 28 条。 法律依据: Saudi PDPL, Article 28 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 194 | ILPA-001 | 未能披露数据库注册状态 (Israel Privacy Act) 收集以色列居民个人数据的网站未能说明数据库是否已向数据库注册机构注册、注册号以及数据收集的目的，违反了以色列《隐私保护法》。 法律依据: Israel Privacy Protection Act 1981, Sec. 8 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 195 | DIFC-001 | 直接营销缺少单独同意 (Dubai DIFC) 在 DIFC 管辖区下运营的网站收集个人数据，并将营销或画像同意与一般条款捆绑在一起，违反了 DIFC 《数据保护法》第 12 条。 法律依据: DIFC Law No. 5 of 2020, Art. 12 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 196 | NDPA-001 | 缺少跨境数据传输披露 (Nigeria NDPA) 收集尼日利亚居民数据的网站在未披露目标国家并验证充分性的情况下，将数据传输到国外服务器（例如美国/欧盟分析引擎），违反了尼日利亚《数据保护法》。 法律依据: Nigeria Data Protection Act 2023, Sec. 42 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 197 | KEDP-001 | 未经授权跨境传输健康数据 (Kenya DPA) 网站收集肯尼亚居民的敏感健康或医疗记录，并在未获得明确批准和同意的情况下将其存储在肯尼亚境外的服务器上，违反了肯尼亚 DPA 第 50 条。 法律依据: Kenya Data Protection Act 2019, Sec. 50 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 198 | EGDP-001 | 缺少电子营销信息许可 (Egypt DPA) 针对埃及用户的网站在未从数据保护中心获得必要的电子营销许可证的情况下，发送促销电子邮件或短信，违反了埃及第 151 号法律。 法律依据: Egypt Law No. 151 of 2020, Art. 13 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 199 | MRDP-001 | 未经授权的国际数据传输 (Morocco Law 09-08) 网站收集摩洛哥居民的个人数据并在未获得 CNDP 事先书面授权的情况下将其传输到摩洛哥境外，违反了摩洛哥第 09-08 号法律。 法律依据: Morocco Law 09-08, Art. 43 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 200 | LGPD-003 | 安全标准披露不充分 (Brazil LGPD) 收集个人数据的网站未能披露为保护用户数据而部署的的具体管理和技术安全措施，违反了 LGPD 第 46 条规定的透明度授权。 法律依据: Brazil LGPD, Art. 46 LGPD Art. 46 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 201 | FTCS-001 | 金融客户信息传输不安全 (FTC Safeguards) 针对消费者的金融科技或金融门户网站通过未加密的渠道传输客户数据，或者未能强制在所有登录和 API 接口上使用 HTTPS，违反了 FTC《保障措施规则》。 法律依据: 16 CFR Part 314, Sec 314.4(c) 16 CFR Part 314 | critical | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 202 | GLBA-002 | 缺少隐私通知送达链接 (GLBA) 金融服务网站未能在其所有账户管理或客户引导页面上提供指向其年度《格兰姆-里奇-布莱里法案》(GLBA) 隐私通知的清晰、显眼链接，违反了 FTC GLBA 规定。 法律依据: 16 CFR Part 313 (GLBA Privacy Rule) 16 CFR 313.1 (Part 313) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 203 | CTAC-001 | 缺少公司透明度披露 (CTA) 公司网站未能根据《公司透明度法案》的合规要求，提及或展示所需的实益拥有权报告通知或备案确认。 法律依据: 31 U.S.C. § 5336 (CTA) 31 U.S.C. 5336 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 204 | SEC-002 | 缺少电子记录归档验证 (SEC Rule 17a-4) 自营商或金融投资门户网站未披露或链接到其电子记录归档系统（符合 WORM 存储标准），违反了 SEC 的记录保存规定。 法律依据: 17 CFR § 240.17a-4 17 CFR 240.17a-4 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 205 | DORA-003 | 缺少 ICT 风险管理系统披露 (EU DORA) 欧盟金融实体或服务的网站未能展示网络安全认证或概述数字运营韧性机制的披露，违反了 DORA 第 6 条。 法律依据: Regulation (EU) 2022/2554 (DORA), Art. 6 DORA Art. 6 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 206 | FTCR-001 | 缺少身份盗用防范披露 (FTC Red Flags) 债权人或金融公用事业门户网站未能在账户注册过程中展示或链接到其身份盗用防范计划 (ITPP) 或显示主动的身份验证步骤，违反了 FTC《红旗规则》。 法律依据: 16 CFR § 681.1 16 CFR 681.1 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 207 | FINRA-001 | 缺少 BrokerCheck 链接及监管披露 (FINRA) 投资顾问或自营商网站未能在其首页和个人资料页面上显示指向 FINRA BrokerCheck 工具的直接、显著链接，违反了 FINRA 规则 2210。 法律依据: FINRA Rule 2210(d) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 208 | PCI-011 | 结账页面上未经监控的第三方脚本 (PCI-DSS v4.0) 支付结账页面在未采用脚本完整性控制、CSP 限制或显式加载授权的情况下执行第三方脚本（如在线聊天、分析），违反了 PCI-DSS 要求 6.4.3。 法律依据: PCI-DSS v4.0 Req 6.4.3 PCI DSS — PCI Security Standards Council | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 209 | PCI-012 | 支付网关上缺少子资源完整性 (SRI) (PCI-DSS v4.0) 网站在引入外部 CDN 或第三方网关的支付表单或脚本时未利用子资源完整性 (SRI) 哈希，导致支付面临表单劫持的风险，违反了 PCI-DSS 要求 11.6.1。 法律依据: PCI-DSS v4.0 Req 11.6.1 PCI DSS — PCI Security Standards Council | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 210 | TILA-001 | 贷款广告中 APR 披露不显著 (TILA) 广告信贷或贷款选项的网站在说明财务费率或促销费用时，未在费率旁显著披露年百分率 (APR)，违反了《贷款诚实法案》Z 条例。 法律依据: 12 CFR Part 1026 (Regulation Z) 12 CFR 1026.1 (Part 1026) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 211 | FTCD-001 | 操纵性取消流程/蟑螂旅馆 (FTC Section 5) 网站使用暗黑模式使订阅取消变得非常困难，与一键注册流程相比，需要多次打电话或复杂的导航路径。 法律依据: 15 U.S.C. § 45 (FTC Act Section 5) 15 U.S.C. 45 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 212 | FTCD-002 | 欺骗性紧迫感和虚假倒计时器 (FTC Section 5) 网站显示倒计时器或动态文本，声称库存不足、需求量大或限时交易，而这些都是合成的，并不反映真实的交易指标，以此欺骗消费者。 法律依据: 15 U.S.C. § 45 (FTC Act Section 5) 15 U.S.C. 45 | moderate | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 213 | FTCD-003 | 确认羞辱式选择退出弹窗 (FTC Section 5) 网站显示营销或订阅选择退出选项，其中拒绝按钮使用情感操纵性语言（如“不，谢谢，我讨厌省钱”）来阻碍用户选择退出。 法律依据: 15 U.S.C. § 45 (FTC Act Section 5) 15 U.S.C. 45 | moderate | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 214 | W3CR-001 | dApp 缺少智能合约审计披露 (SEC Framework) 启动代币或 NFT 的 Web3 去中心化应用程序未能公布或链接到其智能合约的外部安全审计证书，违反了 SEC 透明度指南。 法律依据: SEC Framework for Investment Contracts | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 215 | W3CR-002 | Web3 dApp 界面存在盲签漏洞 (NIST SP 800-95) Web3 应用程序钱包集成在未在 Web 界面中渲染可读交易详情（函数、目标、参数）的情况下请求原始交易签名有效载荷，从而允许盲签。 法律依据: NIST SP 800-95 Web Services Security | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 216 | DSA-004 | 推荐系统算法透明度缺失 (EU DSA) 使用算法推荐系统（如个性化信息流、产品推荐）的网站未能在其服务条款中说明算法中使用的主要参数，违反了 DSA。 法律依据: Regulation (EU) 2022/2065 (DSA), Art. 27 Digital Services Act Art. 27 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 217 | EUAI-005 | 高风险 AI 系统缺少日志记录功能 (EU AI Act) 高风险 AI 系统的部署者未能确保系统生成的日志自动保留至少六个月，以确保可追溯性和可审计性，违反了欧盟 AI 法案。 法律依据: Regulation (EU) 2024/1689 (EU AI Act), Art. 12 AI Act Art. 12 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 218 | UKCR-001 | 自动续订条款缺少通俗易懂的摘要 (UK CRA) 收取定期订阅费用的网站未能提供关于计费条款、价格变化和续订日期的显著、通俗易懂的的摘要，违反了英国《消费者权利法案》。 法律依据: UK Consumer Rights Act 2015, Sec. 68 UK Consumer Rights Act 2015 s. 68 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 219 | PIPD-002 | 第三方数据处理商披露不充分 (Canada PIPEDA) 隐私政策未能详细说明处理用户个人数据的第三方 SaaS 处理商的的身份、角色和国家/地区，违反了 PIPEDA 透明度指南。 法律依据: PIPEDA Schedule 1, APP 4.8 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 220 | TDDD-001 | 绕过分析 Cookie 同意 (Germany TDDDG) 针对德国用户的网站在获得明确同意之前就触发了分析、热图或性能 Cookie，违反了《电信数字化服务数据保护法》第 25 条。 法律依据: Germany TDDDG Section 25 TDDDG § 25 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 221 | TXSC-001 | 默认对未成年人启用社交媒体聊天 (Texas SCOPE) 社交网络或平台网站默认未对经核实或怀疑为未成年人的用户禁用直接消息和聊天功能，违反了德克萨斯州《SCOPE 法案》。 法律依据: Tex. Bus. & Com. Code § 509 (SCOPE Act) Tex. Bus. & Com. Code ch. 509 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 222 | UTSM-001 | 社交平台缺少年龄验证 (Utah SMRA) 社交媒体平台未能验证试图创建账户的犹他州居民的的年龄，或者未能获得未成年人的可验证的父母同意，违反了《犹他州社交媒体监管法案》。 法律依据: Utah Code § 13-63-102 (SMRA) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 223 | FLDB-001 | 受限社交平台缺少年龄门槛 (Florida FDBR) 允许未成年人访问的社交媒体平台未能部署经认可的、安全的年龄验证机制，违反了《佛罗里达州数字权利法案》下关于年轻消费者安全的规定。 法律依据: Fla. Stat. § 501.71 (FDBR) Fla. Stat. § 501.71 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 224 | CTDP-002 | 心理健康中心周围的地理围栏 (Connecticut SB 3) 网站或应用在任何心理、生殖或性健康设施 1750 英尺范围内使用地理围栏收集健康相关数据，违反了康涅狄格州 SB 3。 法律依据: CT Public Act 23-56 (SB 3) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 225 | VCDP-003 | 儿童敏感数据缺少同意验证 (Virginia VCDPA) 收集 13 岁以下儿童消费者敏感个人数据的网站在收集数据之前未能获得符合 COPPA 的父母验证，违反了 VCDPA。 法律依据: Va. Code § 59.1-578 (VCDPA) Va. Code § 59.1-578 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 226 | CAAD-003 | 未成年人账户默认启用画像 (CA AADC) 可能被儿童访问的网站默认对未成年人账户开启画像、个性化广告或算法推送，违反了加利福尼亚州《适龄设计规范法案》。 法律依据: Cal. Civ. Code § 1798.99.31 (AADC) Cal. Civ. Code § 1798.99.31 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 227 | MDAD-001 | 缺少儿童影响评估披露 (Maryland AADCA) 可能被儿童访问的网站或应用程序未能就未成年人的风险进行并提交数据保护影响评估 (DPIA)，违反了马里兰州 AADCA。 法律依据: Md. Code Ann., Com. Law § 14-45 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 228 | COPA-002 | 儿童个人数据缺少父母同意 (Colorado CPA) 网站在未获得事先可验证的父母同意的情况下，收集或处理已知在 13 岁以下的消费者的个人数据，违反了《科罗拉多州隐私法案规则》。 法律依据: 4 CCR 904-3 Rule 6.09 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 229 | INDP-001 | 儿童敏感数据缺少选择性同意 (Indiana CDPA) 针对印第安纳州消费者的网站收集 13 岁以下未成年人的敏感数据，但未获得符合 COPPA 要求的、事先的主动选择性同意，违反了印第安纳州《消费者数据隐私法案》。 法律依据: Ind. Code § 24-15 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 230 | TNIP-001 | 隐私政策中缺少权利申诉流程 (Tennessee TIPA) 针对田纳西州居民的网站隐私通知未能清晰描述对拒绝就隐私权利请求采取行动的行为进行申诉的流程，违反了田纳西州《信息保护法案》。 法律依据: Tenn. Code Ann. § 47-18-32 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 231 | TCPA-011 | 电子邮件退订机制不可访问或延迟 (CAN-SPAM) 网站的营销退订链接未能立即处理，或者需要 10 个工作日以上才能将用户从列表中删除，违反了《CAN-SPAM 法案》规则。 法律依据: 16 CFR § 316.5 16 CFR 316.5 | serious | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 232 | TCPA-012 | 缺少有效的发件人身份和邮政地址 (CAN-SPAM) 网站营销电子邮件未包含发件人的有效物理邮政地址，或者使用了误导性标题，违反了联邦 CAN-SPAM 要求。 法律依据: 16 CFR § 316.4 16 CFR 316.4 | critical | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 233 | TCPA-013 | 缺少营销自动拨号电话的书面同意 (TCPA) 线索收集表单收集电话号码，并将其用于自动营销呼叫活动，但未获得包含所需 TCPA 披露内容的明确事先书面同意。 法律依据: 47 CFR § 64.1200 47 CFR 64.1200 | critical | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 234 | EAA-003 | 电子商务购物车键盘导航障碍 (EAA) 结账页面或购物车组件包含键盘焦点陷阱，或者无法仅通过键盘操作，违反了欧洲《可访问性法案》关于电子商务的要求。 法律依据: EN 301 549 Clause 9.2.1 (EAA) European Accessibility Act | critical | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 235 | EAA-004 | 电子商务中缺少替代媒体格式 (EAA) 网站通过视频或音频媒体展示产品，但未提供字幕或音频说明，违反了欧洲《可访问性法案》下的电子商务可访问性规则。 法律依据: EN 301 549 Clause 9.1.2 (EAA) European Accessibility Act | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 236 | AODA-002 | 无法访问的文档下载 (Ontario AODA) 网站提供的公共文档下载（PDF、用户手册）不符合 WCAG 2.0 AA 级标记和可访问性要求，违反了安大略省 AODA 第 14 条。 法律依据: AODA Section 14 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 237 | ADA-237 | 模态对话框中的键盘焦点陷阱 (ADA Title III) 模态对话框或 Cookie 横幅禁锢了键盘焦点，防止用户通过 Tab 键返回主页面内容，违反了可访问性标准。 法律依据: WCAG 2.1 SC 2.1.2 WCAG 2.1 SC 2.1.2 | critical | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 238 | ADA-103 | 无法访问的媒体播放器 (ADA Title III) 网页媒体播放器缺少可访问的控制标签或键盘控制，阻碍了屏幕阅读器和键盘用户的使用，违反了 ADA 第三编的要求。 法律依据: WCAG 2.1 SC 2.1.1 & 4.1.2 WCAG 2.1 SC 2.1.1WCAG 2.1 SC 4.1.2 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 239 | EPRIV-003 | 移动响应式布局上的同意绕过 (ePrivacy) 当在移动布局上不渲染或隐藏网站同意横幅时，跟踪脚本却执行了，以此绕过用户同意，违反了 ePrivacy 指令。 法律依据: Directive 2002/58/EC (ePrivacy) ePrivacy Directive | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 240 | FTCE-011 | 虚假 AI 推荐和评论 (FTC 消费者评论规则) 网站展示由 AI 生成或合成的客户评论或推荐，但未显示清晰、显著的的披露来说明它们不是真实的消费者评论，违反了 FTC《不公平欺骗性评论规则》。 法律依据: 16 CFR Part 465 16 CFR Part 465 | critical | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 241 | HIPAA-011 | 社交媒体聊天泄露患者 PHI (HIPAA) 医疗挂号或客户沟通门户接入了第三方社交媒体聊天组件（如 Facebook Messenger），从而传输了患者标识符，违反了 HIPAA 隐私规则。 法律依据: 45 CFR § 164.502 45 CFR 164.502 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 242 | HIPAA-012 | 通过短信/邮件不安全地传输患者记录 (HIPAA) 远程医疗或医疗接收表单通过标准电子邮件或短信网络发送未加密的患者健康摘要，违反了 HIPAA 安全规则标准。 法律依据: 45 CFR § 164.312(e) 45 CFR 164.312 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 243 | PCI-013 | 信用数据在 LocalStorage 中的不安全存储 (PCI-DSS v4.0) 网站将主账号 (PAN)、持卡人姓名或 CVV 保存到浏览器的 LocalStorage 或 SessionStorage 中，违反了 PCI-DSS 数据存储指令。 法律依据: PCI-DSS v4.0 Req 3.4.1 PCI DSS — PCI Security Standards Council | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 244 | PCI-014 | 结账页面上的不安全支付脚本执行 (PCI-DSS v4.0) 支付结账在不验证完整性或不使用内容安全策略 (CSP) 限制访问的情况下运行外部加载的脚本，违反了 PCI-DSS 要求。 法律依据: PCI-DSS v4.0 Req 6.4.3 PCI DSS — PCI Security Standards Council | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 245 | MHMDA-003 | 敏感数据缺少医疗机构验证 (WA MHMDA) 网站收集华盛顿居民的敏感身体/心理健康数据，但未验证接收方是否为执业医疗机构，违反了 MHMDA。 法律依据: RCW 19.373 (MHMDA) | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 246 | NIST-001 | 缺少 Web 门户身份验证会话超时设置 (NIST SP 800-53) 客户门户或系统面板未在合理期限后自动终止不活跃的已验证会话，违反了 NIST 安全控制措施。 法律依据: NIST SP 800-53 Rev 5 (IA-11) | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 247 | SOC2-001 | 缺少系统可用性披露 (SOC 2 Type II) SaaS 门户未能提供公开可访问的状态或正常运行时间跟踪页面，违反了关于运营可用性的 SOC 2 信托服务标准。 法律依据: SOC 2 CC1.1 (Availability) SOC 2 — Trust Services Criteria (AICPA) | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 248 | CYIN-001 | 未披露已停止服务的软件平台 (Cyber Insurance) SaaS 网站或底层框架使用了不受支持、已停止服务的平台，而未向网络保险承保人披露风险，违反了网络保险条款。 法律依据: Cyber Insurance Risk Standards | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 249 | DORA-004 | 缺少 ICT 事件报告功能 (EU DORA) 金融服务平台未能为用户提供用于报告运营性 ICT 事件的、安全的专用门户，违反了 DORA 第 17 条。 法律依据: Regulation (EU) 2022/2554 (DORA), Art. 17 DORA Art. 17 | critical | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 250 | FTCS-002 | 客户门户缺少会话限制 (FTC Safeguards) 金融科技门户未能配置并强制执行针对客户控制台访问的严格最大会话长度，违反了 FTC《保障措施规则》。 法律依据: 16 CFR § 314.4(c)(5) 16 CFR 314.4 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 251 | DEPD-001 | 缺少消费者数据可携性格式选项 (Delaware DPDPA) 针对特拉华州消费者的网站未能以可移植、技术上可行且易于使用的格式提供个人数据下载，违反了特拉华州 DPDPA。 法律依据: Delaware DPDPA (HB 154), Sec. 12C-5 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 252 | MAPD-001 | 禁止销售敏感个人数据 (Maryland MODPA) 网站收集并销售马里兰州消费者的敏感个人数据（如精确位置、健康、种族），这在马里兰州《在线数据隐私法案》下是被严格禁止的。 法律依据: Maryland MODPA (SB 541), Sec. 14-46 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 253 | KYPD-001 | 缺少消费者访问权披露 (Kentucky KCDPA) 针对肯塔基州居民的网站未能概述消费者确认其数据是否被处理以及进行访问的清晰、易于访问的的流程，违反了 KCDPA。 法律依据: Kentucky KCDPA (SB 15), Sec. 4 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 254 | RIPD-001 | 隐私声明中未披露第三方销售 (Rhode Island RIDTPPA) 针对罗德岛州消费者的网站未能在其隐私通知中明确列出向其销售或共享个人数据的所有第三方，违反了 RIDTPPA。 法律依据: Rhode Island RIDTPPA (SB 2502), Sec. 6 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 255 | IAPD-001 | 缺少消费者数据销售选择退出链接 (Iowa ICDPA) 针对爱荷华州消费者的网站未能提供清晰、显著的链接以允许用户选择退出其个人数据的销售，违反了爱荷华州《消费者数据保护法案》。 法律依据: Iowa ICDPA (SF 262), Sec. 715C | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 256 | FTCH-001 | 与跟踪器非法共享健康指标 (FTC 健康泄露规则) 网站收集健康、症状或健身查询，并在未获得明确授权的情况下将其与第三方广告跟踪器共享，触发了 FTC 《健康泄露通知》违规。 法律依据: 16 CFR Part 318 (HBNR Rule) 16 CFR Part 318 | critical | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 257 | NYDF-001 | 金融门户网站缺少多因素身份验证 (NYDFS) 受 NYDFS 管辖的金融仪表板或客户端 Web 面板未能对所有 Web 登录强制执行多因素身份验证 (MFA)，违反了网络安全条例 23 NYCRR Part 500。 法律依据: 23 NYCRR Part 500, Sec. 500.12 23 NYCRR Part 500 (DFS text) | critical | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 258 | BIPA-003 | 生物识别收集缺少书面授权书 (Illinois BIPA) 网站在收集生物识别标识符（例如面纹、声纹）之前，未获得用户签署的书面授权书，违反了 BIPA 第 15(b) 条。 法律依据: 740 ILCS 14/15(b) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 259 | AADA-001 | 键盘焦点被固定定位元素遮挡 (WCAG 2.2) 网站布局允许固定定位的页眉、页脚或覆盖层在键盘导航期间遮挡活动输入字段或按钮的焦点指示器，违反了 WCAG 2.2 SC 2.4.11。 法律依据: WCAG 2.2 SC 2.4.11 WCAG 2.2 SC 2.4.11 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 260 | AADA-002 | 交互元素的目标大小不足 (WCAG 2.2) 交互式目标元素（按钮、链接、表单输入）小于 24x24 CSS 像素且没有足够的间距，违反了 WCAG 2.2 AA 级关于触摸和指针输入的指南。 法律依据: WCAG 2.2 SC 2.5.8 WCAG 2.2 SC 2.5.8 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 261 | EUAI-006 | 高风险 AI 缺少人类监督披露 (EU AI Act) 部署高风险 AI 决策系统（如候选人筛选、信用评估）的网站未能披露人类监督和干预的机制，违反了《AI 法案》第 14 条。 法律依据: Regulation (EU) 2024/1689 (EU AI Act), Art. 14 AI Act Art. 14 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 262 | EUAI-007 | 未建立并记录高风险人工智能系统的上市后监控系统 (欧盟 AI 法案) 高风险人工智能系统的提供商未能根据人工智能技术的性质和系统风险建立并记录成文的上市后监控系统，或未按照欧盟《AI 法案》第 72 条要求在技术文档中保持切实记录的上市后监控计划。 法律依据: Regulation (EU) 2024/1689 (EU AI Act), Art. 72 AI Act Art. 72 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 263 | DSA-005 | 推荐系统缺少非画像选项 (EU DSA) 使用推荐系统的在线平台未能向用户提供至少一个不基于画像的选项（例如按时间顺序排列的信息流，而不是算法信息流），违反了 DSA。 法律依据: Regulation (EU) 2022/2065 (DSA), Art. 38 Digital Services Act Art. 38 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 264 | DSA-006 | 缺少未成年人保护年龄验证 (EU DSA) 允许未成年人访问的在线平台未能实施适当且成比例的年龄验证措施以确保儿童在线安全，违反了 DSA 第 28 条。 法律依据: Regulation (EU) 2022/2065 (DSA), Art. 28 Digital Services Act Art. 28 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 265 | NIS2-002 | 缺少事件通知和联系渠道 (NIS2) 关键基础设施或数字服务商的网站未能展示清晰的的事件通知程序或报告网络事件的联系途径，违反了 NIS2 要求。 法律依据: EU Directive 2022/2555 (NIS2), Art. 21 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 266 | GDPR-015 | 缺少限制处理权利的操作路径 (GDPR) 网站未能向用户提供用于行使 GDPR 第 18 条规定的限制处理个人数据权利的的直接在线机制（表单、开关或电子邮件途径）。 法律依据: GDPR Article 18 GDPR Art. 18 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 267 | EPRIV-004 | Cookie 有效期超过最大限制 (ePrivacy 指南) 网站同意机制设置的非必要跟踪 Cookie 的有效期超过 12 个月，且没有自动的同意续订提示，违反了 ePrivacy 指南。 法律依据: ePrivacy Guidelines on Cookies, Sec. 4 ePrivacy Directive | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 268 | GDPR-016 | 缺少处理活动记录披露摘要 (GDPR) 网站隐私通知未能声明公司维护处理活动记录 (ROPA)，并且未提供用户可见的摘要，违反了 GDPR 第 30 条。 法律依据: GDPR Article 30 GDPR Art. 30 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 269 | EIDS-002 | 缺少对合格电子签名的支持 (eIDAS 2.0) 要求欧盟公民签名的数字平台未能识别或支持通过欧盟信任列表验证的合格电子签名 (QES)，违反了 eIDAS 2.0。 法律依据: Regulation (EU) 2024/1183 (eIDAS 2.0), Art. 6 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 270 | GDPR-017 | 缺少数据保护影响评估 (DPIA) 披露 (GDPR) 进行高风险处理（例如监控公共区域或海量跟踪）的网站隐私通知未能声明已进行 DPIA 并已在 DPA 登记。 法律依据: GDPR Article 35 GDPR Art. 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 271 | ARPD-001 | 缺少数据更正门户 (Argentina Law 25.326) 收集阿根廷居民数据的网站未能提供用于请求更正或销毁个人数据的专用路径或清晰说明，违反了第 25.326 号法律。 法律依据: Argentina Law 25.326, Art. 6 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 272 | COPD-001 | 商业信息捆绑同意 (Colombia Law 1581) 网站收集哥伦比亚居民的数据，并将营销信息同意与一般注册协议捆绑在一起，违反了 Habeas Data 第 1581 号法律。 法律依据: Colombia Law 1581 of 2012, Art. 12 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 273 | MXPD-001 | 缺少独立的 ARCO 权利操作 (Mexico LFPDPPP) 收集墨西哥消费者数据的网站未能为用户行使其 ARCO（访问、更正、取消、反对）权利提供清晰、可操作的步骤，违反了 LFPDPPP。 法律依据: Mexico LFPDPPP, Art. 16 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 274 | CHPD-001 | 缺少跨境传输披露 (Switzerland FADP) 网站收集瑞士居民的数据并进行国际传输（例如通过外部跟踪 API），但未在其隐私政策中披露目标国家和安全保障措施。 法律依据: Switzerland FADP, Art. 16 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 275 | POPI-002 | 默认选择性加入营销违规 (South Africa POPIA) 网站在未获得明确事先选择性同意的情况下，向南非居民发送电子直接营销，或者向从未同意的用户发送，违反了 POPIA 第 69 条。 法律依据: South Africa POPIA 2013, Sec. 69 POPIA 2013, Sec. 69 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 276 | TRKV-002 | 未经授权的跨境传输且缺少充分保障 (Turkey KVKK) 网站在未获得明确同意或展示合规标准合同条款的情况下，将土耳其居民的个人数据传输到土耳其境外的服务器上，违反了 KVKK。 法律依据: Turkey Law 6698 (KVKK), Art. 9 KVKK Art. 9 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 277 | AUPA-003 | 隐私政策中缺少联系方式和访问程序详情 (Australia APP 1) 针对澳大利亚用户的隐私政策缺少关于个人如何访问其个人数据、寻求更正或投诉违反 APP 行为的详细信息，违反了 APP 1.4。 法律依据: Australian Privacy Act 1988, APP 1.4 APP 1.4 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 278 | SGPD-003 | 缺少数据访问和更正请求跟踪系统 (Singapore PDPA) 网站未能向新加坡居民提供专用的电子邮件或自动化门户，以请求确认过去一年内处理的其数据，违反了新加坡 PDPA。 法律依据: Singapore PDPA 2012, Sec. 21 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 279 | THPD-003 | 未经同意向保障不足的国家进行跨境传输 (Thailand PDPA) 网站在未获得明确同意的情况下，将泰国居民的个人数据传输到没有足够数据保护标准的第三国，违反了 PDPA 第 28 条。 法律依据: Thailand PDPA B.E. 2562, Sec. 28 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 280 | PHDP-002 | 未充分披露反对处理的权利 (Philippines DPA) 针对菲律宾居民的网站隐私通知未能明确说明用户反对处理其个人数据（包括出于营销目的）的权利。 法律依据: Philippines Data Privacy Act 2012, Sec. 16 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 281 | FTCD-004 | 未经同意欺骗性调高订阅价格 (FTC) 网站在未通知用户并在计费更新价格之前获得明确同意的情况下，以更高的费率执行自动订阅续订，违反了 FTC 规则。 法律依据: 15 U.S.C. § 45 (FTC Act Section 5) 15 U.S.C. 45 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 282 | FTCD-005 | 结账时预先勾选可选的附加项目 (FTC) 电子商务结账流程将可选服务、保修或附加产品默认为预先勾选状态，利用消费者的惰性来抬高交易成本。 法律依据: 15 U.S.C. § 45 (FTC Act Section 5) 15 U.S.C. 45 | moderate | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 283 | TCPA-014 | 未能维护内部“谢绝来电”(DNC) 登记册 (TCPA) 线索收集网站未能维护和记录内部“谢绝来电”(DNC) 列表以及管理营销联系请求的程序，违反了 TCPA 规则。 法律依据: 47 CFR § 64.1200(d) 47 CFR 64.1200 | critical | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 284 | TCPA-015 | 退订请求需要付费或登录 (CAN-SPAM) 网站营销退订链接强制用户登录、填写复杂的调查或支付处理费以退订电子邮件，违反了 CAN-SPAM 条例。 法律依据: 16 CFR § 316.5 16 CFR 316.5 | serious | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 285 | EAA-005 | 电子商务中无法访问的电子发票/收据输出 (EAA) 在线商店生成的订单确认页面或可下载的收据被格式化为扁平图像或无法访问的 PDF，阻碍了屏幕阅读器的访问，违反了 EAA。 法律依据: EN 301 549 Clause 11.2 (EAA) European Accessibility Act | critical | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 286 | AODA-003 | 缺少无障碍反馈提交渠道 (Ontario AODA) 网站未能提供专用的可访问在线途径或表单，以接收残疾用户关于无障碍问题的反馈，违反了 AODA。 法律依据: AODA Section 12 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 287 | ADA-104 | 文本缩放至 200% 时破坏页面布局 (ADA Title III) 当浏览器缩放设置为 200% 时，网站布局在没有辅助技术的情况下发生破坏、重叠或文本截断，违反了 WCAG 2.1 SC 1.4.4 缩放标准。 法律依据: WCAG 2.1 SC 1.4.4 WCAG 2.1 SC 1.4.4 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 288 | ADA-105 | 无法调整或延长表单会话限制 (ADA Title III) 具有时间限制的表单（例如结账机票预订）不允许用户在超时前禁用、调整或延长限制，违反了 WCAG 2.1 SC 2.2.1。 法律依据: WCAG 2.1 SC 2.2.1 WCAG 2.1 SC 2.2.1 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 289 | EPRIV-005 | 同意横幅 Cookie 设置阻碍键盘用户 Cookie 同意横幅及其“管理设置”面板无法完全关闭或通过键盘 TAB 键导航，导致网站在功能上不合规。 法律依据: ePrivacy Directive, Art. 5(3) ePrivacy Directive Art. 5(3) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 290 | FTCE-012 | 未标记的联盟链接和赞助内容 (FTC 推荐指南) 网站展示赚取佣金的商品链接或赞助内容块，但在链接附近未显示清晰、直接的的标记（例如“联盟链接”或“赞助”）。 法律依据: 16 CFR Part 255 16 CFR Part 255 | critical | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 291 | W3CR-003 | dApp 中代币交易缺少风险披露 (SEC) 促进代币兑换或金融交易的 Web3 界面未能在其兑换面板上展示关于代币波动性和监管状态的清晰风险披露。 法律依据: SEC Guidance on Digital Assets | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 292 | W3CR-004 | dApp 未能验证 API 接口完整性 (NIST SP 1800-34) 去中心化 Web 应用程序在不验证响应签名的情况下连接到 RPC 节点或 API，从而允许中间人攻击以显示虚假的钱包余额。 法律依据: NIST SP 1800-34 (Data Integrity) | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 293 | PCI-015 | 在前端执行来自非授权域的脚本 (PCI-DSS v4.0) 结账或支付界面加载并运行托管在非白名单域上的 JavaScript 文件，违反了 PCI-DSS v4.0 下严格的支付界面安全规则。 法律依据: PCI-DSS v4.0 Req 6.4.1 PCI DSS — PCI Security Standards Council | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 294 | PCI-016 | 客户门户会话录屏脚本在密码输入框启用 (PCI-DSS) 会话录制工具（例如 Hotjar、FullStory）在客户门户上运行，但未掩码或排除密码、持卡人或 CVV 输入等敏感输入字段。 法律依据: PCI-DSS v4.0 Req 8.3 PCI DSS — PCI Security Standards Council | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 295 | CYIN-002 | 缺少事件响应计划引用 (Cyber Insurance) SaaS 系统界面未能向用户展示请求安全事件披露报告的机制，这是网络责任保险承保所必需的。 法律依据: NIST Cybersecurity Framework (CSF) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 296 | DORA-005 | ICT 系统重大事件日志报告缺失 (EU DORA) 欧盟金融实体 Web 控制台未能提供或链接到与 ICT 相关的重大事件日志，以便向用户和监管机构公开，违反了 DORA 第 18 条。 法律依据: Regulation (EU) 2022/2554 (DORA), Art. 18 DORA Art. 18 | critical | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 297 | FTCS-003 | 缺少风险评估记录披露 (FTC 安全保障规则) 金融或金融科技门户网站未能在其安全通知中发布或提及它对客户数据存储数据库进行定期风险评估。 法律依据: 16 CFR § 314.4(b) (GLBA Safeguards Rule - Risk Assessment) 16 CFR § 314.4(b) | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 298 | SOC2-002 | 访问撤销通知不充分 (SOC 2 Type II) 客户控制台未记录已撤销的管理员令牌的日志，或者未展示带有直接终止路径的活动会话，违反了 SOC 2 CC6.3 安全控制措施。 法律依据: SOC 2 CC6.3 (Access Controls) SOC 2 — Trust Services Criteria (AICPA) | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 299 | NIST-002 | 缺少用户账户管理审计日志 (NIST SP 800-53) 网站客户端控制面板未能为用户账户创建、特权修改或删除操作生成审计跟踪，违反了 NIST 网络安全标准。 法律依据: NIST SP 800-53 Rev 5 (AC-2) | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 300 | HIPAA-013 | 访问 PHI 前缺少身份验证 (HIPAA) 患者挂号门户或症状追踪器允许用户在未执行验证过的多步身份验证的情况下访问历史记录或受保护的健康信息 (PHI)。 法律依据: 45 CFR § 164.312(d) 45 CFR 164.312 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 301 | MCDP-002 | 缺少消费者纠正不准确个人数据的权利 (Minnesota MCDPA) 网站隐私流程未能为明尼苏达州消费者提供更正其收集的个人数据中不准确之处的易用途径，违反了 MCDPA。 法律依据: Minnesota MCDPA, Sec. 325O.04 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 302 | TXSC-002 | 社交平台上针对未成年人的广告限制不力 (Texas SCOPE) 针对德克萨斯州未成年人的社交媒体平台根据 18 岁以下账户的画像推送定向广告，违反了《SCOPE 法案》。 法律依据: Texas SCOPE Act, Sec. 509.052 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 303 | UTSM-002 | 未成年人与非父母用户之间默认启用私信 (Utah SMRA) 社交媒体 Web 应用程序未能默认对未成年人账户与未经验证的父母/监护人账户之间的直接消息功能进行拦截，违反了犹他州 SMRA。 法律依据: Utah SMRA, Sec. 13-63-201 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 304 | FLDB-002 | 未披露搜索引擎排名参数及政治偏向权重 (佛罗里达州 FDBR) 针对佛罗里达州居民的搜索引擎或目录平台在算法过滤处于活动状态时，未能披露用于对搜索结果进行排名的参数，违反了 FDBR。 法律依据: Fla. Stat. § 501.71(4) (Florida Digital Bill of Rights - Search Engine Ranking Transparency) Fla. Stat. § 501.71(4) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 305 | CTDP-003 | 未经同意对未成年人进行画像、定向广告或出售其数据 (康涅狄格州 SB 3) 控制者向明知（actual knowledge）或故意忽视（wilfully disregards）为未成年人的消费者提供在线服务、产品或功能时，在未获得事先同意的情况下，将个人数据用于定向广告、出售或进行产生法律或重大影响的自动化决策画像，违反了康涅狄格州 SB 3。 法律依据: CT Public Act No. 23-56 (SB 3), Sec. 9(b)(1)(A)(i) and (b)(3) CT Public Act No. 23-56 (SB 3), Sec. 9(b)(1)(A) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 306 | CAAD-004 | 针对儿童的非显式交互式暗黑模式 (CA AADC) 可能被未成年人访问的网站使用欺骗性的游戏机制或样式来诱导儿童消费或披露电子邮件地址，违反了 AADC。 法律依据: Cal. Civ. Code § 1798.99.31 Cal. Civ. Code § 1798.99.31 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 307 | MDAD-002 | 针对儿童默认启用跟踪 (Maryland MODPA) 针对马里兰州居民的在线服务默认未能为识别为 18 岁以下的用户停用行为跟踪器，违反了 MODPA。 法律依据: Maryland MODPA, Sec. 14-45 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 308 | INDP-002 | 缺少敏感数据处理披露 (Indiana CDPA) 针对印第安纳州居民的隐私通知未能明确说明所处理的敏感个人数据的类别及具体目的，违反了 CDPA。 法律依据: Indiana CDPA, Sec. 24-15-4 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 309 | TNIP-002 | 数据权利请求响应时间不合规 (Tennessee TIPA) 网站隐私流程未能保证并在规定的 45 天期限内执行对消费者隐私权利请求的响应，违反了 TIPA。 法律依据: Tennessee TIPA, Sec. 47-18 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 310 | NHPA-002 | 缺少新罕布什尔州消费者的删除权操作 (NHPA) 网站未能为新罕布什尔州居民提供删除已收集个人数据的清晰、自动化的方法，违反了新罕布什尔州《隐私法案》。 法律依据: New Hampshire Privacy Act, Sec. 507-H.4 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 311 | AADA-003 | 多步表单中需要重复输入数据 (WCAG 2.2) 多步注册或结账表单要求用户在同一会话中重新输入先前提供的信息，而未提供自动填充，违反了 WCAG 2.2 SC 3.3.7。 法律依据: WCAG 2.2 SC 3.3.7 WCAG 2.2 SC 3.3.7 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 312 | AADA-004 | 通过认知功能测试进行不可访问的身份验证 (WCAG 2.2) 网站身份验证需要进行认知功能测试（如拼图或拼写图像中的字符），而未提供替代的、易用的登录方法，违反了 WCAG 2.2 SC 3.3.8。 法律依据: WCAG 2.2 SC 3.3.8 WCAG 2.2 SC 3.3.8 | critical | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 313 | AADA-005 | 帮助和支持联系信息位置不一致 (WCAG 2.2) 网站在不同的页面上的不同位置展示支持联系人、聊天或 FAQ 路径（例如首页右上角，结账页左下角），违反了 WCAG 2.2 SC 3.2.6。 法律依据: WCAG 2.2 SC 3.2.6 WCAG 2.2 SC 3.2.6 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 314 | AADA-006 | 要求拖拽操作且未提供单指点击替代方案 (WCAG 2.2) 网站要求进行拖拽动作（如自定义滑块、地图或拖拽列表），而不支持单指输入的点击或轻按替代方案，违反了 WCAG 2.2 SC 2.5.7。 法律依据: WCAG 2.2 SC 2.5.7 WCAG 2.2 SC 2.5.7 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 315 | AADA-007 | 桌面端布局触发水平滚动 (WCAG 2.1) 当在 320 CSS 像素宽度下查看或缩放时，网站布局会强制水平滚动，阻碍了轻松阅读，违反了 WCAG 2.1 SC 1.4.10。 法律依据: WCAG 2.1 SC 1.4.10 WCAG 2.1 SC 1.4.10 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 316 | AADA-008 | 调整文本间距导致文本重叠 (WCAG 2.1) 自定义的客户端字体间距调整（行高、字符间距）导致页面文本元素重叠或被截断，违反了 WCAG 2.1 SC 1.4.12。 法律依据: WCAG 2.1 SC 1.4.12 WCAG 2.1 SC 1.4.12 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 317 | AADA-009 | 无法停止的自动播放媒体和轮播图 (WCAG 2.1) 网站包含自动播放的滑块、横幅或视频背景媒体，且用户无法暂停、停止或隐藏它们，违反了 WCAG 2.1 SC 2.2.2。 法律依据: WCAG 2.1 SC 2.2.2 WCAG 2.1 SC 2.2.2 | critical | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 318 | AADA-010 | 输入框缺少占位符或上下文提示 (WCAG 2.1) 需要特定格式（如日期、电话号码）的表单输入未提供占位符、描述性提示或上下文说明，违反了 WCAG 2.1 SC 3.3.2。 法律依据: WCAG 2.1 SC 3.3.2 WCAG 2.1 SC 3.3.2 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 319 | AADA-011 | 屏幕阅读器未播报状态消息 (WCAG 2.1) 动态状态更新（例如“保存成功”通知或内联验证消息）显示在 DOM 中，但没有 `role="status"` 或 `aria-live="polite"`，导致屏幕阅读器无法读取。 法律依据: WCAG 2.1 SC 4.1.3 WCAG 2.1 SC 4.1.3 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 320 | AADA-012 | 不合逻辑的 Tab 键导航顺序 (WCAG 2.1) 键盘导航的焦点路径以不合逻辑或随机的顺序穿过页面，未能与视觉阅读布局相匹配，违反了 WCAG 2.1 SC 2.4.3。 法律依据: WCAG 2.1 SC 2.4.3 WCAG 2.1 SC 2.4.3 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 321 | GDPR-018 | 未披露已收集数据的加密标准 (GDPR) 网站隐私通知收集了敏感个人数据，但未能声明在存储和传输过程中使用的加密方法（例如 AES-256），违反了 GDPR 第 32 条。 法律依据: GDPR Article 32 GDPR Art. 32 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 322 | GDPR-019 | 外部传输缺少充足性认定披露 (GDPR) 隐私通知向欧洲经济区 (EEA) 之外传输数据，但未能披露目标国家是否符合欧委会的充足性认定，或未说明所部署的的具体保障措施。 法律依据: GDPR Article 13(1)(f) GDPR Art. 13(1)(f) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 323 | GDPR-020 | 用户缺少数据泄露缓解说明 (GDPR) 网站未能展示说明、直接电子邮件表单或联系详情来解释在发生个人数据泄露时如何通知用户以及他们应该采取什么行动。 法律依据: GDPR Article 34 GDPR Art. 34 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 324 | PIPD-003 | 缺少第三方数据处理与传输披露说明 (加拿大 PIPEDA) 收集个人数据的组织将信息转移给第三方进行处理，但未能落实问责制，亦未在隐私政策中披露数据已转移给第三方处理者并通过合同或其他同等保护手段进行保障，违反了加拿大 PIPEDA。 法律依据: PIPEDA 附表 1 原则 4.1.3 / 原则 4.8 (第三方传输与处理的问责与公开) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 325 | PIPD-004 | 缺少数据访问请求处理费用通知 (Canada PIPEDA) 针对加拿大居民的网站隐私通知未能说明正式个人数据访问请求是否存在相关的处理费用，违反了 PIPEDA。 法律依据: PIPEDA Principle 4.9 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 326 | JPAP-003 | 共享 Cookie 标识符目的披露缺失 (Japan APPI) 针对日本用户的网站共享第三方广告标识符或 Cookie，但未在其 Cookie 声明中披露接收方的确切广告和分析目的，违反了 APPI 第 27 条。 法律依据: Japan APPI, Art. 27 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 327 | NZPR-003 | 超出必要期限违法留存个人数据（新西兰隐私法案 IPP 9） 针对新西兰居民的网站缺少自动化的政策或披露，以具体说明个人数据的保留时间不会长于合法目的所需的期限，违反了 IPP 9。 法律依据: New Zealand Privacy Act 2020, IPP 9 (Information Privacy Principle 9 - Retention of personal information) New Zealand Privacy Act 2020, IPP 9 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 328 | THPD-004 | 未充分披露要求删除数据的权利 (Thailand PDPA) 针对泰国用户的网站隐私政策中未明示消费者根据 PDPA 要求擦除、销毁或去标识化其个人数据的权利。 法律依据: Thailand PDPA B.E. 2562, Sec. 30 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 329 | PHDP-003 | 未能披露向 DPA 投诉的程序 (Philippines DPA) 针对菲律宾消费者的网站隐私政策未能说明用户如何就数据泄露向国家隐私委员会 (NPC) 提出正式投诉。 法律依据: Philippines Data Privacy Act 2012, Sec. 34 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 330 | LGPD-004 | 隐私政策更新未显著通知 (Brazil LGPD) 网站对处理方法或隐私政策做出了重大更改，但未通过清晰的网站警报或电子邮件通知巴西用户，违反了 LGPD 第 9 条。 法律依据: Brazil LGPD, Art. 9 LGPD Art. 9 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 331 | GLBA-003 | 缺少选择拒绝与非关联方共享数据的权利 (GLBA) 受 GLBA 管辖的金融科技或金融仪表板未能在与非关联第三方共享非公开个人信息之前，向用户提供选择退出的途径。 法律依据: 16 CFR Part 313.9 16 CFR 313.9 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 332 | SEC-003 | 缺少保护客户信息披露的管理政策 (SEC) 经 SEC 注册的投资顾问网站未能展示或链接到概述客户记录物理和技术安全保障措施的政策，违反了 S-P 条例。 法律依据: SEC Regulation S-P, Sec. 248.30 17 CFR 248.30 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 333 | PCI-017 | 缺少外部软件组件清单 (PCI-DSS v4.0) 网站支付流程使用了外部软件库、框架或脚本，但未对所有软件组件进行活跃的、文档化的清单管理，违反了 PCI-DSS 要求 6.3.2。 法律依据: PCI-DSS v4.0 Req 6.3.2 PCI DSS — PCI Security Standards Council | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 334 | PCI-018 | 未能记录加密密钥管理程序 (PCI-DSS v4.0) 处理持卡人交易的网站未能记录或发布用于加密卡数据的加密算法和密钥管理程序的摘要。 法律依据: PCI-DSS v4.0 Req 12.3.2 PCI DSS — PCI Security Standards Council | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 335 | CYIN-003 | 缺少漏洞披露程序公告 (Cyber Insurance) 公司网站未能为白帽安全研究人员发布漏洞披露计划 (VDP) 或安全港政策，这是满足网络保险合规要求所必需的。 法律依据: Cyber Insurance Security Requirements | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 336 | DORA-006 | 缺少第三方 ICT 提供商关键级别披露 (EU DORA) 金融系统的 Web 控制台未列出或对其第三方云和基础设施提供商的关键级别进行分类，违反了 DORA 透明度规则。 法律依据: Regulation (EU) 2022/2554 (DORA), Art. 28 DORA Art. 28 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 337 | FTCS-004 | 缺少员工安全培训引用 (FTC Safeguards) 金融仪表板隐私通知未能说明公司针对消费者数据保护进行年度员工安全培训，违反了 FTC《保障措施规则》。 法律依据: 16 CFR § 314.4(e) 16 CFR 314.4 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 338 | SOC2-003 | 补丁管理披露不充分 (SOC 2 Type II) 面向客户的 SaaS 门户未能提及或记录用于解决已知系统漏洞的补丁管理时间表和程序，违反了 SOC 2 CC7.1。 法律依据: SOC 2 CC7.1 (Vulnerability Management) SOC 2 — Trust Services Criteria (AICPA) | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 339 | NIST-003 | 缺少网络流量和入侵监控披露 (NIST SP 800-53) 数字平台的安全通知未说明其是否采用主动入侵检测或 Web 应用程序防火墙 (WAF) 来监控传入的网络流量，违反了 NIST SI-4。 法律依据: NIST SP 800-53 Rev 5 (SI-4) | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 340 | HIPAA-014 | 网络安全风险分析披露不充分 (HIPAA 安全规则) 患者注册申请表未在其隐私政策中确认它会定期进行风险分析以评估 PHI 的潜在安全漏洞，违反了 HIPAA 安全规则。 法律依据: 45 CFR § 164.308(a)(1) 45 CFR 164.308 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 341 | MDAD-003 | 针对儿童画像以投放定向广告 (Maryland MODPA) 针对马里兰州消费者的网站对已知在 18 岁以下的用户账户启用定向广告画像，违反了《在线数据隐私法案》。 法律依据: Maryland MODPA, Sec. 14-46 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 342 | TXSC-003 | 未经父母验证收集未成年人位置历史记录 (Texas SCOPE) Web 应用程序在未获得验证过的的父母同意的情况下，收集并保留经核实或怀疑为未成年人的用户的历史位置跟踪记录，违反了 SCOPE。 法律依据: Texas SCOPE Act, Sec. 509.053 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 343 | UTSM-003 | 对未成年人进行算法推荐 (Utah SMRA) 针对犹他州未成年人的社交媒体平台在未获得验证过的父母同意的情况下，在未成年人账户上利用预测算法或个性化推荐，违反了 SMRA。 法律依据: Utah SMRA, Sec. 13-63-301 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 344 | FLDB-003 | 缺少个人数据出售与定向广告的退出披露说明 (佛罗里达州 FDBR) 符合佛罗里达州 FDBR 适用门槛（包括全球年总收入超过 10 亿美元）的控制者向第三方出售个人数据或将个人数据用于定向广告，但未能清晰、显著地披露该流程并向消费者提供选择退出的途径。 法律依据: Fla. Stat. § 501.711(4) (佛罗里达州数字权利法案 - 个人数据出售与定向广告退出披露机制) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 345 | CTDP-004 | 未经同意出售地理定位数据 (Connecticut SB 3) 针对康涅狄格州消费者的网站在未获得事先明确选择性同意的情况下，出售从移动或 Web 界面收集的精确地理定位坐标。 法律依据: Connecticut SB 3, Sec. 6 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 346 | CAAD-005 | 缺少儿童安全影响评估合理性披露 (CA AADC) 可能被未成年人访问的网站未能在其隐私通知中详细说明基于儿童数据影响评估实施的安全保障措施，违反了 AADC。 法律依据: Cal. Civ. Code § 1798.99.31 Cal. Civ. Code § 1798.99.31 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 347 | BIPA-004 | 禁止销售生物识别标识符 (Illinois BIPA) 网站出售或共享伊利诺伊州居民的生物识别数据（例如语音模板、人脸识别标记）以获取商业利润，这在 BIPA 下是被严格禁止的。 法律依据: 740 ILCS 14/15(c) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 348 | HIPAA-015 | 患者研究记录去标识化不充分 (HIPAA 隐私) 健康门户网站发布包含邮政编码或确切出生日期的临床摘要或症状数据库，未能满足 HIPAA 下严格的安全港去标识化规则。 法律依据: 45 CFR § 164.514(b) 45 CFR 164.514 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 349 | DORA-007 | 缺少合同条款保障摘要 (EU DORA) 金融仪表板未能披露其与关键 ICT 提供商的合同中包含强制性安全和数据可携性条款，违反了 DORA 第 30.2 条。 法律依据: Regulation (EU) 2022/2554 (DORA), Art. 30.2 DORA Art. 30 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 350 | FTCS-005 | 缺少事件响应政策摘要 (FTC Safeguards) 金融科技门户网站未能在其安全披露中引用或展示针对客户数据泄露的书面事件响应计划 (IRP) 摘要，违反了 FTC《保障措施规则》。 法律依据: 16 CFR § 314.4(g) 16 CFR 314.4 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 351 | ADA-106 | 焦点外观（最小）违规 该网站的键盘焦点指示器缺乏最小面积或与相邻颜色的对比度，使得仅使用键盘的用户难以看清哪个元素处于活动状态，违反了 WCAG 2.2。 法律依据: WCAG 2.2 SC 2.4.11 WCAG 2.2 SC 2.4.11 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 352 | ADA-107 | 焦点被固定元素遮挡 通过键盘聚焦的交互式元素完全 or 部分被固定页眉、页脚或悬浮层遮挡，从而妨碍屏幕可见性，违反了 WCAG 2.2。 法律依据: WCAG 2.2 SC 2.4.12 WCAG 2.2 SC 2.4.12 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 353 | ADA-108 | 拖拽操作缺乏点击替代方案 拖拽手势（如滑块控制、看板）缺乏单点点击/触碰替代方案，给有运动障碍的用户带来障碍，违反了 WCAG 2.2。 法律依据: WCAG 2.2 SC 2.5.7 WCAG 2.2 SC 2.5.7 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 354 | ADA-109 | 交互目标尺寸低于最小值 交互式目标（按钮、链接）小于 24x24 CSS 像素且没有足够的间距，导致触屏和运动障碍用户误触，违反了 WCAG 2.2。 法律依据: WCAG 2.2 SC 2.5.8 WCAG 2.2 SC 2.5.8 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 355 | ADA-110 | 表单数据冗余输入要求 表单要求用户重新输入在同一会话中先前提交过的信息，而不是自动填充或提供选择选项，违反了 WCAG 2.2。 法律依据: WCAG 2.2 SC 3.3.7 WCAG 2.2 SC 3.3.7 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 356 | ADA-111 | 不可访问的多因素身份验证 身份验证流程强制进行认知测试（如记忆密码、抄写验证码、解谜），而没有提供复制粘贴或硬件密钥替代方案，违反了 WCAG 2.2。 法律依据: WCAG 2.2 SC 3.3.8 WCAG 2.2 SC 3.3.8 | critical | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 357 | ADA-112 | 焦点遮挡（增强级别） 在更严格的无障碍审计下，交互式元素在聚焦时完全可见，没有布局上的任何重叠，违反了 WCAG 2.2 AAA 标准。 法律依据: WCAG 2.2 SC 2.4.13 WCAG 2.2 SC 2.4.13 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 358 | ADA-113 | 认知身份验证排除（增强） 登录表单完全省略了认知测试（包括对象识别和图案拼写），完全依赖可访问的身份验证，违反了 WCAG 2.2 AAA。 法律依据: WCAG 2.2 SC 3.3.9 WCAG 2.2 SC 3.3.9 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 359 | ADA-114 | 缺少可访问的视频文本转录 包含教育或商业信息的嵌入式视频缺少同步或链接的全文文本转录，给视听障用户带来障碍，违反了 ADA Title III。 法律依据: ADA Title III / WCAG SC 1.2.8 WCAG 2.1 SC 1.2.8 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 360 | ADA-115 | 缺少预录制媒体的字幕 营销或产品预览视频未提供准确的闭路字幕（CC），阻碍了听障或重听访客的访问，违反了 ADA Title III。 法律依据: ADA Title III / WCAG SC 1.2.2 WCAG 2.1 SC 1.2.2 | critical | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 361 | HIPAA-016 | 不安全的患者预约表单 在线预约界面在未加密的 URL 参数中传递受保护的健康信息（PHI，如病症或医生姓名），违反了 HIPAA 安全标准。 法律依据: 45 CFR § 164.312(e)(1) 45 CFR 164.312 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 362 | HIPAA-017 | 预约界面上的未经授权营销像素 患者预约系统在未获得患者明确签署的 HIPAA 授权的情况下执行分析或广告追踪器（如 Meta Pixel），导致巨额监管罚款。 法律依据: 45 CFR § 164.508 45 CFR 164.508 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 363 | HIPAA-018 | 缺乏门户访问活动日志记录 健康门户数据库在加载敏感患者记录或化验结果时未能记录查看者身份、时间戳和操作，违反了 HIPAA 安全规则的审计要求。 法律依据: 45 CFR § 164.312(b) 45 CFR 164.312 | serious | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 364 | HIPAA-019 | 未注明生效日期的隐私惯例通知 医疗诊所网站上托管的隐私惯例通知（NPP）未能在显著位置显示其生效日期，违反了 HIPAA 隐私规则的披露指令。 法律依据: 45 CFR § 164.520 45 CFR 164.520 | moderate | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 365 | HIPAA-020 | 不符合规范的健康数据删除流程 健康门户未能在华盛顿州《我的健康我的数据法案》（MHMDA）规定的 30 天法定窗口内执行用户删除所收集的非 HIPAA 健康追踪信息的请求。 法律依据: RCW 19.373.040 RCW 19.373.040 | serious | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 366 | HIPAA-021 | 缺少 MHMDA 消费者健康数据收集同意授权 健康追踪网站在未获取单独的、明确的同意授权横幅的情况下，收集华盛顿州消费者的健康指数或症状查询，违反了 MHMDA。 法律依据: RCW 19.373.030 RCW 19.373.030 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 367 | HIPAA-022 | 不安全的处方上传文件存储 门户上传的处方或医生证明文件被放置在公共云目录中，或者可以通过易于猜测的 URL 访问，违反了 HIPAA 安全标准。 法律依据: 45 CFR § 164.312(a)(2)(iv) 45 CFR 164.312 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 368 | HIPAA-023 | 患者门户缺乏自动注销 在用户处于非活动状态后，电子医疗门户会话仍无限期保持活动状态，使患者病历暴露于未经授权的物理访问风险中，违反了 HIPAA 安全规则协议。 法律依据: 45 CFR § 164.312(a)(2)(iii) 45 CFR 164.312 | serious | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 369 | HIPAA-024 | 患者门户共享管理员凭据 医疗诊所工作人员使用共享的通用登录 ID 访问患者门户后台，导致无法对记录更改进行审计，违反了 HIPAA 关于唯一用户的要求。 法律依据: 45 CFR § 164.312(a)(1) 45 CFR 164.312 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 370 | HIPAA-025 | 门户报告导出中的去标识化失效 门户导出功能在汇编统计报告时，使可识别的患者出生日期或邮政编码处于暴露状态，而没有进行适当的去标识化，违反了 HIPAA 隐私指南。 法律依据: 45 CFR § 164.514(b) 45 CFR 164.514 | serious | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 371 | CCPA-011 | 征求同意退出链接中的暗黑模式 合规要求的“不销售或共享我的个人信息”选项链接在排版上难以点击，或者被设计成与同意按钮相比呈未激活状态，违反了 CCPA。 法律依据: 11 CCR § 7004 11 CCR § 7004 (CCPA Regulations) | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 372 | CCPA-012 | 缺乏全局隐私控制（GPC）验证日志 该网站的同意管理器未能维护内部日志，以证明用户的 GPC 信号得到了尊重且数据处理脚本已被停用，违反了加州 CPPA 的审计就绪要求。 法律依据: 11 CCR § 7025 11 CCR § 7025 (CCPA Regulations) | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 373 | CCPA-013 | 缺少财务激励通知 电子商务弹窗以提供折扣为条件换取用户订阅简报（收集电子邮件），却没有提供可链接的、详细的“财务激励通知”，违反了 CCPA。 法律依据: 11 CCR § 7016 11 CCR § 7016 (CCPA Regulations) | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 374 | CCPA-014 | 不符合规范的的雇员及求职者隐私通知 求职申请表单和内部局域网门户缺少详细的隐私披露，未能具体概述 CPRA 规定下如何处理雇员和求职者的个人数据。 法律依据: Cal. Civ. Code § 1798.100 Cal. Civ. Code § 1798.100 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 375 | CCPA-015 | 未披露敏感数据保留期限 隐私政策未能声明所收集的每类敏感个人信息的具体保留期限（或用于确定该期限的准则），违反了加州民事法典。 法律依据: Cal. Civ. Code § 1798.130 Cal. Civ. Code § 1798.130 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 376 | CCPA-016 | 缺乏行使纠正权的数据控制台 用户帐户控制台未能提供清晰的自助服务界面或表单，无法让加州消费者更正记录中不准确的的个人数据，违反了 CPRA。 法律依据: Cal. Civ. Code § 1798.106 Cal. Civ. Code § 1798.106 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 377 | CCPA-017 | 隐式敏感地理位置定位追踪 该 Web 应用程序在未提出明确提示以限制使用敏感个人信息的情况下，追踪 1,850 英尺半径内的精确坐标，违反了 CCPA。 法律依据: 11 CCR § 7027 11 CCR § 7027 (CCPA Regulations) | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 378 | CCPA-018 | 代理人请求处理程序披露不完整 隐私政策未能说明消费者通过第三方授权代理人行使权利时所需的核实程序和表单，违反了 CCPA。 法律依据: 11 CCR § 7063 11 CCR § 7063 (CCPA Regulations) | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 379 | CCPA-019 | 缺少隐私请求年度指标 处理 1000 万以上加州消费者个人信息的企业未能汇编和公布所收到及处理的请求的年度统计数据，违反了 CCPA 法规。 法律依据: 11 CCR § 7102 11 CCR § 7102 (CCPA Regulations) | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 380 | CCPA-020 | 默认对 18 岁以下消费者进行画像 可能被儿童访问的在线服务默认启用了行为画像、定向广告或后台地理位置追踪，违反了加州《适龄设计规范法案》。 法律依据: Cal. Civ. Code § 1798.99.31 Cal. Civ. Code § 1798.99.31 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 381 | FTC-011 | 订阅欺骗性自动续订取消障碍 网页结账流程将用户纳入循环计费，但未能提供简单的客户端在线取消按钮，违反了 ROSCA 和 FTC 的执法指南。 法律依据: 15 U.S.C. § 8403 15 U.S.C. 8403 | critical | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 382 | FTC-012 | 虚假紧迫感倒计时器 电子商务结账渲染倒计时器，声称“优惠即将过期”，但页面重新加载时会自动重置，被 FTC 归类为欺骗性暗黑模式。 法律依据: FTC Act Section 5 FTC Act § 5 — 15 U.S.C. 45 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 383 | FTC-013 | 预先勾选的非必要营销同意 注册或结账页面预先勾选了让用户订阅非必要促销或二级合作伙伴通信的复选框，违反了 FTC 第 5 条关于欺骗性行为的标准。 法律依据: FTC Act Section 5 FTC Act § 5 — 15 U.S.C. 45 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 384 | FTC-014 | 嵌入在客户端包中的虚假评论数据 产品落地页展示硬编码在 JavaScript 包中的客户评论，并配有随机日期以显得真实，违反了 FTC 关于欺骗性评论的规定。 法律依据: 16 CFR Part 465 16 CFR Part 465 | critical | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 385 | FTC-015 | 欺骗性的结账垃圾费用 在线支付流程隐瞒服务费、交易附加费或隐藏的行政成本，直到最终交易确认屏幕才显示，违反了 FTC 第 5 条标准。 法律依据: FTC Act Section 5 FTC Act § 5 — 15 U.S.C. 45 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 386 | FTC-016 | 自动向电子商务购物车添加商品 购物车界面在没有消费者明确选择的情况下，自动添加付费保修、运输保险或捐赠项目，违反了 FTC 反对暗黑模式的的指南。 法律依据: FTC Act Section 5 FTC Act § 5 — 15 U.S.C. 45 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 387 | FTC-017 | 金融门户缺乏多因素身份验证 提供消费者信用信息访问的 Web 控制台未能强制要求内部员工访问必须使用多因素身份验证（MFA），违反了 FTC《保障规则》。 法律依据: 16 CFR § 314.4(c)(5) 16 CFR 314.4 | critical | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 388 | FTC-018 | 儿童门户网站的无效家长同意流程 针对儿童的门户网站使用简单的复选框或未经核实的电子邮件回复来获取家长批准并收集数据，而不是采用 COPPA 规则下的法定核实方法。 法律依据: 16 CFR § 312.5 16 CFR 312.5 | critical | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 389 | FTC-019 | 健康搜索中的广告像素数据共享 非 HIPAA 医疗健康平台通过追踪器将用户的疾病搜索、查询或选择传输给广告网络，违反了 FTC《健康数据泄露通知规则》。 法律依据: 16 CFR Part 318 16 CFR Part 318 | critical | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 390 | FTC-020 | 未标注的赞助内容 包含付费联盟链接的电子商务博文或评论未能显示清晰且显著的的披露标签（如“赞助”），违反了 FTC 背书规则。 法律依据: FTC Act Section 5 FTC Act § 5 — 15 U.S.C. 45 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 391 | TCPA-016 | 预先勾选的 SMS 同意输入 注册表单预先勾选了订阅促销 SMS 的复选框，违反了 TCPA 关于事先明确书面同意的要求。 法律依据: 47 U.S.C. § 227 47 U.S.C. 227 | critical | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 392 | TCPA-017 | 不完整的 SMS 选择性加入法定条款 收集电话号码的线索表单缺少清晰的的法定语言，未能具体说明“可能会产生短信和流量费用”并列出发送频率，违反了 TCPA 指南。 法律依据: 47 CFR § 64.1200 47 CFR 64.1200 | serious | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 393 | TCPA-018 | 缺少移动运营商披露 SMS 提交输入框省略了关于运营商责任、隐私保护和支持获取指令的明确说明，违反了 CTIA 运营规范。 法律依据: CTIA Guidelines | serious | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 394 | TCPA-019 | 不符合规范的 SMS 退订系统 自动短信群发系统未能识别和处理标准的退订关键字回复（如 STOP、CANCEL 或 UNSUBSCRIBE），违反了 TCPA。 法律依据: 47 CFR § 64.1200 47 CFR 64.1200 | critical | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 395 | TCPA-020 | 外发电子邮件中缺少物理地址 门户注册自动发送的营销电子邮件未能在底部显示该组织的有效实体物理地址，违反了 CAN-SPAM。 法律依据: 16 CFR § 316.4 16 CFR 316.4 | serious | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 396 | TCPA-021 | 邮件页脚退订机制失效 系统通知电子邮件内部的的退订链接指向失效的服务器路径，或者强制用户登录后才能处理退订请求，违反了 CAN-SPAM 法规。 法律依据: 16 CFR § 316.4 16 CFR 316.4 | critical | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 397 | TCPA-022 | 电子邮件退订处理超出法定限制 数据库系统未能在 10 个工作日的法定窗口内将已退订的电子邮件从活动促销列表中移除，违反了 CAN-SPAM 规则。 法律依据: 16 CFR § 316.4 16 CFR 316.4 | serious | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 398 | TCPA-023 | 未经书面同意的自动拨号及短信群发 网页落地页收集电话联系人并用于自动拨号系统，却没有事先获得佛罗里达州消费者的明确书面签名同意，违反了佛罗里达州 FTSA。 法律依据: Fla. Stat. § 501.059 Fla. Stat. § 501.059 | critical | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 399 | TCPA-024 | 缺乏 Do Not Call (DNC) 请求记录留存 电话营销数据库未能从提交之日起，将消费者的 Do Not Call (DNC) 请求记录保存至少 5 年的法定最低限期，违反了 TCPA。 法律依据: 47 CFR § 64.1200(d)(6) 47 CFR 64.1200 | serious | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 400 | TCPA-025 | 在规定时间段外发送自动短信 营销服务器在收件人当地时间上午 8:00 之前或晚上 9:00 之后排队并发送自动 SMS 短信，违反了 TCPA 法规。 法律依据: 47 CFR § 64.1200(c)(2) 47 CFR 64.1200 | serious | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 401 | GDPR-021 | 加载时预先勾选非必要 Cookie 在收到欧盟访问者的积极、明确同意之前，该网站就写入了非必要的分析或广告 Cookie，违反了 ePrivacy 和 GDPR。 法律依据: GDPR Art. 4(11) / ePrivacy Directive GDPR Art. 4(11)ePrivacy Directive | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 402 | GDPR-022 | Cookie 横幅中拒绝与接受选项不对等 Cookie 横幅使用视觉干扰或设计技巧隐藏“拒绝”按钮，或强制访问者打开子菜单以拒绝追踪，却允许一键接受，违反了 GDPR。 法律依据: GDPR Art. 7(4) / Guidelines 05/2020 GDPR Art. 7(4) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 403 | GDPR-023 | 缺少数据保护官（DPO）公开联系信息 该网站的隐私披露文件未能在显著位置展示根据 GDPR 要求指定的数据保护官（DPO）的官方联系信息。 法律依据: GDPR Art. 13(1)(b) & Art. 37 GDPR Art. 13(1)(b)GDPR Art. 37 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 404 | GDPR-024 | 未能披露与云数据分处理商的 DPA 协议 数据表单收集欧盟个人数据输入，但未能核实并关联与云服务商和后端分处理器签署的“数据处理协议”（DPA），违反了 GDPR 第 28 条。 法律依据: GDPR Art. 28 GDPR Art. 28 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 405 | GDPR-025 | 缺乏安全的个人数据访问请求（SAR）渠道 该平台未能提供用于处理个人数据访问请求（SAR）的安全且经过身份验证的渠道，导致意外泄露个人记录的风险，违反了 GDPR。 法律依据: GDPR Art. 15 / Right of Access GDPR Art. 15 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 406 | GDPR-026 | 无理拒绝个人数据删除请求 门户支持系统在没有有效法定理由的情况下，拒绝或拖延消费者的“被遗忘权”请求，违反了 GDPR 第 17 条的要求。 法律依据: GDPR Art. 17 / Right to be Forgotten GDPR Art. 17 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 407 | GDPR-027 | 隐私设置默认处于开放状态 用户个人资料控制台在注册后默认与其它用户或合作伙伴分享个人资料、位置文件或使用历史，违反了 GDPR 的默认隐私保护规则。 法律依据: GDPR Art. 25 / Privacy by Design GDPR Art. 25 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 408 | GDPR-028 | 不安全的电子邮件联系表单提交 网站联系表单在未加密的 HTTP 通道（而非 HTTPS）上外发个人用户的留言和标识符，违反了 GDPR 数据处理安全要求。 法律依据: GDPR Art. 32 / Security of Processing GDPR Art. 32 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 409 | GDPR-029 | 未能执行必要的 DPIA 评估 对大规模行为数据进行追踪的 Web 应用程序未能完成并记录“数据保护影响评估”（DPIA），违反了 GDPR 要求。 法律依据: GDPR Art. 35 GDPR Art. 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 410 | GDPR-030 | 缺少标准契约条款的跨境数据传输 用户记录被传输到位于第三方国家（缺少数据充足性决议）的服务器，而没有建立相应的标准契约条款（SCC），违反了 GDPR。 法律依据: GDPR Art. 44-46 GDPR Art. 44–46 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 411 | PCI-019 | 在数据库中保留 CVV 数据 支付数据库在支付授权完成后归档卡片验证码（CVV/CVC）号码，构成了严重的 PCI DSS 违规。 法律依据: PCI DSS v4.0 Requirement 3.2.2 WCAG 2.1 SC 3.2.2PCI DSS — PCI Security Standards Council | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 412 | PCI-020 | 不安全的 TLS 密码套件配置 电子商务支付服务器接受包含不安全密码的 TLS 1.0 或 TLS 1.1 连接，未能满足 PCI 在传输过程中对数据加密的要求。 法律依据: PCI DSS v4.0 Requirement 4.2.1 PCI DSS — PCI Security Standards Council | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 413 | PCI-021 | 支付结账页面缺少 CSP 响应头 支付结账页面未能实施“内容安全政策”（CSP）响应头，使表单输入面临脚本注入漏洞的风险，违反了 PCI 规则。 法律依据: PCI DSS v4.0 Requirement 6.4.3 PCI DSS — PCI Security Standards Council | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 414 | PCI-022 | 缺乏对外部 JavaScript 脚本的审计 结账页面直接在包含信用卡表单的页面上加载第三方营销或实用脚本（如聊天框）而未进行审核，违反了 PCI DSS。 法律依据: PCI DSS v4.0 Requirement 6.4.3 PCI DSS — PCI Security Standards Council | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 415 | PCI-023 | 支付表单篡改监测缺失 支付集成系统缺乏自动化的、实时的完整性监测，无法检测结账页面上的篡改、响应头更改或脚本注入，违反了 PCI 标准。 法律依据: PCI DSS v4.0 Requirement 11.6.1 PCI DSS — PCI Security Standards Council | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 416 | PCI-024 | 管理后台使用默认凭据 系统后台或连接的商户控制面板运行着厂商默认的密码或标准的管理员登录凭据，违反了 PCI 安全部署协议。 法律依据: PCI DSS v4.0 Requirement 2.1.1 WCAG 2.1 SC 2.1.1PCI DSS — PCI Security Standards Council | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 417 | PCI-025 | 共享的支付操作员会话 行政账单工作人员在交易管理过程中共享活动的登录会话或多用户帐户，违反了 PCI 责任归属指令。 法律依据: PCI DSS v4.0 Requirement 8.2.1 PCI DSS — PCI Security Standards Council | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 418 | PCI-026 | 支付技术栈中存在已知的 CVE 漏洞 支付路由服务运行在含有公开、高危 CVE 记录的陈旧服务器框架上，违反了 PCI 的漏洞安全管理要求。 法律依据: PCI DSS v4.0 Requirement 6.2.1 PCI DSS — PCI Security Standards Council | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 419 | PCI-027 | 明文存储主账号（PAN）信用卡号 内部数据库直接在明文列中记录并保存完整的信用卡主账号（PAN），而没有实施强加密算法，违反了 PCI 标准。 法律依据: PCI DSS v4.0 Requirement 3.4 PCI DSS — PCI Security Standards Council | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 420 | PCI-028 | 缺少渗透测试证明文件 安全政策页面未能展示年度独立的、外部渗透测试认证证明，未能满足 PCI 验证清单。 法律依据: PCI DSS v4.0 Requirement 11.4 PCI DSS — PCI Security Standards Council | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 421 | STATE-011 | 德克萨斯州 TDPSA 小企业敏感数据处理同意授权 收集德克萨斯州消费者敏感记录的小型企业门户在出售数据前未能获得事先同意，违反了 TDPSA 规定。 法律依据: Tex. Bus. & Com. Code § 541.107 Tex. Bus. & Com. Code § 541.107 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 422 | STATE-012 | 弗吉尼亚州 VCDPA 权利申诉升级途径缺失 隐私政策未能概述消费者对数据权利请求的拒绝处理结果进行申诉的明确程序，违反了弗吉尼亚州 VCDPA 法规。 法律依据: Va. Code § 59.1-577 Va. Code § 59.1-577 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 423 | STATE-013 | 科罗拉多州 CPA 全局退出机制识别缺失 面向科罗拉多州消费者的电子商务网站未能自动处理和尊重全局性通用退出机制（UOOM），违反了 CPA 规则。 法律依据: 4 ... (Colorado CPA, 4 CCR 904-3 Rule 5.01) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 424 | STATE-014 | 特拉华州 DPDPA 未经同意进行非处方健康数据传输 消费者健康数据库在未经明确同意的情况下，将对非处方健康诊断的搜索查询传输给第三方广告经纪商，违反了特拉华州 DPDPA。 法律依据: 6 Del. C. § 12D-106 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 425 | STATE-015 | 俄勒冈州 OCPA 隐私政策中第三方名单不全 隐私政策披露的是一般的数据处理器类别，而不是具体列出接收用户记录的第三方公司的法定名称，违反了俄勒冈州 OCPA。 法律依据: ORS § 646A.825 | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 426 | STATE-016 | 新泽西州 NJPA 敏感数据销售披露不完整 该门户网站在没有显示清晰通知并获得选择性加入同意的情况下，出售含有敏感信息的新泽西州消费者记录，违反了 NJPA 指令。 法律依据: N.J.S.A. 56:8-166 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 427 | STATE-017 | 犹他州 UCPA 消费者权利披露不全 隐私声明漏掉了详细说明犹他州消费者权利、验证时限和退出处理步骤的的法定通知，违反了 UCPA 规则。 法律依据: Utah Code § 13-61-302 | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 428 | STATE-018 | 新罕布什尔州 NHPA 缺少指定的隐私主管 处理新罕布什尔州公民数据的大型数据处理门户网站未能指定公开的合规联系人，违反了 NHPA 监管指令。 法律依据: N.H. Rev. Stat. § 507-H:6 | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 429 | STATE-019 | 蒙大拿州 MTCDPA 针对少年数据处理的同意机制缺失 处理 13-16 岁蒙大拿州消费者个人信息的网站未能获得明确的、肯定的选择性加入同意，违反了 MTCDPA 法律。 法律依据: Mont. Code § 30-14-311 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 430 | STATE-020 | 内布拉斯加州 NEDPA 隐私请求答复时限披露缺失 客户支持文档未能承诺在内布拉斯加州 NEDPA 规定的 45 天法定截止日期内答复消费者的隐私请求提交。 法律依据: Neb. Rev. Stat. § 87-301 | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 431 | FIN-011 | 金融 DORA 缺少 ICT 安全事件通知程序披露 金融系统未能记录和说明向监管机构通知关键数字服务中断事件的处理程序，违反了 DORA 指令。 法律依据: Regulation (EU) 2022/2554 (DORA), Art. 19 DORA Art. 19 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 432 | FIN-012 | GLBA 规范下客户文件明文传输/未加密 贷款处理门户网站存储上传的的纳税申报单或银行对账单时未能实施 AES-256 等效加密，违反了 GLBA 安全保障要求。 法律依据: 16 CFR § 314.4(c)(1) 16 CFR 314.4 | critical | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 433 | FIN-013 | 企业所有权 CTA 受益人申报披露缺失 公司注册及客户控制面板接口未能建立安全且经过验证的结构来记录实益所有权数据，违反了《企业透明度法案》（CTA）。 法律依据: 31 U.S.C. § 5336 31 U.S.C. 5336 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 434 | FIN-014 | 上市企业 SEC 10-K 重大网络安全威胁披露不足 上市公司的投资者关系页面托管的 SEC 归档文件中，遗漏了对重大网络安全风险的详细评估，违反了 SEC 规则。 法律依据: SEC Cybersecurity Rule (Form 10-K Item 1C) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 435 | FIN-015 | FINRA 2210 违规宣传欺骗性收益率 经纪交易商门户页面展示推广性质的资产收益率或增长预测，却没有在同等显著位置呈现风险免责声明，违反了 FINRA 规则 2210。 法律依据: FINRA Rule 2210 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 436 | FIN-016 | 上市企业缺少 SOX 内部控制评估披露 投资者关系门户网站未能发布评估内部财务追踪和运营控制审计的年度管理报告，违反了 SOX 第 404 条。 法律依据: SOX Section 404 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 437 | FIN-017 | 金融 DORA 排除第三方外包风险登记 金融应用程序关联到外部 API 或服务，但未能保存第三方 ICT 提供商及其安全认证的统一登记册，违反了 DORA。 法律依据: Regulation (EU) 2022/2554 (DORA), Art. 28(3) DORA Art. 28(3) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 438 | FIN-018 | 金融 GLBA 年度选择性退出通知不全 消费金融银行门户网站漏掉了关于限制与关联公司共享非公开个人信息的年度选择性退出选择权的清晰指令，违反了 GLBA 规则。 法律依据: 16 CFR § 313.9 16 CFR 313.9 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 439 | FIN-019 | 交易日志存储不符合 FINRA 4511 的 WORM 格式要求 经纪商交易系统将交易记录和客户通信日志存储在标准可修改数据库中，而不是一次写入多次读取（WORM）的介质中，违反了 FINRA。 法律依据: FINRA Rule 4511 | critical | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 440 | FIN-020 | 期货 CFTC 1.31 违规清除五年内交易记录 交易门户网站未能配置电子记录留存系统，以对金融日志和交易确认书实施严格的五年保存期限政策，违反了 CFTC 规则 1.31。 法律依据: CFTC Rule 1.31 | critical | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 441 | OPS-011 | 缺少 AI 情绪情感分析提示 AI 智能客服机器人对用户的消息输入运行情绪检测或情感分析算法，但没有向用户显示清晰的提示警告，违反了《欧盟 AI 法案》。 法律依据: Regulation (EU) 2024/1689 (EU AI Act), Art. 50(3) AI Act Art. 50(3) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 442 | OPS-012 | 违规运行禁止的 AI 生物识别分类系统 在线用户注册界面通过用户上传的脸部照片提取生物特征并对用户进行分类，缺乏明确的法定法律依据，违反了《欧盟 AI 法案》。 法律依据: Regulation (EU) 2024/1689 (EU AI Act), Art. 5(1)(g) AI Act Art. 5(1)(g) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 443 | OPS-013 | AI 生成内容缺少元数据水印 生成式 AI 接口在输出图像或文本时，未能嵌入标准的元数据水印以标明该内容由 AI 生成，违反了《欧盟 AI 法案》的指令。 法律依据: Regulation (EU) 2024/1689 (EU AI Act), Art. 50(2) AI Act Art. 50(2) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 444 | OPS-014 | 欧盟 DSA 算法内容流推荐机制披露 社交流或内容门户网站未能披露其推荐系统所使用的主要推荐参数和排名标准，违反了《数字服务法案》（DSA）的规则。 法律依据: Regulation (EU) 2022/2065 (DSA), Art. 27 Digital Services Act Art. 27 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 445 | OPS-015 | 欧盟 DSA 广告档案库公示缺失 大型发布平台未能托管一个公开的、可搜索的广告档案库来展示活动的广告、赞助商名称和定向投放指标，违反了《数字服务法案》。 法律依据: Regulation (EU) 2022/2065 (DSA), Art. 39 Digital Services Act Art. 39 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 446 | OPS-016 | 缺少对于限流/影子禁言的申诉救济门户 社区门户在限制用户发布的内容（影子禁言）时，未能通知作者并提供清晰的的内部投诉处理门户，违反了《数字服务法案》。 法律依据: Regulation (EU) 2022/2065 (DSA), Art. 20 Digital Services Act Art. 20 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 447 | OPS-017 | 未接受/集成 eIDAS 2.0 欧洲数字身份钱包 设有身份准入限制的的平台未能集成接受官方欧洲数字身份钱包以进行验证的机制，违反了 eIDAS 2.0 指令。 法律依据: Regulation (EU) 2024/1183 (eIDAS 2.0), Art. 6a | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 448 | OPS-018 | 缺少 CRA 安全漏洞上报网关 数字硬件或软件产品门户网站未能提供一个显著、可用的安全漏洞报告接口，违反了《网络韧性法案》（CRA）。 法律依据: Cyber Resilience Act (CRA), Art. 11 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 449 | OPS-019 | 巴西 LGPD 缺少在 ANPD 的 DPO 备案登记 面向巴西用户的门户网站收集客户信息，但未能将其指定的 DPO 信息在国家 ANPD 机构进行登记和公示，违反了 LGPD。 法律依据: Lei Geral de Proteção de Dados (LGPD), Art. 41 LGPD Art. 41 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 450 | OPS-020 | 印度 DPDP 针对未成年人的监护人同意验证缺失 收集 18 岁以下印度公民数据输入的门户网站未能实施经过验证的父母或监护人同意结构，违反了《数字个人数据保护法案》（DPDP）。 法律依据: Digital Personal Data Protection Act (DPDP Act), Sec. 9 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 451 | UAEPD-001 | 阿拉伯联合酋长国跨境数据传输缺乏明确同意 该网站在未获得明确同意或展示充分保护措施的情况下，将阿联酋居民的个人数据传输至阿联酋境外的服务器，违反了阿联酋第 45 号联邦法令。 法律依据: UAE Federal Decree-Law No. 45 of 2021, Art. 22 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 452 | UAEPD-002 | 阿联酋缺少本地数据保护官（DPO）联系人信息 面向阿联酋消费者的网站在处理大规模个人信息时未能指定并公布本地 DPO 的联系信息，违反了阿联酋 PDPL。 法律依据: UAE Federal Decree-Law No. 45 of 2021, Art. 10 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 453 | UAEPD-003 | 不符合规范的阿联酋儿童同意授权流程 该门户网站收集阿联酋儿童的个人数据，但没有验证父母或监护人的同意授权结构，违反了阿联酋儿童保护法。 法律依据: UAE Federal Decree-Law No. 45 of 2021, Art. 6 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 454 | UAEPD-004 | 未能维护阿联酋数据处理记录登记册 该组织的后台系统未能记录和维护针对阿联酋业务的个人数据处理活动记录（ROPA），违反了阿联酋 PDPL 的要求。 法律依据: UAE Federal Decree-Law No. 45 of 2021, Art. 11 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 455 | UAEPD-005 | 阿联酋数据泄露通知时限不合规 该网站的条款和安全政策未能承诺在发生威胁数据隐私的安全泄露事件时立即通知阿联酋数据办公室。 法律依据: UAE Federal Decree-Law No. 45 of 2021, Art. 9 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 456 | UAEPD-006 | 阿联酋缺少直接退出营销画像的机制 客户端控制面板未能为阿联酋用户提供清晰的一键退出自动决策和营销画像的机制，违反了阿联酋 PDPL。 法律依据: UAE Federal Decree-Law No. 45 of 2021, Art. 18 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 457 | SDPD-001 | 未在沙特国家数据门户进行注册登记 处理沙特个人记录的组织未能将其数据库在沙特数据和人工智能管理局（SDAIA）门户进行登记注册，违反了沙特 PDPL。 法律依据: Saudi Arabia Personal Data Protection Law (PDPL) 2021, Art. 32 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 458 | SDPD-002 | 沙特阿拉伯直接营销缺少明确的同意授权 面向沙特消费者的营销订阅表单在发送促销优惠前未能获得单独的、明确的同意授权，违反了沙特 PDPL。 法律依据: Saudi Arabia Personal Data Protection Law (PDPL) 2021, Art. 28 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 459 | SDPD-003 | 在沙特境外违规存储敏感个人数据 网站将沙特国民的健康或敏感财务记录传输并存储在沙特境外的云服务器上，而未取得法定的 SDAIA 授权，构成了严重违规。 法律依据: Saudi Arabia Personal Data Protection Law (PDPL) 2021, Art. 29 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 460 | SDPD-004 | 未能向沙特消费者披露数据处理目的 隐私政策未能将数据收集字段与在沙特阿拉伯合规所需的特定的、合法的处理目的明确关联起来。 法律依据: Saudi Arabia Personal Data Protection Law (PDPL) 2021, Art. 5 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 461 | SDPD-005 | 沙特数据删除请求响应时限不合规 客户支持门户未能按照沙特法规规定的法定时间框架，处理并确认沙特居民提交的的个人数据删除请求。 法律依据: Saudi Arabia Personal Data Protection Law (PDPL) 2021, Art. 21 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 462 | SDPD-006 | 沙特阿拉伯公民缺少追踪的明确选择性同意 该网站在未获得明确的、主动的选择性同意前，对沙特访问者运行行为追踪或分析脚本，违反了沙特 PDPL。 法律依据: Saudi Arabia Personal Data Protection Law (PDPL) 2021, Art. 17 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 463 | ILPA-002 | 未根据以色列法律注册数据库 该平台在未进行法定注册的情况下，在包含超过 10,000 人的数据库中处理以色列公民的个人信息，违反了以色列《隐私法》。 法律依据: Israel Privacy Protection Act 5741-1981, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 464 | ILPA-003 | 未能根据以色列法律披露提交数据的自愿性 网页表单未能明确告知以色列消费者他们提供个人信息是法定义务还是完全自愿的，违反了以色列《隐私保护法》。 法律依据: Israel Privacy Protection Act 5741-1981, Sec. 11 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 465 | ILPA-004 | 以色列跨境数据传输不合规 用户数据库在未满足以色列传输条例规定的法定例外条件的情况下，将以色列记录传输到无法确保同等隐私保护水平的第三国。 法律依据: Israel Privacy Protection Regulations (Transfer of Data to Databases Abroad) 5761-2001 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 466 | ILPA-005 | 缺少以色列法规要求的网络安全审计 处理以色列用户记录的企业未能对其数据库处理基础设施进行年度独立的网络安全审计并记录，违反了以色列法规。 法律依据: Israel Privacy Protection Regulations (Data Security) 5777-2017 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 467 | ILPA-006 | 以色列未注册的非法直接邮寄广告 电子商务网站在未将目标数据库注册为直接邮寄数据库的情况下，根据特征画像向以色列公民发送自动营销电子邮件，违反了以色列法律。 法律依据: Israel Privacy Protection Act 5741-1981, Sec. 17C | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 468 | TRKV-003 | 土耳其缺少 Cookie 追踪的明确同意授权 在获得明确的、主动的选择性同意前，Cookie 同意管理器未能阻止针对土耳其访问者的分析或广告脚本，违反了土耳其 KVKK 指南。 法律依据: Turkey Law on Protection of Personal Data (KVKK) No. 6698, Art. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 469 | TRKV-004 | 未在土耳其 VERBIS 数据库注册系统进行登记 处理土耳其居民个人数据且超出法定门槛的外国公司未能向数据控制者登记系统（VERBIS）进行注册，违反了 KVKK 规则。 法律依据: Turkey Law on Protection of Personal Data (KVKK) No. 6698, Art. 16 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 470 | TRKV-005 | 土耳其数据泄露报告时间不合规 安全事件协议未能强制要求在法定的 72 小时窗口内向土耳其个人数据保护委员会（KVKK）报告数据泄露事件。 法律依据: KVKK Board Decision on Breach Notification Timelines (Decision No. 2019/10) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 471 | TRKV-006 | 缺少土耳其隐私政策澄清文本 网页表单未能向土耳其消费者呈现专门的“澄清文本”（Aydınlatma Metni）以概述权利和处理渠道（与通用政策相分离），违反了 KVKK。 法律依据: Turkey Law on Protection of Personal Data (KVKK) No. 6698, Art. 10 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 472 | TRKV-007 | 未经土耳其委员会同意的非法跨境数据传输 网站数据库托管服务在未获得明确同意或展示标准承诺协议的情况下，将土耳其用户的个人记录路由到土耳其境外的服务器，违反了 KVKK。 法律依据: Turkey Law on Protection of Personal Data (KVKK) No. 6698, Art. 9 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 473 | CHFADP-001 | 瑞士缺少自动决策的明确披露 该网站针对瑞士居民使用自动用户评分或决策系统，但未展示清晰的披露信息并提供人工审核界面，违反了瑞士 FADP。 法律依据: Swiss Federal Act on Data Protection (FADP) 2023, Art. 21 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 474 | CHFADP-002 | 外国控制者在瑞士缺少指定的代表人 大规模处理瑞士消费者记录的外国组织未能指定位于瑞士本地的代表，违反了瑞士 FADP。 法律依据: Swiss Federal Act on Data Protection (FADP) 2023, Art. 14 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 475 | CHFADP-003 | 未披露瑞士数据处理登记册分项 未能按照瑞士标准维护数据处理活动记录（ROPA）的企业系统将面临经修订的 FADP 规定下的监管合规法律责任。 法律依据: Swiss Federal Act on Data Protection (FADP) 2023, Art. 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 476 | CHFADP-004 | 瑞士数据跨境传输缺少充足性保护措施 网站数据库备份服务在未实施经过验证的的合同条款的情况下，将瑞士用户的个人文件传输到保护水平不足的国家的服务器上，违反了瑞士 FADP。 法律依据: Swiss Federal Act on Data Protection (FADP) 2023, Art. 16 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 477 | CHFADP-005 | 瑞士敏感个人数据处理缺少明确同意授权 收集瑞士国民敏感信息（如宗教观点、政治见解、工会身份）的表单未能获得主动的、明确的同意授权，违反了 FADP。 法律依据: Swiss Federal Act on Data Protection (FADP) 2023, Art. 6 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 478 | CHFADP-006 | 瑞士数据泄露事件缺少快速上报机制 系统安全事件日志未能支持在发生给瑞士用户带来高风险的数据泄露事件时，快速向联邦数据保护和信息专员（FDPIC）通报，违反了 FADP。 法律依据: Swiss Federal Act on Data Protection (FADP) 2023, Art. 24 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 479 | UKGDPR-001 | 数据传输缺少英国 GDPR 附录 网站数据库服务在未实施法定的英国《国际数据传输协议》（IDTA）或欧盟标准契约条款（SCC）的英国附录的情况下，将英国用户的记录传输到国际服务器。 法律依据: UK Data Protection Act 2018 / UK GDPR UK Data Protection Act 2018UK GDPR | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 480 | UKGDPR-002 | 缺少英国 ICO 费用注册登记 处理英国公民个人数据的外国公司未能向英国信息专员办公室（ICO）进行注册登记并缴纳数据保护费，违反了英国法律。 法律依据: UK Data Protection (Charges and Information) Regulations 2018 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 481 | UKGDPR-003 | 英国 GDPR 框架下缺少指定的英国代表人 面向英国客户开展业务的外国公司未能指定并公布英国本地代表，以代表控制者行使职责，违反了英国 GDPR 的要求。 法律依据: UK GDPR, Art. 27 UK GDPR Art. 27 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 482 | UKGDPR-004 | 不符合英国《适龄设计规范》的儿童数据处理 面向英国用户的网站在未默认建立高水平隐私保护的情况下，收集 18 岁以下儿童的信息，违反了英国《儿童规范》。 法律依据: UK Age-Appropriate Design Code (Children's Code) UK Age Appropriate Design Code (ICO) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 483 | UKOSA-002 | 针对有害内容缺少年龄验证机制（英国 OSA） 展示用户生成媒体内容的内容门户网站未能部署健全的的年龄确认验证程序，以限制未成年人访问有害文件，违反了英国 OSA。 法律依据: UK Online Safety Act 2023 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 484 | UKOSA-003 | 缺少英国在线安全内容举报渠道 提供交互式用户交流的网站未能展示显著、可用的举报入口，供英国用户举报非法或有害内容，违反了在线安全指令。 法律依据: UK Online Safety Act 2023 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 485 | AUSPA-001 | 未能执行澳大利亚《隐私法》下的数据擦除请求 支持系统未能为澳大利亚公民提供专用的、法定的渠道来请求销毁或去标识化其个人记录，违反了 APP。 法律依据: Australia Privacy Act 1988 - Australian Privacy Principles (APPs) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 486 | AUSPA-002 | 澳大利亚跨境数据披露不符合规范 在未采取合理步骤确保接收方合规的情况下，将澳大利亚公民的个人记录传输到国际托管目的地，违反了 APP 8。 法律依据: Australia Privacy Act 1988 - APP 8 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 487 | AUSPA-003 | 澳大利亚缺少营销 Cookie 追踪的明确选择性同意 该电子商务网站在未获得明确的、主动的选择性同意前，即向澳大利亚用户执行用于定向广告的追踪像素，违反了最新的《隐私法》改革。 法律依据: Australia Privacy Act 1988 Reforms | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 488 | AUSPA-004 | 澳大利亚隐私政策未披露第三方数据托管所在地 隐私政策未能明确披露个人记录可能被披露或托管的目标国家名单，违反了澳大利亚 APP 1。 法律依据: Australia Privacy Act 1988 - APP 1 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 489 | AUSPA-005 | 违反澳大利亚《反垃圾邮件法》的退订规定 电子邮件营销系统在澳大利亚公民退订后的 5 个工作日法定处理窗口期过后，仍继续向其发送促销信息，违反了《反垃圾邮件法》。 法律依据: Australia Spam Act 2003 | serious | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 490 | AUSPA-006 | APP 7 框架下未提供选择性退出的非法直接营销 该网站利用个人画像向澳大利亚消费者推广服务，但未在每个营销场景下提供显著的、免费的退出机制，违反了 APP 7。 法律依据: Australia Privacy Act 1988 - APP 7 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 491 | AUSPA-007 | 澳大利亚用户记录缺少数据质量核实机制 该数据库未能运行自动化验证程序，以确保从澳大利亚居民收集的个人数据保持准确、完整和最新状态，违反了 APP 10。 法律依据: Australia Privacy Act 1988 - APP 10 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 492 | NZPR-004 | 未披露新西兰隐私主管的联系方式 处理新西兰公民个人信息的网站未能指定并公布法定隐私主管的联系信息，违反了新西兰《隐私法》。 法律依据: New Zealand Privacy Act 2020, IPP 1 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 493 | NZPR-005 | 新西兰数据泄露事件缺少即时通报机制 安全系统未能支持在发生可能给新西兰居民造成严重危害的数据泄露事件时，快速通报新西兰隐私专员，违反了《隐私法》。 法律依据: New Zealand Privacy Act 2020, Part 6 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 494 | NZPR-006 | 缺少新西兰消费者数据访问控制台（IPP 6） 帐户控制面板未能为新西兰用户提供访问和下载其记录中所有个人文件完整副本的清晰途径，违反了 IPP 6。 法律依据: New Zealand Privacy Act 2020, IPP 6 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 495 | NZPR-007 | 在保护不力司法管辖区违规存储新西兰用户记录（IPP 12） 新西兰消费者的个人记录被存储在无法提供与新西兰法律同等保护水平的境外云服务器上，违反了 IPP 12。 法律依据: New Zealand Privacy Act 2020, IPP 12 NZ Privacy Act 2020, IPP 12 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 496 | NZPR-008 | 过度收集新西兰居民的个人数据 在线表单要求新西兰居民提供与其业务交易无直接关联的过多的、非必要的个人信息，违反了新西兰 IPP 1。 法律依据: New Zealand Privacy Act 2020, IPP 1 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 497 | SGPD-004 | 新加坡缺少法定 DPO 联系信息披露 面向新加坡用户的网站在其隐私政策页面中未列出指定数据保护官（DPO）的办公地址或电子邮件，违反了 PDPA。 法律依据: Singapore Personal Data Protection Act (PDPA) 2012, Sec. 11 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 498 | SGPD-005 | 未能规范记录新加坡默示同意规则 该门户网站在没有事先进行风险评估或规范记录通知机制的情况下，根据新加坡的“默示同意”规则处理用户数据，违反了 PDPA。 法律依据: Singapore Personal Data Protection Act (PDPA) 2012 Amendments | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 499 | SGPD-006 | 不符合新加坡 PDPA 的数据可携性操作 处理新加坡用户数据的客户端控制面板未能提供可导出的、自动化的数据可携性传输通道，违反了 PDPA。 法律依据: Singapore Personal Data Protection Act (PDPA) 2012 Portability Provisions | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 500 | SGPD-007 | 新加坡数据泄露通报时间不合规（3日内） 事件响应机制未能强制要求在确认发生符合上报标准的数据泄露事件后，在 3 个日历日内通知新加坡 PDPC，违反了法定时间限制。 法律依据: Singapore Personal Data Protection Act (PDPA) 2012, Sec. 26D | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 501 | SGPD-008 | 违反新加坡 Do Not Call (DNC) 勿呼叫登记规定 电话营销集成系统在未与新加坡国家 DNC 登记册核对过滤的情况下，向新加坡电话号码发送推广电话或短信，违反了新加坡 PDPA。 法律依据: Singapore Personal Data Protection Act (PDPA) 2012 - DNC Provisions | critical | TCPA / Telecom 电话消费者保护法 (TCPA) / CAN-SPAM 法案 / FTSA | 每次通话/短信 $500–$1,500（TCPA，私人诉讼）/ 每封邮件最高 $53,088（CAN-SPAM） FCC 监管行动 / 集体诉讼 / ISP 永久域名黑名单 |
| 502 | MYPD-001 | 缺少马来西亚 PDPA 要求的双语隐私通知 面向马来西亚用户的网站未能以双语（马来语和英语）展示其隐私政策，违反了马来西亚 PDPA 的明确要求。 法律依据: Malaysia Personal Data Protection Act (PDPA) 2010, Sec. 7(3) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 503 | MYPD-002 | 马来西亚 PDPA 框架下的非法跨境数据传输 用户数据库在没有法定例外条件且未获得明确同意的情况下，将马来西亚公民的个人记录传输到马来西亚境外的服务器上，违反了 PDPA。 法律依据: Malaysia Personal Data Protection Act (PDPA) 2010, Sec. 129 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 504 | MYPD-003 | 马来西亚缺少数据准确性验证机制 网站数据库未能实施相应机制以确保收集自马来西亚用户的个人记录得到准确处理并保持最新，违反了 PDPA。 法律依据: Malaysia Personal Data Protection Act (PDPA) 2010, Sec. 11 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 505 | MYPD-004 | 不符合规范的马来西亚敏感个人数据处理 网页表单收集马来西亚用户的敏感个人信息（如健康状况或政治派别），但未获得明确的、签署的书面同意，违反了 PDPA。 法律依据: Malaysia Personal Data Protection Act (PDPA) 2010, Sec. 40 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 506 | THPD-005 | 未披露泰国 DPO 联系及处理规程 面向泰国消费者的网站在其页面中未能显著公布指定数据保护官（DPO）的联系及沟通方式，违反了泰国 PDPA 的要求。 法律依据: Thailand Personal Data Protection Act (PDPA) 2019, Sec. 41 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 507 | THPD-006 | 缺少泰国用户撤销同意授权的界面 用户个人控制面板未能为泰国公民提供一种撤销同意的简易机制（应当与给予同意一样简便），违反了 PDPA。 法律依据: Thailand Personal Data Protection Act (PDPA) 2019, Sec. 19 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 508 | THPD-007 | 非法跨境传输泰国用户的个人数据 数据库备份服务将泰国用户的个人数据路由传输到国外的服务器，而不符合数据保护充足性规则，且未获得同意，违反了泰国 PDPA。 法律依据: Thailand Personal Data Protection Act (PDPA) 2019, Sec. 28 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 509 | THPD-008 | 泰国数据处理活动登记册记录缺失 处理泰国公民记录的组织未能记录并保存数据库操作和处理目的评估日志，违反了 PDPA 指令。 法律依据: Thailand Personal Data Protection Act (PDPA) 2019, Sec. 39 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 510 | THPD-009 | 未经明确同意收集泰国敏感个人数据 在线信息收集表单收集泰国居民的指纹/生物特征、犯罪记录或健康数据，但未获得明确的主动同意，违反了 PDPA 法规。 法律依据: Thailand Personal Data Protection Act (PDPA) 2019, Sec. 26 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 511 | VNDP-002 | 越南数据跨境传输缺少事前影响评估 向越南境外传输越南个人数据的组织未能向公安部提交跨境传输影响评估报告，违反了越南第 13 号法令。 法律依据: Vietnam Decree 13/2023/ND-CP on Personal Data Protection, Art. 25 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 512 | VNDP-003 | 不符合规范的越南儿童数据处理 收集 7 岁或以上越南儿童个人数据的 Web 应用程序未能同时获得儿童本人及父母/监护人的双重同意，违反了第 13 号法令。 法律依据: Vietnam Decree 13/2023/ND-CP on Personal Data Protection, Art. 20 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 513 | VNDP-004 | 越南业务缺少本地化服务器存储 根据网络安全法要求，企业系统在越南境内处理越南公民的数据时，未能建立本地服务器存在来存储这些数据库记录。 法律依据: Vietnam Law on Cybersecurity No. 24/2018/QH14, Art. 26 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 514 | VNDP-005 | 未按照越南第 13 号法令披露 DPO 信息 处理越南公民敏感个人信息的组织在其隐私政策中未能指定数据保护部门或 DPO 联系人，违反了第 13 号法令。 法律依据: Vietnam Decree 13/2023/ND-CP on Personal Data Protection, Art. 28 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 515 | VNDP-006 | 越南缺少经验证的的数据库安全评估 处理越南用户记录的平台未能进行年度数据库系统安全评估并维护验证日志以备监管检查，违反了第 13 号法令。 法律依据: Vietnam Decree 13/2023/ND-CP on Personal Data Protection, Art. 27 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 516 | DPDP-004 | 印度缺少多语言隐私通知 面向印度用户的网站未能提供查看印度宪法规定的全部 22 种法定语言版本的隐私披露文档的选择切换，违反了 DPDP 法案。 法律依据: Digital Personal Data Protection Act (DPDP Act) 2023, Sec. 5(3) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 517 | DPDP-005 | 未针对印度建立本地化的争议纠正与解决渠道 支持门户未能向印度消费者提供提起申诉并联系本地申诉官的明确机制，违反了 DPDP 法案的规定。 法律依据: Digital Personal Data Protection Act (DPDP Act) 2023, Sec. 13 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 518 | DPDP-006 | 印度表单中的处理目的披露不够具体合规 在线表单在收集印度居民的个人信息时，未能同时呈现独立的、清晰的通知，具体说明收集哪些数据以及为何收集，违反了 DPDP 法案。 法律依据: Digital Personal Data Protection Act (DPDP Act) 2023, Sec. 5(1) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 519 | DPDP-007 | 印度未披露 DPO 和同意授权管理器联系人信息 面向印度的隐私披露文件漏掉了 DPO 详细信息，且未能支持指定经过认证的同意授权管理器，违反了 DPDP 的要求。 法律依据: Digital Personal Data Protection Act (DPDP Act) 2023, Sec. 6 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 520 | DPDP-008 | 不符合规范的印度未成年人追踪 Cookie 处理 该网站向经判定为 18 岁以下印度儿童的用户执行行为监控 Cookie 或投放定向广告算法，违反了 DPDP 法案的明确禁止规定。 法律依据: Digital Personal Data Protection Act (DPDP Act) 2023, Sec. 9(2) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 521 | DPDP-009 | 印度数据处理商/外包供应商处缺少数据擦除控制 该数据库未能将印度用户提交的数据擦除请求自动广播同步给第三方供应商及合作伙伴分处理器，违反了 DPDP 法案的要求。 法律依据: Digital Personal Data Protection Act (DPDP Act) 2023, Sec. 12 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 522 | JPAP-004 | 日本 APPI 框架下缺少跨境信息披露 隐私政策未能告知日本用户其记录存储所在的目标国家名称，以及接收服务器实施的安全系统保障措施，违反了 APPI。 法律依据: Japan Act on the Protection of Personal Information (APPI), Sec. 28 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 523 | JPAP-005 | 日本数据库安全管理措施披露不完整 公司隐私政策未能列出为保护存储的日本用户记录而采取的具体的行政、技术和物理安全管理措施，违反了 APPI。 法律依据: Japan Act on the Protection of Personal Information (APPI), Sec. 32 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 524 | JPAP-006 | 日本处理假名个人信息缺少同意授权 该网站在未满足 APPI 披露要求的情况下，对日本访问者的假名用户数据（例如与服务器画像关联的 Cookie ID）进行追踪和处理。 法律依据: Japan Act on the Protection of Personal Information (APPI), Sec. 41 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 525 | JPAP-007 | 不符合规范的日本个人可关联信息处理 Web 数据库将用户标识符传输给第三方，且明知这些标识符将在日本与可识别的个人记录相关联，却没有验证用户同意，违反了 APPI。 法律依据: Japan Act on the Protection of Personal Information (APPI), Sec. 31 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 526 | JPAP-008 | 日本个人信息保护委员会（PPC）缺少数据泄露通报机制 系统安全事件追踪规则未能强制要求在发生重大数据泄露事件（导致敏感或大规模文件泄漏）时，向日本个人信息保护委员会（PPC）通报。 法律依据: Japan Act on the Protection of Personal Information (APPI), Sec. 26 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 527 | JPAP-009 | 日本未经核实的非法电话营销 收集日本电话号码的的线索表单在发起销售电话前，未能显示清晰的选择性退出复选框并核实用户“勿呼叫”偏好，违反了 APPI 指南。 法律依据: Japan Act on the Protection of Personal Information (APPI) Guidelines | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 528 | SKPA-001 | 韩国表单中的同意授权缺少多选项的分离设计 面向韩国用户的在线输入表单将非必要的营销同意与必要的服务条款同意复选框打包在一起，违反了韩国 PIPA。 法律依据: South Korea Personal Information Protection Act (PIPA), Art. 22 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 529 | SKPA-002 | 韩国身份证号（RRN）处理不符合规范 Web 应用程序在没有法定法律依据或未采取安全加密措施的情况下，处理韩国公民的身份证号（RRN），违反了韩国 PIPA。 法律依据: South Korea Personal Information Protection Act (PIPA), Art. 24-2 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 530 | SKPA-003 | 韩国缺少本地语言版本的 DPO 信息披露 面向韩国用户的隐私披露文件未能使用韩文文本注明 DPO 的联系地址或电话号码，违反了 PIPA 的要求。 法律依据: South Korea Personal Information Protection Act (PIPA), Art. 31 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 531 | SKPA-004 | 韩国 PIPA 框架下跨境数据传输披露缺失 隐私政策未能告知韩国消费者将个人数据外发传输至海外服务器的日期、目的国以及处理目的，违反了 PIPA。 法律依据: South Korea Personal Information Protection Act (PIPA), Art. 39-11 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 532 | SKPA-005 | 韩国向个人信息保护委员会（PIPC）通报数据泄露违规 事件响应指南未能强制要求在确认发生重大数据泄露事件（影响 1,000 名或以上用户）时，在 24 小时内向韩国个人信息保护委员会（PIPC）通报。 法律依据: South Korea Personal Information Protection Act (PIPA), Art. 34 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 533 | LGPD-005 | 未在巴西国家数据保护局（ANPD）登记注册 DPO 处理巴西个人数据的组织未能正式在国家 ANPD 机构登记注册并公布其指定 DPO（Encarregado）的联系信息，违反了 LGPD。 法律依据: Lei Geral de Proteção de Dados (LGPD), Art. 41 LGPD Art. 41 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 534 | LGPD-006 | 处理巴西敏感记录缺少明确同意授权 在线收集表单在收集巴西消费者的健康、生物特征或工会身份等敏感信息时，未能获得单独的、明确的选择性签名或核实复选框，违反了 LGPD。 法律依据: Lei Geral de Proteção de Dados (LGPD), Art. 11 LGPD Art. 11 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 535 | LGPD-007 | 不符合巴西 LGPD 的数据可携性通道 客户端控制面板未能为巴西消费者提供用于将其数据库画像导出并传输至竞争对手网络的自动化接口，违反了 LGPD。 法律依据: Lei Geral de Proteção de Dados (LGPD), Art. 9 LGPD Art. 9 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 536 | LGPD-008 | 未能明示并记录针对巴西的数据处理法律依据 公司隐私政策未能明确将所收集的每类个人信息与 LGPD 合规所需的十种法定法律依据之一进行关联说明。 法律依据: Lei Geral de Proteção de Dados (LGPD), Art. 7 LGPD Art. 7 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 537 | LGPD-009 | 在巴西未能执行即时擦除请求 支持系统在收到巴西用户提交的数据擦除请求后，未能立即删除其个人信息并确认合规，违反了 LGPD 法规。 法律依据: Lei Geral de Proteção de Dados (LGPD), Art. 16 LGPD Art. 16 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 538 | POPI-003 | 未注册南非信息主管 处理南非居民个人信息的组织未能向信息监管机构注册其指定的信息主管，违反了 POPIA。 法律依据: Protection of Personal Information Act (POPIA) 2013, Sec. 55 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 539 | POPI-004 | 南非缺少主动发送的电子营销的直接同意 电子商务或落地页门户网站在未获得主动的、事先选择性同意的情况下，向南非公民发送促销电子邮件或短信，违反了 POPIA。 法律依据: Protection of Personal Information Act (POPIA) 2013, Sec. 69 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 540 | POPI-005 | 南非身份证号不安全存储 系统数据库在未加密的列中存储南非国民身份证号，或允许未经授权的访问，未满足 POPIA 的安全要求。 法律依据: Protection of Personal Information Act (POPIA) 2013, Sec. 19 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 541 | POPI-006 | 南非缺少对数据处理目的边界的审计 Web 应用程序在未经同意的情况下，为了与原始收集目的不相符的其他原因处理从南非公民处收集的数据，违反了 POPIA。 法律依据: Protection of Personal Information Act (POPIA) 2013, Sec. 15 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 542 | POPI-007 | 企业门户网站未公开 PAIA 操作手册 面向南非业务的平台未能提供可公开下载的 PAIA 手册，详细说明访问企业信息登记册的程序，违反了法定要求。 法律依据: Promotion of Access to Information Act (PAIA) 2000 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 543 | NDPA-002 | 尼日利亚 NDPA 框架下缺少法定的审计披露 处理尼日利亚数据的大型数据控制者未能向尼日利亚数据保护委员会（NDPC）提交年度数据保护审计报告，违反了 NDPA。 法律依据: Nigeria Data Protection Act (NDPA) 2023, Sec. 33 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 544 | NDPA-003 | 尼日利亚直接营销缺少明确同意 在线用户注册流程在未获得明确的事先同意前，即将尼日利亚用户列入促销名单，违反了数据保护法规。 法律依据: Nigeria Data Protection Act (NDPA) 2023, Sec. 26 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 545 | NDPA-004 | 尼日利亚用户数据在国外违规存储 用户数据库在不符合数据保护充足性规则，且未实施经过验证的合同条款的情况下，将尼日利亚公民的记录传输到尼日利亚境外的服务器，违反了 NDPA。 法律依据: Nigeria Data Protection Act (NDPA) 2023, Sec. 41 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 546 | NDPA-005 | 尼日利亚法律框架下缺少信息安全审计 处理尼日利亚用户记录的企业未能进行年度数据库系统安全评估并保存记录，违反了 NDPA 法规。 法律依据: Nigeria Data Protection Act (NDPA) 2023, Sec. 39 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 547 | MXPD-002 | 缺少墨西哥合规隐私通知结构（Aviso de Privacidad） 面向墨西哥消费者的隐私披露内容未能提供法定要求的正式隐私通知结构（Aviso de Privacidad），违反了 LFPDPPP。 法律依据: Mexico Federal Law on Protection of Personal Data (LFPDPPP), Art. 15 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 548 | MXPD-003 | 墨西哥敏感数据处理缺少明确的选择性同意授权 在线收集表单在收集墨西哥用户的财务或敏感健康信息时，未能获得明确的、签署的主动同意或复选框授权，违反了墨西哥法律。 法律依据: Mexico Federal Law on Protection of Personal Data (LFPDPPP), Art. 9 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 549 | MXPD-004 | 墨西哥未披露 ARCO 权利救济渠道 隐私政策未能说明在墨西哥法律框架下行使 ARCO 权利（访问权、更正权、注销权、反对权）所需的具体程序、时限和联系通道。 法律依据: Mexico Federal Law on Protection of Personal Data (LFPDPPP), Art. 22 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 550 | MXPD-005 | 墨西哥客户数据缺少安全保护披露 处理墨西哥居民数据的客户数据库系统缺少 LFPDPPP 法规要求的书面记录的的行政、技术和物理安全保障措施。 法律依据: Mexico Federal Law on Protection of Personal Data (LFPDPPP), Art. 19 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 551 | ARGPD-001 | 未在 AAIP 注册数据库 (阿根廷) 数据控制者未在公共信息获取机构 (AAIP) 注册包含阿根廷居民个人数据的数据库进行处理。 法律依据: Argentina Personal Data Protection Act (Ley 25.326), Art. 3 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 552 | ARGPD-002 | 阿根廷法律下缺少明确的 ARCO 权利渠道 隐私政策未能说明阿根廷数据主体如何行使其访问、更正、删除和保密的权利。 法律依据: Argentina Personal Data Protection Act (Ley 25.326), Art. 14 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 553 | ARGPD-003 | 阿根廷数据存储库缺少本地安全保护措施 保存阿根廷居民个人数据的数据库系统未能实施 AAIP 条例授权的组织和技术安全措施。 法律依据: Argentina Personal Data Protection Act (Ley 25.326), Art. 9 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 554 | ARGPD-004 | 阿根廷法律下未经选择退出验证的非法直接营销 网站在未验证国家“谢绝来电”登记处或未提供直接退出链接的情况下，向阿根廷居民进行直接营销。 法律依据: Argentina Personal Data Protection Act (Ley 25.326), Art. 27 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 555 | ARGPD-005 | 阿根廷公民缺少足够的第三国传输保护措施 控制者将阿根廷居民数据国际传输到根据 AAIP 标准未提供足够保护水平的国家或实体。 法律依据: Argentina Personal Data Protection Act (Ley 25.326), Art. 12 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 556 | COLPD-001 | 哥伦比亚缺少强制性数据库注册 (RNBD) 数据控制者未能将其包含哥伦比亚居民数据的个人数据库在国家数据库登记处 (RNBD) 进行注册。 法律依据: Colombia Data Protection Law (Ley 1581 of 2012), Art. 25 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 557 | COLPD-002 | 哥伦比亚居民缺少明确的事先同意 网站在未获得可验证的明确、事先和知情同意的情况下，收集和处理哥伦比亚居民的个人数据。 法律依据: Colombia Data Protection Law (Ley 1581 of 2012), Art. 9 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 558 | COLPD-003 | 哥伦比亚法律下缺少合规的申诉处理渠道 隐私政策未能提供合规的渠道和法定时间表（15个工作日）来解决哥伦比亚主体的查询或申诉。 法律依据: Colombia Data Protection Law (Ley 1581 of 2012), Art. 15 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 559 | COLPD-004 | 哥伦比亚法律下未能审计跨境数据流动协议 控制者在未确认适当性或获得 SIC 授权的情况下，将哥伦比亚个人数据传输到第三国。 法律依据: Colombia Data Protection Law (Ley 1581 of 2012), Art. 26 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 560 | COLPD-005 | 在哥伦比亚未经父母代理非法处理未成年人个人数据 网站在未对父母或法定代表人授权进行验证的情况下，收集哥伦比亚儿童或青少年的数据。 法律依据: Colombia Data Protection Law (Ley 1581 of 2012), Art. 7 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 561 | CHLPD-001 | 未能兑现智利公民的删除或更正请求 网站未能为智利居民提供自动或有文件记录的渠道来请求删除或纠正其个人记录数据。 法律依据: Chile Law on Private Life Protection (Ley 19.628), Art. 12 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 562 | CHLPD-002 | 在智利未经书面授权非法处理敏感个人信息 网站收集智利公民的敏感数据（健康、意识形态、工会成员身份），但未获得明确的书面或同等数字同意。 法律依据: Chile Law on Private Life Protection (Ley 19.628), Art. 10 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 563 | CHLPD-003 | 智利居民数据存储库缺少妥当的安全披露 保存智利居民个人数据的数据处理系统缺乏有文件记录的技术措施，无法防止未经授权的访问。 法律依据: Chile Law on Private Life Protection (Ley 19.628), Art. 11 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 564 | CHLPD-004 | 智利法律下未经选择退出的不合规电子邮件直接营销 网站向智利居民发送商业电子邮件，但未提供明确、免费且易于使用的选择退出机制。 法律依据: Chile Consumer Protection Act (Ley 19.496), Art. 28B | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 565 | CHLPD-005 | 处理智利居民个人数据的数据传输合同不充分 控制者与第三方服务提供商共享智利居民的数据，但未签署列明数据安全和处理职责的正式协议。 法律依据: Chile Law on Private Life Protection (Ley 19.628), Art. 4 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 566 | PERPD-001 | 未能注册秘鲁个人数据银行 (RNDP) 数据控制者未能将其包含秘鲁居民数据的个人数据库在国家个人数据保护登记处进行注册。 法律依据: Peru Data Protection Law (Ley 29733), Art. 30 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 567 | PERPD-002 | 秘鲁数据国际传输披露不完整 隐私政策未能确定秘鲁境外的特定第三方和传输位置，违反了法定的透明度义务。 法律依据: Peru Data Protection Law (Ley 29733), Art. 18 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 568 | PERPD-003 | 秘鲁法律下缺少直接和即时的 ARCO 权利程序 网站缺乏秘鲁法律下执行 ARCO 权利的特定说明和时限（例如访问8天，更正10天）。 法律依据: Peru Data Protection Law (Ley 29733), Art. 19 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 569 | PERPD-004 | 在秘鲁未能就跟踪 Cookie 获得清晰的事先同意 网站在获得秘鲁居民同意之前就部署了广告或分析 Cookie，违反了同意标准。 法律依据: Peru Data Protection Law (Ley 29733), Art. 12 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 570 | PERPD-005 | 外国实体在秘鲁处理数据缺少适当的的法律代表 处理秘鲁居民数据的外国实体未能指定秘鲁境内的本地法律代表或送达地址。 法律依据: Peru Data Protection Law (Ley 29733), Art. 34 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 571 | URYPD-001 | 未在 URCDP 注册数据处理活动 (乌拉圭) 数据控制者未能向个人数据控制和监管单位 (URCDP) 注册数据库或数据处理计划。 法律依据: Uruguay Personal Data Protection Act (Ley 18.331), Art. 31 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 572 | URYPD-002 | 未能于24小时内在乌拉圭记录和通报安全漏洞 网站缺乏在发现安全事件后 24 小时内向 URCDP 记录和报告的正式协议。 法律依据: Uruguay Personal Data Protection Act (Ley 18.331), Art. 12 (amended) | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 573 | URYPD-003 | 外国控制者缺少乌拉圭本地代表指定 针对乌拉圭消费者的外国公司未能指定本地代表来管理第 18.331 号法律规定的监管机构要求。 法律依据: Uruguay Personal Data Protection Act (Ley 18.331), Art. 34 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 574 | URYPD-004 | 乌拉圭不合规地处理生物识别或敏感数据 网站收集乌拉圭居民的敏感数据（健康、生物识别标识符），但未获得明确、事先和书面同意。 法律依据: Uruguay Personal Data Protection Act (Ley 18.331), Art. 18 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 575 | URYPD-005 | 乌拉圭居民缺少明确的数据可携性操作 数据控制者未能提供直接途径或标准化格式来满足乌拉圭消费者的可携性请求。 法律依据: Uruguay Personal Data Protection Act (Ley 18.331), Art. 14 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 576 | ECUPD-001 | 厄瓜多尔居民同意界面不当 (LOPDP) 在 LOPDP 规定下，同意界面未能为厄瓜多尔消费者的不同处理目的提供独立的复选框。 法律依据: Ecuador Law on Protection of Personal Data (LOPDP), Art. 8 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 577 | ECUPD-002 | 缺少厄瓜多尔保护机构本地化救济途径 隐私政策未能说明用户的权利，或提供向厄瓜多尔数据保护局提交申诉的清晰途径。 法律依据: Ecuador Law on Protection of Personal Data (LOPDP), Art. 33 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 578 | ECUPD-003 | 在厄瓜多尔未执行数据保护影响评估 (DPIA) 控制者未针对面向厄瓜多尔主体的的高风险数据处理执行或记录数据保护影响评估。 法律依据: Ecuador Law on Protection of Personal Data (LOPDP), Art. 40 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 579 | ECUPD-004 | 在厄瓜多尔未经核实同意的非法营销传播 网站在未收集明确、非捆绑的促销同意的情况下，向厄瓜多尔居民发送商业信息。 法律依据: Ecuador Law on Protection of Personal Data (LOPDP), Art. 12 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 580 | ECUPD-005 | 厄瓜多尔数据库缺少安全和完整性措施 处理厄瓜多尔消费者个人数据的数据库缺乏有文件记录的的管理、技术和物理安全计划。 法律依据: Ecuador Law on Protection of Personal Data (LOPDP), Art. 37 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 581 | CRIAP-001 | 未在 PRODHAB 注册数据库 (哥斯达黎加) 实体在未向居民数据保护局 (PRODHAB) 注册数据库的情况下处理哥斯达黎加个人数据。 法律依据: Costa Rica Law 8968, Art. 12 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 582 | CRIAP-002 | 在哥斯达黎加信息自决披露不完整 隐私声明未能披露法定的信息自决权利以及撤销同意的途径。 法律依据: Costa Rica Law 8968, Art. 5 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 583 | CRIAP-003 | 处理哥斯达黎加敏感数据缺少验证协议 在没有明确事先验证协议的情况下，收集哥斯达黎加主体的敏感类别个人数据（健康、生物识别）。 法律依据: Costa Rica Law 8968, Art. 9 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 584 | CRIAP-004 | 向不当的第三国非法传输哥斯达黎加数据 在未获得用户明确同意的情况下，网站将哥斯达黎加个人数据传输到保护水平不合格的国家。 法律依据: Costa Rica Law 8968, Art. 24 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 585 | CRIAP-005 | 哥斯达黎加用户缺少简化的撤销机制 未向哥斯达黎加用户提供简便、免费的机制来撤销对促销目的数据处理的同意。 法律依据: Costa Rica Law 8968, Art. 6 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 586 | PANPD-001 | 未能告知巴拿马公民控制者身份 (Ley 81) 网站在未披露数据控制者的完整公司身份和物理地址的情况下，处理巴拿马居民的个人数据。 法律依据: Panama Data Protection Act (Ley 81 of 2019), Art. 8 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 587 | PANPD-002 | 巴拿马缺少 ARCO 权利执行途径 控制者未能在巴拿马提供免费且易于访问的电子邮件地址或系统来行使访问、更正、反对和删除权。 法律依据: Panama Data Protection Act (Ley 81 of 2019), Art. 15 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 588 | PANPD-003 | 在巴拿马进行财务画像缺少同意法律基础 网站在未核实合规性或获得明确事先授权的情况下，对巴拿马居民进行信用画像或处理其经济数据。 法律依据: Panama Data Protection Act (Ley 81 of 2019), Art. 21 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 589 | PANPD-004 | 缺少向 ANTAI 通报安全漏洞的协议 (巴拿马) 该机构未制定向巴拿马国家机构 (ANTAI) 以及受影响主体立即报告安全事件的程序文件。 法律依据: Panama Data Protection Act (Ley 81 of 2019), Art. 36 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 590 | PANPD-005 | 在不合规的服务器上非法存储巴拿马个人数据 巴拿马个人数据国际化存储在未能提供 ANTAI 授权的最低信息安全措施的云系统上。 法律依据: Panama Data Protection Act (Ley 81 of 2019), Art. 33 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 591 | KENPD-001 | 未在肯尼亚 ODPC 注册为数据控制者 实体在未向数据保护专员办公室 (ODPC) 注册为数据控制者或处理者的情况下，收集和处理肯尼亚居民的个人数据。 法律依据: Kenya Data Protection Act 2019, Section 18 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 592 | KENPD-002 | 外国控制者在肯尼亚缺少本地代表 处理肯尼亚数据主体个人数据的外国数据控制者未能指定常驻本地代表来处理监管事务。 法律依据: Kenya Data Protection Act 2019, Section 50 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 593 | KENPD-003 | 肯尼亚法律下用于直接营销的同意控制不充分 网站在未获得事先主动选择同意的情况下，将肯尼亚居民的个人数据用于商业推广或广告。 法律依据: Kenya Data Protection Act 2019, Section 37 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 594 | KENPD-004 | 肯尼亚业务未执行数据保护影响评估 (DPIA) 该实体在未执行强制性 DPIA 的情况下，运行对肯尼亚居民构成高风险的处理业务（如大规模跟踪）。 法律依据: Kenya Data Protection Act 2019, Section 31 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 595 | KENPD-005 | 未能满足向肯尼亚 ODPC 报告数据泄露的72小时时限 数据控制者有记录的泄露响应协议未能要求在发生安全事件后 72 小时内通知肯尼亚 ODPC。 法律依据: Kenya Data Protection Act 2019, Section 43 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 596 | EGYPD-001 | 在埃及未获得电子营销许可 网站在未向数据保护中心获得必需许可的情况下，向埃及居民进行直接电子营销。 法律依据: Egypt Personal Data Protection Law (Law 151 of 2020), Art. 17 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 597 | EGYPD-002 | 埃及公民隐私政策披露不充分 隐私政策未能明确列出处理埃及公民数据的特定法律依据和处理期限。 法律依据: Egypt Personal Data Protection Law (Law 151 of 2020), Art. 2 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 598 | EGYPD-003 | 在埃及缺少法定的数据保护官 (DPO) 该实体大规模处理埃及居民数据，但未能向监管机构指定并注册数据保护官。 法律依据: Egypt Personal Data Protection Law (Law 151 of 2020), Art. 8 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 599 | EGYPD-004 | 在埃及未能在72小时内报告个人数据泄露 控制者未能建立在 72 小时内向埃及监管机构和受影响主体报告个人数据泄露的内部准则。 法律依据: Egypt Personal Data Protection Law (Law 151 of 2020), Art. 7 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 600 | EGYPD-005 | 埃及公民数据非法跨境传输 网站在未获得埃及数据保护中心必需批准的情况下，将埃及居民的个人数据传输到国际实体。 法律依据: Egypt Personal Data Protection Law (Law 151 of 2020), Art. 14 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 601 | MARPD-001 | 未向摩洛哥 CNDP 进行事先申报或获得授权 控制者在未向 CNDP 进行强制性事先申报或获得授权的情况下，处理摩洛哥居民的个人数据。 法律依据: Morocco Protection of Individuals Law (Law 09-08), Art. 12 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 602 | MARPD-002 | 在摩洛哥未明确披露接收者类别 隐私政策未能向摩洛哥数据主体告知其个人数据的特定第三方接收者类别。 法律依据: Morocco Protection of Individuals Law (Law 09-08), Art. 5 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 603 | MARPD-003 | 在摩洛哥进行直接营销缺少明确同意 网站在未获得摩洛哥消费者事先、明确的选择性同意的情况下，向其发送直接营销信息。 法律依据: Morocco Protection of Individuals Law (Law 09-08), Art. 10 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 604 | MARPD-004 | 摩洛哥未实施数据完整性技术保护措施 托管摩洛哥用户记录的服务器配置缺乏适当的保护，无法防止意外销毁、丢失或篡改。 法律依据: Morocco Protection of Individuals Law (Law 09-08), Art. 23 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 605 | MARPD-005 | 摩洛哥不合规的跨境个人数据传输 该实体在未获得 CNDP 事先书面授权的情况下，将摩洛哥个人数据传输到摩洛哥境外的司法管辖区。 法律依据: Morocco Protection of Individuals Law (Law 09-08), Art. 43 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 606 | QATPD-001 | 在卡塔尔对儿童数据的同意验证不充分 网站在未按照 PDPPL 的要求获得其父母或法定监护人明确同意的情况下，处理卡塔尔儿童的个人数据。 法律依据: Qatar Personal Data Privacy Protection Law (Law 13 of 2016), Art. 17 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 607 | QATPD-002 | 未能为卡塔尔监管机构记录处理审计文件 该机构未能维护并记录内部处理业务登记簿，以提交给卡塔尔主管部门。 法律依据: Qatar Personal Data Privacy Protection Law (Law 13 of 2016), Art. 11 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 608 | QATPD-003 | 针对卡塔尔居民的安全措施和披露不完整 存储卡塔尔居民数据的数据库缺乏防止数据泄露所需的、经审计的技术和管理安全措施。 法律依据: Qatar Personal Data Privacy Protection Law (Law 13 of 2016), Art. 13 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 609 | QATPD-004 | 卡塔尔主体缺少直接请求处理渠道 网站未能向卡塔尔居民提供直接、免费的机制来提交访问、删除或更正请求。 法律依据: Qatar Personal Data Privacy Protection Law (Law 13 of 2016), Art. 5 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 610 | QATPD-005 | 未能向卡塔尔主体披露跨境处理位置 隐私政策未能说明处理或存储卡塔尔居民个人数据的地理位置。 法律依据: Qatar Personal Data Privacy Protection Law (Law 13 of 2016), Art. 8 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 611 | BHRPD-001 | 在巴林处理敏感数据缺少书面同意 网站收集巴林居民的敏感数据（如健康状况或生物识别），但未获得事先、书面和明确的同意。 法律依据: Bahrain Personal Data Protection Law (Law 30 of 2018), Art. 4 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 612 | BHRPD-002 | 在巴林未能任命本地代表 大规模处理巴林居民数据的外国数据控制者未能指定在巴林的本地常驻代表。 法律依据: Bahrain Personal Data Protection Law (Law 30 of 2018), Art. 33 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 613 | BHRPD-003 | 在巴林不合规的直接营销传播 网站通过电子信息向巴林公民发送营销传播信息，但未向其提供事先、清晰的选择退出途径。 法律依据: Bahrain Personal Data Protection Law (Law 30 of 2018), Art. 30 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 614 | BHRPD-004 | 未能向巴林监管机构记录处理登记信息 控制者未能向个人数据保护局注册包含巴林居民个人数据的数据库系统。 法律依据: Bahrain Personal Data Protection Law (Law 30 of 2018), Art. 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 615 | BHRPD-005 | 导出巴林公民数据缺少适当的传输协议 在没有事先书面批准的情况下，将巴林居民的个人数据传输到未提供足够数据安全水平的国家。 法律依据: Bahrain Personal Data Protection Law (Law 30 of 2018), Art. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 616 | OMNPD-001 | 在阿曼未能任命数据保护官 (DPO) 该机构大规模处理阿曼居民的个人数据，但未能指定数据保护官。 法律依据: Oman Personal Data Protection Law (Royal Decree 6/2022), Art. 21 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 617 | OMNPD-002 | 在阿曼处理敏感健康或生物识别数据缺少明确同意 网站收集阿曼居民的敏感数据（健康、生物识别记录），但未获得明确、事先和有记录的同意。 法律依据: Oman Personal Data Protection Law (Royal Decree 6/2022), Art. 5 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 618 | OMNPD-003 | 阿曼主体缺少经过验证的争议解决程序 隐私政策未能说明处理阿曼数据主体申诉的特定法律途径或联系渠道。 法律依据: Oman Personal Data Protection Law (Royal Decree 6/2022), Art. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 619 | OMNPD-004 | 阿曼数据跨境传输缺少足够的保证措施 网站在未确保适当性协议或部级批准的情况下，将阿曼居民的个人数据传输到国际实体。 法律依据: Oman Personal Data Protection Law (Royal Decree 6/2022), Art. 24 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 620 | OMNPD-005 | 未能在法定时间内回应阿曼消费者的请求 数据控制者的用户请求处理程序未能要求在法定时间内回复阿曼公民的访问或更正请求。 法律依据: Oman Personal Data Protection Law (Royal Decree 6/2022), Art. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 621 | HKGPD-001 | 未能向香港居民披露拟进行的直接营销 网站收集香港居民的个人数据并打算将其用于营销，但未提供清晰的选择性同意界面。 法律依据: Hong Kong Personal Data (Privacy) Ordinance (Cap. 486), Sec. 35C | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 622 | HKGPD-002 | 香港第三方营销缺少单独的同意 网站在未获得单独、明确和知情同意的情况下，将香港居民的数据共享给合作伙伴用于营销目的。 法律依据: Hong Kong Personal Data (Privacy) Ordinance (Cap. 486), Sec. 35J | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 623 | HKGPD-003 | 香港客户数据保留披露不合规 隐私政策未能列明从香港居民收集的个人数据的明确保留时间表或销毁程序。 法律依据: Hong Kong Personal Data (Privacy) Ordinance (Cap. 486), DPP 2 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 624 | HKGPD-004 | 香港数据删除和销毁协议不安全 服务器端数据生命周期未针对不活跃的香港用户数据库条目实施安全删除算法。 法律依据: Hong Kong Personal Data (Privacy) Ordinance (Cap. 486), DPP 4 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 625 | HKGPD-005 | 香港主体缺少数据访问和更正接口 网站未能向香港用户提供简便、专门的联系表单或程序来要求访问或更正其数据。 法律依据: Hong Kong Personal Data (Privacy) Ordinance (Cap. 486), DPP 6 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 626 | TWNPD-001 | 台湾 PDPA 下信息披露不完整 隐私政策未能明确列出 PDPA 第8条规定的所有强制性项目，例如不提供数据的后果。 法律依据: Taiwan Personal Data Protection Act (PDPA), Article 8 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 627 | TWNPD-002 | 在台湾未经书面同意非法收集敏感个人数据 网站收集台湾居民的敏感个人记录（病史、基因数据），但未获得明确的书面同意。 法律依据: Taiwan Personal Data Protection Act (PDPA), Article 6 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 628 | TWNPD-003 | 台湾地区缺少可审计的安全维护计划 数据控制者未能制定并维护内部安全维护计划，以防止台湾地区的个人数据泄露。 法律依据: Taiwan Personal Data Protection Act (PDPA), Article 27 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 629 | TWNPD-004 | 台湾地区公民缺少事件通知协议 该公司缺乏在核实数据泄露事件后，立即向台湾地区数据主体通知个人数据泄露的协议。 法律依据: Taiwan Personal Data Protection Act (PDPA), Article 12 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 630 | TWNPD-005 | 针对台湾居民直接营销的保护措施不充分 网站将台湾居民的个人数据用于营销，但未在首次接触时提供清晰的反对选择。 法律依据: Taiwan Personal Data Protection Act (PDPA), Article 20 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 631 | PHLPD-001 | 未在菲律宾 NPC 注册数据处理系统 该实体处理菲律宾公民的个人数据，但未能向国家隐私委员会 (NPC) 注册其数据处理系统。 法律依据: Philippines Data Privacy Act of 2012 (RA 10173), Sec. 14 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 632 | PHLPD-002 | 在菲律宾未能任命数据保护官 (DPO) 针对菲律宾主体的数据控制者未能正式任命并向 NPC 注册数据保护官。 法律依据: Philippines Data Privacy Act of 2012 (RA 10173), Sec. 21 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 633 | PHLPD-003 | 菲律宾居民隐私声明披露不充分 隐私政策未能告知菲律宾用户其特有的知情、访问、反对和要求删除的权利。 法律依据: Philippines Data Privacy Act of 2012 (RA 10173), Sec. 16 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 634 | PHLPD-004 | 未能在72小时内向 NPC 建立系统性的泄露通知机制 公司的安全程序未规定在发现数据泄露后 72 小时内通知 NPC 和受影响的主体。 法律依据: Philippines Data Privacy Act of 2012 (RA 10173), Sec. 20 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 635 | PHLPD-005 | 在菲律宾处理敏感信息同意书不完整 同意机制将处理敏感信息的许可与通用服务条款相捆绑，违反了菲律宾同意法。 法律依据: Philippines Data Privacy Act of 2012 (RA 10173), Sec. 13 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 636 | IDNPD-001 | 印度尼西亚业务缺少有文件记录的法律依据 网站在未记录 UU PDP 规定的特定法律依据（同意、合同）的情况下，收集和处理印度尼西亚公民的数据。 法律依据: Indonesia Personal Data Protection Act (UU PDP No. 27/2022), Art. 20 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 637 | IDNPD-002 | 在印度尼西亚未能任命本地数据保护官 (DPO) 数据控制者大规模处理印度尼西亚个人记录，但未能指定本地常驻数据保护官。 法律依据: Indonesia Personal Data Protection Act (UU PDP No. 27/2022), Art. 53 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 638 | IDNPD-003 | 在印度尼西亚缺少针对儿童的年龄和父母验证控制 网站在未验证年龄并获得父母有效同意的情况下，收集印度尼西亚儿童的个人数据。 法律依据: Indonesia Personal Data Protection Act (UU PDP No. 27/2022), Art. 32 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 639 | IDNPD-004 | 在印度尼西亚未能在72小时内建立明确的事件通知机制 数据控制者未能建立在检测到数据安全泄露后 72 小时内向印度尼西亚当局和主体通知的程序。 法律依据: Indonesia Personal Data Protection Act (UU PDP No. 27/2022), Art. 46 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 640 | IDNPD-005 | 印度尼西亚个人数据的数据删除机制不合规 系统在撤销有效同意或合同终止时，不支持对印度尼西亚用户记录进行完全、永久的删除。 法律依据: Indonesia Personal Data Protection Act (UU PDP No. 27/2022), Art. 43 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 641 | KAZPD-001 | 包含哈萨克斯坦居民数据的数据库未进行注册 数据控制者未能向国家机关注册其处理哈萨克斯坦居民个人数据的数据库。 法律依据: Kazakhstan Law on Personal Data (Law 94-V), Art. 26 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 642 | KAZPD-002 | 在哈萨克斯坦未确认适当性进行不合规数据跨境传输 网站在未核实适当性或获取合法传输依据的情况下，将哈萨克斯坦公民的个人数据传输到第三国。 法律依据: Kazakhstan Law on Personal Data (Law 94-V), Art. 16 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 643 | KAZPD-003 | 针对哈萨克斯坦居民的同意获取系统不完整 网站收集哈萨克斯坦居民的个人数据，但未获得列明具体处理目的的明确同意。 法律依据: Kazakhstan Law on Personal Data (Law 94-V), Art. 8 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 644 | KAZPD-004 | 未能将服务器存储本地化在哈萨克斯坦共和国境内 存储哈萨克斯坦居民个人数据的数据库托管在哈萨克斯坦境外，违反了强行的数据本地化要求。 法律依据: Kazakhstan Law on Personal Data (Law 94-V), Art. 12 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 645 | KAZPD-005 | 哈萨克斯坦公民缺少标准的救济和删除协议 控制者未能提供请求阻止或销毁哈萨克斯坦公民个人记录的直接途径或联系选项。 法律依据: Kazakhstan Law on Personal Data (Law 94-V), Art. 24 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 646 | UKRPD-001 | 未向乌克兰人权专员通知数据处理情况 控制者在未通知人权专员的情况下，处理乌克兰居民的敏感个人数据。 法律依据: Ukraine Law on Personal Data Protection, Article 9 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 647 | UKRPD-002 | 隐私政策中关于乌克兰第三方接收者的披露不充分 隐私政策未能明确指明或详细列出处理乌克兰居民数据的第三方接收者类别。 法律依据: Ukraine Law on Personal Data Protection, Article 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 648 | UKRPD-003 | 在乌克兰未获得营销和 Cookie 跟踪的同意 网站在未获得验证选择同意的情况下，部署广告跟踪 Cookie 或向乌克兰公民发送促销简报。 法律依据: Ukraine Law on Personal Data Protection, Article 11 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 649 | UKRPD-004 | 乌克兰法律下缺少安全和访问日志 包含乌克兰主体个人记录的数据库缺乏有文件记录的访问日志和用户权限控制。 法律依据: Ukraine Law on Personal Data Protection, Article 24 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 650 | UKRPD-005 | 乌克兰主体缺少完整的纠正和删除访问程序 数据控制者未能向乌克兰主体提供要求销毁数据的清晰联系渠道或答复时限。 法律依据: Ukraine Law on Personal Data Protection, Article 8 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 651 | CANPD-001 | PIPEDA 规定下敏感数据缺少明确同意 该网站在未获得事先明确选择同意的情况下，收集加拿大居民的敏感个人记录（健康、财务状况）。 法律依据: Canada Personal Information Protection and Electronic Documents Act (PIPEDA), Schedule 1, Sec. 4.3 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 652 | CANPD-002 | PIPEDA 规定下缺少隐私官联系信息 隐私政策未能指明或提供负责遵守加拿大法律的指定合规负责人的直接联系方式。 法律依据: Canada Personal Information Protection and Electronic Documents Act (PIPEDA), Schedule 1, Sec. 4.1 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 653 | CANPD-003 | PIPEDA 规定下访问和更正程序不妥当 该网站缺乏清晰、有文件记录的说明，无法让加拿大居民获取其个人文件并请求更正。 法律依据: Canada Personal Information Protection and Electronic Documents Act (PIPEDA), Schedule 1, Sec. 4.9 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 654 | CANPD-004 | 加拿大法律下不合规的泄露报告程序 数据控制者未能记录在可行情况下尽快向隐私专员办公室 (OPC) 报告安全事件的程序。 法律依据: Canada Personal Information Protection and Electronic Documents Act (PIPEDA), Sec. 10.1 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 655 | CANPD-005 | 加拿大数据第三方传输合同不完整 控制者将加拿大居民的数据传输给第三方处理者，但未实施旨在确保同等保护的正式合同保证。 法律依据: Canada Personal Information Protection and Electronic Documents Act (PIPEDA), Schedule 1, Sec. 4.5.3 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 656 | BOLPD-001 | 未能兑现智利宪法赋予的人身保护数据权利 (玻利维亚) 网站缺乏让玻利维亚公民执行其查询、更正或删除个人数据存储库的宪法权利的选项。 法律依据: Bolivia Political Constitution, Article 130 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 657 | BOLPD-002 | 玻利维亚缺少个人数据用户纠正协议 隐私政策未能说明玻利维亚主体反对未经授权处理的特定行政或司法救济途径。 法律依据: Bolivia Political Constitution, Article 131 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 658 | BOLPD-003 | 在玻利维亚非法处理通信日志 网站在未获得明确事先同意或司法命令的情况下，跟踪和处理玻利维亚用户的通信元数据或日志。 法律依据: Bolivia General Telecommunications Law (Ley 164), Art. 55 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 659 | BOLPD-004 | 玻利维亚数据第三方接收者披露不完整 隐私政策未能列明访问玻利维亚居民个人记录的特定第三方机构和数据库。 法律依据: Bolivia General Telecommunications Law (Ley 164), Art. 56 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 660 | BOLPD-005 | 玻利维亚数据主体登记库存储不安全 处理玻利维亚居民个人数据的数据库未能部署电信标准规定的加密和技术安全保护措施。 法律依据: Bolivia General Telecommunications Law (Ley 164), Art. 57 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 661 | PRYPD-001 | 在巴拉圭非法处理金融信用记录 网站在未获得明确的书面或数字可验证同意的情况下，对巴拉圭居民进行画像或处理其财务记录。 法律依据: Paraguay Personal Data Protection Law (Ley 6534/2020), Art. 6 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 662 | PRYPD-002 | 巴拉圭法律下缺少直接纠正途径 隐私政策未能说明在巴拉圭纠正不准确的个人或财务数据库记录的免费、简化方法。 法律依据: Paraguay Personal Data Protection Law (Ley 6534/2020), Art. 14 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 663 | PRYPD-003 | 巴拉圭数据记录缺少组织层面的安全措施 数据控制者未能审计并记录保护巴拉圭居民数据库免受未经授权访问的行政安全措施。 法律依据: Paraguay Personal Data Protection Law (Ley 6534/2020), Art. 9 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 664 | PRYPD-004 | 在巴拉圭通过电子渠道进行非法直接营销 网站在未获得核实的事先授权或明确退出链接的情况下，向巴拉圭消费者发送商业信息。 法律依据: Paraguay Consumer Protection Law (Ley 1334), Art. 6 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 665 | PRYPD-005 | 与巴拉圭数据子处理商签订的合同不当 控制者与第三方服务提供商共享巴拉圭居民数据，但未签署列明数据安全职责的正式协议。 法律依据: Paraguay Personal Data Protection Law (Ley 6534/2020), Art. 12 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 666 | VENPD-001 | 委内瑞拉未遵守人身保护数据原则 网站处理委内瑞拉居民的个人登记信息，但未提供检查、更正或删除其记录的机制。 法律依据: Venezuela Constitution, Article 28 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 667 | VENPD-002 | 委内瑞拉数据传输未能记录安全控制措施 收集和传输委内瑞拉居民个人记录的 Web 面板缺乏有文件记录的行政安全协议。 法律依据: Venezuela Infogobierno Law, Article 32 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 668 | VENPD-003 | 委内瑞拉主体存储库缺少同意披露信息 隐私声明未能披露法律依据或就存储委内瑞拉公民的个人记录获得同意。 法律依据: Venezuela Constitution, Article 60 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 669 | VENPD-004 | 委内瑞拉用户缺少简便访问请求接口 网站未能向委内瑞拉居民提供直接、免费的联系途径来检查其数据库记录配置。 法律依据: Venezuela Constitution, Article 28 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 670 | VENPD-005 | 委内瑞拉客户记录保留政策不合规 在未提供有证明文件或删除程序的情况下，无限期存储委内瑞拉居民的个人数据库记录。 法律依据: Venezuela Constitution, Article 60 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 671 | GTMIP-001 | 危地马拉法律下信息通知不当 隐私政策未能向危地马拉居民说明收集数据的目的或第三方传输政策。 法律依据: Guatemala Access to Public Information Law, Article 31 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 672 | GTMIP-002 | 在危地马拉未能兑现人身保护数据更正权利 网站缺乏让危地马拉居民要求更正或阻止个人记录的正式联系途径或界面。 法律依据: Guatemala Access to Public Information Law, Article 32 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 673 | GTMIP-003 | 危地马拉个人数据登记库存储不安全 保存危地马拉公民个人记录的数据库系统缺乏有文件记录的技术访问控制和加密保护措施。 法律依据: Guatemala Access to Public Information Law, Article 33 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 674 | GTMIP-004 | 共享危地马拉居民数据缺少明确同意 在未获得事先明确选择同意的情况下，该网站与合作伙伴或营销平台共享危地马拉居民的个人数据。 法律依据: Guatemala Access to Public Information Law, Article 34 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 675 | GTMIP-005 | 危地马拉缺少免费的营销同意撤销渠道 网站未能向危地马拉用户提供一个简单、免费的机制来反对和撤销商业电子邮件处理。 法律依据: Guatemala Consumer Protection Law, Article 17 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 676 | DOMPD-001 | 未经事先同意处理多米尼加数据 网站在未获得事先、自愿和知情同意的情况下，收集和处理多米尼加居民的个人数据库记录。 法律依据: Dominican Republic Law 172-13, Article 5 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 677 | DOMPD-002 | 多米尼加控制者身份披露不完整 隐私政策未能确定数据控制者以及监管机构监督的数据库注册。 法律依据: Dominican Republic Law 172-13, Article 8 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 678 | DOMPD-003 | 多米尼加法律下人身保护数据请求程序不当 数据库控制者缺乏供多米尼加公民提交访问、更正和删除请求的文档记录方法。 法律依据: Dominican Republic Law 172-13, Article 18 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 679 | DOMPD-004 | 多米尼加公民数据非法跨境传输 网站将多米尼加个人数据库传输到未能保证足够安全水平的国家或实体。 法律依据: Dominican Republic Law 172-13, Article 29 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 680 | DOMPD-005 | 多米尼加个人数据银行安全披露不安全 数据库系统缺乏第 172-13 号法律规定的物理、逻辑和管理安全措施。 法律依据: Dominican Republic Law 172-13, Article 12 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 681 | SLVPD-001 | 萨尔瓦多商业电子邮件缺少同意 网站向萨尔瓦多居民发送商业电子邮件，但未获得事先、明确的同意或提供清晰的选择退出途径。 法律依据: El Salvador Electronic Commerce Law, Article 18 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 682 | SLVPD-002 | 萨尔瓦多隐私声明中数据处理披露不充分 隐私声明未能详细说明收集萨尔瓦多消费者个人记录的方法和传输协议。 法律依据: El Salvador Electronic Commerce Law, Article 20 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 683 | SLVPD-003 | 萨尔瓦多客户交易日志记录不安全 处理萨尔瓦多用户电子支付的 Web 门户未能实施安全、加密且隔离的交易日志。 法律依据: El Salvador Electronic Commerce Law, Article 22 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 684 | SLVPD-004 | 萨尔瓦多消费者数据库记录不安全 存储萨尔瓦多居民消费者记录条目的数据库缺乏防止未经授权数据泄露的技术安全措施。 法律依据: El Salvador Consumer Protection Law, Article 27 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 685 | SLVPD-005 | 萨尔瓦多用户数据库删除选项不完整 网站未能向萨尔瓦多消费者提供简化的自动化渠道来要求完全删除其账户数据库。 法律依据: El Salvador Electronic Commerce Law, Article 19 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 686 | HNDPD-001 | 洪都拉斯居民缺少收集披露信息 该网站收集洪都拉斯居民的个人数据，但未清晰披露处理目的。 法律依据: Honduras Access to Public Information Law, Article 23 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 687 | HNDPD-002 | 洪都拉斯数据库缺少阻止和删除途径 数据控制者未能为洪都拉斯公民建立起请求数据库阻止或文件删除的文档记录途径或联系人。 法律依据: Honduras Access to Public Information Law, Article 24 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 688 | HNDPD-003 | 在洪都拉斯未经同意进行非法第三方传输 网站在未获得事先同意的情况下，将洪都拉斯居民的个人数据库传输给商业实体。 法律依据: Honduras Access to Public Information Law, Article 25 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 689 | HNDPD-004 | 洪都拉斯个人登记库存储不安全 处理洪都拉斯居民个人数据的数据库缺乏基本的逻辑访问控制和数据加密。 法律依据: Honduras Access to Public Information Law, Article 26 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 690 | HNDPD-005 | 洪都拉斯缺少免费的营销选择退出渠道 面向洪都拉斯消费者的网站未展示清晰、免费的反对商业信息的机制。 法律依据: Honduras Consumer Protection Law, Article 15 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 691 | NICPD-001 | 在尼加拉瓜未向监管机构注册数据库 数据控制者未能向国家登记处注册包含尼加拉瓜居民数据的数据库。 法律依据: Nicaragua Personal Data Protection Law (Law 787), Art. 15 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 692 | NICPD-002 | 在尼加拉瓜处理敏感数据缺少明确同意 网站收集尼加拉瓜居民的敏感数据，但未获得事先、书面或数字可验证的同意。 法律依据: Nicaragua Personal Data Protection Law (Law 787), Art. 7 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 693 | NICPD-003 | 尼加拉瓜 ARCO 权利救济途径不当 隐私政策未能提供在第 787 号法律下执行 ARCO 权利的特定联系渠道或法定时间表。 法律依据: Nicaragua Personal Data Protection Law (Law 787), Art. 9 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 694 | NICPD-004 | 尼加拉瓜数据不合规跨境传输 该网站在未获得监管批准或适当性保证的情况下将尼加拉瓜个人数据库进行国际传输。 法律依据: Nicaragua Personal Data Protection Law (Law 787), Art. 21 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 695 | NICPD-005 | 在尼加拉瓜未能报告数据库安全漏洞 该机构未制定向尼加拉瓜监管机构和受影响主体报告安全事件的内部程序文件。 法律依据: Nicaragua Personal Data Protection Law (Law 787), Art. 12 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 696 | GHAPD-001 | 未在加纳 DPC 注册为数据控制者 该实体在未向数据保护委员会 (DPC) 注册为数据控制者的情况下，处理加纳居民的个人数据。 法律依据: Ghana Data Protection Act 2012 (Act 843), Section 27 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 697 | GHAPD-002 | 在加纳未经授权处理敏感个人数据 网站在未获得 DPC 事先书面授权的情况下，收集加纳居民的敏感个人记录（生物识别、健康、信仰）。 法律依据: Ghana Data Protection Act 2012 (Act 843), Section 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 698 | GHAPD-003 | 在加纳关于反对营销权利的通知不充分 隐私政策未能告知加纳数据主体其拥有的反对出于促销目的进行数据处理的特定权利。 法律依据: Ghana Data Protection Act 2012 (Act 843), Section 20 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 699 | GHAPD-004 | 加纳数据不合规的国际传输 控制者在未获得 DPC 事先书面批准或适当性确认的情况下，将加纳个人数据传输到国外。 法律依据: Ghana Data Protection Act 2012 (Act 843), Section 47 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 700 | GHAPD-005 | 加纳法律下缺少安全漏洞通知机制 数据控制者缺乏在合理时间内向加纳 DPC 和受影响主体报告安全事件的文档记录程序。 法律依据: Ghana Data Protection Act 2012 (Act 843), Section 31 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 701 | UGAPD-001 | 未向乌干达数据保护办公室注册 数据控制者在未向乌干达个人数据保护办公室正式注册的情况下，收集和处理乌干达居民的数据。 法律依据: Uganda Data Protection and Privacy Act 2019, Section 4 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 702 | UGAPD-002 | 未经事先同意收集乌干达公民数据 该网站在未获得数据主体事先、书面和明确同意的情况下，收集乌干达公民的个人数据。 法律依据: Uganda Data Protection and Privacy Act 2019, Section 7 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 703 | UGAPD-003 | 在乌干达处理数据主体权利的程序不当 控制者未能提供直接途径或联系选项来处理乌干达主体的访问、更正或删除请求。 法律依据: Uganda Data Protection and Privacy Act 2019, Section 24 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 704 | UGAPD-004 | 在乌干达未经选择退出的非法直接营销 网站向乌干达公民发送商业电子邮件或营销信息，但未提供经核实的、免费的选择退出机制。 法律依据: Uganda Data Protection and Privacy Act 2019, Section 15 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 705 | UGAPD-005 | 在不合规的国家不合规地存储乌干达记录 乌干达个人记录被国际传输到未能保证足够数据保护标准的司法管辖区。 法律依据: Uganda Data Protection and Privacy Act 2019, Section 19 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 706 | RWAPD-001 | 在卢旺达未经注册处理个人数据 数据控制者在未获得注册或通知监管机构的情况下，处理卢旺达的个人记录。 法律依据: Rwanda Protection of Personal Data and Privacy Law (Law 058/2021), Art. 8 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 707 | RWAPD-002 | 在卢旺达处理敏感数据缺少明确同意 网站收集卢旺达居民的敏感数据（健康、生物识别），但未获得事先、明确和非捆绑的同意。 法律依据: Rwanda Protection of Personal Data and Privacy Law (Law 058/2021), Art. 10 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 708 | RWAPD-003 | 卢旺达业务缺少本地数据保护官联系方式 该实体处理卢旺达居民的个人记录，但未能指定本地化的数据保护官或联系渠道。 法律依据: Rwanda Protection of Personal Data and Privacy Law (Law 058/2021), Art. 18 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 709 | RWAPD-004 | 向卢旺达监管机构报告数据泄露的程序不当 该机构在检测到数据库安全事件后，未能于 48 小时内向卢旺达监管机构报告。 法律依据: Rwanda Protection of Personal Data and Privacy Law (Law 058/2021), Art. 25 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 710 | RWAPD-005 | 卢旺达居民记录非法跨境传输 该网站在未获得事先授权或确认适当性的情况下将卢旺达居民的个人记录进行国际传输。 法律依据: Rwanda Protection of Personal Data and Privacy Law (Law 058/2021), Art. 30 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 711 | ZIMPD-001 | 未经注册处理津巴布韦数据 数据控制者在未向 POTRAZ 监管机构获得许可或注册的情况下，处理津巴布韦居民的个人记录。 法律依据: Zimbabwe Cyber and Data Protection Act (Chapter 11:24), Section 11 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 712 | ZIMPD-002 | 在津巴布韦进行自动决策缺少同意 网站在未获得明确的事先同意的情况下，对津巴布韦居民进行自动画像或决策。 法律依据: Zimbabwe Cyber and Data Protection Act (Chapter 11:24), Section 17 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 713 | ZIMPD-003 | 津巴布韦数据库安全措施不当 处理津巴布韦居民个人数据的数据库缺乏防止记录遭到未经授权披露的技术保护措施。 法律依据: Zimbabwe Cyber and Data Protection Act (Chapter 11:24), Section 22 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 714 | ZIMPD-004 | 津巴布韦公民缺少数据访问请求程序 该网站未能向津巴布韦居民提供提交访问或更正请求的直接、免费程序。 法律依据: Zimbabwe Cyber and Data Protection Act (Chapter 11:24), Section 15 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 715 | ZIMPD-005 | 针对津巴布韦居民的不合规直接营销传播 网站在发送之前未获得明确的选择性同意就向津巴布韦居民发送商业营销电子邮件。 法律依据: Zimbabwe Cyber and Data Protection Act (Chapter 11:24), Section 25 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 716 | AOGPD-001 | 处理安哥拉个人数据未向 APD 报告 该实体在未向 APD 提交强制性声明或获得授权的情况下，处理安哥拉居民的个人记录。 法律依据: Angola Personal Data Protection Law (Lei 22/11), Art. 28 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 717 | AOGPD-002 | 在安哥拉处理敏感数据缺少明确同意 网站收集安哥拉居民的敏感数据（健康、生物识别记录），但未获得明确、事先的同意。 法律依据: Angola Personal Data Protection Law (Lei 22/11), Art. 7 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 718 | AOGPD-003 | 在安哥拉未完整披露接收者类别 隐私政策未能告知安哥拉居民访问其个人记录的特定第三方机构。 法律依据: Angola Personal Data Protection Law (Lei 22/11), Art. 14 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 719 | AOGPD-004 | 安哥拉个人数据库技术安全不足 包含安哥拉用户数据库条目的服务器托管配置缺乏保护数据防止未经授权泄露的技术保护措施。 法律依据: Angola Personal Data Protection Law (Lei 22/11), Art. 19 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 720 | AOGPD-005 | 安哥拉个人数据非法跨境传输 网站在未获得 APD 事先书面批准的情况下，将安哥拉居民的个人数据传输到国外。 法律依据: Angola Personal Data Protection Law (Lei 22/11), Art. 33 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 721 | ALGPD-001 | 未向阿尔及利亚 ANPDP 注册数据处理系统 数据控制者在未向 ANPDP 注册其数据系统的情况下，处理阿尔及利亚居民的个人记录。 法律依据: Algeria Protection of Individuals Law (Law 18-07), Art. 13 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 722 | ALGPD-002 | 在阿尔及利亚处理个人数据缺少明确的事先同意 网站在未获得事先、明确和有记录的同意的情况下，收集和处理阿尔及利亚公民的个人数据。 法律依据: Algeria Protection of Individuals Law (Law 18-07), Art. 7 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 723 | ALGPD-003 | 在阿尔及利亚未能兑现访问和删除的程序不当 数据库控制者缺乏供阿尔及利亚公民提交访问、更正或删除请求的文档记录方法。 法律依据: Algeria Protection of Individuals Law (Law 18-07), Art. 34 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 724 | ALGPD-004 | 阿尔及利亚记录不合规的国际传输 网站将阿尔及利亚个人数据库传输到国外，但未获得 ANPDP 的事先授权或安全批准。 法律依据: Algeria Protection of Individuals Law (Law 18-07), Art. 44 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 725 | ALGPD-005 | 缺少向阿尔及利亚监管机构报告泄露的协议 该机构未制定向阿尔及利亚 ANPDP 以及受影响主体立即报告安全事件的程序文件。 法律依据: Algeria Protection of Individuals Law (Law 18-07), Art. 41 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 726 | JORPD-001 | 未经同意处理约旦个人数据 网站收集和处理约旦居民的个人数据，但未获得明确、事先和有记录的同意。 法律依据: Jordan Personal Data Protection Law (Law 24 of 2023), Art. 4 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 727 | JORPD-002 | 约旦业务缺少数据保护官 (DPO) 数据控制者大规模处理约旦个人数据库，但未能指定常驻数据保护官。 法律依据: Jordan Personal Data Protection Law (Law 24 of 2023), Art. 15 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 728 | JORPD-003 | 约旦隐私声明中关于数据保留的披露不充分 隐私政策未能列明约旦公民数据的具体保留期限或用于确定保留期限的标准。 法律依据: Jordan Personal Data Protection Law (Law 24 of 2023), Art. 8 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 729 | JORPD-004 | 约旦数据不合规的跨境传输 该网站在未确保适当性保证或监管批准的情况下将约旦个人记录进行国际传输。 法律依据: Jordan Personal Data Protection Law (Law 24 of 2023), Art. 19 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 730 | JORPD-005 | 约旦公民缺少完整的访问和更正执行选项 数据库系统缺乏为约旦公民提供的、用以要求访问或更正其个人数据的简化、免费机制。 法律依据: Jordan Personal Data Protection Law (Law 24 of 2023), Art. 10 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 731 | KWTDP-001 | 科威特业务缺少有文件记录的 CITRA 合规信息 该网站收集科威特居民的个人数据，但未记录对 CITRA 数据保护条例的合规性。 法律依据: Kuwait CITRA Data Protection Regulation (No. 125/2021), Art. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 732 | KWTDP-002 | 科威特商业推广信息缺少明确同意 网站在未获得事先明确选择同意的情况下，向科威特居民发送商业促销信息。 法律依据: Kuwait CITRA Data Protection Regulation (No. 125/2021), Art. 11 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 733 | KWTDP-003 | 科威特数据库安全防护不当 保存科威特用户记录的数据库系统缺乏防止未经授权数据访问的技术措施。 法律依据: Kuwait CITRA Data Protection Regulation (No. 125/2021), Art. 14 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 734 | KWTDP-004 | 科威特缺少向 CITRA 报告安全事件的程序 控制者未能制定向科威特监管机构 (CITRA) 和受影响用户立即报告安全事件的程序文件。 法律依据: Kuwait CITRA Data Protection Regulation (No. 125/2021), Art. 21 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 735 | KWTDP-005 | 未能向科威特消费者提供简化的删除服务 网站未能向科威特消费者提供撤销同意和请求删除数据的直接、免费途径。 法律依据: Kuwait CITRA Data Protection Regulation (No. 125/2021), Art. 8 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 736 | UZBPD-001 | 乌兹别克斯坦居民数据未经明确同意进行处理 网站在未获得明确的事先同意的情况下，收集和处理乌兹别克斯坦公民的个人数据。 法律依据: Uzbekistan Law on Personal Data (ZRU-547), Art. 18 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 737 | UZBPD-002 | 未能将服务器数据库本地化在乌兹别克斯坦境内 存储乌兹别克斯坦公民个人记录的数据库托管在乌兹别克斯坦境外，违反了本地化法律。 法律依据: Uzbekistan Law on Personal Data (ZRU-547), Art. 12-1 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 738 | UZBPD-003 | 乌兹别克斯坦数据访问和更正通知不充分 隐私政策未能说明在乌兹别克斯坦要求访问、阻止或更正个人记录的用户权利。 法律依据: Uzbekistan Law on Personal Data (ZRU-547), Art. 30 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 739 | UZBPD-004 | 乌兹别克斯坦数据不合规的国际传输 控制者将乌兹别克斯坦公民的个人记录传输到缺乏足够保护水平的国家。 法律依据: Uzbekistan Law on Personal Data (ZRU-547), Art. 15 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 740 | UZBPD-005 | 未在乌兹别克斯坦国家登记处注册个人数据库 控制者未能向国家登记处注册处理乌兹别克斯坦居民个人数据的数据库系统。 法律依据: Uzbekistan Law on Personal Data (ZRU-547), Art. 24 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 741 | GEOPD-001 | 未向乔治亚州国家监察局报告 数据控制者在未向国家监察局报告的情况下，处理格鲁吉亚居民的个人数据。 法律依据: Georgia Law on Personal Data Protection, Article 15 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 742 | GEOPD-002 | 在乔治亚州处理敏感数据缺少明确同意 网站收集格鲁吉亚居民的敏感数据（健康、生物识别记录），但未获得明确的同意。 法律依据: Georgia Law on Personal Data Protection, Article 6 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 743 | GEOPD-003 | 乔治亚州数据处理商和供应商披露不充分 隐私声明未能披露处理格鲁吉亚居民个人数据的特定第三方处理者。 法律依据: Georgia Law on Personal Data Protection, Article 19 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 744 | GEOPD-004 | 乔治亚州法律下缺少安全审计和权限级别 包含格鲁吉亚主体个人记录的数据库缺乏有文件记录的安全日志和用户访问审计。 法律依据: Georgia Law on Personal Data Protection, Article 24 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 745 | GEOPD-005 | 乔治亚州数据阻止和删除程序不合规 控制者未能向格鲁吉亚主体提供请求阻止或删除数据的清晰联系渠道或答复时限。 法律依据: Georgia Law on Personal Data Protection, Article 21 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 746 | ARMPD-001 | 未遵守亚美尼亚《个人数据保护法》 数据控制者处理亚美尼亚居民的个人数据，但未遵守法定的要求。 法律依据: Armenia Law on Personal Data Protection, Article 9 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 747 | ARMPD-002 | 在亚美尼亚进行自动画像缺少同意 网站对亚美尼亚居民进行自动定位或画像，但未获得明确的同意。 法律依据: Armenia Law on Personal Data Protection, Article 11 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 748 | ARMPD-003 | 亚美尼亚国际传输位置披露不完整 隐私声明未能披露亚美尼亚境外访问用户数据的特定国家或实体。 法律依据: Armenia Law on Personal Data Protection, Article 27 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 749 | ARMPD-004 | 亚美尼亚个人数据银行缺少安全计划 包含亚美尼亚主体个人记录的数据库缺乏有文件记录的行政和逻辑安全计划。 法律依据: Armenia Law on Personal Data Protection, Article 19 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 750 | ARMPD-005 | 在亚美尼亚的访问和更正程序不当 控制者未能向亚美尼亚主体提供请求更正数据的清晰联系渠道或答复时限。 法律依据: Armenia Law on Personal Data Protection, Article 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 751 | SWSPD-001 | 瑞士 FADP 规定下缺少对高风险画像的明确同意 该网站在未获得修订后的 FADP 规定的事先明确选择同意的情况下，对瑞士居民进行高风险画像。 法律依据: Switzerland Federal Act on Data Protection (FADP), Art. 6, Art. 60 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 752 | SWSPD-002 | 瑞士 FADP 规定下隐私声明披露不完整 该网站未能在其隐私声明中提供有关控制者身份、数据类别和接收国的完整信息。 法律依据: Switzerland Federal Act on Data Protection (FADP), Art. 19, Art. 60 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 753 | SWSPD-003 | FADP 规定下境外控制者缺少代表联系信息 境外网站控制者未能指定或披露在瑞士的指定代表以进行数据主体沟通。 法律依据: Switzerland Federal Act on Data Protection (FADP), Art. 14 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 754 | SWSPD-004 | 不合规的跨国瑞士数据传输 控制者在没有联邦委员会充足性决定或标准合同条款的情况下，将瑞士居民的个人数据导出到第三国。 法律依据: Switzerland Federal Act on Data Protection (FADP), Art. 16, Art. 17 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 755 | SWSPD-005 | 瑞士 FADP 规定下数据主体权利访问渠道不妥当 该网站未能向瑞士居民提供免费、可访问且透明的方法来行使其访问、更正或删除数据的权利。 法律依据: Switzerland Federal Act on Data Protection (FADP), Art. 25, Art. 26 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 756 | SAUPD-001 | 沙特 PDPL 规定下敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集沙特居民的敏感个人记录（健康、财务、基因）。 法律依据: Saudi Arabia Personal Data Protection Law (PDPL), Art. 5, Art. 35 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 757 | SAUPD-002 | 沙特 PDPL 要求下缺少双语隐私声明 网站隐私声明未提供阿拉伯语版本，违反了沙特居民语言和透明访问的要求。 法律依据: Saudi Arabia Personal Data Protection Law (PDPL), Art. 30 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 758 | SAUPD-003 | 沙特阿拉伯不合规的直接营销沟通 该网站向沙特主体发送直接营销材料或广告 Cookie，但未获得事先选择同意并提供直接退出途径。 法律依据: Saudi Arabia Personal Data Protection Law (PDPL), Art. 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 759 | SAUPD-004 | 未经授权的沙特个人数据跨国传输 该网站将沙特居民的个人数据导出到外部托管环境，而未确保符合国家安全和充足性规定。 法律依据: Saudi Arabia Personal Data Protection Law (PDPL), Art. 29, Art. 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 760 | SAUPD-005 | 沙特法律下未能记录数据主体救济途径 网站隐私政策未能概述沙特数据主体向监管机构 (SDAIA) 提出投诉的指定机制。 法律依据: Saudi Arabia Personal Data Protection Law (PDPL), Art. 9 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 761 | ISRPA-001 | 以色列未注册敏感数据库处理 该网站在未向 PPA 注册数据库的情况下，收集以色列公民的敏感数据（宗教、健康、生物识别、政治）。 法律依据: Israel Privacy Protection Act, 5741-1981, Section 8, Section 31A | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 762 | ISRPA-002 | 以色列法律下缺少对收集自愿性的披露 网页表单未能明确通知以色列用户，提供其个人信息是法律强制的还是自愿的。 法律依据: Israel Privacy Protection Act, 5741-1981, Section 11 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 763 | ISRPA-003 | 以色列法规下访问控制和安全日志不妥当 该网站数据库缺乏以色列法规对包含个人文件的数据库所要求的合规安全日志监控和访问限制。 法律依据: Israel Privacy Protection Regulations (Information Security), 5777-2017 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 764 | ISRPA-004 | 以色列不合规的直接邮寄营销登记 网站控制者使用联系人列表向以色列公民进行直接邮寄营销，但未披露数据库来源并提供退出途径。 法律依据: Israel Privacy Protection Act, 5741-1981, Section 17F | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 765 | ISRPA-005 | 以色列缺少直接访问和更正程序 隐私政策未能详细说明以色列主体查询、更正或请求删除其记录的行政流程或具体时限。 法律依据: Israel Privacy Protection Act, 5741-1981, Section 13, Section 14 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 766 | LKAPD-001 | 斯里兰卡处理敏感数据缺少同意 该网站在未获得有效、明确同意的情况下，处理斯里兰卡主体的敏感个人数据（生物识别、健康、财务记录）。 法律依据: Sri Lanka Personal Data Protection Act, No. 9 of 2022, Sec. 6 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 767 | LKAPD-002 | 斯里兰卡个人数据过度保留 该网站保留斯里兰卡用户的个人数据时间超出其指定目的所需时间，违反了斯里兰卡法律规定的保留期限。 法律依据: Sri Lanka Personal Data Protection Act, No. 9 of 2022, Sec. 10 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 768 | LKAPD-003 | 斯里兰卡未能指定或披露 DPO 联系信息 数据控制者未能指定或提供斯里兰卡法律规定的指定数据保护官的公开联系途径。 法律依据: Sri Lanka Personal Data Protection Act, No. 9 of 2022, Sec. 20 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 769 | LKAPD-004 | 斯里兰卡未能提供免费的数据主体访问权 该网站隐私政策未能建立在 21 天内免费回复斯里兰卡居民访问请求的程序。 法律依据: Sri Lanka Personal Data Protection Act, No. 9 of 2022, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 770 | LKAPD-005 | 不合规的斯里兰卡数据跨国传输 控制者将斯里兰卡数据传输到未确保具备符合监管机构规定的同等保护水平的外部国家。 法律依据: Sri Lanka Personal Data Protection Act, No. 9 of 2022, Sec. 26 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 771 | MUSPD-001 | 毛里求斯处理敏感数据缺少合法基础 该网站在没有合法依据或事先明确同意的情况下，收集毛里求斯公民的敏感个人记录。 法律依据: Mauritius Data Protection Act 2017, Sec. 29, Sec. 43 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 772 | MUSPD-002 | 毛里求斯跨国传输披露不完整 隐私政策未能披露传输详情，或未能就将毛里求斯用户数据导出到外部云位置征得同意。 法律依据: Mauritius Data Protection Act 2017, Sec. 28 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 773 | MUSPD-003 | 毛里求斯缺少直接撤回同意的方法 该网站未能向毛里求斯居民提供直接、简便且免费的方法来撤回对正在进行的处理操作的同意。 法律依据: Mauritius Data Protection Act 2017, Sec. 28(2) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 774 | MUSPD-004 | 毛里求斯不合规的 72 小时泄露报告 根据毛里求斯法律，网站控制者缺乏在 72 小时内向专员报告安全事件的文件记录程序。 法律依据: Mauritius Data Protection Act 2017, Sec. 44, Sec. 47 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 775 | MUSPD-005 | 毛里求斯擦除和更正渠道不妥当 该网站未能向毛里求斯主体提供明确的的行政联系渠道，以请求擦除或更正其记录。 法律依据: Mauritius Data Protection Act 2017, Sec. 39 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 776 | TZNPD-001 | 坦桑尼亚在未向委员会注册的情况下处理个人数据 该网站在未向个人数据保护委员会注册为数据控制者的情况下，收集坦桑尼亚主体的个人数据。 法律依据: Tanzania Personal Data Protection Act, 2022, Sec. 14, Sec. 15 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 777 | TZNPD-002 | 坦桑尼亚不合规的直接营销沟通 该网站在未获得事先选择同意的情况下，将坦桑尼亚公民的个人信息用于商业直接营销。 法律依据: Tanzania Personal Data Protection Act, 2022, Sec. 31 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 778 | TZNPD-003 | 坦桑尼亚访问和更正程序不妥当 该网站隐私政策未能为坦桑尼亚用户查阅和更正记录记录下可访问的程序和具体的联系方式。 法律依据: Tanzania Personal Data Protection Act, 2022, Sec. 27, Sec. 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 779 | TZNPD-004 | 不合规的坦桑尼亚跨国数据传输 控制者在未获得委员会事先批准或许可的情况下，将坦桑尼亚居民的个人记录传输到该国境外。 法律依据: Tanzania Personal Data Protection Act, 2022, Sec. 32 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 780 | TZNPD-005 | 坦桑尼亚未能记录安全泄露通知协议 数据控制者未能记录在可行情况下尽快向委员会和受影响主体通知安全泄露事件的行政程序。 法律依据: Tanzania Personal Data Protection Act, 2022, Sec. 40 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 781 | BTPD-001 | 波札那在未获得同意的情况下处理敏感个人数据 该网站在未获得事先书面或数字明确同意的情况下，处理博茨瓦纳主体的敏感个人数据（健康、政治、性取向）。 法律依据: Botswana Data Protection Act, 2018, Sec. 16, Sec. 49 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 782 | BTPD-002 | 波札那跨国传输缺少不充分授权 控制者在未获得专员授权的情况下，将博茨瓦纳居民的个人记录传输到缺乏适当法律的国家。 法律依据: Botswana Data Protection Act, 2018, Sec. 48, Sec. 49 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 783 | BTPD-003 | 波札那敏感数据库文件安全措施不妥当 该网站数据库未能实施适当的安全防范措施和加密来保护博茨瓦纳用户的个人记录。 法律依据: Botswana Data Protection Act, 2018, Sec. 33 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 784 | BTPD-004 | 波札那缺少数据主体访问和限制方法 隐私政策未能记录下博茨瓦纳用户行使其查询或限制数据处理权利的可访问方法。 法律依据: Botswana Data Protection Act, 2018, Sec. 21, Sec. 22 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 785 | BTPD-005 | 波札那缺少直接撤回同意的途径 该网站未能向博茨瓦纳居民提供直接、透明且免费的机制来撤销对数据跟踪的同意。 法律依据: Botswana Data Protection Act, 2018, Sec. 20 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 786 | ZMBPD-001 | 赞比亚在未获得书面同意的情况下处理敏感个人数据 该网站在未获得事先书面明确同意的情况下，收集赞比亚主体的敏感个人记录（健康、财务状况）。 法律依据: Zambia Data Protection Act, 2021, Sec. 10, Sec. 15 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 787 | ZMBPD-002 | 赞比亚在控制者未注册的情况下处理个人数据 该网站控制者在未向数据保护专员办公室注册的情况下，收集赞比亚居民的个人信息。 法律依据: Zambia Data Protection Act, 2021, Sec. 10, Sec. 11 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 788 | ZMBPD-003 | 赞比亚法律下未能指定或披露 DPO 网站控制者未能按照赞比亚法规的要求，指定数据保护官或提供其公开的联系信息。 法律依据: Zambia Data Protection Act, 2021, Sec. 41 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 789 | ZMBPD-004 | 赞比亚不合规的数据保留周期 该网站保留赞比亚用户的个人记录时间超出指定处理目的所需时间，且没有删除协议。 法律依据: Zambia Data Protection Act, 2021, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 790 | ZMBPD-005 | 不合规的赞比亚数据跨国传输 控制者在未确保同等保护水平或未获得所需授权的情况下，将赞比亚居民的数据传输到赞比亚境外。 法律依据: Zambia Data Protection Act, 2021, Sec. 47 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 791 | JAMPD-001 | 牙买加未能向信息专员注册 该网站控制者在未向信息专员注册为数据控制者的情况下，收集牙买加居民的个人信息。 法律依据: Jamaica Data Protection Act, 2020, Section 14, Section 67 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 792 | JAMPD-002 | 牙买加法律下缺少数据保护官联系方式 该网站隐私政策未能指明牙买加指定数据保护官，或提供其直接的公开联系方式。 法律依据: Jamaica Data Protection Act, 2020, Section 18 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 793 | JAMPD-003 | 牙买加法律下缺少数据主体画像选择退出途径 该网站未能向牙买加居民提供明确的选择退出或反对用于画像和直接营销处理的选项。 法律依据: Jamaica Data Protection Act, 2020, Section 27 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 794 | JAMPD-004 | 牙买加法律下缺少正式的数据处理者协议 控制者在没有约束性书面合同的情况下，将牙买加居民的个人记录传输给第三方托管商或处理者。 法律依据: Jamaica Data Protection Act, 2020, Section 31 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 795 | JAMPD-005 | 不合规的牙买加跨国数据传输 控制者在未获得专员授权的情况下，将牙买加用户的个人数据导出到缺乏适当保护的国家。 法律依据: Jamaica Data Protection Act, 2020, Section 36 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 796 | BRBPD-001 | 巴巴多斯未注册个人数据处理 该网站在未向数据保护专员注册的情况下，收集巴巴多斯公民的个人信息。 法律依据: Barbados Data Protection Act, 2019, Sec. 14, Sec. 51 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 797 | BRBPD-002 | 巴巴多斯数据安全措施不妥当 该网站缺乏技术和行政保障措施，来保护所收集的巴巴多斯居民记录免受未经授权的访问或泄露。 法律依据: Barbados Data Protection Act, 2019, Sec. 32 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 798 | BRBPD-003 | 巴巴多斯法律下隐私声明缺少披露 隐私政策未能向巴巴多斯用户提供有关数据目的、保留限制和第三方接收者的信息。 法律依据: Barbados Data Protection Act, 2019, Sec. 37 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 799 | BRBPD-004 | 巴巴多斯缺少直接反对机制 该网站未能向巴巴多斯数据主体提供明确、直接的机制，以反对或限制出于商业目的的处理。 法律依据: Barbados Data Protection Act, 2019, Sec. 24 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 800 | BRBPD-005 | 巴巴多斯不合规的 72 小时泄露报告 该网站未能记录在安全事件发生后 72 小时内通知专员的安全泄露报告协议。 法律依据: Barbados Data Protection Act, 2019, Sec. 46 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 801 | BHSPD-001 | 巴哈马未注册个人数据处理 该网站在未向数据保护专员注册处理登记表的情况下，收集巴哈马主体的敏感个人记录。 法律依据: Bahamas Data Protection (Privacy of Personal Information) Act, Sec. 5, Sec. 15 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 802 | BHSPD-002 | 巴哈马数据安全措施不妥当 数据库收集并存储巴哈马居民的个人文件，但未实施适当的安全措施来防止数据丢失。 法律依据: Bahamas Data Protection (Privacy of Personal Information) Act, Sec. 11 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 803 | BHSPD-003 | 巴哈马缺少更正和删除权 该网站隐私政策未能为巴哈马居民记录下可访问的联系途径，以请求更正或擦除文件。 法律依据: Bahamas Data Protection (Privacy of Personal Information) Act, Sec. 8 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 804 | BHSPD-004 | 巴哈马不合规的直接营销选择退出 该网站向巴哈马主体发送广告电子邮件或直接营销 Cookie，但未提供直接、免费的退出机制。 法律依据: Bahamas Data Protection (Privacy of Personal Information) Act, Sec. 13 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 805 | BHSPD-005 | 巴哈马法律下数据过度保留限制 该网站无限期保留巴哈马用户的个人记录，而未建立具体的期限或清理周期。 法律依据: Bahamas Data Protection (Privacy of Personal Information) Act, Sec. 6 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 806 | TTOPD-001 | 特立尼达和多巴哥未注册敏感数据库处理 该网站在未向信息专员注册数据库的情况下，处理特立尼达和多巴哥居民的敏感个人记录。 法律依据: Trinidad and Tobago Data Protection Act, 2011, Section 46, Section 82 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 807 | TTOPD-002 | 特立尼达和多巴哥数据安全措施不妥当 该数据库收集并处理特立尼达和多巴哥用户的个人文件，但未采用强制性的技术加密或行政控制。 法律依据: Trinidad and Tobago Data Protection Act, 2011, Section 38 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 808 | TTOPD-003 | 特立尼达和多巴哥不合规的 30 天访问请求时限 该网站隐私政策未能记录下在 30 天内回复数据访问请求的联系方式或程序。 法律依据: Trinidad and Tobago Data Protection Act, 2011, Section 42 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 809 | TTOPD-004 | 不合规的特立尼达和多巴哥数据跨国传输 该网站在未获得用户同意的情况下，将特立尼达和多巴哥用户的个人记录传输到缺乏同等法律保护的国家。 法律依据: Trinidad and Tobago Data Protection Act, 2011, Section 46(2) | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 810 | TTOPD-005 | 特立尼达和多巴哥未经同意的数据次要目的处理 该网站在未获得事先同意的情况下，将收集自特立尼达和多巴哥用户的个人数据用于次要营销目的。 法律依据: Trinidad and Tobago Data Protection Act, 2011, Section 32 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 811 | MCOPD-001 | 摩纳哥未能向 CCIN 通知数据处理 该网站收集摩纳哥居民的个人信息，但未向 CCIN 提交声明或寻求授权。 法律依据: Monaco Law No. 1.165, Article 7, Article 21 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 812 | MCOPD-002 | 摩纳哥境外控制者缺少本地代表联系信息 境外控制者未能指定或披露在摩纳哥的指定代表以进行数据主体沟通。 法律依据: Monaco Law No. 1.165, Article 7-1 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 813 | MCOPD-003 | 摩纳哥 Cookie 同意和选择退出选项不妥当 该网站在未事先进行透明通知且未提供主动选择同意的情况下，在摩纳哥用户的浏览器中设置广告 Cookie。 法律依据: Monaco Law No. 1.165, Article 11, Article 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 814 | MCOPD-004 | 未经授权从摩纳哥导出个人数据 该网站将摩纳哥用户的个人记录传输到国外，而未确保合规性或寻求 CCIN 传输授权。 法律依据: Monaco Law No. 1.165, Article 20, Article 20-1 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 815 | MCOPD-005 | 摩纳哥行使反对权的渠道不妥当 隐私政策未能为摩纳哥主体建立清晰的联系渠道，以反对数据处理或请求更正文件。 法律依据: Monaco Law No. 1.165, Article 13, Article 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 816 | ADPD-001 | 安道尔法律 29/2021 规定下缺少合法处理基础 该网站在未根据《合格法》建立有效合法处理依据的情况下，处理安道尔居民的个人数据。 法律依据: Andorra Qualified Law 29/2021 on Personal Data Protection, Article 6, Article 7 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 817 | ADPD-002 | 安道尔未指定或未注册 DPO 当按照第 29/2021 号法律的要求进行处理时，网站控制者未能指定数据保护官或向 APDA 注册。 法律依据: Andorra Qualified Law 29/2021 on Personal Data Protection, Article 37 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 818 | ADPD-003 | 安道尔法律下隐私声明披露不妥当 该网站隐私声明未能披露数据保留期限、法律依据或安道尔居民向 APDA 投诉的权利。 法律依据: Andorra Qualified Law 29/2021 on Personal Data Protection, Article 13, Article 14 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 819 | ADPD-004 | 不合规的安道尔跨国数据传输 控制者将安道尔主体的个人记录传输到第三国，而没有充足性决定或 APDA 授权的条款。 法律依据: Andorra Qualified Law 29/2021 on Personal Data Protection, Article 44, Article 45 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 820 | ADPD-005 | 安道尔履行擦除权的渠道不妥当 该网站未能向安道尔用户提供清晰、直接且免费的方法来请求擦除或限制其个人数据。 法律依据: Andorra Qualified Law 29/2021 on Personal Data Protection, Article 15, Article 18 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 821 | SRBPD-001 | 塞尔维亚敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集塞尔维亚居民的敏感个人记录（健康、生物识别）。 法律依据: Serbia Law on Personal Data Protection, Article 17, Article 95 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 822 | SRBPD-002 | 塞尔维亚境外控制者缺少本地代表联系信息 境外网站控制者未能指定或披露在塞尔维亚的指定本地代表，以进行数据保护合规。 法律依据: Serbia Law on Personal Data Protection, Article 44 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 823 | SRBPD-003 | 塞尔维亚法律下隐私声明披露不妥当 隐私政策未能指明塞尔维亚的数据处理目的、保留细节，或与本地专员的联系方式。 法律依据: Serbia Law on Personal Data Protection, Article 23 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 824 | SRBPD-004 | 塞尔维亚不合规的 72 小时泄露报告 网站控制者未能记录在 72 小时内向塞尔维亚专员报告安全事件的程序。 法律依据: Serbia Law on Personal Data Protection, Article 52, Article 95 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 825 | SRBPD-005 | 塞尔维亚数据主体访问权回复方式不妥当 该网站未能为塞尔维亚数据主体建立在 30 天答复期内行使访问或擦除权利的透明渠道。 法律依据: Serbia Law on Personal Data Protection, Article 21, Article 22 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 826 | ALBPD-001 | 阿尔巴尼亚在未通知的情况下处理个人数据 该网站在未向专员提交处理通知的情况下，收集阿尔巴尼亚居民的个人数据。 法律依据: Albania Law No. 9887 on Protection of Personal Data, Article 21, Article 39 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 827 | ALBPD-002 | 未经授权的阿尔巴尼亚个人数据跨国传输 该网站将阿尔巴尼亚用户的个人数据导出到外部托管环境，而未确保合规性或寻求专员批准。 法律依据: Albania Law No. 9887 on Protection of Personal Data, Article 8, Article 9 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 828 | ALBPD-003 | 阿尔巴尼亚不合规的直接营销沟通 该网站在未提供直接、免费退出选择的情况下，将阿尔巴尼亚主体的个人信息用于商业直接营销。 法律依据: Albania Law No. 9887 on Protection of Personal Data, Article 16 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 829 | ALBPD-004 | 阿尔巴尼亚法律下数据库文件安全措施不妥当 该网站数据库缺乏保护阿尔巴尼亚用户个人记录所需的合规加密和访问控制。 法律依据: Albania Law No. 9887 on Protection of Personal Data, Article 18 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 830 | ALBPD-005 | 阿尔巴尼亚数据主体访问权回复方式不妥当 该网站隐私政策未能建立明确的联系渠道或程序，以查阅、更正或请求删除阿尔巴尼亚的记录。 法律依据: Albania Law No. 9887 on Protection of Personal Data, Article 12, Article 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 831 | TUNPD-001 | 突尼斯在未向 INPDP 申报的情况下处理个人数据 该网站收集突尼斯居民的个人信息，但未向 INPDP 提交申报或寻求授权。 法律依据: Tunisia Organic Law No. 2004-63, Article 7, Article 76 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 832 | TUNPD-002 | 突尼斯敏感数据缺少书面同意 该网站在未获得事先书面同意的情况下，处理突尼斯居民的敏感类别个人数据（健康、政治观点）。 法律依据: Tunisia Organic Law No. 2004-63, Article 13, Article 77 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 833 | TUNPD-003 | 突尼斯法律下删除和更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或突尼斯居民请求擦除数据的前提程序。 法律依据: Tunisia Organic Law No. 2004-63, Article 27 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 834 | TUNPD-004 | 突尼斯不合规的直接营销沟通 该网站在未获得事先选择同意的情况下，将突尼斯主体的个人信息用于商业直接营销。 法律依据: Tunisia Organic Law No. 2004-63, Article 31, Article 82 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 835 | TUNPD-005 | 不合规的突尼斯跨国数据传输 控制者将突尼斯用户的个人数据导出到外部托管环境，而没有确保符合充足性和监管批准。 法律依据: Tunisia Organic Law No. 2004-63, Article 49, Article 85 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 836 | SENPD-001 | 塞内加尔在未通知 CDP 的情况下处理个人数据 该网站收集塞内加尔居民的个人信息，但未向 CDP 提交处理通知。 法律依据: Senegal Law No. 2008-12, Article 16, Article 46 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 837 | SENPD-002 | 塞内加尔数据安全措施不妥当 该数据库收集并处理塞内加尔居民的个人文件，但未采用强制性的技术加密或行政控制。 法律依据: Senegal Law No. 2008-12, Article 70, Article 71 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 838 | SENPD-003 | 塞内加尔隐私声明中缺少第三方接收者披露 该网站隐私政策未能指明塞内加尔居民数据的外部第三方接收者或云托管位置。 法律依据: Senegal Law No. 2008-12, Article 58 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 839 | SENPD-004 | 塞内加尔不合规的直接营销沟通 该网站向塞内加尔主体发送广告电子邮件或营销 Cookie，但未获得事先选择同意并提供退出路径。 法律依据: Senegal Law No. 2008-12, Article 33 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 840 | SENPD-005 | 塞内加尔擦除和更正权渠道不妥当 该网站隐私政策未能向塞内加尔主体提供明确的的联系渠道，以请求擦除或更正其记录。 法律依据: Senegal Law No. 2008-12, Article 69 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 841 | CIVPD-001 | 科特迪瓦未能向 ARTCI 注册数据库处理 该网站控制者在未向 ARTCI 提交注册通知的情况下，收集科特迪瓦居民的个人信息。 法律依据: Ivory Coast Law No. 2013-450, Article 6, Article 42 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 842 | CIVPD-002 | 科特迪瓦敏感数据缺少明确同意 该网站在未获得有效、事先明确同意的情况下，处理科特迪瓦主体的敏感个人数据（生物识别、健康、财务记录）。 法律依据: Ivory Coast Law No. 2013-450, Article 9, Article 43 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 843 | CIVPD-003 | 科特迪瓦擦除和更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或科特迪瓦居民请求数据擦除的具体程序。 法律依据: Ivory Coast Law No. 2013-450, Article 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 844 | CIVPD-004 | 不合规的科特迪瓦跨国数据传输 控制者在未获得 ARTCI 事先授权的情况下，将科特迪瓦主体的个人记录传输到国外。 法律依据: Ivory Coast Law No. 2013-450, Article 35, Article 45 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 845 | CIVPD-005 | 科特迪瓦不合规的直接营销沟通 该网站向科特迪瓦主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Ivory Coast Law No. 2013-450, Article 25 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 846 | MNGPD-001 | 蒙古在没有法律依据的情况下处理个人数据 该网站在未根据蒙古法律建立有效合法处理依据或获得同意的情况下，收集蒙古居民的个人信息。 法律依据: Mongolia Law on Protection of Personal Data 2021, Article 6, Article 32 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 847 | MNGPD-002 | 蒙古法律下缺少安全事件通知渠道 该网站控制者未能记录下通知蒙古主体数据泄露事件的特定行政或公开程序。 法律依据: Mongolia Law on Protection of Personal Data 2021, Article 15 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 848 | MNGPD-003 | 蒙古缺少数据主体更正和擦除权 该网站隐私政策未能为蒙古用户记录下可访问的联系途径或请求更正、销毁记录的具体程序。 法律依据: Mongolia Law on Protection of Personal Data 2021, Article 17, Article 18 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 849 | MNGPD-004 | 蒙古在未获得书面同意的情况下处理生物识别数据 该网站在未获得事先书面明确同意的情况下，收集蒙古主体的敏感生物识别或基因文件。 法律依据: Mongolia Law on Protection of Personal Data 2021, Article 8, Article 12 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 850 | MNGPD-005 | 蒙古不合规的直接营销沟通 该网站向蒙古主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Mongolia Law on Protection of Personal Data 2021, Article 23 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 851 | NORPD-001 | 挪威在未获得明确同意的情况下处理敏感个人数据 该网站在未获得 Datatilsynet 要求的明确事先选择同意的情况下，处理挪威用户的敏感个人记录。 法律依据: Norway Personal Data Act, Sec. 1 (incorporating GDPR Art. 9) GDPR Art. 9 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 852 | NORPD-002 | 挪威儿童服务年龄验证不完整 该网站未能为 13 岁以下的挪威用户实施健全的年龄验证或家长同意机制。 法律依据: Norway Personal Data Act, Sec. 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 853 | NORPD-003 | 挪威法规下隐私声明披露不妥当 隐私政策未能指明挪威的联系信息或向 Datatilsynet 提出投诉的具体细节。 法律依据: Norway Personal Data Act (GDPR Art. 13) GDPR Art. 13 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 854 | NORPD-004 | 挪威缺少 72 小时安全事件通知协议 数据控制者未能记录下在 72 小时内向 Datatilsynet 报告数据泄露的行政程序。 法律依据: Norway Personal Data Act (GDPR Art. 33) GDPR Art. 33 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 855 | NORPD-005 | 挪威数据访问和擦除回复途径不妥当 该网站未能为挪威数据主体建立透明、免费的联系渠道以请求删除或查询个人数据。 法律依据: Norway Personal Data Act (GDPR Art. 15, Art. 17) GDPR Art. 15GDPR Art. 17 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 856 | ISLPD-001 | 冰岛在未获得书面同意的情况下处理敏感数据 该网站在未获得事先明确书面或数字同意的情况下，收集冰岛主体的敏感个人记录。 法律依据: Iceland Act on Data Protection and Processing of Personal Data, No. 90/2018 (GDPR Art. 9) GDPR Art. 9 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 857 | ISLPD-002 | 冰岛儿童同意年龄验证缺失 该网站未能为 13 岁以下的冰岛信息社会服务用户实施家长同意机制。 法律依据: Iceland Act on Data Protection and Processing of Personal Data, No. 90/2018, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 858 | ISLPD-003 | 冰岛隐私声明披露不完整 隐私声明未能披露有关数据保留期限，或向冰岛 DPA (Persónuvernd) 投诉的权利的详细信息。 法律依据: Iceland Act on Data Protection and Processing of Personal Data, No. 90/2018 (GDPR Art. 13) GDPR Art. 13 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 859 | ISLPD-004 | 冰岛缺少安全事件通知协议 该网站未能建立在 72 小时内向 Persónuvernd 和受影响的主体通知冰岛境内安全泄露事件的程序。 法律依据: Iceland Act on Data Protection and Processing of Personal Data, No. 90/2018 (GDPR Art. 33) GDPR Art. 33 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 860 | ISLPD-005 | 冰岛数据主体权利回复方式不妥当 该网站未能为冰岛数据主体建立透明、免费的联系渠道以请求更正或删除文件。 法律依据: Iceland Act on Data Protection and Processing of Personal Data, No. 90/2018 (GDPR Art. 15, Art. 17) GDPR Art. 15GDPR Art. 17 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 861 | LIEPD-001 | 列支敦士登在未获得明确同意的情况下处理敏感个人数据 该网站收集列支敦士登居民的敏感个人记录，但未获得事先明确的书面或数字同意。 法律依据: Liechtenstein Data Protection Act (DSG) Art. 4, GDPR Art. 9 GDPR Art. 9 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 862 | LIEPD-002 | 列支敦士登儿童同意年龄验证不完整 该网站未能为 16 岁以下的列支敦士登用户实施年龄验证或家长同意机制。 法律依据: Liechtenstein Data Protection Act (DSG) Art. 12, GDPR Art. 8 GDPR Art. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 863 | LIEPD-003 | 列支敦士登法律下隐私声明披露不妥当 该网站隐私政策未能指明数据保留期限，或向列支敦士登 DPA (DSS) 投诉的权利。 法律依据: Liechtenstein Data Protection Act (DSG) Art. 15, GDPR Art. 13 GDPR Art. 13 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 864 | LIEPD-004 | 列支敦士登缺少 72 小时安全事件通知协议 根据法律要求，网站控制者未能记录在 72 小时内向列支敦士登专员 (DSS) 报告安全事件的程序。 法律依据: Liechtenstein Data Protection Act (DSG), GDPR Art. 33 GDPR Art. 33 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 865 | LIEPD-005 | 列支敦士登数据主体权利访问渠道不妥当 该网站未能为列支敦士登居民提供免费、可访问且透明的方法，来行使其访问、更正或删除数据的权利。 法律依据: Liechtenstein Data Protection Act (DSG), GDPR Art. 15, Art. 17 GDPR Art. 15GDPR Art. 17 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 866 | MKDPD-001 | 北马其顿在未获得书面同意的情况下处理敏感数据 该网站在未获得事先明确书面或数字同意的情况下，处理北马其顿居民的敏感类别个人数据。 法律依据: North Macedonia Law on Personal Data Protection, Article 13, Article 100 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 867 | MKDPD-002 | 北马其顿未能指定或注册 DPO 网站控制者未能按照当地法规的要求，指定数据保护官或提供其公开的联系方式。 法律依据: North Macedonia Law on Personal Data Protection, Article 32 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 868 | MKDPD-003 | 马其顿法规下隐私声明披露不妥当 该网站隐私声明未能披露数据保留期限、法律依据或马其顿居民向局 (Agency) 投诉的权利。 法律依据: North Macedonia Law on Personal Data Protection, Article 17, Article 18 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 869 | MKDPD-004 | 北马其顿缺少 72 小时安全事件通知协议 数据控制者未能记录在 72 小时内向个人数据保护局报告安全事件的程序。 法律依据: North Macedonia Law on Personal Data Protection, Article 37, Article 100 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 870 | MKDPD-005 | 北马其顿数据主体权利访问渠道不妥当 该网站未能为北马其顿居民提供免费、可访问且透明的方法，来行使其访问、更正或删除数据的权利。 法律依据: North Macedonia Law on Personal Data Protection, Article 19, Article 21 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 871 | MNEPD-001 | 黑山处理敏感数据缺少同意 该网站收集黑山居民的敏感个人记录，但未获得事先书面或数字明确同意。 法律依据: Montenegro Law on Personal Data Protection, Article 9, Article 13 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 872 | MNEPD-002 | 黑山法律下数据库文件安全措施不妥当 该网站数据库缺乏保护黑山用户个人记录所需的合规加密和访问控制。 法律依据: Montenegro Law on Personal Data Protection, Article 24 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 873 | MNEPD-003 | 黑山法律下隐私声明披露不妥当 该网站隐私声明未能披露数据保留期限、法律依据或黑山居民向局 (AZLP) 投诉的权利。 法律依据: Montenegro Law on Personal Data Protection, Article 21 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 874 | MNEPD-004 | 未经授权的黑山数据跨国传输 该网站在未获得 AZLP 批准的情况下，将黑山居民的个人数据导出到未能确保同等保护水平的外部国家。 法律依据: Montenegro Law on Personal Data Protection, Article 28 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 875 | MNEPD-005 | 黑山数据主体权利访问渠道不妥当 该网站未能为黑山居民提供免费、可访问且透明的方法来行使其查询、更正或删除数据的权利。 法律依据: Montenegro Law on Personal Data Protection, Article 19, Article 20 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 876 | BIHPD-001 | 波斯尼亚和黑塞哥维那敏感数据缺少明确同意 该网站收集波斯尼亚和黑塞哥维那居民的敏感个人记录（健康、生物识别），但未获得事先书面或数字明确同意。 法律依据: Bosnia and Herzegovina Law on Personal Data Protection, Article 9, Article 42 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 877 | BIHPD-002 | 波斯尼亚和黑塞哥维那数据库文件安全措施不妥当 该网站数据库缺乏保护波斯尼亚和黑塞哥维那用户个人记录所需的合规安全日志监控和访问限制。 法律依据: Bosnia and Herzegovina Law on Personal Data Protection, Article 11 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 878 | BIHPD-003 | 波斯尼亚和黑塞哥维那法规下隐私声明披露不妥当 该网站隐私政策未能指明数据保留期限，或向波斯尼亚 AZLP 投诉的权利。 法律依据: Bosnia and Herzegovina Law on Personal Data Protection, Article 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 879 | BIHPD-004 | 未经授权的波斯尼亚个人数据跨国传输 该网站在未获得 AZLP 批准的情况下，将波斯尼亚和黑塞哥维那居民的个人数据导出到缺乏适当保护的国家。 法律依据: Bosnia and Herzegovina Law on Personal Data Protection, Article 18 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 880 | BIHPD-005 | 波斯尼亚缺少删除和更正权利的回复渠道 该网站未能向波斯尼亚主体提供直接、简便且免费的方法来请求更正或擦除文件。 法律依据: Bosnia and Herzegovina Law on Personal Data Protection, Article 24, Article 25 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 881 | MDAPD-001 | 摩尔多瓦未能向 CNPDCP 注册处理登记表 该网站收集摩尔多瓦居民的个人信息，但未向 CNPDCP 注册处理登记表或寻求其授权。 法律依据: Moldova Law No. 133 on Personal Data Protection, Article 6, Article 32 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 882 | MDAPD-002 | 摩尔多瓦敏感数据缺少明确同意 该网站处理摩尔多瓦主体的敏感个人数据（生物识别、健康），但未获得事先明确的书面或数字同意。 法律依据: Moldova Law No. 133 on Personal Data Protection, Article 5 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 883 | MDAPD-003 | 摩尔多瓦法律下隐私声明披露不妥当 隐私声明未能披露数据保留期限、法律依据或摩尔多瓦居民向 CNPDCP 投诉的权利。 法律依据: Moldova Law No. 133 on Personal Data Protection, Article 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 884 | MDAPD-004 | 不合规的摩尔多瓦跨国数据传输 控制者将摩尔多瓦主体的个人记录传输到第三国，而没有充足性决定或 CNPDCP 授权的条款。 法律依据: Moldova Law No. 133 on Personal Data Protection, Article 32 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 885 | MDAPD-005 | 摩尔多瓦数据主体权利访问渠道不妥当 该网站未能为摩尔多瓦居民提供免费、可访问且透明的方法，来行使其访问、更正或删除数据的权利。 法律依据: Moldova Law No. 133 on Personal Data Protection, Article 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 886 | KGZPD-001 | 吉尔吉斯斯坦在没有法律依据的情况下处理个人数据 该网站在未根据吉尔吉斯斯坦法律建立有效合法处理依据或获得同意的情况下，收集吉尔吉斯斯坦居民的个人信息。 法律依据: Kyrgyzstan Law on Personal Information, Article 5, Article 29 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 887 | KGZPD-002 | 吉尔吉斯斯坦敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集吉尔吉斯斯坦居民的敏感个人记录（健康、宗教）。 法律依据: Kyrgyzstan Law on Personal Information, Article 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 888 | KGZPD-003 | 吉尔吉斯斯坦法律下隐私声明披露不妥当 隐私政策未能指明吉尔吉斯斯坦的数据处理目的、保留细节，或与本地国家局的联系方式。 法律依据: Kyrgyzstan Law on Personal Information, Article 19 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 889 | KGZPD-004 | 不合规的吉尔吉斯斯坦跨国数据传输 控制者在未确保同等保护水平或获得国家局批准的情况下，将吉尔吉斯斯坦主体的个人记录传输到国外。 法律依据: Kyrgyzstan Law on Personal Information, Article 25 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 890 | KGZPD-005 | 吉尔吉斯斯坦数据主体权利回复方式不妥当 该网站未能为吉尔吉斯斯坦数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Kyrgyzstan Law on Personal Information, Article 17, Article 18 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 891 | TJKPD-001 | 塔吉克斯坦在没有法律依据的情况下处理个人数据 该网站在未根据塔吉克斯坦法律建立有效合法处理依据或获得同意的情况下，收集塔吉克斯坦居民的个人信息。 法律依据: Tajikistan Law on Personal Data, Article 5, Article 21 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 892 | TJKPD-002 | 塔吉克斯坦敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集塔吉克斯坦居民的敏感个人记录（健康、生物识别）。 法律依据: Tajikistan Law on Personal Data, Article 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 893 | TJKPD-003 | 塔吉克斯坦法律下隐私声明披露不妥当 隐私政策未能指明塔吉克斯坦的数据处理目的、保留细节，或与本地授权机构的联系方式。 法律依据: Tajikistan Law on Personal Data, Article 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 894 | TJKPD-004 | 不合规的塔吉克斯坦跨国数据传输 控制者在未确保同等保护水平或获得授权机构批准的情况下，将塔吉克斯坦主体的个人记录传输到国外。 法律依据: Tajikistan Law on Personal Data, Article 18 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 895 | TJKPD-005 | 塔吉克斯坦数据主体权利回复方式不妥当 该网站未能为塔吉克斯坦数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Tajikistan Law on Personal Data, Article 11, Article 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 896 | TGOPD-001 | 多哥在未通知 IPDCP 的情况下处理个人数据 该网站收集多哥居民的个人信息，但未向 IPDCP 提交处理通知。 法律依据: Togo Law No. 2019-014 on Personal Data Protection, Article 16, Article 50 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 897 | TGOPD-002 | 多哥敏感数据缺少明确同意 该网站在未获得有效、事先明确同意的情况下，处理多哥主体的敏感个人数据（生物识别、健康、财务记录）。 法律依据: Togo Law No. 2019-014 on Personal Data Protection, Article 13 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 898 | TGOPD-003 | 多哥法律下删除和更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或多哥居民请求数据擦除的具体程序。 法律依据: Togo Law No. 2019-014 on Personal Data Protection, Article 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 899 | TGOPD-004 | 不合规的多哥跨国数据传输 控制者在未获得 IPDCP 事先授权的情况下，将多哥主体的个人记录传输到国外。 法律依据: Togo Law No. 2019-014 on Personal Data Protection, Article 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 900 | TGOPD-005 | 多哥不合规的直接营销沟通 该网站向多哥主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Togo Law No. 2019-014 on Personal Data Protection, Article 25 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 901 | BENPD-001 | 贝宁在未向 APDP 申报的情况下处理个人数据 该网站收集贝宁居民的个人信息，但未向 APDP 提交处理通知。 法律依据: Benin Digital Code 2018 (Loi No. 2017-20), Article 390, Article 420 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 902 | BENPD-002 | 贝宁敏感数据缺少明确同意 该网站在未获得有效、事先明确同意的情况下，处理贝宁主体的敏感个人数据（生物识别、健康、财务记录）。 法律依据: Benin Digital Code 2018 (Loi No. 2017-20), Article 395 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 903 | BENPD-003 | 贝宁擦除和更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或贝宁居民请求数据擦除的具体程序。 法律依据: Benin Digital Code 2018 (Loi No. 2017-20), Article 410 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 904 | BENPD-004 | 不合规的贝宁跨国数据传输 控制者在未获得 APDP 事先授权的情况下，将贝宁主体的个人记录传输到国外。 法律依据: Benin Digital Code 2018 (Loi No. 2017-20), Article 415 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 905 | BENPD-005 | 贝宁不合规的直接营销沟通 该网站向贝宁主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Benin Digital Code 2018 (Loi No. 2017-20), Article 400 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 906 | MLIPD-001 | 马里在未通知 APDP 的情况下处理个人数据 该网站收集马里居民的个人信息，但未向 APDP 提交处理通知。 法律依据: Mali Law No. 2013-015 on Protection of Personal Data, Article 15, Article 40 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 907 | MLIPD-002 | 马里敏感数据缺少明确同意 该网站在未获得有效、事先明确同意的情况下，处理马里主体的敏感个人数据（生物识别、健康、财务记录）。 法律依据: Mali Law No. 2013-015 on Protection of Personal Data, Article 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 908 | MLIPD-003 | 马里法律下删除和更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或马里居民请求数据擦除的具体程序。 法律依据: Mali Law No. 2013-015 on Protection of Personal Data, Article 27 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 909 | MLIPD-004 | 不合规的马里跨国数据传输 控制者在未获得 APDP 事先授权的情况下，将马里主体的个人记录传输到国外。 法律依据: Mali Law No. 2013-015 on Protection of Personal Data, Article 32 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 910 | MLIPD-005 | 马里不合规的直接营销沟通 该网站向马里主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Mali Law No. 2013-015 on Protection of Personal Data, Article 23 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 911 | NERPD-001 | 尼日尔在未通知 HAPDP 的情况下处理个人数据 该网站收集尼日尔居民的个人信息，但未向 HAPDP 提交处理通知。 法律依据: Niger Law No. 2019-10 on Personal Data Protection, Article 15, Article 42 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 912 | NERPD-002 | 尼日尔敏感数据缺少明确同意 该网站在未获得有效、事先明确同意的情况下，处理尼日尔主体的敏感个人数据（生物识别、健康、财务记录）。 法律依据: Niger Law No. 2019-10 on Personal Data Protection, Article 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 913 | NERPD-003 | 尼日尔法律下删除和更正渠道不妥当 该网站隐私政策未能记录下可访问의联系途径或尼日尔居民请求数据擦除的具体程序。 法律依据: Niger Law No. 2019-10 on Personal Data Protection, Article 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 914 | NERPD-004 | 不合规的尼日尔跨国数据传输 控制者在未获得 HAPDP 事先授权的情况下，将尼日尔主体的个人记录传输到国外。 法律依据: Niger Law No. 2019-10 on Personal Data Protection, Article 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 915 | NERPD-005 | 尼日尔不合规的直接营销沟通 该网站向尼日尔主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Niger Law No. 2019-10 on Personal Data Protection, Article 24 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 916 | GABPD-001 | 加蓬在未通知 CNPDCP 的情况下处理个人数据 该网站收集加蓬居民的个人信息，但未向 CNPDCP 提交处理通知。 法律依据: Gabon Law No. 001/2011 on Personal Data Protection, Article 15, Article 42 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 917 | GABPD-002 | 加蓬敏感数据缺少明确同意 该网站在未获得有效、事先明确同意的情况下，处理加蓬主体的敏感个人数据（生物识别、健康、财务记录）。 法律依据: Gabon Law No. 001/2011 on Personal Data Protection, Article 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 918 | GABPD-003 | 加蓬法律下删除和更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或加蓬居民请求数据擦除的具体程序。 法律依据: Gabon Law No. 001/2011 on Personal Data Protection, Article 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 919 | GABPD-004 | 不合规的加蓬跨国数据传输 控制者在未获得 CNPDCP 事先授权的情况下，将加蓬主体的个人记录传输到国外。 法律依据: Gabon Law No. 001/2011 on Personal Data Protection, Article 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 920 | GABPD-005 | 加蓬不合规的直接营销沟通 该网站向加蓬主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Gabon Law No. 001/2011 on Personal Data Protection, Article 24 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 921 | MDGPD-001 | 马达加斯加在未通知 CMIL 的情况下处理个人数据 该网站收集马达加斯加居民的个人信息，但未向 CMIL 提交处理通知。 法律依据: Madagascar Law No. 2014-038 on Personal Data Protection, Article 15, Article 42 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 922 | MDGPD-002 | 马达加斯加敏感数据缺少明确同意 该网站在未获得有效、事先明确同意的情况下，处理马达加斯加主体的敏感个人数据（生物识别、健康、财务记录）。 法律依据: Madagascar Law No. 2014-038 on Personal Data Protection, Article 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 923 | MDGPD-003 | 马达加斯加法律下删除和更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或马达加斯加居民请求数据擦除的具体程序。 法律依据: Madagascar Law No. 2014-038 on Personal Data Protection, Article 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 924 | MDGPD-004 | 不合规的马达加斯加跨国数据传输 控制者在未获得 CMIL 事先授权的情况下，将马达加斯加主体的个人记录传输到国外。 法律依据: Madagascar Law No. 2014-038 on Personal Data Protection, Article 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 925 | MDGPD-005 | 马达加斯加不合规的直接营销沟通 该网站向马达加斯加主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Madagascar Law No. 2014-038 on Personal Data Protection, Article 24 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 926 | CPVPD-001 | 佛得角在未通知 CNPD 的情况下处理个人数据 该网站收集佛得角居民的个人信息，但未向 CNPD 提交处理通知。 法律依据: Cabo Verde Law No. 133/V/2001 on Personal Data Protection, Article 15, Article 42 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 927 | CPVPD-002 | 佛得角敏感数据缺少明确同意 该网站在未获得有效、事先明确同意的情况下，处理佛得角主体的敏感个人数据（生物识别、健康、财务记录）。 法律依据: Cabo Verde Law No. 133/V/2001 on Personal Data Protection, Article 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 928 | CPVPD-003 | 佛得角法律下删除和更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或佛得角居民请求数据擦除的具体程序。 法律依据: Cabo Verde Law No. 133/V/2001 on Personal Data Protection, Article 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 929 | CPVPD-004 | 不合规的佛得角跨国数据传输 控制者在未获得 CNPD 事先授权的情况下，将佛得角主体的个人记录传输到国外。 法律依据: Cabo Verde Law No. 133/V/2001 on Personal Data Protection, Article 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 930 | CPVPD-005 | 佛得角不合规的直接营销沟通 该网站向佛得角主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Cabo Verde Law No. 133/V/2001 on Personal Data Protection, Article 24 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 931 | LSTPD-001 | 莱索托在未获得明确同意的情况下处理敏感个人数据 该网站收集莱索托居民的敏感个人记录，但未获得事先明确的书面或数字同意。 法律依据: Lesotho Data Protection Act 2011, Sec. 15, Sec. 25 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 932 | LSTPD-002 | 莱索托数据安全措施不妥当 该数据库收集并处理莱索托居民的个人文件，但未采用强制性的技术加密或行政控制。 法律依据: Lesotho Data Protection Act 2011, Sec. 32 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 933 | LSTPD-003 | 莱索托隐私声明中缺少第三方接收者披露 该网站隐私政策未能指明莱索托居民数据的外部第三方接收者或云托管位置。 法律依据: Lesotho Data Protection Act 2011, Sec. 38 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 934 | LSTPD-004 | 莱索托不合规的直接营销沟通 该网站向莱索托主体发送广告电子邮件或营销 Cookie，但未获得事先选择同意并提供退出路径。 法律依据: Lesotho Data Protection Act 2011, Sec. 33 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 935 | LSTPD-005 | 莱索托擦除和更正权渠道不妥当 该网站隐私政策未能向莱索托主体提供明确的的联系渠道，以请求擦除或更正其记录。 法律依据: Lesotho Data Protection Act 2011, Sec. 29 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 936 | COGPD-001 | 刚果在未通知 CNIL 的情况下处理个人数据 该网站收集刚果居民的个人信息，但未向 CNIL 提交处理通知。 法律依据: Congo Law No. 29-2019 on Personal Data Protection, Article 15, Article 42 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 937 | COGPD-002 | 刚果敏感数据缺少明确同意 该网站在未获得有效、事先明确同意的情况下，处理刚果主体的敏感个人数据（生物识别、健康、财务记录）。 法律依据: Congo Law No. 29-2019 on Personal Data Protection, Article 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 938 | COGPD-003 | 刚果法律下删除和更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或刚果居民请求数据擦除的具体程序。 法律依据: Congo Law No. 29-2019 on Personal Data Protection, Article 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 939 | COGPD-004 | 不合规的刚果跨国数据传输 控制者在未获得 CNIL 事先授权的情况下，将刚果主体的个人记录传输到国外。 法律依据: Congo Law No. 29-2019 on Personal Data Protection, Article 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 940 | COGPD-005 | 刚果不合规的直接营销沟通 该网站向刚果主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Congo Law No. 29-2019 on Personal Data Protection, Article 24 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 941 | FIPD-001 | 斐济在没有法律依据的情况下处理个人数据 该网站收集斐济居民的个人信息，但未根据斐济法律建立有效合法处理依据或获得同意。 法律依据: Fiji Constitution 2013, Section 14 (Right to Privacy) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 942 | FIPD-002 | 斐济敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集斐济居民的敏感个人记录（健康、生物识别）。 法律依据: Fiji Constitution 2013, Section 14 (Right to Privacy) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 943 | FIPD-003 | 斐济法律下隐私声明披露不妥当 隐私政策未能指明斐济的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Fiji Constitution 2013, Section 14 (Right to Privacy) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 944 | FIPD-004 | 不合规的斐济跨国数据传输 控制者将斐济主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Fiji Constitution 2013, Section 14 (Right to Privacy) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 945 | FIPD-005 | 斐济数据主体权利回复方式不妥当 该网站未能为斐济数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Fiji Constitution 2013, Section 14 (Right to Privacy) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 946 | PNGPD-001 | 巴布亚新几内亚在没有法律依据的情况下处理个人数据 该网站收集巴布亚新几内亚居民的个人信息，但未根据巴布亚新几内亚法律建立有效合法处理依据或获得同意。 法律依据: Papua New Guinea Constitution, Section 49 (Right to Privacy) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 947 | PNGPD-002 | 巴布亚新几内亚敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集巴布亚新几内亚居民的敏感个人记录（健康、生物识别）。 法律依据: Papua New Guinea Constitution, Section 49 (Right to Privacy) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 948 | PNGPD-003 | 巴布亚新几内亚法律下隐私声明披露不妥当 隐私政策未能指明巴布亚新几内亚的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Papua New Guinea Constitution, Section 49 (Right to Privacy) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 949 | PNGPD-004 | 不合规的巴布亚新几内亚跨国数据传输 控制者将巴布亚新几内亚主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Papua New Guinea Constitution, Section 49 (Right to Privacy) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 950 | PNGPD-005 | 巴布亚新几内亚数据主体权利回复方式不妥当 该网站未能为巴布亚新几内亚数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Papua New Guinea Constitution, Section 49 (Right to Privacy) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 951 | SMRPD-001 | 圣马力诺敏感数据缺少明确同意 该网站在未获得有效、事先明确书面或数字同意的情况下，收集圣马力诺主体的敏感个人记录。 法律依据: San Marino Law no. 171 on Personal Data Protection, Art. 6, Art. 83 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 952 | SMRPD-002 | 圣马力诺未能指定或注册 DPO 网站控制者未能按照圣马力诺法律的要求，指定数据保护官或提供其公开的联系方式。 法律依据: San Marino Law no. 171 on Personal Data Protection, Art. 37 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 953 | SMRPD-003 | 圣马力诺隐私声明披露不妥当 隐私声明未能披露数据保留期限、法律依据或圣马力诺居民向 APD 投诉的权利。 法律依据: San Marino Law no. 171 on Personal Data Protection, Art. 13 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 954 | SMRPD-004 | 不合规的圣马力诺跨国数据传输 控制者将圣马力诺主体的个人记录传输到第三国，而没有充足性决定或 APD 授权的条款。 法律依据: San Marino Law no. 171 on Personal Data Protection, Art. 45 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 955 | SMRPD-005 | 圣马力诺数据主体权利访问渠道不妥当 该网站未能为圣马力诺居民提供免费、可访问且透明的方法，来行使其访问、更正或删除数据的权利。 法律依据: San Marino Law no. 171 on Personal Data Protection, Art. 15, Art. 17 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 956 | GIBPD-001 | 直布罗陀在未获得明确同意的情况下处理敏感个人数据 该网站在未获得 GRA 要求的明确事先选择同意的情况下，处理直布罗陀用户的敏感个人记录。 法律依据: Gibraltar Data Protection Act 2004, Sec. 2 (GDPR Art. 9) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 957 | GIBPD-002 | 直布罗陀儿童同意年龄验证缺失 该网站未能为 13 岁以下的直布罗陀用户实施年龄验证或家长同意机制。 法律依据: Gibraltar Data Protection Act 2004 (GDPR Art. 8) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 958 | GIBPD-003 | 直布罗陀隐私声明披露不完整 隐私声明未能披露有关数据保留期限，或向直布罗陀监管机构 (GRA) 投诉的权利的详细信息。 法律依据: Gibraltar Data Protection Act 2004 (GDPR Art. 13) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 959 | GIBPD-004 | 直布罗陀缺少 72 小时安全事件通知协议 数据控制者未能记录在 72 小时内向 GRA 报告安全事件的行政程序。 法律依据: Gibraltar Data Protection Act 2004 (GDPR Art. 33) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 960 | GIBPD-005 | 直布罗陀数据主体权利访问渠道不妥当 该网站未能为直布罗陀居民提供免费、可访问且透明的方法，来行使其访问、更正或删除数据的权利。 法律依据: Gibraltar Data Protection Act 2004 (GDPR Art. 15, Art. 17) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 961 | JSYPD-001 | 泽西岛在未获得明确同意的情况下处理敏感个人数据 该网站收集泽西岛居民的敏感个人记录，但未获得事先明确的书面或数字同意。 法律依据: Data Protection (Jersey) Law 2018, Schedule 2, Sec. 9 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 962 | JSYPD-002 | 泽西岛儿童同意年龄验证不完整 该网站未能为 13 岁以下的泽西岛用户实施年龄验证或家长同意机制。 法律依据: Data Protection (Jersey) Law 2018, Sec. 10 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 963 | JSYPD-003 | 泽西岛法律下隐私声明披露不妥当 该网站隐私政策未能指明数据保留期限，或向泽西岛专员办公室 (JOIC) 投诉的权利。 法律依据: Data Protection (Jersey) Law 2018, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 964 | JSYPD-004 | 泽西岛缺少 72 小时安全事件通知协议 根据法律要求，网站控制者未能记录在 72 小时内向泽西岛专员 (JOIC) 报告安全事件的程序。 法律依据: Data Protection (Jersey) Law 2018, Sec. 21 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 965 | JSYPD-005 | 泽西岛数据主体权利访问渠道不妥当 该网站未能为泽西岛居民提供免费、可访问且透明的方法，来行使其访问、更正或删除数据的权利。 法律依据: Data Protection (Jersey) Law 2018, Sec. 28, Sec. 30 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 966 | GGYPD-001 | 根西岛在未获得明确同意的情况下处理敏感个人数据 该网站收集根西岛居民的敏感个人记录，但未获得事先明确的书面或数字同意。 法律依据: Data Protection (Bailiwick of Guernsey) Law 2017, Sec. 9, Sec. 80 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 967 | GGYPD-002 | 根西岛儿童同意年龄验证不完整 该网站未能为 13 岁以下的根西岛用户实施年龄验证或家长同意机制。 法律依据: Data Protection (Bailiwick of Guernsey) Law 2017, Sec. 10 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 968 | GGYPD-003 | 根西岛法律下隐私声明披露不妥当 该网站隐私政策未能指明数据保留期限，或向根西岛 DPA (ODPA) 投诉的权利。 法律依据: Data Protection (Bailiwick of Guernsey) Law 2017, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 969 | GGYPD-004 | 根西岛缺少 72 小时安全事件通知协议 根据法律要求，网站控制者未能记录在 72 小时内向根西岛专员 (ODPA) 报告安全事件的程序。 法律依据: Data Protection (Bailiwick of Guernsey) Law 2017, Sec. 21 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 970 | GGYPD-005 | 根西岛数据主体权利访问渠道不妥当 该网站未能为根西岛居民提供免费、可访问且透明的方法，来行使其访问、更正或删除数据的权利。 法律依据: Data Protection (Bailiwick of Guernsey) Law 2017, Sec. 28, Sec. 30 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 971 | IOMPD-001 | 马恩岛敏感数据缺少明确同意 该网站收集马恩岛居民的敏感个人记录，但未获得事先明确的书面或数字同意。 法律依据: Isle of Man Data Protection Act 2018 (GDPR Art. 9) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 972 | IOMPD-002 | 马恩岛儿童同意年龄验证不完整 该网站未能为 13 岁以下的马恩岛用户实施年龄验证或家长同意机制。 法律依据: Isle of Man Data Protection Act 2018 (GDPR Art. 8) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 973 | IOMPD-003 | 马恩岛法律下隐私声明披露不妥当 该网站隐私政策未能指明数据保留期限，或向马恩岛专员办公室 (IMIO) 投诉的权利。 法律依据: Isle of Man Data Protection Act 2018 (GDPR Art. 13) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 974 | IOMPD-004 | 马恩岛缺少 72 小时安全事件通知协议 根据法律要求，网站控制者未能记录在 72 小时内向马恩岛专员 (IMIO) 报告安全事件的程序。 法律依据: Isle of Man Data Protection Act 2018 (GDPR Art. 33) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 975 | IOMPD-005 | 马恩岛数据主体权利访问渠道不妥当 该网站未能为马恩岛居民提供免费、可访问且透明的方法，来行使其访问、更正或删除数据的权利。 法律依据: Isle of Man Data Protection Act 2018 (GDPR Art. 15, Art. 17) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 976 | FROPD-001 | 法罗群岛敏感数据缺少明确同意 该网站收集法罗群岛居民的敏感个人记录，但未获得事先书面或数字明确同意。 法律依据: Faroe Islands Act on Processing of Personal Data, Sec. 9 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 977 | FROPD-002 | 法罗群岛数据库文件安全措施不妥当 该网站数据库缺乏保护法罗群岛用户个人记录所需的合规加密和访问控制。 法律依据: Faroe Islands Act on Processing of Personal Data, Sec. 11 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 978 | FROPD-003 | 法罗群岛法律下隐私声明披露不妥当 该网站隐私声明未能披露数据保留期限、法律依据或法罗群岛居民向 Datatilsynet 投诉的权利。 法律依据: Faroe Islands Act on Processing of Personal Data, Sec. 21 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 979 | FROPD-004 | 未经授权的法罗群岛数据跨国传输 该网站在未获得 Datatilsynet 批准的情况下，将法罗群岛居民的个人数据导出到未能确保同等保护水平的外部国家。 法律依据: Faroe Islands Act on Processing of Personal Data, Sec. 28 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 980 | FROPD-005 | 法罗群岛数据主体权利访问渠道不妥当 该网站未能为法罗群岛居民提供免费、可访问且透明的方法来行使其查询、更正或删除数据的权利。 法律依据: Faroe Islands Act on Processing of Personal Data, Sec. 19 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 981 | BMUPD-001 | 百慕大 PIPA 规定下敏感数据缺少明确同意 该网站在未获得事先明确选择同意的情况下，收集百慕大居民的敏感个人记录（健康、财务、基因）。 法律依据: Bermuda Personal Information Protection Act 2016 (PIPA), Section 6, Section 47 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 982 | BMUPD-002 | 百慕大 PIPA 规定下缺少隐私官联系信息 该网站隐私政策未能指明百慕大指定隐私官，或提供其直接的联系方式。 法律依据: Bermuda Personal Information Protection Act 2016 (PIPA), Section 9 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 983 | BMUPD-003 | 百慕大 PIPA 规定下缺少数据主体画像选择退出途径 该网站未能向百慕大居民提供明确的选择退出或反对用于画像和营销处理的选项。 法律依据: Bermuda Personal Information Protection Act 2016 (PIPA), Section 15 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 984 | BMUPD-004 | 百慕大法律下缺少正式的数据处理者协议 控制者在没有约束性书面合同确保同等保护的情况下，将百慕大居民的个人记录传输给第三方处理者。 法律依据: Bermuda Personal Information Protection Act 2016 (PIPA), Section 12 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 985 | BMUPD-005 | 不合规的百慕大跨国数据传输 控制者将百慕大用户的个人数据导出到缺乏适当保护的国家，而未建立等效的保护水平。 法律依据: Bermuda Personal Information Protection Act 2016 (PIPA), Section 15 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 986 | CYMPD-001 | 开曼群岛 DPA 规定下敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集开曼群岛居民的敏感个人记录（健康、财务、基因）。 法律依据: Cayman Islands Data Protection Act 2017, Sec. 6 (Principle 1) | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 987 | CYMPD-002 | 开曼群岛数据安全措施不妥当 该数据库收集并处理开曼群岛用户的个人文件，但未采用强制性的技术加密或行政控制。 法律依据: Cayman Islands Data Protection Act 2017, Sec. 11 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 988 | CYMPD-003 | 开曼群岛不合规的 30 天访问请求时限 该网站隐私政策未能记录下在 30 天内回复数据访问请求的联系方式或程序。 法律依据: Cayman Islands Data Protection Act 2017, Sec. 15 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 989 | CYMPD-004 | 不合规的开曼群岛数据跨国传输 该网站在未获得用户同意或采用经批准条款的情况下，将开曼群岛用户的个人记录传输到缺乏同等法律保护的国家。 法律依据: Cayman Islands Data Protection Act 2017, Sec. 6 (Principle 8) | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 990 | CYMPD-005 | 开曼群岛法律下数据过度保留限制 该网站无限期保留开曼群岛用户的个人记录，而未建立具体的期限或清理周期。 法律依据: Cayman Islands Data Protection Act 2017, Sec. 6 (Principle 5) | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 991 | LCAPD-001 | 圣卢西亚在未获得书面同意的情况下处理敏感个人数据 该网站在未获得事先书面明确同意的情况下，收集圣卢西亚主体的敏感个人记录（健康、财务状况）。 法律依据: Saint Lucia Data Protection Act 2011, Sec. 15, Sec. 50 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 992 | LCAPD-002 | 圣卢西亚在控制者未注册的情况下处理个人数据 该网站控制者在未向专员/委员会注册的情况下，收集圣卢西亚居民的个人信息。 法律依据: Saint Lucia Data Protection Act 2011, Sec. 10 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 993 | LCAPD-003 | 圣卢西亚数据安全措施不妥当 该数据库收集并处理圣卢西亚居民的个人文件，但未采用强制性的技术加密或行政控制。 法律依据: Saint Lucia Data Protection Act 2011, Sec. 32 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 994 | LCAPD-004 | 圣卢西亚不合规的数据保留周期 该网站保留圣卢西亚用户的个人记录时间超出指定处理目的所需时间，且没有删除协议。 法律依据: Saint Lucia Data Protection Act 2011, Sec. 14 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 995 | LCAPD-005 | 不合规的圣卢西亚数据跨国传输 控制者在未确保同等保护水平或获得所需授权的情况下，将圣卢西亚居民的数据传输到圣卢西亚境外。 法律依据: Saint Lucia Data Protection Act 2011, Sec. 47 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 996 | KNAPD-001 | 圣基茨和尼维斯在未获得同意的情况下处理敏感个人数据 该网站收集圣基茨和尼维斯主体的敏感个人记录（健康、财务状况），但未获得事先书面明确同意。 法律依据: Saint Kitts and Nevis Data Protection Act 2018, Sec. 15, Sec. 50 UK Data Protection Act 2018 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 997 | KNAPD-002 | 圣基茨和尼维斯在控制者未注册的情况下处理个人数据 该网站控制者在未向专员/委员会注册的情况下，收集圣基茨和尼维斯居民的个人信息。 法律依据: Saint Kitts and Nevis Data Protection Act 2018, Sec. 10 UK Data Protection Act 2018 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 998 | KNAPD-003 | 圣基茨和尼维斯数据安全措施不妥当 该数据库收集并处理圣基茨和尼维斯居民的个人文件，但未采用强制性的技术加密或行政控制。 法律依据: Saint Kitts and Nevis Data Protection Act 2018, Sec. 32 UK Data Protection Act 2018 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 999 | KNAPD-004 | 圣基茨和尼维斯不合规的数据保留周期 该网站保留圣基茨和尼维斯用户的个人记录时间超出指定处理目的所需时间，且没有删除协议。 法律依据: Saint Kitts and Nevis Data Protection Act 2018, Sec. 14 UK Data Protection Act 2018 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1000 | KNAPD-005 | 不合规的圣基茨和尼维斯数据跨国传输 控制者在未确保同等保护水平或获得所需授权的情况下，将圣基茨和尼维斯居民的数据传输到圣基茨和尼维斯境外。 法律依据: Saint Kitts and Nevis Data Protection Act 2018, Sec. 47 UK Data Protection Act 2018 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1001 | ATGPD-001 | 安提瓜和巴布达在未获得同意的情况下处理敏感个人数据 该网站收集安提瓜和巴布达主体的敏感个人记录（健康、财务状况），但未获得事先书面明确同意。 法律依据: Antigua and Barbuda Data Protection Act 2013, Sec. 15, Sec. 50 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1002 | ATGPD-002 | 安提瓜和巴布达在控制者未注册的情况下处理个人数据 该网站控制者在未向专员/委员会注册的情况下，收集安提瓜和巴布达居民 of 个人信息。 法律依据: Antigua and Barbuda Data Protection Act 2013, Sec. 10 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1003 | ATGPD-003 | 安提瓜和巴布达数据安全措施不妥当 该数据库收集并处理安提瓜和巴布达居民的个人文件，但未采用强制性的技术加密或行政控制。 法律依据: Antigua and Barbuda Data Protection Act 2013, Sec. 32 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1004 | ATGPD-004 | 安提瓜和巴布达不合规的数据保留周期 该网站保留安提瓜和巴布达用户的个人记录时间超出指定处理目的所需时间，且没有删除协议。 法律依据: Antigua and Barbuda Data Protection Act 2013, Sec. 14 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1005 | ATGPD-005 | 不合规的安提瓜和巴布达数据跨国传输 控制者在未确保同等保护水平 or 获得所需授权的情况下，将安提瓜和巴布达居民的数据传输到境外。 法律依据: Antigua and Barbuda Data Protection Act 2013, Sec. 47 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1006 | SYCPD-001 | 塞舌尔在未获得书面同意的情况下处理敏感数据 该网站在未获得事先明确书面或数字同意的情况下，处理塞舌尔居民的敏感类别个人数据。 法律依据: Seychelles Data Protection Act 2003, Sec. 10, Sec. 28 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1007 | SYCPD-002 | 塞舌尔数据库文件安全措施不妥当 该网站数据库缺乏保护塞舌尔用户个人记录所需的合规加密和访问控制。 法律依据: Seychelles Data Protection Act 2003, Sec. 11 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1008 | SYCPD-003 | 塞舌尔法律下隐私声明披露不妥当 该网站隐私声明未能披露数据保留期限、法律依据或塞舌尔居民向监管机构投诉的权利。 法律依据: Seychelles Data Protection Act 2003, Sec. 21 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1009 | SYCPD-004 | 未经授权的塞舌尔数据跨国传输 该网站在未获得监管机构批准的情况下，将塞舌尔居民的个人数据导出到未能确保同等保护水平的外部国家。 法律依据: Seychelles Data Protection Act 2003, Sec. 28 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1010 | SYCPD-005 | 塞舌尔数据主体权利访问渠道不妥当 该网站未能为塞舌尔居民提供免费、可访问且透明的方法来行使其查询、更正或删除数据的权利。 法律依据: Seychelles Data Protection Act 2003, Sec. 19 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1011 | SWZPD-001 | 斯威士兰在未获得明确同意的情况下处理敏感个人数据 该网站收集斯威士兰居民的敏感个人记录，但未获得事先明确的书面或数字同意。 法律依据: Eswatini Data Protection Act 2018, Sec. 15, Sec. 25 UK Data Protection Act 2018 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1012 | SWZPD-002 | 斯威士兰数据安全措施不妥当 该数据库收集并处理斯威士兰居民的个人文件，但未采用强制性的技术加密或行政控制。 法律依据: Eswatini Data Protection Act 2018, Sec. 32 UK Data Protection Act 2018 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1013 | SWZPD-003 | 斯威士兰隐私声明中缺少第三方接收者披露 该网站隐私政策未能指明斯威士兰居民数据的外部第三方接收者或云托管位置。 法律依据: Eswatini Data Protection Act 2018, Sec. 38 UK Data Protection Act 2018 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1014 | SWZPD-004 | 斯威士兰不合规的直接营销沟通 该网站向斯威士兰主体发送广告电子邮件或营销 Cookie，但未获得事先选择同意并提供退出路径。 法律依据: Eswatini Data Protection Act 2018, Sec. 33 UK Data Protection Act 2018 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1015 | SWZPD-005 | 斯威士兰擦除和更正权渠道不妥当 该网站隐私政策未能向斯威士兰主体提供明确的的联系渠道，以请求擦除或更正其记录。 法律依据: Eswatini Data Protection Act 2018, Sec. 29 UK Data Protection Act 2018 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1016 | GINPD-001 | 几内亚在未通知 APDP 的情况下处理个人数据 该网站收集几内亚居民的个人信息，但未向 APDP 提交处理通知。 法律依据: Guinea Law No. 2016-037 on Personal Data Protection, Article 15, Article 42 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1017 | GINPD-002 | 几内亚敏感数据缺少明确同意 该网站在未获得有效、事先明确同意的情况下，处理几内亚主体的敏感个人数据（生物识别、健康、财务记录）。 法律依据: Guinea Law No. 2016-037 on Personal Data Protection, Article 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1018 | GINPD-003 | 几内亚法律下删除和更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或几内亚居民请求数据擦除的具体程序。 法律依据: Guinea Law No. 2016-037 on Personal Data Protection, Article 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1019 | GINPD-004 | 不合规的几内亚跨国数据传输 控制者在未获得 APDP 事先授权的情况下，将几内亚主体的个人记录传输到国外。 法律依据: Guinea Law No. 2016-037 on Personal Data Protection, Article 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1020 | GINPD-005 | 几内亚不合规的直接营销沟通 该网站向几内亚主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Guinea Law No. 2016-037 on Personal Data Protection, Article 24 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1021 | BFAPD-001 | 布基纳法索在未通知 CIL 的情况下处理个人数据 该网站收集布基纳法索居民的个人信息，但未向 CIL 提交处理通知。 法律依据: Burkina Faso Law No. 001-2021/PR on Personal Data Protection, Article 15, Article 42 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1022 | BFAPD-002 | 布基纳法索敏感数据缺少明确同意 该网站在未获得有效、事先明确同意的情况下，处理布基纳法索主体的敏感个人数据（生物识别、健康、财务记录）。 法律依据: Burkina Faso Law No. 001-2021/PR on Personal Data Protection, Article 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1023 | BFAPD-003 | 布基纳法索法律下删除和更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或布基纳法索居民请求数据擦除的具体程序。 法律依据: Burkina Faso Law No. 001-2021/PR on Personal Data Protection, Article 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1024 | BFAPD-004 | 不合规的布基纳法索跨国数据传输 控制者在未获得 CIL 事先授权的情况下，将布基纳法索主体的个人记录传输到国外。 法律依据: Burkina Faso Law No. 001-2021/PR on Personal Data Protection, Article 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1025 | BFAPD-005 | 布基纳法索不合规的直接营销沟通 该网站向布基纳法索主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Burkina Faso Law No. 001-2021/PR on Personal Data Protection, Article 24 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1026 | MRTPD-001 | 毛里塔尼亚在未通知 APDP 的情况下处理个人数据 该网站收集毛里塔尼亚居民 of 个人信息，但未向 APDP 提交处理通知。 法律依据: Mauritania Law No. 2017-020 on Personal Data Protection, Article 15, Article 42 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1027 | MRTPD-002 | 毛里塔尼亚敏感数据缺少明确同意 该网站在未获得有效、事先明确同意的情况下，处理毛里塔尼亚主体的敏感个人数据（生物识别、健康、财务记录）。 法律依据: Mauritania Law No. 2017-020 on Personal Data Protection, Article 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1028 | MRTPD-003 | 毛里塔尼亚法律下删除 and 更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或毛里塔尼亚居民请求数据擦除的具体程序。 法律依据: Mauritania Law No. 2017-020 on Personal Data Protection, Article 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1029 | MRTPD-004 | 不合规的毛里塔尼亚跨国数据传输 控制者在未获得 APDP 事先授权的情况下，将毛里塔尼亚主体的个人记录传输到国外。 法律依据: Mauritania Law No. 2017-020 on Personal Data Protection, Article 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1030 | MRTPD-005 | 毛里塔尼亚不合规的直接营销沟通 该网站向毛里塔尼亚主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Mauritania Law No. 2017-020 on Personal Data Protection, Article 24 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1031 | TCDPD-001 | 乍得在未通知 ANAD 的情况下处理个人数据 该网站收集乍得居民的个人信息，但未向 ANAD 提交处理通知。 法律依据: Chad Law No. 007/PR/2015 on Personal Data Protection, Article 15, Article 42 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1032 | TCDPD-002 | 乍得敏感数据缺少明确同意 该网站在未获得有效、事先明确同意的情况下，处理乍得主体的敏感个人数据（生物识别、健康、财务记录）。 法律依据: Chad Law No. 007/PR/2015 on Personal Data Protection, Article 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1033 | TCDPD-003 | 乍得法律下删除和更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或乍得居民请求数据擦除的具体程序。 法律依据: Chad Law No. 007/PR/2015 on Personal Data Protection, Article 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1034 | TCDPD-004 | 不合规的乍得跨国数据传输 控制者在未获得 ANAD 事先授权的情况下，将乍得主体的个人记录传输到国外。 法律依据: Chad Law No. 007/PR/2015 on Personal Data Protection, Article 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1035 | TCDPD-005 | 乍得不合规的直接营销沟通 该网站向乍得主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Chad Law No. 007/PR/2015 on Personal Data Protection, Article 24 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1036 | MACPD-001 | 澳门法律下敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集澳门居民的敏感个人记录（健康、财务、基因）。 法律依据: Macau Personal Data Protection Act (Law No. 8/2005), Article 7, Article 24 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1037 | MACPD-002 | 澳门未能向 GPDP 注册数据库处理 该网站控制者在未向个人资料保护办公室 (GPDP) 提交注册通知的情况下，收集澳门居民的个人信息。 法律依据: Macau Personal Data Protection Act (Law No. 8/2005), Article 19 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1038 | MACPD-003 | 澳门擦除和更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或澳门居民请求数据擦除的具体程序。 法律依据: Macau Personal Data Protection Act (Law No. 8/2005), Article 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1039 | MACPD-004 | 不合规的澳门跨国数据传输 控制者在未获得 GPDP 事先授权的情况下，将澳门主体的个人记录传输到国外。 法律依据: Macau Personal Data Protection Act (Law No. 8/2005), Article 19, Article 20 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1040 | MACPD-005 | 澳门不合规的直接营销沟通 该网站向澳门主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Macau Personal Data Protection Act (Law No. 8/2005), Article 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1041 | NPLPD-001 | 尼泊尔在没有法律依据的情况下处理个人数据 该网站收集尼泊尔居民的个人信息，但未根据尼泊尔法律建立有效合法处理依据或获得同意。 法律依据: Nepal Individual Privacy Act 2018, Section 4, Section 30 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1042 | NPLPD-002 | 尼泊尔敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集尼泊尔居民的敏感个人记录（健康、生物识别）。 法律依据: Nepal Individual Privacy Act 2018, Section 10 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1043 | NPLPD-003 | 尼泊尔法律下隐私声明披露不妥当 隐私政策未能指明尼泊尔的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Nepal Individual Privacy Act 2018, Section 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1044 | NPLPD-004 | 不合规的尼泊尔跨国数据传输 控制者将尼泊尔主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Nepal Individual Privacy Act 2018, Section 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1045 | NPLPD-005 | 尼泊尔数据主体权利回复方式不妥当 该网站未能为尼泊尔数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Nepal Individual Privacy Act 2018, Section 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1046 | PAKPD-001 | 巴基斯坦在没有法律依据的情况下处理个人数据 该网站收集巴基斯坦居民的个人信息，但未根据巴基斯坦法律建立有效合法处理依据或获得同意。 法律依据: Pakistan Prevention of Electronic Crimes Act (PECA) 2016, Section 34 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1047 | PAKPD-002 | 巴基斯坦敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集巴基斯坦居民的敏感个人记录（健康、生物识别）。 法律依据: Pakistan Prevention of Electronic Crimes Act (PECA) 2016, Section 34 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1048 | PAKPD-003 | 巴基斯坦法律下隐私声明披露不妥当 隐私政策未能指明巴基斯坦的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Pakistan Prevention of Electronic Crimes Act (PECA) 2016, Section 34 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1049 | PAKPD-004 | 不合规的巴基斯坦跨国数据传输 控制者将巴基斯坦主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Pakistan Prevention of Electronic Crimes Act (PECA) 2016, Section 34 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1050 | PAKPD-005 | 巴基斯坦数据主体权利回复方式不妥当 该网站未能为巴基斯坦数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Pakistan Prevention of Electronic Crimes Act (PECA) 2016, Section 34 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1051 | DJIPD-001 | 吉布提在未通知 CNDP 的情况下处理个人数据 该网站收集吉布提居民的个人信息，但未向 CNDP 提交处理通知。 法律依据: Djibouti Law No. 101/AN/15/7eme L on Personal Data Protection, Article 15, Article 42 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1052 | DJIPD-002 | 吉布提敏感数据缺少明确同意 该网站在未获得有效、事先明确同意的情况下，处理吉布提主体的敏感个人数据。 法律依据: Djibouti Law No. 101/AN/15/7eme L on Personal Data Protection, Article 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1053 | DJIPD-003 | 吉布提法律下删除和更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或吉布提居民请求数据擦除的具体程序。 法律依据: Djibouti Law No. 101/AN/15/7eme L on Personal Data Protection, Article 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1054 | DJIPD-004 | 不合规的吉布提跨国数据传输 控制者在未获得 CNDP 事先授权的情况下，将吉布提主体的个人记录传输到国外。 法律依据: Djibouti Law No. 101/AN/15/7eme L on Personal Data Protection, Article 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1055 | DJIPD-005 | 吉布提不合规的直接营销沟通 该网站向吉布提主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Djibouti Law No. 101/AN/15/7eme L on Personal Data Protection, Article 24 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1056 | LAOPD-001 | 老挝在没有法律依据的情况下处理个人数据 该网站收集老挝居民的个人信息，但未根据老挝法律建立有效合法处理依据或获得同意。 法律依据: Laos Law on Electronic Data Protection 2017, Sec. 5, Sec. 21 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1057 | LAOPD-002 | 老挝敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集老挝居民的敏感个人记录（健康、生物识别）。 法律依据: Laos Law on Electronic Data Protection 2017, Sec. 10 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1058 | LAOPD-003 | 老挝法律下隐私声明披露不妥当 隐私政策未能指明老挝的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Laos Law on Electronic Data Protection 2017, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1059 | LAOPD-004 | 不合规的老挝跨国数据传输 控制者将老挝主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Laos Law on Electronic Data Protection 2017, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1060 | LAOPD-005 | 老挝数据主体权利回复方式不妥当 该网站未能为老挝数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Laos Law on Electronic Data Protection 2017, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1061 | BTNDP-001 | 不丹在没有法律依据的情况下处理个人数据 该网站收集不丹居民的个人信息，但未根据不丹法律建立有效合法处理依据或获得同意。 法律依据: Bhutan Information, Communications and Media Act 2018, Sec. 320 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1062 | BTNDP-002 | 不丹敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集不丹居民的敏感个人记录（健康、生物识别）。 法律依据: Bhutan Information, Communications and Media Act 2018, Sec. 321 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1063 | BTNDP-003 | 不丹法律下隐私声明披露不妥当 隐私政策未能指明不丹的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Bhutan Information, Communications and Media Act 2018, Sec. 322 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1064 | BTNDP-004 | 不合规的不丹跨国数据传输 控制者将不丹主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Bhutan Information, Communications and Media Act 2018, Sec. 325 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1065 | BTNDP-005 | 不丹数据主体权利回复方式不妥当 该网站未能为不丹数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Bhutan Information, Communications and Media Act 2018, Sec. 327 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1066 | MMRPD-001 | 缅甸在没有法律依据的情况下处理个人数据 该网站收集缅甸居民的个人信息，但未根据缅甸法律建立有效合法处理依据或获得同意。 法律依据: Myanmar Law Protecting the Privacy and Security of Citizens, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1067 | MMRPD-002 | 缅甸敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集缅甸居民的敏感个人记录（健康、生物识别）。 法律依据: Myanmar Law Protecting the Privacy and Security of Citizens, Sec. 6 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1068 | MMRPD-003 | 缅甸法律下隐私声明披露不妥当 隐私政策未能指明缅甸的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Myanmar Law Protecting the Privacy and Security of Citizens, Sec. 7 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1069 | MMRPD-004 | 不合规的缅甸跨国数据传输 控制者将缅甸主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Myanmar Law Protecting the Privacy and Security of Citizens, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1070 | MMRPD-005 | 缅甸数据主体权利回复方式不妥当 该网站未能为缅甸数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Myanmar Law Protecting the Privacy and Security of Citizens, Sec. 9 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1071 | KHMPD-001 | 柬埔寨在没有法律依据的情况下处理个人数据 该网站收集柬埔寨居民的个人信息，但未根据柬埔寨法律建立有效合法处理依据或获得同意。 法律依据: Cambodia Civil Code, Article 7, Article 11 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1072 | KHMPD-002 | 柬埔寨敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集柬埔寨居民的敏感个人记录（健康、生物识别）。 法律依据: Cambodia Civil Code, Article 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1073 | KHMPD-003 | 柬埔寨法律下隐私声明披露不妥当 隐私政策未能指明柬埔寨的数据处理目的、保留细节， or 与数据主体的联系方式。 法律依据: Cambodia Civil Code, Article 9 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1074 | KHMPD-004 | 不合规的柬埔寨跨国数据传输 控制者将柬埔寨主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Cambodia Civil Code, Article 10 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1075 | KHMPD-005 | 柬埔寨数据主体权利回复方式不妥当 该网站未能为柬埔寨数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Cambodia Civil Code, Article 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1076 | LBNPD-001 | 黎巴嫩在未通知的情况下处理个人数据 该网站收集黎巴嫩居民的个人信息，但未向部门提交处理通知。 法律依据: Lebanon Law No. 81/2018 on Electronic Transactions and Personal Data, Article 85, Article 95 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1077 | LBNPD-002 | 黎巴嫩敏感数据缺少明确同意 该网站在未获得有效、事先明确同意的情况下，处理黎巴嫩主体的敏感个人数据。 法律依据: Lebanon Law No. 81/2018 on Electronic Transactions and Personal Data, Article 88 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1078 | LBNPD-003 | 黎巴嫩法律下删除和更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或黎巴嫩居民请求数据擦除的具体程序。 法律依据: Lebanon Law No. 81/2018 on Electronic Transactions and Personal Data, Article 92 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1079 | LBNPD-004 | 不合规的黎巴嫩跨国数据传输 控制者在未获得部门事先授权的情况下，将黎巴嫩主体的个人记录传输到国外。 法律依据: Lebanon Law No. 81/2018 on Electronic Transactions and Personal Data, Article 94 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1080 | LBNPD-005 | 黎巴嫩不合规的直接营销沟通 该网站向黎巴嫩主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Lebanon Law No. 81/2018 on Electronic Transactions and Personal Data, Article 90 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1081 | YEMPD-001 | 叶门在没有法律依据的情况下处理个人数据 该网站收集叶门居民的个人信息，但未根据叶门法律建立有效合法处理依据或获得同意。 法律依据: Yemen local rules / upcoming privacy laws, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1082 | YEMPD-002 | 叶门敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集叶门居民的敏感个人记录（健康、生物识别）。 法律依据: Yemen local rules / upcoming privacy laws, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1083 | YEMPD-003 | 叶门法律下隐私声明披露不妥当 隐私政策未能指明叶门的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Yemen local rules / upcoming privacy laws, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1084 | YEMPD-004 | 不合规的叶门跨国数据传输 控制者将叶门主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Yemen local rules / upcoming privacy laws, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1085 | YEMPD-005 | 叶门数据主体权利回复方式不妥当 该网站未能为叶门数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Yemen local rules / upcoming privacy laws, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1086 | SYRPD-001 | 叙利亚在没有法律依据的情况下处理个人数据 该网站收集叙利亚居民的个人信息，但未根据叙利亚法律建立有效合法处理依据或获得同意。 法律依据: Syria Law No. 17 on Cyber Crime / privacy, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1087 | SYRPD-002 | 叙利亚敏感数据缺少明确同意 该网站在未获得事先明确书面 or 数字同意的情况下，收集叙利亚居民的敏感个人记录（健康、生物识别）。 法律依据: Syria Law No. 17 on Cyber Crime / privacy, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1088 | SYRPD-003 | 叙利亚法律下隐私声明披露不妥当 隐私政策未能指明叙利亚的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Syria Law No. 17 on Cyber Crime / privacy, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1089 | SYRPD-004 | 不合规的叙利亚跨国数据传输 控制者将叙利亚主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Syria Law No. 17 on Cyber Crime / privacy, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1090 | SYRPD-005 | 叙利亚数据主体权利回复方式不妥当 该网站未能为叙利亚数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Syria Law No. 17 on Cyber Crime / privacy, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1091 | IRQPD-001 | 伊拉克在没有法律依据的情况下处理个人数据 该网站收集伊拉克居民的个人信息，但未根据伊拉克法律建立有效合法处理依据或获得同意。 法律依据: Iraq Constitution / local cybersecurity acts, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1092 | IRQPD-002 | 伊拉克敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集伊拉克居民的敏感个人记录（健康、生物识别）。 法律依据: Iraq Constitution / local cybersecurity acts, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1093 | IRQPD-003 | 伊拉克法律下隐私声明披露不妥当 隐私政策未能指明伊拉克的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Iraq Constitution / local cybersecurity acts, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1094 | IRQPD-004 | 不合规的伊拉克跨国数据传输 控制者将伊拉克主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Iraq Constitution / local cybersecurity acts, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1095 | IRQPD-005 | 伊拉克数据主体权利回复方式不妥当 该网站未能为伊拉克数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Iraq Constitution / local cybersecurity acts, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1096 | MWIPD-001 | 马拉维在没有法律依据的情况下处理个人数据 该网站收集马拉维居民的个人信息，但未根据马拉维法律建立有效合法处理依据或获得同意。 法律依据: Malawi Electronic Transactions and Cybersecurity Act 2016, Sec. 72, Sec. 80 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1097 | MWIPD-002 | 马拉维敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集马拉维居民的敏感个人记录（健康、生物识别）。 法律依据: Malawi Electronic Transactions and Cybersecurity Act 2016, Sec. 73 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1098 | MWIPD-003 | 马拉维法律下隐私声明披露不妥当 隐私政策未能指明马拉维的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Malawi Electronic Transactions and Cybersecurity Act 2016, Sec. 74 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1099 | MWIPD-004 | 不合规的马拉维跨国数据传输 控制者将马拉维主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Malawi Electronic Transactions and Cybersecurity Act 2016, Sec. 78 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1100 | MWIPD-005 | 马拉维数据主体权利回复方式不妥当 该网站未能为马拉维数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Malawi Electronic Transactions and Cybersecurity Act 2016, Sec. 79 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1101 | MOZPD-001 | 莫桑比克在没有法律依据的情况下处理个人 data 该网站收集莫桑比克居民的个人信息，但未根据莫桑比克法律建立有效合法处理依据或获得同意。 法律依据: Mozambique Electronic Transactions Law, Sec. 15, Sec. 25 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1102 | MOZPD-002 | 莫桑比克敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集莫桑比克居民的敏感个人记录（健康、生物识别）。 法律依据: Mozambique Electronic Transactions Law, Sec. 16 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1103 | MOZPD-003 | 莫桑比克法律下隐私声明披露不妥当 隐私政策未能指明莫桑比克的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Mozambique Electronic Transactions Law, Sec. 18 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1104 | MOZPD-004 | 不合规的莫桑比克跨国数据传输 控制者将莫桑比克主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Mozambique Electronic Transactions Law, Sec. 20 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1105 | MOZPD-005 | 莫桑比克数据主体权利回复方式不妥当 该网站未能为莫桑比克数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Mozambique Electronic Transactions Law, Sec. 22 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1106 | NAMPD-001 | 纳米比亚在没有法律依据的情况下处理个人数据 该网站收集纳米比亚居民的个人信息，但未根据纳米比亚法律建立有效合法处理依据或获得同意。 法律依据: Namibia local rules / upcoming FIP / Constitution, Sec. 15 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1107 | NAMPD-002 | 纳米比亚敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集纳米比亚居民的敏感个人记录（健康、生物识别）。 法律依据: Namibia local rules / upcoming FIP / Constitution, Sec. 18 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1108 | NAMPD-003 | 纳米比亚法律下隐私声明披露不妥当 隐私政策未能指明纳米比亚的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Namibia local rules / upcoming FIP / Constitution, Sec. 21 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1109 | NAMPD-004 | 不合规的纳米比亚跨国数据传输 控制者将纳米比亚主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Namibia local rules / upcoming FIP / Constitution, Sec. 25 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1110 | NAMPD-005 | 纳米比亚数据主体权利回复方式不妥当 该网站未能为纳米比亚数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Namibia local rules / upcoming FIP / Constitution, Sec. 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1111 | GRNPD-001 | 格林纳达在未获得书面同意的情况下处理敏感个人数据 该网站在未获得事先书面明确同意的情况下，收集格林纳达主体的敏感个人记录（健康、财务状况）。 法律依据: Grenada Data Protection Act 2014, Sec. 15, Sec. 50 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1112 | GRNPD-002 | 格林纳达在控制者未注册的情况下处理个人数据 该网站控制者在未向专员/委员会注册的情况下，收集格林纳达居民的个人信息。 法律依据: Grenada Data Protection Act 2014, Sec. 10 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1113 | GRNPD-003 | 格林纳达数据安全措施不妥当 该数据库收集并处理格林纳达居民的个人文件，但未采用强制性的技术加密或行政控制。 法律依据: Grenada Data Protection Act 2014, Sec. 32 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1114 | GRNPD-004 | 格林纳达不合规的数据保留周期 该网站保留格林纳达用户的个人记录时间超出指定处理目的所需时间，且没有删除协议。 法律依据: Grenada Data Protection Act 2014, Sec. 14 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1115 | GRNPD-005 | 不合规的格林纳达数据跨国传输 控制者在未确保同等保护水平或获得所需授权的情况下，将格林纳达居民的数据传输到境外。 法律依据: Grenada Data Protection Act 2014, Sec. 47 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1116 | VCTPD-001 | 圣文森特和格林纳丁斯在未获得同意的情况下处理敏感个人数据 该网站收集圣文森特和格林纳丁斯主体的敏感个人记录（健康、财务状况），但未获得事先书面明确同意。 法律依据: Saint Vincent and the Grenadines Electronic Transactions Act, Sec. 15, Sec. 50 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1117 | VCTPD-002 | 圣文森特和格林纳丁斯在控制者未注册的情况下处理个人数据 该网站控制者在未向专员/委员会注册的情况下，收集圣文森特和格林纳丁斯居民的个人信息。 法律依据: Saint Vincent and the Grenadines Electronic Transactions Act, Sec. 10 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1118 | VCTPD-003 | 圣文森特和格林纳丁斯数据安全措施不妥当 该数据库收集并处理圣文森特和格林纳丁斯居民的个人文件，但未采用强制性的技术加密或行政控制。 法律依据: Saint Vincent and the Grenadines Electronic Transactions Act, Sec. 32 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1119 | VCTPD-004 | 圣文森特和格林纳丁斯不合规的数据保留周期 该网站保留圣文森特和格林纳丁斯用户的个人记录时间超出指定处理目的所需时间，且没有删除协议。 法律依据: Saint Vincent and the Grenadines Electronic Transactions Act, Sec. 14 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1120 | VCTPD-005 | 圣文森特和格林纳丁斯数据跨国传输不合规 控制者在未确保同等保护水平或获得所需授权的情况下，将圣文森特和格林纳丁斯居民的数据传输到境外。 法律依据: Saint Vincent and the Grenadines Electronic Transactions Act, Sec. 47 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1121 | SAMPD-001 | 萨摩亚在没有法律依据的情况下处理个人数据 该网站收集萨摩亚居民的个人信息，但未根据萨摩亚法律建立有效合法处理依据或获得同意。 法律依据: Samoa local telecom / privacy guidelines, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1122 | SAMPD-002 | 萨摩亚敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集萨摩亚居民的敏感个人记录（健康、生物识别）。 法律依据: Samoa local telecom / privacy guidelines, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1123 | SAMPD-003 | 萨摩亚法律下隐私声明披露不妥当 隐私政策未能指明萨摩亚的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Samoa local telecom / privacy guidelines, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1124 | SAMPD-004 | 不合规的萨摩亚跨国数据传输 控制者将萨摩亚主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Samoa local telecom / privacy guidelines, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1125 | SAMPD-005 | 萨摩亚数据主体权利回复方式不妥当 该网站未能为萨摩亚数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Samoa local telecom / privacy guidelines, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1126 | TONPD-001 | 汤加在没有法律依据的情况下处理个人数据 该网站收集汤加居民的个人信息，但未根据汤加法律建立有效合法处理依据或获得同意。 法律依据: Tonga local telecom / electronic transactions laws, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1127 | TONPD-002 | 汤加敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集汤加居民的敏感个人记录（健康、生物识别）。 法律依据: Tonga local telecom / electronic transactions laws, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1128 | TONPD-003 | 汤加法律下隐私声明披露不妥当 隐私政策未能指明汤加的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Tonga local telecom / electronic transactions laws, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1129 | TONPD-004 | 不合规的汤加跨国数据传输 控制者将汤加主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Tonga local telecom / electronic transactions laws, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1130 | TONPD-005 | 汤加数据主体权利回复方式不妥当 该网站未能为汤加数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Tonga local telecom / electronic transactions laws, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1131 | VUTPD-001 | 瓦努阿图在没有法律依据的情况下处理个人数据 该网站收集瓦努阿图居民的个人信息，但未根据瓦努阿图法律建立有效合法处理依据或获得同意。 法律依据: Vanuatu local electronic transactions laws, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1132 | VUTPD-002 | 瓦努阿图敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集瓦努阿图居民的敏感个人记录（健康、生物识别）。 法律依据: Vanuatu local electronic transactions laws, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1133 | VUTPD-003 | 瓦努阿图法律下隐私声明披露不妥当 隐私政策未能指明瓦努阿图的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Vanuatu local electronic transactions laws, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1134 | VUTPD-004 | 不合规的瓦努阿图跨国数据传输 控制者将瓦努阿图主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Vanuatu local electronic transactions laws, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1135 | VUTPD-005 | 瓦努阿图数据主体权利回复方式不妥当 该网站未能为瓦努阿图数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Vanuatu local electronic transactions laws, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1136 | GUYPD-001 | 圭亚那在未获得同意的情况下处理敏感个人数据 该网站收集圭亚那主体的敏感个人记录（健康、财务状况），但未获得事先书面明确同意。 法律依据: Guyana Data Protection Act 2024, Sec. 15, Sec. 50 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1137 | GUYPD-002 | 圭亚那在控制者未注册的情况下处理个人数据 该网站控制者在未向专员/委员会注册的情况下，收集圭亚那居民的个人信息。 法律依据: Guyana Data Protection Act 2024, Sec. 10 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1138 | GUYPD-003 | 圭亚那数据安全措施不妥当 该数据库收集并处理圭亚那居民的个人文件，但未采用强制性的技术加密或行政控制。 法律依据: Guyana Data Protection Act 2024, Sec. 32 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1139 | GUYPD-004 | 圭亚那不合规的数据保留周期 该网站保留圭亚那用户的个人记录时间超出指定处理目的所需时间，且没有删除协议。 法律依据: Guyana Data Protection Act 2024, Sec. 14 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1140 | GUYPD-005 | 不合规的圭亚那数据跨国传输 控制者在未确保同等保护水平或获得所需授权的情况下，将圭亚那居民的数据传输到境外。 法律依据: Guyana Data Protection Act 2024, Sec. 47 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1141 | BLZPD-001 | 伯利兹在未获得书面同意的情况下处理敏感数据 该网站在未获得事先书面明确同意的情况下，收集伯利兹主体的敏感个人记录（健康、财务状况）。 法律依据: Belize local laws / draft Data Protection Act, Sec. 15, Sec. 50 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1142 | BLZPD-002 | 伯利兹在控制者未注册的情况下处理个人数据 该网站控制者在未向专员/委员会注册的情况下，收集伯利兹居民的个人信息。 法律依据: Belize local laws / draft Data Protection Act, Sec. 10 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1143 | BLZPD-003 | 伯利兹数据安全措施不妥当 该数据库收集并处理伯利兹居民的个人文件，但未采用强制性的技术加密或行政控制。 法律依据: Belize local laws / draft Data Protection Act, Sec. 32 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1144 | BLZPD-004 | 伯利兹不合规的数据保留周期 该网站保留伯利兹用户的个人记录时间超出指定处理目的所需时间，且没有删除协议。 法律依据: Belize local laws / draft Data Protection Act, Sec. 14 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1145 | BLZPD-005 | 不合规的伯利兹数据跨国传输 控制者在未确保同等保护水平或获得所需授权的情况下，将伯利兹居民的数据传输到境外。 法律依据: Belize local laws / draft Data Protection Act, Sec. 47 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1146 | SURPD-001 | 苏里南在未获得书面同意的情况下处理敏感数据 该网站在未获得事先书面明确同意的情况下，收集苏里南主体的敏感个人记录（健康、财务状况）。 法律依据: Suriname local laws / draft Data Protection Act, Sec. 15, Sec. 50 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1147 | SURPD-002 | 苏里南在控制者未注册的情况下处理个人数据 该网站控制者在未向专员/委员会注册的情况下，收集苏里南居民的个人信息。 法律依据: Suriname local laws / draft Data Protection Act, Sec. 10 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1148 | SURPD-003 | 苏里南数据安全措施不妥当 该数据库收集并处理苏里南居民的个人文件，但未采用强制性的技术加密或行政控制。 法律依据: Suriname local laws / draft Data Protection Act, Sec. 32 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1149 | SURPD-004 | 苏里南不合规的数据保留周期 该网站保留苏里南用户的个人记录时间超出指定处理目的所需时间，且没有删除协议。 法律依据: Suriname local laws / draft Data Protection Act, Sec. 14 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1150 | SURPD-005 | 苏里南数据跨国传输不合规 控制者在未确保同等保护水平或获得所需授权的情况下，将苏里南居民的数据传输到境外。 法律依据: Suriname local laws / draft Data Protection Act, Sec. 47 | moderate | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1151 | BDIPD-001 | 布隆迪在未通知监管机构的情况下处理个人数据 该网站收集布隆迪居民的个人信息，但未向监管机构提交处理通知。 法律依据: Burundi Law No. 1/01 of 2018 on Protection of Personal Data, Article 15, Article 42 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1152 | BDIPD-002 | 布隆迪敏感数据缺少明确同意 该网站在未获得有效、事先明确同意的情况下，处理布隆迪主体的敏感个人数据。 法律依据: Burundi Law No. 1/01 of 2018 on Protection of Personal Data, Article 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1153 | BDIPD-003 | 布隆迪法律下删除和更正渠道不妥当 该网站隐私政策未能记录下可访问的联系途径或布隆迪居民请求数据擦除的具体程序。 法律依据: Burundi Law No. 1/01 of 2018 on Protection of Personal Data, Article 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1154 | BDIPD-004 | 不合规的布隆迪跨国数据传输 控制者在未获得监管机构事先授权的情况下，将布隆迪主体的个人记录传输到国外。 法律依据: Burundi Law No. 1/01 of 2018 on Protection of Personal Data, Article 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1155 | BDIPD-005 | 布隆迪不合规的直接营销沟通 该网站向布隆迪主体发送直接营销材料或广告 Cookie，但未获得事先选择同意。 法律依据: Burundi Law No. 1/01 of 2018 on Protection of Personal Data, Article 24 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1156 | ERIPD-001 | 厄立特里亚在没有法律依据的情况下处理个人数据 该网站收集厄立特里亚居民的个人信息，但未根据厄立特里亚法律建立有效合法处理依据或获得同意。 法律依据: Eritrean Civil Code / Cybersecurity directives, Sec. 5, Sec. 21 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1157 | ERIPD-002 | 厄立特里亚敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集厄立特里亚居民的敏感个人记录（健康、生物识别）。 法律依据: Eritrean Civil Code / Cybersecurity directives, Sec. 10 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1158 | ERIPD-003 | 厄立特里亚法律下隐私声明披露不妥当 隐私政策未能指明厄立特里亚的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Eritrean Civil Code / Cybersecurity directives, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1159 | ERIPD-004 | 不合规的厄立特里亚跨国数据传输 控制者将厄立特里亚主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Eritrean Civil Code / Cybersecurity directives, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1160 | ERIPD-005 | 厄立特里亚数据主体权利回复方式不妥当 该网站未能为厄立特里亚数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Eritrean Civil Code / Cybersecurity directives, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1161 | SOMPD-001 | 索马里在没有法律依据的情况下处理个人数据 该网站收集索马里居民的个人信息，但未根据索马里法律建立有效合法处理依据或获得同意。 法律依据: Somali Communications Act / draft Data Protection Law, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1162 | SOMPD-002 | 索马里敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集索马里居民的敏感个人记录（健康、生物识别）。 法律依据: Somali Communications Act / draft Data Protection Law, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1163 | SOMPD-003 | 索马里法律下隐私声明披露不妥当 隐私政策未能指明索马里的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Somali Communications Act / draft Data Protection Law, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1164 | SOMPD-004 | 不合规的索马里跨国数据传输 控制者将索马里主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Somali Communications Act / draft Data Protection Law, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1165 | SOMPD-005 | 索马里数据主体权利回复方式不妥当 该网站未能为索马里数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Somali Communications Act / draft Data Protection Law, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1166 | SDNPD-001 | 苏丹在没有法律依据的情况下处理个人数据 该网站收集苏丹居民的个人信息，但未根据苏丹法律建立有效合法处理依据或获得同意。 法律依据: Sudanese Cybercrime Law / draft Data Protection rules, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1167 | SDNPD-002 | 苏丹敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集苏丹居民的敏感个人记录（健康、生物识别）。 法律依据: Sudanese Cybercrime Law / draft Data Protection rules, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1168 | SDNPD-003 | 苏丹法律下隐私声明披露不妥当 隐私政策未能指明苏丹的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Sudanese Cybercrime Law / draft Data Protection rules, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1169 | SDNPD-004 | 不合规的苏丹跨国数据传输 控制者将苏丹主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Sudanese Cybercrime Law / draft Data Protection rules, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1170 | SDNPD-005 | 苏丹数据主体权利回复方式不妥当 该网站未能为苏丹数据主体建立行使访问、更正 or 擦除权利的透明渠道。 法律依据: Sudanese Cybercrime Law / draft Data Protection rules, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1171 | SSDPD-001 | 南苏丹在没有法律依据的情况下处理个人数据 该网站收集南苏丹居民的个人信息，但未根据南苏丹法律建立有效合法处理依据或获得同意。 法律依据: South Sudan National Communications Act / draft Data Protection Act, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1172 | SSDPD-002 | 南苏丹敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集南苏丹居民的敏感个人记录（健康、生物识别）。 法律依据: South Sudan National Communications Act / draft Data Protection Act, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1173 | SSDPD-003 | 南苏丹法律下隐私声明披露不妥当 隐私政策未能指明南苏丹的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: South Sudan National Communications Act / draft Data Protection Act, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1174 | SSDPD-004 | 不合规的南苏丹跨国数据传输 控制者将南苏丹主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: South Sudan National Communications Act / draft Data Protection Act, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1175 | SSDPD-005 | 南苏丹数据主体权利回复方式不妥当 该网站未能为南苏丹数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: South Sudan National Communications Act / draft Data Protection Act, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1176 | GNQPD-001 | 赤道几内亚在未通知监管机构的情况下处理个人数据 该网站收集赤道几内亚居民的个人信息，但未向监管机构提交处理通知。 法律依据: Equatorial Guinea Law No. 1/2016 on Cybersecurity and Data Protection, Article 15 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1177 | GNQPD-002 | 赤道几内亚敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集赤道几内亚居民的敏感个人记录（健康、生物识别）。 法律依据: Equatorial Guinea Law No. 1/2016 on Cybersecurity and Data Protection, Article 12 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1178 | GNQPD-003 | 赤道几内亚法律下隐私声明披露不妥当 该网站隐私政策未能记录下可访问的联系途径或赤道几内亚居民请求数据擦除的具体程序。 法律依据: Equatorial Guinea Law No. 1/2016 on Cybersecurity and Data Protection, Article 28 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1179 | GNQPD-004 | 不合规的赤道几内亚跨国数据传输 控制者将赤道几内亚主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Equatorial Guinea Law No. 1/2016 on Cybersecurity and Data Protection, Article 35 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1180 | GNQPD-005 | 赤道几内亚数据主体权利回复方式不妥当 该网站未能为赤道几内亚数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Equatorial Guinea Law No. 1/2016 on Cybersecurity and Data Protection, Article 24 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1181 | CAFPD-001 | 中非共和国在没有法律依据的情况下处理个人数据 该网站收集中非共和国居民的个人信息，但未根据中非共和国法律建立有效合法处理依据或获得同意。 法律依据: CAR draft Personal Data Protection Law / Telecom rules, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1182 | CAFPD-002 | 中非共和国敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集中非共和国居民的敏感个人记录（健康、生物识别）。 法律依据: CAR draft Personal Data Protection Law / Telecom rules, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1183 | CAFPD-003 | 中非共和国法律下隐私声明披露不妥当 隐私政策未能指明中非共和国的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: CAR draft Personal Data Protection Law / Telecom rules, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1184 | CAFPD-004 | 不合规的中非共和国跨国数据传输 控制者将中非共和国主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: CAR draft Personal Data Protection Law / Telecom rules, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1185 | CAFPD-005 | 中非共和国数据主体权利回复方式不妥当 该网站未能为中非共和国数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: CAR draft Personal Data Protection Law / Telecom rules, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1186 | SLEPD-001 | 塞拉利昂在没有法律依据的情况下处理个人数据 该网站收集塞拉利昂居民的个人信息，但未根据塞拉利昂法律建立有效合法处理依据或获得同意。 法律依据: Sierra Leone draft Data Protection Act / National Cybersecurity Law, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1187 | SLEPD-002 | 塞拉利昂敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集塞拉利昂居民的敏感个人记录（健康、生物识别）。 法律依据: Sierra Leone draft Data Protection Act / National Cybersecurity Law, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1188 | SLEPD-003 | 塞拉利昂法律下隐私声明披露不妥当 隐私政策未能指明塞拉利昂的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Sierra Leone draft Data Protection Act / National Cybersecurity Law, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1189 | SLEPD-004 | 不合规的塞拉利昂跨国数据传输 控制者将塞拉利昂主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Sierra Leone draft Data Protection Act / National Cybersecurity Law, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1190 | SLEPD-005 | 塞拉利昂数据主体权利回复方式不妥当 该网站未能为塞拉利昂数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Sierra Leone draft Data Protection Act / National Cybersecurity Law, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1191 | LBRPD-001 | 利比里亚在没有法律依据的情况下处理个人数据 该网站收集利比里亚居民 of 个人信息，但未根据利比里亚法律建立有效合法处理依据或获得同意。 法律依据: Liberian draft Data Protection Act / Telecommunications Act, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1192 | LBRPD-002 | 利比里亚敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集利比里亚居民的敏感个人记录（健康、生物识别）。 法律依据: Liberian draft Data Protection Act / Telecommunications Act, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1193 | LBRPD-003 | 利比里亚法律下隐私声明披露不妥当 隐私政策未能指明利比里亚的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Liberian draft Data Protection Act / Telecommunications Act, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1194 | LBRPD-004 | 不合规的利比里亚跨国数据传输 控制者将利比里亚主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Liberian draft Data Protection Act / Telecommunications Act, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1195 | LBRPD-005 | 利比里亚数据主体权利回复方式不妥当 该网站未能为利比里亚数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Liberian draft Data Protection Act / Telecommunications Act, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1196 | GMBPD-001 | 冈比亚在没有法律依据的情况下处理个人数据 该网站收集冈比亚居民的个人信息，但未根据冈比亚法律建立有效合法处理依据或获得同意。 法律依据: Gambian Information and Communications Act 2009 / draft Data Protection Bill, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1197 | GMBPD-002 | 冈比亚敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集冈比亚居民的敏感个人记录（健康、生物识别）。 法律依据: Gambian Information and Communications Act 2009 / draft Data Protection Bill, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1198 | GMBPD-003 | 冈比亚法律下隐私声明披露不妥当 隐私政策未能指明冈比亚的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Gambian Information and Communications Act 2009 / draft Data Protection Bill, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1199 | GMBPD-004 | 不合规的冈比亚跨国数据传输 控制者将冈比亚主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Gambian Information and Communications Act 2009 / draft Data Protection Bill, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1200 | GMBPD-005 | 冈比亚数据主体权利回复方式不妥当 该网站未能为冈比亚数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Gambian Information and Communications Act 2009 / draft Data Protection Bill, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1201 | GWIPD-001 | 几内亚比绍在没有法律依据的情况下处理个人数据 该网站收集几内亚比绍居民的个人信息，但未根据几内亚比绍法律建立有效合法处理依据或获得同意。 法律依据: Guinea-Bissau Civil Code / draft Personal Data Protection Law, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1202 | GWIPD-002 | 几内亚比绍敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集几内亚比绍居民的敏感个人记录（健康、生物识别）。 法律依据: Guinea-Bissau Civil Code / draft Personal Data Protection Law, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1203 | GWIPD-003 | 几内亚比绍法律下隐私声明披露不妥当 隐私政策未能指明几内亚比绍的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Guinea-Bissau Civil Code / draft Personal Data Protection Law, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1204 | GWIPD-004 | 不合规的几内亚比绍跨国数据传输 控制者将几内亚比绍主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Guinea-Bissau Civil Code / draft Personal Data Protection Law, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1205 | GWIPD-005 | 几内亚比绍数据主体权利回复方式不妥当 该网站未能为几内亚比绍数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Guinea-Bissau Civil Code / draft Personal Data Protection Law, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1206 | LSOPD-001 | 莱索托在没有法律依据的情况下处理个人数据 该网站收集莱索托居民的个人信息，但未根据莱索托法律建立有效合法处理依据或获得同意。 法律依据: Lesotho Data Protection Act 2011, Sec. 5, Sec. 21 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1207 | LSOPD-002 | 莱索托敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集莱索托居民的敏感个人记录（健康、生物识别）。 法律依据: Lesotho Data Protection Act 2011, Sec. 10 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1208 | LSOPD-003 | 莱索托法律下隐私声明披露不妥当 隐私政策未能指明莱索托的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Lesotho Data Protection Act 2011, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1209 | LSOPD-004 | 不合规的莱索托跨国数据传输 控制者将莱索托主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Lesotho Data Protection Act 2011, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1210 | LSOPD-005 | 莱索托数据主体权利回复方式 不妥当 该网站未能为莱索托数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Lesotho Data Protection Act 2011, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1211 | TLSPD-001 | 东帝汶在没有法律依据的情况下处理个人数据 该网站收集东帝汶居民的个人信息，但未根据东帝汶法律建立有效合法处理依据或获得同意。 法律依据: Timor-Leste Civil Code / Cybersecurity guidelines, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1212 | TLSPD-002 | 东帝汶敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集东帝汶居民的敏感个人记录（健康、生物识别）。 法律依据: Timor-Leste Civil Code / Cybersecurity guidelines, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1213 | TLSPD-003 | 东帝汶法律下隐私声明披露不妥当 隐私政策未能指明东帝汶的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Timor-Leste Civil Code / Cybersecurity guidelines, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1214 | TLSPD-004 | 不合规的东帝汶跨国数据传输 控制者将东帝汶主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Timor-Leste Civil Code / Cybersecurity guidelines, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1215 | TLSPD-005 | 东帝汶数据主体权利回复方式不妥当 该网站未能为东帝汶数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Timor-Leste Civil Code / Cybersecurity guidelines, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1216 | MDVPD-001 | 马尔代夫在没有法律依据的情况下处理个人数据 该网站收集马尔代夫居民的个人信息，但未根据马尔代夫法律建立有效合法处理依据或获得同意。 法律依据: Maldives local regulations / draft Data Protection Bill, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1217 | MDVPD-002 | 马尔代夫敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集马尔代夫居民的敏感个人记录（健康、生物识别）。 法律依据: Maldives local regulations / draft Data Protection Bill, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1218 | MDVPD-003 | 马尔代夫法律下隐私声明披露不妥当 隐私政策未能指明马尔代夫的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Maldives local regulations / draft Data Protection Bill, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1219 | MDVPD-004 | 不合规的马尔代夫跨国数据传输 控制者将马尔代夫主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Maldives local regulations / draft Data Protection Bill, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1220 | MDVPD-005 | 马尔代夫数据主体权利回复方式不妥当 该网站未能为马尔代夫数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Maldives local regulations / draft Data Protection Bill, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1221 | BRNPD-001 | 文莱在没有法律依据的情况下处理个人数据 该网站收集文莱居民的个人信息，但未根据文莱法律建立有效合法处理依据或获得同意。 法律依据: Brunei local guidelines / Cybersecurity directives, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1222 | BRNPD-002 | 文莱敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集文莱居民的敏感个人记录（健康、生物识别）。 法律依据: Brunei local guidelines / Cybersecurity directives, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1223 | BRNPD-003 | 文莱法律下隐私声明披露不妥当 隐私政策未能指明文莱的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Brunei local guidelines / Cybersecurity directives, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1224 | BRNPD-004 | 不合规的文莱跨国数据传输 控制者将文莱主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Brunei local guidelines / Cybersecurity directives, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1225 | BRNPD-005 | 文莱数据主体权利回复方式不妥当 该网站未能为文莱数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Brunei local guidelines / Cybersecurity directives, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1226 | SLBPD-001 | 所罗门群岛在没有法律依据的情况下处理个人数据 该网站收集所罗门群岛居民的个人信息，但未根据所罗门群岛法律建立有效合法处理依据或获得同意。 法律依据: Solomon Islands local rules / Cybersecurity guidelines, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1227 | SLBPD-002 | 所罗门群岛敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集所罗门群岛居民的敏感个人记录（健康、生物识别）。 法律依据: Solomon Islands local rules / Cybersecurity guidelines, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1228 | SLBPD-003 | 所罗门群岛法律下隐私声明披露不妥当 隐私政策未能指明所罗门群岛的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Solomon Islands local rules / Cybersecurity guidelines, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1229 | SLBPD-004 | 不合规的所罗门群岛跨国数据传输 控制者将所罗门群岛主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Solomon Islands local rules / Cybersecurity guidelines, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1230 | SLBPD-005 | 所罗门群岛数据主体权利回复方式不妥当 该网站未能为所罗门群岛数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Solomon Islands local rules / Cybersecurity guidelines, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1231 | FSMPD-001 | 密克罗尼西亚在没有法律依据的情况下处理个人数据 该网站收集密克罗尼西亚居民的个人信息，但未根据密克罗尼西亚法律建立有效合法处理依据或获得同意。 法律依据: Micronesia draft Personal Data Protection Bill, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1232 | FSMPD-002 | 密克罗尼西亚敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集密克罗尼西亚居民的敏感个人记录（健康、生物识别）。 法律依据: Micronesia draft Personal Data Protection Bill, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1233 | FSMPD-003 | 密克罗尼西亚法律下隐私声明披露不妥当 隐私政策未能指明密克罗尼西亚的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Micronesia draft Personal Data Protection Bill, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1234 | FSMPD-004 | 不合规的密克罗尼西亚跨国数据传输 控制者将密克罗尼西亚主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Micronesia draft Personal Data Protection Bill, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1235 | FSMPD-005 | 密克罗尼西亚数据主体权利回复方式不妥当 该网站未能为密克罗尼西亚数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Micronesia draft Personal Data Protection Bill, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1236 | MHLPD-001 | 马绍尔群岛在没有法律依据的情况下处理个人数据 该网站收集马绍尔群岛居民的个人信息，但未根据马绍尔群岛法律建立有效合法处理依据或获得同意。 法律依据: Marshall Islands local guidelines / draft Data Protection Bill, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1237 | MHLPD-002 | 马绍尔群岛敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集马绍尔群岛居民的敏感个人记录（健康、生物识别）。 法律依据: Marshall Islands local guidelines / draft Data Protection Bill, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1238 | MHLPD-003 | 马绍尔群岛法律下隐私声明披露不妥当 隐私政策未能指明马绍尔群岛的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Marshall Islands local guidelines / draft Data Protection Bill, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1239 | MHLPD-004 | 不合规的马绍尔群岛跨国数据传输 控制者将马绍尔群岛主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Marshall Islands local guidelines / draft Data Protection Bill, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1240 | MHLPD-005 | 马绍尔群岛数据主体权利回复方式不妥当 该网站未能为马绍尔群岛数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Marshall Islands local guidelines / draft Data Protection Bill, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1241 | PLWPD-001 | 帕劳在没有法律依据的情况下处理个人数据 该网站收集帕劳居民的个人信息，但未根据帕劳法律建立有效合法处理依据或获得同意。 法律依据: Palau draft Personal Data Protection Bill, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1242 | PLWPD-002 | 帕劳敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集帕劳居民的敏感个人记录（健康、生物识别）。 法律依据: Palau draft Personal Data Protection Bill, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1243 | PLWPD-003 | 帕劳法律下隐私声明披露不妥当 隐私政策未能指明帕劳的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Palau draft Personal Data Protection Bill, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1244 | PLWPD-004 | 不合规的帕劳跨国数据传输 控制者将帕劳主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Palau draft Personal Data Protection Bill, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1245 | PLWPD-005 | 帕劳数据主体权利回复方式不妥当 该网站未能为帕劳数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Palau draft Personal Data Protection Bill, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1246 | KIRPD-001 | 基里巴斯在没有法律依据的情况下处理个人数据 该网站收集基里巴斯居民的个人信息，但未根据基里巴斯法律建立有效合法处理依据或获得同意。 法律依据: Kiribati draft Data Protection Act, Sec. 5 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1247 | KIRPD-002 | 基里巴斯敏感数据缺少明确同意 该网站在未获得事先明确书面或数字同意的情况下，收集基里巴斯居民的敏感个人记录（健康、生物识别）。 法律依据: Kiribati draft Data Protection Act, Sec. 8 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1248 | KIRPD-003 | 基里巴斯法律下隐私声明披露不妥当 隐私政策未能指明基里巴斯的数据处理目的、保留细节，或与数据主体的联系方式。 法律依据: Kiribati draft Data Protection Act, Sec. 12 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1249 | KIRPD-004 | 不合规的基里巴斯跨国数据传输 控制者将基里巴斯主体的个人记录传输到国外，而未确保同等保护水平或具有可比的保护措施。 法律依据: Kiribati draft Data Protection Act, Sec. 14 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1250 | KIRPD-005 | 基里巴斯数据主体权利回复方式不妥当 该网站未能为基里巴斯数据主体建立行使访问、更正或擦除权利的透明渠道。 法律依据: Kiribati draft Data Protection Act, Sec. 15 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1251 | CHNPD-001 | 中国在未获得书面同意的情况下处理敏感数据 根据个人信息保护法，该网站在未获得事先书面明确同意的情况下，收集中国主体的敏感个人记录（健康、财务状况）。 法律依据: Personal Information Protection Law (PIPL) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1252 | CHNPD-002 | 中国在控制者未向国家互联网信息办公室 (网信办)注册的情况下处理个人数据 该网站控制者在未向国家互联网信息办公室 (网信办)注册的情况下，收集中国居民的个人信息，违反了个人信息保护法。 法律依据: Personal Information Protection Law (PIPL) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1253 | CHNPD-003 | 中国数据安全及加密措施不妥当 该数据库收集并处理中国居民的个人文件，但未采用个人信息保护法所规定的强制性技术加密或行政安全控制。 法律依据: Personal Information Protection Law (PIPL) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1254 | CHNPD-004 | 中国不合规的数据保留周期 该网站保留中国用户的个人记录时间超出指定处理目的所需时间，且缺少符合个人信息保护法的删除协议。 法律依据: Personal Information Protection Law (PIPL) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1255 | CHNPD-005 | 不合规的中国数据跨国传输 控制者在未确保同等保护水平或获得个人信息保护法及国家互联网信息办公室 (网信办)所需授权的情况下，将中国居民的数据传输到境外。 法律依据: Personal Information Protection Law (PIPL) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1256 | RUSPD-001 | 俄罗斯在未获得书面同意的情况下处理敏感数据 根据第 152-FZ 号联邦个人数据法，该网站在未获得事先书面明确同意的情况下，收集俄罗斯主体的敏感个人记录（健康、财务状况）。 法律依据: Federal Law No. 152-FZ on Personal Data | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1257 | RUSPD-002 | 俄罗斯在控制者未向联邦通信、信息技术和大众传媒监督局 (Роскомнадзор)注册的情况下处理个人数据 该网站控制者在未向联邦通信、信息技术和大众传媒监督局 (Роскомнадзор)注册的情况下，收集俄罗斯居民的个人信息，违反了第 152-FZ 号联邦个人数据法。 法律依据: Federal Law No. 152-FZ on Personal Data | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1258 | RUSPD-003 | 俄罗斯数据安全及加密措施不妥当 该数据库收集并处理俄罗斯居民的个人文件，但未采用第 152-FZ 号联邦个人数据法所规定的强制性技术加密或行政安全控制。 法律依据: Federal Law No. 152-FZ on Personal Data | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1259 | RUSPD-004 | 俄罗斯不合规的数据保留周期 该网站保留俄罗斯用户的个人记录时间超出指定处理目的所需时间，且缺少符合第 152-FZ 号联邦个人数据法的删除协议。 法律依据: Federal Law No. 152-FZ on Personal Data | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1260 | RUSPD-005 | 不合规的俄罗斯数据跨国传输 控制者在未确保同等保护水平或获得第 152-FZ 号联邦个人数据法及联邦通信、信息技术和大众传媒监督局 (Роскомнадзор)所需授权的情况下，将俄罗斯居民的数据传输到境外。 法律依据: Federal Law No. 152-FZ on Personal Data | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1261 | TURPD-001 | 土耳其在未获得书面同意的情况下处理敏感数据 根据第 6698 号个人数据保护法 (KVKK)，该网站在未获得事先书面明确同意的情况下，收集土耳其主体的敏感个人记录（健康、财务状况）。 法律依据: Law on Protection of Personal Data No. 6698 (KVKK) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1262 | TURPD-002 | 土耳其在控制者未向个人数据保护委员会 (KVKK)注册的情况下处理个人数据 该网站控制者在未向个人数据保护委员会 (KVKK)注册的情况下，收集土耳其居民的个人信息，违反了第 6698 号个人数据保护法 (KVKK)。 法律依据: Law on Protection of Personal Data No. 6698 (KVKK) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1263 | TURPD-003 | 土耳其数据安全及加密措施不妥当 该数据库收集并处理土耳其居民的个人文件，但未采用第 6698 号个人数据保护法 (KVKK)所规定的强制性技术加密或行政安全控制。 法律依据: Law on Protection of Personal Data No. 6698 (KVKK) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1264 | TURPD-004 | 土耳其不合规的数据保留周期 该网站保留土耳其用户的个人记录时间超出指定处理目的所需时间，且缺少符合第 6698 号个人数据保护法 (KVKK)的删除协议。 法律依据: Law on Protection of Personal Data No. 6698 (KVKK) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1265 | TURPD-005 | 不合规的土耳其数据跨国传输 控制者在未确保同等保护水平或获得第 6698 号个人数据保护法 (KVKK)及个人数据保护委员会 (KVKK)所需授权的情况下，将土耳其居民的数据传输到境外。 法律依据: Law on Protection of Personal Data No. 6698 (KVKK) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1266 | NGAPD-001 | 尼日利亚在未获得书面同意的情况下处理敏感数据 根据2023年尼日利亚数据保护法 (NDPA)，该网站在未获得事先书面明确同意的情况下，收集尼日利亚主体的敏感个人记录（健康、财务状况）。 法律依据: Nigeria Data Protection Act 2023 (NDPA) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1267 | NGAPD-002 | 尼日利亚在控制者未向尼日利亚数据保护委员会 (NDPC)注册的情况下处理个人数据 该网站控制者在未向尼日利亚数据保护委员会 (NDPC)注册的情况下，收集尼日利亚居民的个人信息，违反了2023年尼日利亚数据保护法 (NDPA)。 法律依据: Nigeria Data Protection Act 2023 (NDPA) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1268 | NGAPD-003 | 尼日利亚数据安全及加密措施不妥当 该数据库收集并处理尼日利亚居民的个人文件，但未采用2023年尼日利亚数据保护法 (NDPA)所规定的强制性技术加密或行政安全控制。 法律依据: Nigeria Data Protection Act 2023 (NDPA) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1269 | NGAPD-004 | 尼日利亚不合规的数据保留周期 该网站保留尼日利亚用户的个人记录时间超出指定处理目的所需时间，且缺少符合2023年尼日利亚数据保护法 (NDPA)的删除协议。 法律依据: Nigeria Data Protection Act 2023 (NDPA) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1270 | NGAPD-005 | 不合规的尼日利亚数据跨国传输 控制者在未确保同等保护水平或获得2023年尼日利亚数据保护法 (NDPA)及尼日利亚数据保护委员会 (NDPC)所需授权的情况下，将尼日利亚居民的数据传输到境外。 法律依据: Nigeria Data Protection Act 2023 (NDPA) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1271 | AFGPD-001 | 阿富汗在未获得书面同意的情况下处理敏感数据 根据阿富汗电信及媒体法令，该网站在未获得事先书面明确同意的情况下，收集阿富汗主体的敏感个人记录（健康、财务状况）。 法律依据: Afghan local communications and telecommunications decrees | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1272 | AFGPD-002 | 阿富汗在控制者未向通信部注册的情况下处理个人数据 该网站控制者在未向通信部注册的情况下，收集阿富汗居民的个人信息，违反了阿富汗电信及媒体法令。 法律依据: Afghan local communications and telecommunications decrees | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1273 | AFGPD-003 | 阿富汗数据安全及加密措施不妥当 该数据库收集并处理阿富汗居民的个人文件，但未采用阿富汗电信及媒体法令所规定的强制性技术加密或行政安全控制。 法律依据: Afghan local communications and telecommunications decrees | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1274 | AFGPD-004 | 阿富汗不合规的数据保留周期 该网站保留阿富汗用户的个人记录时间超出指定处理目的所需时间，且缺少符合阿富汗电信及媒体法令的删除协议。 法律依据: Afghan local communications and telecommunications decrees | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1275 | AFGPD-005 | 不合规的阿富汗数据跨国传输 控制者在未确保同等保护水平或获得阿富汗电信及媒体法令及通信部所需授权的情况下，将阿富汗居民的数据传输到境外。 法律依据: Afghan local communications and telecommunications decrees | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1276 | AZEPD-001 | 阿塞拜疆在未获得书面同意的情况下处理敏感数据 根据阿塞拜疆个人数据法第 998-IIIQ 号，该网站在未获得事先书面明确同意的情况下，收集阿塞拜疆主体的敏感个人记录（健康、财务状况）。 法律依据: Law of Azerbaijan on Personal Data No. 998-IIIQ | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1277 | AZEPD-002 | 阿塞拜疆在控制者未向数字发展部注册的情况下处理个人数据 该网站控制者在未向数字发展部注册的情况下，收集阿塞拜疆居民的个人信息，违反了阿塞拜疆个人数据法第 998-IIIQ 号。 法律依据: Law of Azerbaijan on Personal Data No. 998-IIIQ | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1278 | AZEPD-003 | 阿塞拜疆数据安全及加密措施不妥当 该数据库收集并处理阿塞拜疆居民的个人文件，但未采用阿塞拜疆个人数据法第 998-IIIQ 号所规定的强制性技术加密或行政安全控制。 法律依据: Law of Azerbaijan on Personal Data No. 998-IIIQ | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1279 | AZEPD-004 | 阿塞拜疆不合规的数据保留周期 该网站保留阿塞拜疆用户的个人记录时间超出指定处理目的所需时间，且缺少符合阿塞拜疆个人数据法第 998-IIIQ 号的删除协议。 法律依据: Law of Azerbaijan on Personal Data No. 998-IIIQ | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1280 | AZEPD-005 | 不合规的阿塞拜疆数据跨国传输 控制者在未确保同等保护水平或获得阿塞拜疆个人数据法第 998-IIIQ 号及数字发展部所需授权的情况下，将阿塞拜疆居民的数据传输到境外。 法律依据: Law of Azerbaijan on Personal Data No. 998-IIIQ | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1281 | BGDPD-001 | 孟加拉国在未获得书面同意的情况下处理敏感数据 根据信息与通信技术法 / 孟加拉国数据保护法草案，该网站在未获得事先书面明确同意的情况下，收集孟加拉国主体的敏感个人记录（健康、财务状况）。 法律依据: Information and Communication Technology Act / draft Data Protection Act | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1282 | BGDPD-002 | 孟加拉国在控制者未向孟加拉国数据保护局注册的情况下处理个人数据 该网站控制者在未向孟加拉国数据保护局注册的情况下，收集孟加拉国居民的个人信息，违反了信息与通信技术法 / 孟加拉国数据保护法草案。 法律依据: Information and Communication Technology Act / draft Data Protection Act | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1283 | BGDPD-003 | 孟加拉国数据安全及加密措施不妥当 该数据库收集并处理孟加拉国居民的个人文件，但未采用信息与通信技术法 / 孟加拉国数据保护法草案所规定的强制性技术加密或行政安全控制。 法律依据: Information and Communication Technology Act / draft Data Protection Act | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1284 | BGDPD-004 | 孟加拉国不合规的数据保留周期 该网站保留孟加拉国用户的个人记录时间超出指定处理目的所需时间，且缺少符合信息与通信技术法 / 孟加拉国数据保护法草案的删除协议。 法律依据: Information and Communication Technology Act / draft Data Protection Act | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1285 | BGDPD-005 | 不合规的孟加拉国数据跨国传输 控制者在未确保同等保护水平或获得信息与通信技术法 / 孟加拉国数据保护法草案及孟加拉国数据保护局所需授权的情况下，将孟加拉国居民的数据传输到境外。 法律依据: Information and Communication Technology Act / draft Data Protection Act | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1286 | BLRPD-001 | 白俄罗斯在未获得书面同意的情况下处理敏感数据 根据白俄罗斯第 99-Z 号个人数据保护法，该网站在未获得事先书面明确同意的情况下，收集白俄罗斯主体的敏感个人记录（健康、财务状况）。 法律依据: Law of Belarus No. 99-Z on Protection of Personal Data | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1287 | BLRPD-002 | 白俄罗斯在控制者未向国家个人数据保护中心注册的情况下处理个人数据 该网站控制者在未向国家个人数据保护中心注册的情况下，收集白俄罗斯居民的个人信息，违反了白俄罗斯第 99-Z 号个人数据保护法。 法律依据: Law of Belarus No. 99-Z on Protection of Personal Data | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1288 | BLRPD-003 | 白俄罗斯数据安全及加密措施不妥当 该数据库收集并处理白俄罗斯居民的个人文件，但未采用白俄罗斯第 99-Z 号个人数据保护法所规定的强制性技术加密或行政安全控制。 法律依据: Law of Belarus No. 99-Z on Protection of Personal Data | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1289 | BLRPD-004 | 白俄罗斯不合规的数据保留周期 该网站保留白俄罗斯用户的个人记录时间超出指定处理目的所需时间，且缺少符合白俄罗斯第 99-Z 号个人数据保护法的删除协议。 法律依据: Law of Belarus No. 99-Z on Protection of Personal Data | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1290 | BLRPD-005 | 不合规的白俄罗斯数据跨国传输 控制者在未确保同等保护水平或获得白俄罗斯第 99-Z 号个人数据保护法及国家个人数据保护中心所需授权的情况下，将白俄罗斯居民的数据传输到境外。 法律依据: Law of Belarus No. 99-Z on Protection of Personal Data | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1291 | CMRPD-001 | 喀麦隆在未获得书面同意的情况下处理敏感数据 根据喀麦隆第 2010/012 号网络安全和网络犯罪法，该网站在未获得事先书面明确同意的情况下，收集喀麦隆主体的敏感个人记录（健康、财务状况）。 法律依据: Cameroon Law No. 2010/012 on Cybersecurity and Cybercriminality | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1292 | CMRPD-002 | 喀麦隆在控制者未向国家信息与通信技术局 (ANTIC)注册的情况下处理个人数据 该网站控制者在未向国家信息与通信技术局 (ANTIC)注册的情况下，收集喀麦隆居民的个人信息，违反了喀麦隆第 2010/012 号网络安全和网络犯罪法。 法律依据: Cameroon Law No. 2010/012 on Cybersecurity and Cybercriminality | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1293 | CMRPD-003 | 喀麦隆数据安全及加密措施不妥当 该数据库收集并处理喀麦隆居民的个人文件，但未采用喀麦隆第 2010/012 号网络安全和网络犯罪法所规定的强制性技术加密或行政安全控制。 法律依据: Cameroon Law No. 2010/012 on Cybersecurity and Cybercriminality | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1294 | CMRPD-004 | 喀麦隆不合规的数据保留周期 该网站保留喀麦隆用户的个人记录时间超出指定处理目的所需时间，且缺少符合喀麦隆第 2010/012 号网络安全和网络犯罪法的删除协议。 法律依据: Cameroon Law No. 2010/012 on Cybersecurity and Cybercriminality | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1295 | CMRPD-005 | 不合规的喀麦隆数据跨国传输 控制者在未确保同等保护水平或获得喀麦隆第 2010/012 号网络安全和网络犯罪法及国家信息与通信技术局 (ANTIC)所需授权的情况下，将喀麦隆居民的数据传输到境外。 法律依据: Cameroon Law No. 2010/012 on Cybersecurity and Cybercriminality | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1296 | COMPD-001 | 科摩罗在未获得书面同意的情况下处理敏感数据 根据科摩罗电子通信与交易法，该网站在未获得事先书面明确同意的情况下，收集科摩罗主体的敏感个人记录（健康、财务状况）。 法律依据: Comoros local communications and transaction laws | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1297 | COMPD-002 | 科摩罗在控制者未向国家通信与信息技术监管局 (ANRTIC)注册的情况下处理个人数据 该网站控制者在未向国家通信与信息技术监管局 (ANRTIC)注册的情况下，收集科摩罗居民的个人信息，违反了科摩罗电子通信与交易法。 法律依据: Comoros local communications and transaction laws | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1298 | COMPD-003 | 科摩罗数据安全及加密措施不妥当 该数据库收集并处理科摩罗居民的个人文件，但未采用科摩罗电子通信与交易法所规定的强制性技术加密或行政安全控制。 法律依据: Comoros local communications and transaction laws | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1299 | COMPD-004 | 科摩罗不合规的数据保留周期 该网站保留科摩罗用户的个人记录时间超出指定处理目的所需时间，且缺少符合科摩罗电子通信与交易法的删除协议。 法律依据: Comoros local communications and transaction laws | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1300 | COMPD-005 | 不合规的科摩罗数据跨国传输 控制者在未确保同等保护水平或获得科摩罗电子通信与交易法及国家通信与信息技术监管局 (ANRTIC)所需授权的情况下，将科摩罗居民的数据传输到境外。 法律依据: Comoros local communications and transaction laws | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1301 | CUBPD-001 | 古巴在未获得书面同意的情况下处理敏感数据 根据古巴关于社会信息化的第 370 号法令，该网站在未获得事先书面明确同意的情况下，收集古巴主体的敏感个人记录（健康、财务状况）。 法律依据: Cuban Decree-Law No. 370 on Informatization of Society | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1302 | CUBPD-002 | 古巴在控制者未向通信部 (MINCOM)注册的情况下处理个人数据 该网站控制者在未向通信部 (MINCOM)注册的情况下，收集古巴居民的个人信息，违反了古巴关于社会信息化的第 370 号法令。 法律依据: Cuban Decree-Law No. 370 on Informatization of Society | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1303 | CUBPD-003 | 古巴数据安全及加密措施不妥当 该数据库收集并处理古巴居民的个人文件，但未采用古巴关于社会信息化的第 370 号法令所规定的强制性技术加密或行政安全控制。 法律依据: Cuban Decree-Law No. 370 on Informatization of Society | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1304 | CUBPD-004 | 古巴不合规的数据保留周期 该网站保留古巴用户的个人记录时间超出指定处理目的所需时间，且缺少符合古巴关于社会信息化的第 370 号法令的删除协议。 法律依据: Cuban Decree-Law No. 370 on Informatization of Society | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1305 | CUBPD-005 | 不合规的古巴数据跨国传输 控制者在未确保同等保护水平或获得古巴关于社会信息化的第 370 号法令及通信部 (MINCOM)所需授权的情况下，将古巴居民的数据传输到境外。 法律依据: Cuban Decree-Law No. 370 on Informatization of Society | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1306 | CODPD-001 | 刚果民主共和国在未获得书面同意的情况下处理敏感数据 根据刚果民主共和国第 20/017 号电信法，该网站在未获得事先书面明确同意的情况下，收集刚果民主共和国主体的敏感个人记录（健康、财务状况）。 法律依据: DRC Telecom Law No. 20/017 / Cybersecurity framework | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1307 | CODPD-002 | 刚果民主共和国在控制者未向邮电与电信监管局 (ARPTC)注册的情况下处理个人数据 该网站控制者在未向邮电与电信监管局 (ARPTC)注册的情况下，收集刚果民主共和国居民的个人信息，违反了刚果民主共和国第 20/017 号电信法。 法律依据: DRC Telecom Law No. 20/017 / Cybersecurity framework | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1308 | CODPD-003 | 刚果民主共和国数据安全及加密措施不妥当 该数据库收集并处理刚果民主共和国居民的个人文件，但未采用刚果民主共和国第 20/017 号电信法所规定的强制性技术加密或行政安全控制。 法律依据: DRC Telecom Law No. 20/017 / Cybersecurity framework | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1309 | CODPD-004 | 刚果民主共和国不合规的数据保留周期 该网站保留刚果民主共和国用户的个人记录时间超出指定处理目的所需时间，且缺少符合刚果民主共和国第 20/017 号电信法的删除协议。 法律依据: DRC Telecom Law No. 20/017 / Cybersecurity framework | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1310 | CODPD-005 | 不合规的刚果民主共和国数据跨国传输 控制者在未确保同等保护水平或获得刚果民主共和国第 20/017 号电信法及邮电与电信监管局 (ARPTC)所需授权的情况下，将刚果民主共和国居民的数据传输到境外。 法律依据: DRC Telecom Law No. 20/017 / Cybersecurity framework | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1311 | ETHPD-001 | 埃塞俄比亚在未获得书面同意的情况下处理敏感数据 根据埃塞俄比亚个人数据保护公告草案，该网站在未获得事先书面明确同意的情况下，收集埃塞俄比亚主体的敏感个人记录（健康、财务状况）。 法律依据: Ethiopian draft Personal Data Protection Proclamation | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1312 | ETHPD-002 | 埃塞俄比亚在控制者未向创新与技术部 (MInT)注册的情况下处理个人数据 该网站控制者在未向创新与技术部 (MInT)注册的情况下，收集埃塞俄比亚居民的个人信息，违反了埃塞俄比亚个人数据保护公告草案。 法律依据: Ethiopian draft Personal Data Protection Proclamation | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1313 | ETHPD-003 | 埃塞俄比亚数据安全及加密措施不妥当 该数据库收集并处理埃塞俄比亚居民的个人文件，但未采用埃塞俄比亚个人数据保护公告草案所规定的强制性技术加密或行政安全控制。 法律依据: Ethiopian draft Personal Data Protection Proclamation | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1314 | ETHPD-004 | 埃塞俄比亚不合规的数据保留周期 该网站保留埃塞俄比亚用户的个人记录时间超出指定处理目的所需时间，且缺少符合埃塞俄比亚个人数据保护公告草案的删除协议。 法律依据: Ethiopian draft Personal Data Protection Proclamation | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1315 | ETHPD-005 | 不合规的埃塞俄比亚数据跨国传输 控制者在未确保同等保护水平或获得埃塞俄比亚个人数据保护公告草案及创新与技术部 (MInT)所需授权的情况下，将埃塞俄比亚居民的数据传输到境外。 法律依据: Ethiopian draft Personal Data Protection Proclamation | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1316 | HTIPD-001 | 海地在未获得书面同意的情况下处理敏感数据 根据海地网络安全指南 / 隐私规则草案，该网站在未获得事先书面明确同意的情况下，收集海地主体的敏感个人记录（健康、财务状况）。 法律依据: Haitian Cyber Security guidelines / draft privacy rules | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1317 | HTIPD-002 | 海地在控制者未向国家电信委员会 (CONATEL)注册的情况下处理个人数据 该网站控制者在未向国家电信委员会 (CONATEL)注册的情况下，收集海地居民的个人信息，违反了海地网络安全指南 / 隐私规则草案。 法律依据: Haitian Cyber Security guidelines / draft privacy rules | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1318 | HTIPD-003 | 海地数据安全及加密措施不妥当 该数据库收集并处理海地居民的个人文件，但未采用海地网络安全指南 / 隐私规则草案所规定的强制性技术加密或行政安全控制。 法律依据: Haitian Cyber Security guidelines / draft privacy rules | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1319 | HTIPD-004 | 海地不合规的数据保留周期 该网站保留海地用户的个人记录时间超出指定处理目的所需时间，且缺少符合海地网络安全指南 / 隐私规则草案的删除协议。 法律依据: Haitian Cyber Security guidelines / draft privacy rules | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1320 | HTIPD-005 | 不合规的海地数据跨国传输 控制者在未确保同等保护水平或获得海地网络安全指南 / 隐私规则草案及国家电信委员会 (CONATEL)所需授权的情况下，将海地居民的数据传输到境外。 法律依据: Haitian Cyber Security guidelines / draft privacy rules | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1321 | IRNPD-001 | 伊朗在未获得书面同意的情况下处理敏感数据 根据伊朗网络空间条例 / 个人数据保护草案，该网站在未获得事先书面明确同意的情况下，收集伊朗主体的敏感个人记录（健康、财务状况）。 法律依据: Iran Cyber Space regulations / draft Personal Data protection | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1322 | IRNPD-002 | 伊朗在控制者未向通信监管局 (CRA)注册的情况下处理个人数据 该网站控制者在未向通信监管局 (CRA)注册的情况下，收集伊朗居民的个人信息，违反了伊朗网络空间条例 / 个人数据保护草案。 法律依据: Iran Cyber Space regulations / draft Personal Data protection | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1323 | IRNPD-003 | 伊朗数据安全及加密措施不妥当 该数据库收集并处理伊朗居民的个人文件，但未采用伊朗网络空间条例 / 个人数据保护草案所规定的强制性技术加密或行政安全控制。 法律依据: Iran Cyber Space regulations / draft Personal Data protection | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1324 | IRNPD-004 | 伊朗不合规的数据保留周期 该网站保留伊朗用户的个人记录时间超出指定处理目的所需时间，且缺少符合伊朗网络空间条例 / 个人数据保护草案的删除协议。 法律依据: Iran Cyber Space regulations / draft Personal Data protection | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1325 | IRNPD-005 | 不合规的伊朗数据跨国传输 控制者在未确保同等保护水平或获得伊朗网络空间条例 / 个人数据保护草案及通信监管局 (CRA)所需授权的情况下，将伊朗居民的数据传输到境外。 法律依据: Iran Cyber Space regulations / draft Personal Data protection | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1326 | LBYPD-001 | 利比亚在未获得书面同意的情况下处理敏感数据 根据利比亚电信及网络犯罪决议，该网站在未获得事先书面明确同意的情况下，收集利比亚主体的敏感个人记录（健康、财务状况）。 法律依据: Libyan local telecom and cybercrime resolutions | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1327 | LBYPD-002 | 利比亚在控制者未向邮电通信总局 (GPTC)注册的情况下处理个人数据 该网站控制者在未向邮电通信总局 (GPTC)注册的情况下，收集利比亚居民的个人信息，违反了利比亚电信及网络犯罪决议。 法律依据: Libyan local telecom and cybercrime resolutions | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1328 | LBYPD-003 | 利比亚数据安全及加密措施不妥当 该数据库收集并处理利比亚居民的个人文件，但未采用利比亚电信及网络犯罪决议所规定的强制性技术加密或行政安全控制。 法律依据: Libyan local telecom and cybercrime resolutions | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1329 | LBYPD-004 | 利比亚不合规的数据保留周期 该网站保留利比亚用户的个人记录时间超出指定处理目的所需时间，且缺少符合利比亚电信及网络犯罪决议的删除协议。 法律依据: Libyan local telecom and cybercrime resolutions | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1330 | LBYPD-005 | 不合规的利比亚数据跨国传输 控制者在未确保同等保护水平或获得利比亚电信及网络犯罪决议及邮电通信总局 (GPTC)所需授权的情况下，将利比亚居民的数据传输到境外。 法律依据: Libyan local telecom and cybercrime resolutions | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1331 | NRUPD-001 | 瑙鲁在未获得书面同意的情况下处理敏感数据 根据瑙鲁网络安全法 / 隐私规则草案，该网站在未获得事先书面明确同意的情况下，收集瑙鲁主体的敏感个人记录（健康、财务状况）。 法律依据: Nauru Cybersecurity Act / draft privacy rules | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1332 | NRUPD-002 | 瑙鲁在控制者未向电信部注册的情况下处理个人数据 该网站控制者在未向电信部注册的情况下，收集瑙鲁居民的个人信息，违反了瑙鲁网络安全法 / 隐私规则草案。 法律依据: Nauru Cybersecurity Act / draft privacy rules | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1333 | NRUPD-003 | 瑙鲁数据安全及加密措施不妥当 该数据库收集并处理瑙鲁居民的个人文件，但未采用瑙鲁网络安全法 / 隐私规则草案所规定的强制性技术加密或行政安全控制。 法律依据: Nauru Cybersecurity Act / draft privacy rules | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1334 | NRUPD-004 | 瑙鲁不合规的数据保留周期 该网站保留瑙鲁用户的个人记录时间超出指定处理目的所需时间，且缺少符合瑙鲁网络安全法 / 隐私规则草案的删除协议。 法律依据: Nauru Cybersecurity Act / draft privacy rules | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1335 | NRUPD-005 | 不合规的瑙鲁数据跨国传输 控制者在未确保同等保护水平或获得瑙鲁网络安全法 / 隐私规则草案及电信部所需授权的情况下，将瑙鲁居民的数据传输到境外。 法律依据: Nauru Cybersecurity Act / draft privacy rules | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1336 | PRKPD-001 | 朝鲜在未获得书面同意的情况下处理敏感数据 根据朝鲜民主主义人民共和国网络安全与电子交易法，该网站在未获得事先书面明确同意的情况下，收集朝鲜主体的敏感个人记录（健康、财务状况）。 法律依据: DPRK Cybersecurity and electronic transactions laws | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1337 | PRKPD-002 | 朝鲜在控制者未向邮电部注册的情况下处理个人数据 该网站控制者在未向邮电部注册的情况下，收集朝鲜居民的个人信息，违反了朝鲜民主主义人民共和国网络安全与电子交易法。 法律依据: DPRK Cybersecurity and electronic transactions laws | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1338 | PRKPD-003 | 朝鲜数据安全及加密措施不妥当 该数据库收集并处理朝鲜居民的个人文件，但未采用朝鲜民主主义人民共和国网络安全与电子交易法所规定的强制性技术加密或行政安全控制。 法律依据: DPRK Cybersecurity and electronic transactions laws | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1339 | PRKPD-004 | 朝鲜不合规的数据保留周期 该网站保留朝鲜用户的个人记录时间超出指定处理目的所需时间，且缺少符合朝鲜民主主义人民共和国网络安全与电子交易法的删除协议。 法律依据: DPRK Cybersecurity and electronic transactions laws | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1340 | PRKPD-005 | 不合规的朝鲜数据跨国传输 控制者在未确保同等保护水平或获得朝鲜民主主义人民共和国网络安全与电子交易法及邮电部所需授权的情况下，将朝鲜居民的数据传输到境外。 法律依据: DPRK Cybersecurity and electronic transactions laws | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1341 | TKMPD-001 | 土库曼斯坦在未获得书面同意的情况下处理敏感数据 根据土库曼斯坦关于信息及其保护的第 562-V 号法，该网站在未获得事先书面明确同意的情况下，收集土库曼斯坦主体的敏感个人记录（健康、财务状况）。 法律依据: Law of Turkmenistan No. 562-V on Information and its Protection | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1342 | TKMPD-002 | 土库曼斯坦在控制者未向通信部注册的情况下处理个人数据 该网站控制者在未向通信部注册的情况下，收集土库曼斯坦居民的个人信息，违反了土库曼斯坦关于信息及其保护的第 562-V 号法。 法律依据: Law of Turkmenistan No. 562-V on Information and its Protection | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1343 | TKMPD-003 | 土库曼斯坦数据安全及加密措施不妥当 该数据库收集并处理土库曼斯坦居民的个人文件，但未采用土库曼斯坦关于信息及其保护的第 562-V 号法所规定的强制性技术加密或行政安全控制。 法律依据: Law of Turkmenistan No. 562-V on Information and its Protection | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1344 | TKMPD-004 | 土库曼斯坦不合规的数据保留周期 该网站保留土库曼斯坦用户的个人记录时间超出指定处理目的所需时间，且缺少符合土库曼斯坦关于信息及其保护的第 562-V 号法的删除协议。 法律依据: Law of Turkmenistan No. 562-V on Information and its Protection | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1345 | TKMPD-005 | 不合规的土库曼斯坦数据跨国传输 控制者在未确保同等保护水平或获得土库曼斯坦关于信息及其保护的第 562-V 号法及通信部所需授权的情况下，将土库曼斯坦居民的数据传输到境外。 法律依据: Law of Turkmenistan No. 562-V on Information and its Protection | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1346 | TUVPD-001 | 图瓦卢在未获得书面同意的情况下处理敏感数据 根据图瓦卢网络安全及隐私规则草案，该网站在未获得事先书面明确同意的情况下，收集图瓦卢主体的敏感个人记录（健康、财务状况）。 法律依据: Tuvalu Cybersecurity and draft privacy rules | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1347 | TUVPD-002 | 图瓦卢在控制者未向电信部注册的情况下处理个人数据 该网站控制者在未向电信部注册的情况下，收集图瓦卢居民的个人信息，违反了图瓦卢网络安全及隐私规则草案。 法律依据: Tuvalu Cybersecurity and draft privacy rules | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1348 | TUVPD-003 | 图瓦卢数据安全及加密措施不妥当 该数据库收集并处理图瓦卢居民的个人文件，但未采用图瓦卢网络安全及隐私规则草案所规定的强制性技术加密或行政安全控制。 法律依据: Tuvalu Cybersecurity and draft privacy rules | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1349 | TUVPD-004 | 图瓦卢不合规的数据保留周期 该网站保留图瓦卢用户的个人记录时间超出指定处理目的所需时间，且缺少符合图瓦卢网络安全及隐私规则草案的删除协议。 法律依据: Tuvalu Cybersecurity and draft privacy rules | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1350 | TUVPD-005 | 不合规的图瓦卢数据跨国传输 控制者在未确保同等保护水平或获得图瓦卢网络安全及隐私规则草案及电信部所需授权的情况下，将图瓦卢居民的数据传输到境外。 法律依据: Tuvalu Cybersecurity and draft privacy rules | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1351 | VATPD-001 | 梵蒂冈在未获得书面同意的情况下处理敏感数据 根据梵蒂冈网络安全与行政指令，该网站在未获得事先书面明确同意的情况下，收集梵蒂冈主体的敏感个人记录（健康、财务状况）。 法律依据: Vatican local cybersecurity and administrative directives | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1352 | VATPD-002 | 梵蒂冈在控制者未向梵蒂冈宪兵与行政管理机构注册的情况下处理个人数据 该网站控制者在未向梵蒂冈宪兵与行政管理机构注册的情况下，收集梵蒂冈居民的个人信息，违反了梵蒂冈网络安全与行政指令。 法律依据: Vatican local cybersecurity and administrative directives | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1353 | VATPD-003 | 梵蒂冈数据安全及加密措施不妥当 该数据库收集并处理梵蒂冈居民的个人文件，但未采用梵蒂冈网络安全与行政指令所规定的强制性技术加密或行政安全控制。 法律依据: Vatican local cybersecurity and administrative directives | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1354 | VATPD-004 | 梵蒂冈不合规的数据保留周期 该网站保留梵蒂冈用户的个人记录时间超出指定处理目的所需时间，且缺少符合梵蒂冈网络安全与行政指令的删除协议。 法律依据: Vatican local cybersecurity and administrative directives | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1355 | VATPD-005 | 不合规的梵蒂冈数据跨国传输 控制者在未确保同等保护水平或获得梵蒂冈网络安全与行政指令及梵蒂冈宪兵与行政管理机构所需授权的情况下，将梵蒂冈居民的数据传输到境外。 法律依据: Vatican local cybersecurity and administrative directives | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1356 | ESHPD-001 | 西撒哈拉在未获得书面同意的情况下处理敏感数据 根据西撒哈拉信息规则 / 网络安全草案，该网站在未获得事先书面明确同意的情况下，收集西撒哈拉主体的敏感个人记录（健康、财务状况）。 法律依据: Western Sahara local rules / cybersecurity draft | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1357 | ESHPD-002 | 西撒哈拉在控制者未向电信监管局注册的情况下处理个人数据 该网站控制者在未向电信监管局注册的情况下，收集西撒哈拉居民的个人信息，违反了西撒哈拉信息规则 / 网络安全草案。 法律依据: Western Sahara local rules / cybersecurity draft | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1358 | ESHPD-003 | 西撒哈拉数据安全及加密措施不妥当 该数据库收集并处理西撒哈拉居民的个人文件，但未采用西撒哈拉信息规则 / 网络安全草案所规定的强制性技术加密或行政安全控制。 法律依据: Western Sahara local rules / cybersecurity draft | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1359 | ESHPD-004 | 西撒哈拉不合规的数据保留周期 该网站保留西撒哈拉用户的个人记录时间超出指定处理目的所需时间，且缺少符合西撒哈拉信息规则 / 网络安全草案的删除协议。 法律依据: Western Sahara local rules / cybersecurity draft | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1360 | ESHPD-005 | 不合规的西撒哈拉数据跨国传输 控制者在未确保同等保护水平或获得西撒哈拉信息规则 / 网络安全草案及电信监管局所需授权的情况下，将西撒哈拉居民的数据传输到境外。 法律依据: Western Sahara local rules / cybersecurity draft | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1361 | BGRPD-001 | 保加利亚在未获得书面同意的情况下处理敏感数据 根据保加利亚个人数据保护法，该网站在未获得事先书面明确同意的情况下，收集保加利亚主体的敏感个人记录（健康、财务状况）。 法律依据: Bulgarian Personal Data Protection Act | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1362 | BGRPD-002 | 保加利亚在控制者未向个人数据保护委员会 (CPDP)注册的情况下处理个人数据 该网站控制者在未向个人数据保护委员会 (CPDP)注册的情况下，收集保加利亚居民的个人信息，违反了保加利亚个人数据保护法。 法律依据: Bulgarian Personal Data Protection Act | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1363 | BGRPD-003 | 保加利亚数据安全及加密措施不妥当 该数据库收集并处理保加利亚居民的个人文件，但未采用保加利亚个人数据保护法所规定的强制性技术加密或行政安全控制。 法律依据: Bulgarian Personal Data Protection Act | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1364 | BGRPD-004 | 保加利亚不合规的数据保留周期 该网站保留保加利亚用户的个人记录时间超出指定处理目的所需时间，且缺少符合保加利亚个人数据保护法的删除协议。 法律依据: Bulgarian Personal Data Protection Act | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1365 | BGRPD-005 | 不合规的保加利亚数据跨国传输 控制者在未确保同等保护水平或获得保加利亚个人数据保护法及个人数据保护委员会 (CPDP)所需授权的情况下，将保加利亚居民的数据传输到境外。 法律依据: Bulgarian Personal Data Protection Act | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1366 | HRVPD-001 | 克罗地亚在未获得书面同意的情况下处理敏感数据 根据克罗地亚关于执行通用数据保护条例的法案，该网站在未获得事先书面明确同意的情况下，收集克罗地亚主体的敏感个人记录（健康、财务状况）。 法律依据: Croatian Act on the Implementation of the General Data Protection Regulation | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1367 | HRVPD-002 | 克罗地亚在控制者未向个人数据保护局 (AZOP)注册的情况下处理个人数据 该网站控制者在未向个人数据保护局 (AZOP)注册的情况下，收集克罗地亚居民的个人信息，违反了克罗地亚关于执行通用数据保护条例的法案。 法律依据: Croatian Act on the Implementation of the General Data Protection Regulation | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1368 | HRVPD-003 | 克罗地亚数据安全及加密措施不妥当 该数据库收集并处理克罗地亚居民的个人文件，但未采用克罗地亚关于执行通用数据保护条例的法案所规定的强制性技术加密或行政安全控制。 法律依据: Croatian Act on the Implementation of the General Data Protection Regulation | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1369 | HRVPD-004 | 克罗地亚不合规的数据保留周期 该网站保留克罗地亚用户的个人记录时间超出指定处理目的所需时间，且缺少符合克罗地亚关于执行通用数据保护条例的法案的删除协议。 法律依据: Croatian Act on the Implementation of the General Data Protection Regulation | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1370 | HRVPD-005 | 不合规的克罗地亚数据跨国传输 控制者在未确保同等保护水平或获得克罗地亚关于执行通用数据保护条例的法案及个人数据保护局 (AZOP)所需授权的情况下，将克罗地亚居民的数据传输到境外。 法律依据: Croatian Act on the Implementation of the General Data Protection Regulation | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1371 | ESTPD-001 | 爱沙尼亚在未获得书面同意的情况下处理敏感数据 根据爱沙尼亚个人数据保护法 (IKS)，该网站在未获得事先书面明确同意的情况下，收集爱沙尼亚主体的敏感个人记录（健康、财务状况）。 法律依据: Estonian Personal Data Protection Act (Isikuandmete kaitse seadus) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1372 | ESTPD-002 | 爱沙尼亚在控制者未向数据保护局 (AKI)注册的情况下处理个人数据 该网站控制者在未向数据保护局 (AKI)注册的情况下，收集爱沙尼亚居民的个人信息，违反了爱沙尼亚个人数据保护法 (IKS)。 法律依据: Estonian Personal Data Protection Act (Isikuandmete kaitse seadus) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1373 | ESTPD-003 | 爱沙尼亚数据安全及加密措施不妥当 该数据库收集并处理爱沙尼亚居民的个人文件，但未采用爱沙尼亚个人数据保护法 (IKS)所规定的强制性技术加密或行政安全控制。 法律依据: Estonian Personal Data Protection Act (Isikuandmete kaitse seadus) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1374 | ESTPD-004 | 爱沙尼亚不合规的数据保留周期 该网站保留爱沙尼亚用户的个人记录时间超出指定处理目的所需时间，且缺少符合爱沙尼亚个人数据保护法 (IKS)的删除协议。 法律依据: Estonian Personal Data Protection Act (Isikuandmete kaitse seadus) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1375 | ESTPD-005 | 不合规的爱沙尼亚数据跨国传输 控制者在未确保同等保护水平或获得爱沙尼亚个人数据保护法 (IKS)及数据保护局 (AKI)所需授权的情况下，将爱沙尼亚居民的数据传输到境外。 法律依据: Estonian Personal Data Protection Act (Isikuandmete kaitse seadus) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1376 | LVAPD-001 | 拉脱维亚在未获得书面同意的情况下处理敏感数据 根据拉脱维亚个人数据处理法，该网站在未获得事先书面明确同意的情况下，收集拉脱维亚主体的敏感个人记录（健康、财务状况）。 法律依据: Latvian Personal Data Processing Law | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1377 | LVAPD-002 | 拉脱维亚在控制者未向国家数据督察局 (DVI)注册的情况下处理个人数据 该网站控制者在未向国家数据督察局 (DVI)注册的情况下，收集拉脱维亚居民的个人信息，违反了拉脱维亚个人数据处理法。 法律依据: Latvian Personal Data Processing Law | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1378 | LVAPD-003 | 拉脱维亚数据安全及加密措施不妥当 该数据库收集并处理拉脱维亚居民的个人文件，但未采用拉脱维亚个人数据处理法所规定的强制性技术加密或行政安全控制。 法律依据: Latvian Personal Data Processing Law | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1379 | LVAPD-004 | 拉脱维亚不合规的数据保留周期 该网站保留拉脱维亚用户的个人记录时间超出指定处理目的所需时间，且缺少符合拉脱维亚个人数据处理法的删除协议。 法律依据: Latvian Personal Data Processing Law | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1380 | LVAPD-005 | 不合规的拉脱维亚数据跨国传输 控制者在未确保同等保护水平或获得拉脱维亚个人数据处理法及国家数据督察局 (DVI)所需授权的情况下，将拉脱维亚居民的数据传输到境外。 法律依据: Latvian Personal Data Processing Law | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1381 | LTUPD-001 | 立陶宛在未获得书面同意的情况下处理敏感数据 根据立陶宛个人数据法律保护法，该网站在未获得事先书面明确同意的情况下，收集立陶宛主体的敏感个人记录（健康、财务状况）。 法律依据: Lithuanian Law on Legal Protection of Personal Data | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1382 | LTUPD-002 | 立陶宛在控制者未向国家数据保护督察局 (VDAI)注册的情况下处理个人数据 该网站控制者在未向国家数据保护督察局 (VDAI)注册的情况下，收集立陶宛居民的个人信息，违反了立陶宛个人数据法律保护法。 法律依据: Lithuanian Law on Legal Protection of Personal Data | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1383 | LTUPD-003 | 立陶宛数据安全及加密措施不妥当 该数据库收集并处理立陶宛居民的个人文件，但未采用立陶宛个人数据法律保护法所规定的强制性技术加密或行政安全控制。 法律依据: Lithuanian Law on Legal Protection of Personal Data | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1384 | LTUPD-004 | 立陶宛不合规的数据保留周期 该网站保留立陶宛用户的个人记录时间超出指定处理目的所需时间，且缺少符合立陶宛个人数据法律保护法的删除协议。 法律依据: Lithuanian Law on Legal Protection of Personal Data | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1385 | LTUPD-005 | 不合规的立陶宛数据跨国传输 控制者在未确保同等保护水平或获得立陶宛个人数据法律保护法及国家数据保护督察局 (VDAI)所需授权的情况下，将立陶宛居民的数据传输到境外。 法律依据: Lithuanian Law on Legal Protection of Personal Data | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1386 | CYPPD-001 | 塞浦路斯在未获得书面同意的情况下处理敏感数据 根据塞浦路斯个人数据处理个人保护法，该网站在未获得事先书面明确同意的情况下，收集塞浦路斯主体的敏感个人记录（健康、财务状况）。 法律依据: Cyprus Protection of Natural Persons with regard to the Processing of Personal Data Law | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1387 | CYPPD-002 | 塞浦路斯在控制者未向个人数据保护专员注册的情况下处理个人数据 该网站控制者在未向个人数据保护专员注册的情况下，收集塞浦路斯居民的个人信息，违反了塞浦路斯个人数据处理个人保护法。 法律依据: Cyprus Protection of Natural Persons with regard to the Processing of Personal Data Law | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1388 | CYPPD-003 | 塞浦路斯数据安全及加密措施不妥当 该数据库收集并处理塞浦路斯居民的个人文件，但未采用塞浦路斯个人数据处理个人保护法所规定的强制性技术加密或行政安全控制。 法律依据: Cyprus Protection of Natural Persons with regard to the Processing of Personal Data Law | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1389 | CYPPD-004 | 塞浦路斯不合规的数据保留周期 该网站保留塞浦路斯用户的个人记录时间超出指定处理目的所需时间，且缺少符合塞浦路斯个人数据处理个人保护法的删除协议。 法律依据: Cyprus Protection of Natural Persons with regard to the Processing of Personal Data Law | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1390 | CYPPD-005 | 不合规的塞浦路斯数据跨国传输 控制者在未确保同等保护水平或获得塞浦路斯个人数据处理个人保护法及个人数据保护专员所需授权的情况下，将塞浦路斯居民的数据传输到境外。 法律依据: Cyprus Protection of Natural Persons with regard to the Processing of Personal Data Law | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1391 | MLTPD-001 | 马耳他在未获得书面同意的情况下处理敏感数据 根据马耳他数据保护法 (第 586 章)，该网站在未获得事先书面明确同意的情况下，收集马耳他主体的敏感个人记录（健康、财务状况）。 法律依据: Malta Data Protection Act (Cap. 586) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1392 | MLTPD-002 | 马耳他在控制者未向信息与数据保护专员办公室 (IDPC)注册的情况下处理个人数据 该网站控制者在未向信息与数据保护专员办公室 (IDPC)注册的情况下，收集马耳他居民的个人信息，违反了马耳他数据保护法 (第 586 章)。 法律依据: Malta Data Protection Act (Cap. 586) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1393 | MLTPD-003 | 马耳他数据安全及加密措施不妥当 该数据库收集并处理马耳他居民的个人文件，但未采用马耳他数据保护法 (第 586 章)所规定的强制性技术加密或行政安全控制。 法律依据: Malta Data Protection Act (Cap. 586) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1394 | MLTPD-004 | 马耳他不合规的数据保留周期 该网站保留马耳他用户的个人记录时间超出指定处理目的所需时间，且缺少符合马耳他数据保护法 (第 586 章)的删除协议。 法律依据: Malta Data Protection Act (Cap. 586) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1395 | MLTPD-005 | 不合规的马耳他数据跨国传输 控制者在未确保同等保护水平或获得马耳他数据保护法 (第 586 章)及信息与数据保护专员办公室 (IDPC)所需授权的情况下，将马耳他居民的数据传输到境外。 法律依据: Malta Data Protection Act (Cap. 586) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1396 | SVKPD-001 | 斯洛伐克在未获得书面同意的情况下处理敏感数据 根据斯洛伐克第 18/2018 Coll. 号个人数据保护法，该网站在未获得事先书面明确同意的情况下，收集斯洛伐克主体的敏感个人记录（健康、财务状况）。 法律依据: Slovak Act No. 18/2018 Coll. on Personal Data Protection | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1397 | SVKPD-002 | 斯洛伐克在控制者未向个人数据保护局注册的情况下处理个人数据 该网站控制者在未向个人数据保护局注册的情况下，收集斯洛伐克居民的个人信息，违反了斯洛伐克第 18/2018 Coll. 号个人数据保护法。 法律依据: Slovak Act No. 18/2018 Coll. on Personal Data Protection | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1398 | SVKPD-003 | 斯洛伐克数据安全及加密措施不妥当 该数据库收集并处理斯洛伐克居民的个人文件，但未采用斯洛伐克第 18/2018 Coll. 号个人数据保护法所规定的强制性技术加密或行政安全控制。 法律依据: Slovak Act No. 18/2018 Coll. on Personal Data Protection | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1399 | SVKPD-004 | 斯洛伐克不合规的数据保留周期 该网站保留斯洛伐克用户的个人记录时间超出指定处理目的所需时间，且缺少符合斯洛伐克第 18/2018 Coll. 号个人数据保护法的删除协议。 法律依据: Slovak Act No. 18/2018 Coll. on Personal Data Protection | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1400 | SVKPD-005 | 不合规的斯洛伐克数据跨国传输 控制者在未确保同等保护水平或获得斯洛伐克第 18/2018 Coll. 号个人数据保护法及个人数据保护局所需授权的情况下，将斯洛伐克居民的数据传输到境外。 法律依据: Slovak Act No. 18/2018 Coll. on Personal Data Protection | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1401 | SVNPD-001 | 斯洛文尼亚在未获得书面同意的情况下处理敏感数据 根据斯洛文尼亚个人数据保护法 (ZVOP-2)，该网站在未获得事先书面明确同意的情况下，收集斯洛文尼亚主体的敏感个人记录（健康、财务状况）。 法律依据: Slovenian Personal Data Protection Act (ZVOP-2) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1402 | SVNPD-002 | 斯洛文尼亚在控制者未向信息专员注册的情况下处理个人数据 该网站控制者在未向信息专员注册的情况下，收集斯洛文尼亚居民的个人信息，违反了斯洛文尼亚个人数据保护法 (ZVOP-2)。 法律依据: Slovenian Personal Data Protection Act (ZVOP-2) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1403 | SVNPD-003 | 斯洛文尼亚数据安全及加密措施不妥当 该数据库收集并处理斯洛文尼亚居民的个人文件，但未采用斯洛文尼亚个人数据保护法 (ZVOP-2)所规定的强制性技术加密或行政安全控制。 法律依据: Slovenian Personal Data Protection Act (ZVOP-2) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1404 | SVNPD-004 | 斯洛文尼亚不合规的数据保留周期 该网站保留斯洛文尼亚用户的个人记录时间超出指定处理目的所需时间，且缺少符合斯洛文尼亚个人数据保护法 (ZVOP-2)的删除协议。 法律依据: Slovenian Personal Data Protection Act (ZVOP-2) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1405 | SVNPD-005 | 不合规的斯洛文尼亚数据跨国传输 控制者在未确保同等保护水平或获得斯洛文尼亚个人数据保护法 (ZVOP-2)及信息专员所需授权的情况下，将斯洛文尼亚居民的数据传输到境外。 法律依据: Slovenian Personal Data Protection Act (ZVOP-2) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1406 | LUXPD-001 | 卢森堡在未获得书面同意的情况下处理敏感数据 根据卢森堡个人数据保护法，该网站在未获得事先书面明确同意的情况下，收集卢森堡主体的敏感个人记录（健康、财务状况）。 法律依据: Luxembourg Act of 1 August 2018 on the organization of the National Commission for Data Protection | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1407 | LUXPD-002 | 卢森堡在控制者未向国家数据保护委员会 (CNPD)注册的情况下处理个人数据 该网站控制者在未向国家数据保护委员会 (CNPD)注册的情况下，收集卢森堡居民的个人信息，违反了卢森堡个人数据保护法。 法律依据: Luxembourg Act of 1 August 2018 on the organization of the National Commission for Data Protection | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1408 | LUXPD-003 | 卢森堡数据安全及加密措施不妥当 该数据库收集并处理卢森堡居民的个人文件，但未采用卢森堡个人数据保护法所规定的强制性技术加密或行政安全控制。 法律依据: Luxembourg Act of 1 August 2018 on the organization of the National Commission for Data Protection | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1409 | LUXPD-004 | 卢森堡不合规的数据保留周期 该网站保留卢森堡用户的个人记录时间超出指定处理目的所需时间，且缺少符合卢森堡个人数据保护法的删除协议。 法律依据: Luxembourg Act of 1 August 2018 on the organization of the National Commission for Data Protection | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1410 | LUXPD-005 | 不合规的卢森堡数据跨国传输 控制者在未确保同等保护水平或获得卢森堡个人数据保护法及国家数据保护委员会 (CNPD)所需授权的情况下，将卢森堡居民的数据传输到境外。 法律依据: Luxembourg Act of 1 August 2018 on the organization of the National Commission for Data Protection | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1411 | CZEPD-001 | 捷克共和国在未获得书面同意的情况下处理敏感数据 根据捷克第 110/2019 Coll. 号个人数据处理法，该网站在未获得事先书面明确同意的情况下，收集捷克共和国主体的敏感个人记录（健康、财务状况）。 法律依据: Czech Act No. 110/2019 Coll. on Personal Data Processing | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1412 | CZEPD-002 | 捷克共和国在控制者未向个人数据保护局 (UOOU)注册的情况下处理个人数据 该网站控制者在未向个人数据保护局 (UOOU)注册的情况下，收集捷克共和国居民的个人信息，违反了捷克第 110/2019 Coll. 号个人数据处理法。 法律依据: Czech Act No. 110/2019 Coll. on Personal Data Processing | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1413 | CZEPD-003 | 捷克共和国数据安全及加密措施不妥当 该数据库收集并处理捷克共和国居民的个人文件，但未采用捷克第 110/2019 Coll. 号个人数据处理法所规定的强制性技术加密或行政安全控制。 法律依据: Czech Act No. 110/2019 Coll. on Personal Data Processing | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1414 | CZEPD-004 | 捷克共和国不合规的数据保留周期 该网站保留捷克共和国用户的个人记录时间超出指定处理目的所需时间，且缺少符合捷克第 110/2019 Coll. 号个人数据处理法的删除协议。 法律依据: Czech Act No. 110/2019 Coll. on Personal Data Processing | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1415 | CZEPD-005 | 不合规的捷克共和国数据跨国传输 控制者在未确保同等保护水平或获得捷克第 110/2019 Coll. 号个人数据处理法及个人数据保护局 (UOOU)所需授权的情况下，将捷克共和国居民的数据传输到境外。 法律依据: Czech Act No. 110/2019 Coll. on Personal Data Processing | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1416 | HUNPD-001 | 匈牙利在未获得书面同意的情况下处理敏感数据 根据匈牙利2011年第 CXII 号信息自决与信息自由法，该网站在未获得事先书面明确同意的情况下，收集匈牙利主体的敏感个人记录（健康、财务状况）。 法律依据: Hungarian Act CXII of 2011 on Informational Self-Determination and Freedom of Information | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1417 | HUNPD-002 | 匈牙利在控制者未向国家数据保护与信息自由局 (NAIH)注册的情况下处理个人数据 该网站控制者在未向国家数据保护与信息自由局 (NAIH)注册的情况下，收集匈牙利居民的个人信息，违反了匈牙利2011年第 CXII 号信息自决与信息自由法。 法律依据: Hungarian Act CXII of 2011 on Informational Self-Determination and Freedom of Information | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1418 | HUNPD-003 | 匈牙利数据安全及加密措施不妥当 该数据库收集并处理匈牙利居民的个人文件，但未采用匈牙利2011年第 CXII 号信息自决与信息自由法所规定的强制性技术加密或行政安全控制。 法律依据: Hungarian Act CXII of 2011 on Informational Self-Determination and Freedom of Information | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1419 | HUNPD-004 | 匈牙利不合规的数据保留周期 该网站保留匈牙利用户的个人记录时间超出指定处理目的所需时间，且缺少符合匈牙利2011年第 CXII 号信息自决与信息自由法的删除协议。 法律依据: Hungarian Act CXII of 2011 on Informational Self-Determination and Freedom of Information | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1420 | HUNPD-005 | 不合规的匈牙利数据跨国传输 控制者在未确保同等保护水平或获得匈牙利2011年第 CXII 号信息自决与信息自由法及国家数据保护与信息自由局 (NAIH)所需授权的情况下，将匈牙利居民的数据传输到境外。 法律依据: Hungarian Act CXII of 2011 on Informational Self-Determination and Freedom of Information | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1421 | ROUPD-001 | 罗马尼亚在未获得书面同意的情况下处理敏感数据 根据罗马尼亚关于执行 GDPR 措施的的第 190/2018 号法律，该网站在未获得事先书面明确同意的情况下，收集罗马尼亚主体的敏感个人记录（健康、财务状况）。 法律依据: Romanian Law No. 190/2018 on implementation measures of GDPR | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1422 | ROUPD-002 | 罗马尼亚在控制者未向国家个人数据处理监督管理局 (ANSPDCP)注册的情况下处理个人数据 该网站控制者在未向国家个人数据处理监督管理局 (ANSPDCP)注册的情况下，收集罗马尼亚居民的个人信息，违反了罗马尼亚关于执行 GDPR 措施的的第 190/2018 号法律。 法律依据: Romanian Law No. 190/2018 on implementation measures of GDPR | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1423 | ROUPD-003 | 罗马尼亚数据安全及加密措施不妥当 该数据库收集并处理罗马尼亚居民的个人文件，但未采用罗马尼亚关于执行 GDPR 措施的的第 190/2018 号法律所规定的强制性技术加密或行政安全控制。 法律依据: Romanian Law No. 190/2018 on implementation measures of GDPR | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1424 | ROUPD-004 | 罗马尼亚不合规的数据保留周期 该网站保留罗马尼亚用户的个人记录时间超出指定处理目的所需时间，且缺少符合罗马尼亚关于执行 GDPR 措施的的第 190/2018 号法律的删除协议。 法律依据: Romanian Law No. 190/2018 on implementation measures of GDPR | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1425 | ROUPD-005 | 不合规的罗马尼亚数据跨国传输 控制者在未确保同等保护水平或获得罗马尼亚关于执行 GDPR 措施的的第 190/2018 号法律及国家个人数据处理监督管理局 (ANSPDCP)所需授权的情况下，将罗马尼亚居民的数据传输到境外。 法律依据: Romanian Law No. 190/2018 on implementation measures of GDPR | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1426 | POLPD-001 | 波兰在未获得书面同意的情况下处理敏感数据 根据波兰个人数据保护法，该网站在未获得事先书面明确同意的情况下，收集波兰主体的敏感个人记录（健康、财务状况）。 法律依据: Polish Act of 10 May 2018 on the Protection of Personal Data | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1427 | POLPD-002 | 波兰在控制者未向个人数据保护局 (UODO)注册的情况下处理个人数据 该网站控制者在未向个人数据保护局 (UODO)注册的情况下，收集波兰居民的个人信息，违反了波兰个人数据保护法。 法律依据: Polish Act of 10 May 2018 on the Protection of Personal Data | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1428 | POLPD-003 | 波兰数据安全及加密措施不妥当 该数据库收集并处理波兰居民的个人文件，但未采用波兰个人数据保护法所规定的强制性技术加密或行政安全控制。 法律依据: Polish Act of 10 May 2018 on the Protection of Personal Data | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1429 | POLPD-004 | 波兰不合规的数据保留周期 该网站保留波兰用户的个人记录时间超出指定处理目的所需时间，且缺少符合波兰个人数据保护法的删除协议。 法律依据: Polish Act of 10 May 2018 on the Protection of Personal Data | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1430 | POLPD-005 | 不合规的波兰数据跨国传输 控制者在未确保同等保护水平或获得波兰个人数据保护法及个人数据保护局 (UODO)所需授权的情况下，将波兰居民的数据传输到境外。 法律依据: Polish Act of 10 May 2018 on the Protection of Personal Data | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1431 | IRLPD-001 | 爱尔兰在未获得书面同意的情况下处理敏感数据 根据爱尔兰2018年数据保护法，该网站在未获得事先书面明确同意的情况下，收集爱尔兰主体的敏感个人记录（健康、财务状况）。 法律依据: Irish Data Protection Act 2018 UK Data Protection Act 2018 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1432 | IRLPD-002 | 爱尔兰在控制者未向数据保护委员会 (DPC)注册的情况下处理个人数据 该网站控制者在未向数据保护委员会 (DPC)注册的情况下，收集爱尔兰居民的个人信息，违反了爱尔兰2018年数据保护法。 法律依据: Irish Data Protection Act 2018 UK Data Protection Act 2018 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1433 | IRLPD-003 | 爱尔兰数据安全及加密措施不妥当 该数据库收集并处理爱尔兰居民的个人文件，但未采用爱尔兰2018年数据保护法所规定的强制性技术加密或行政安全控制。 法律依据: Irish Data Protection Act 2018 UK Data Protection Act 2018 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1434 | IRLPD-004 | 爱尔兰不合规的数据保留周期 该网站保留爱尔兰用户的个人记录时间超出指定处理目的所需时间，且缺少符合爱尔兰2018年数据保护法的删除协议。 法律依据: Irish Data Protection Act 2018 UK Data Protection Act 2018 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1435 | IRLPD-005 | 不合规的爱尔兰数据跨国传输 控制者在未确保同等保护水平或获得爱尔兰2018年数据保护法及数据保护委员会 (DPC)所需授权的情况下，将爱尔兰居民的数据传输到境外。 法律依据: Irish Data Protection Act 2018 UK Data Protection Act 2018 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1436 | AUTPD-001 | 奥地利在未获得书面同意的情况下处理敏感数据 根据奥地利联邦个人数据保护法 (DSG)，该网站在未获得事先书面明确同意的情况下，收集奥地利主体的敏感个人记录（健康、财务状况）。 法律依据: Austrian Federal Act on the Protection of Personal Data (Datenschutzgesetz - DSG) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1437 | AUTPD-002 | 奥地利在控制者未向数据保护局 (DSB)注册的情况下处理个人数据 该网站控制者在未向数据保护局 (DSB)注册的情况下，收集奥地利居民的个人信息，违反了奥地利联邦个人数据保护法 (DSG)。 法律依据: Austrian Federal Act on the Protection of Personal Data (Datenschutzgesetz - DSG) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1438 | AUTPD-003 | 奥地利数据安全及加密措施不妥当 该数据库收集并处理奥地利居民的个人文件，但未采用奥地利联邦个人数据保护法 (DSG)所规定的强制性技术加密或行政安全控制。 法律依据: Austrian Federal Act on the Protection of Personal Data (Datenschutzgesetz - DSG) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1439 | AUTPD-004 | 奥地利不合规的数据保留周期 该网站保留奥地利用户的个人记录时间超出指定处理目的所需时间，且缺少符合奥地利联邦个人数据保护法 (DSG)的删除协议。 法律依据: Austrian Federal Act on the Protection of Personal Data (Datenschutzgesetz - DSG) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1440 | AUTPD-005 | 不合规的奥地利数据跨国传输 控制者在未确保同等保护水平或获得奥地利联邦个人数据保护法 (DSG)及数据保护局 (DSB)所需授权的情况下，将奥地利居民的数据传输到境外。 法律依据: Austrian Federal Act on the Protection of Personal Data (Datenschutzgesetz - DSG) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1441 | SWEPD-001 | 瑞典在未获得书面同意的情况下处理敏感数据 根据瑞典个人数据保护法，该网站在未获得事先书面明确同意的情况下，收集瑞典主体的敏感个人记录（健康、财务状况）。 法律依据: Swedish Data Protection Act (Lag med kompletterande bestämmelser till EU:s dataskyddsförordning) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1442 | SWEPD-002 | 瑞典在控制者未向隐私保护局 (IMY)注册的情况下处理个人数据 该网站控制者在未向隐私保护局 (IMY)注册的情况下，收集瑞典居民的个人信息，违反了瑞典个人数据保护法。 法律依据: Swedish Data Protection Act (Lag med kompletterande bestämmelser till EU:s dataskyddsförordning) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1443 | SWEPD-003 | 瑞典数据安全及加密措施不妥当 该数据库收集并处理瑞典居民的个人文件，但未采用瑞典个人数据保护法所规定的强制性技术加密或行政安全控制。 法律依据: Swedish Data Protection Act (Lag med kompletterande bestämmelser till EU:s dataskyddsförordning) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1444 | SWEPD-004 | 瑞典不合规的数据保留周期 该网站保留瑞典用户的个人记录时间超出指定处理目的所需时间，且缺少符合瑞典个人数据保护法的删除协议。 法律依据: Swedish Data Protection Act (Lag med kompletterande bestämmelser till EU:s dataskyddsförordning) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1445 | SWEPD-005 | 不合规的瑞典数据跨国传输 控制者在未确保同等保护水平或获得瑞典个人数据保护法及隐私保护局 (IMY)所需授权的情况下，将瑞典居民的数据传输到境外。 法律依据: Swedish Data Protection Act (Lag med kompletterande bestämmelser till EU:s dataskyddsförordning) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1446 | FLNPD-001 | 芬兰在未获得书面同意的情况下处理敏感数据 根据芬兰数据保护法 (1050/2018)，该网站在未获得事先书面明确同意的情况下，收集芬兰主体的敏感个人记录（健康、财务状况）。 法律依据: Finnish Data Protection Act (Tietosuojalaki 1050/2018) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1447 | FLNPD-002 | 芬兰在控制者未向数据保护专员办公室注册的情况下处理个人数据 该网站控制者在未向数据保护专员办公室注册的情况下，收集芬兰居民的个人信息，违反了芬兰数据保护法 (1050/2018)。 法律依据: Finnish Data Protection Act (Tietosuojalaki 1050/2018) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1448 | FLNPD-003 | 芬兰数据安全及加密措施不妥当 该数据库收集并处理芬兰居民的个人文件，但未采用芬兰数据保护法 (1050/2018)所规定的强制性技术加密或行政安全控制。 法律依据: Finnish Data Protection Act (Tietosuojalaki 1050/2018) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1449 | FLNPD-004 | 芬兰不合规的数据保留周期 该网站保留芬兰用户的个人记录时间超出指定处理目的所需时间，且缺少符合芬兰数据保护法 (1050/2018)的删除协议。 法律依据: Finnish Data Protection Act (Tietosuojalaki 1050/2018) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1450 | FLNPD-005 | 不合规的芬兰数据跨国传输 控制者在未确保同等保护水平或获得芬兰数据保护法 (1050/2018)及数据保护专员办公室所需授权的情况下，将芬兰居民的数据传输到境外。 法律依据: Finnish Data Protection Act (Tietosuojalaki 1050/2018) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1451 | DNKPD-001 | 丹麦在未获得书面同意的情况下处理敏感数据 根据丹麦数据保护法，该网站在未获得事先书面明确同意的情况下，收集丹麦主体的敏感个人记录（健康、财务状况）。 法律依据: Danish Data Protection Act (Databeskyttelsesloven) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1452 | DNKPD-002 | 丹麦在控制者未向数据监察局 (Datatilsynet)注册的情况下处理个人数据 该网站控制者在未向数据监察局 (Datatilsynet)注册的情况下，收集丹麦居民的个人信息，违反了丹麦数据保护法。 法律依据: Danish Data Protection Act (Databeskyttelsesloven) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1453 | DNKPD-003 | 丹麦数据安全及加密措施不妥当 该数据库收集并处理丹麦居民的个人文件，但未采用丹麦数据保护法所规定的强制性技术加密或行政安全控制。 法律依据: Danish Data Protection Act (Databeskyttelsesloven) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1454 | DNKPD-004 | 丹麦不合规的数据保留周期 该网站保留丹麦用户的个人记录时间超出指定处理目的所需时间，且缺少符合丹麦数据保护法的删除协议。 法律依据: Danish Data Protection Act (Databeskyttelsesloven) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1455 | DNKPD-005 | 不合规的丹麦数据跨国传输 控制者在未确保同等保护水平或获得丹麦数据保护法及数据监察局 (Datatilsynet)所需授权的情况下，将丹麦居民的数据传输到境外。 法律依据: Danish Data Protection Act (Databeskyttelsesloven) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1456 | BELPD-001 | 比利时在未获得书面同意的情况下处理敏感数据 根据比利时个人数据保护法，该网站在未获得事先书面明确同意的情况下，收集比利时主体的敏感个人记录（健康、财务状况）。 法律依据: Belgian Act of 30 July 2018 on the protection of natural persons with regard to the processing of personal data | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1457 | BELPD-002 | 比利时在控制者未向数据保护局 (APD-GBA)注册的情况下处理个人数据 该网站控制者在未向数据保护局 (APD-GBA)注册的情况下，收集比利时居民的个人信息，违反了比利时个人数据保护法。 法律依据: Belgian Act of 30 July 2018 on the protection of natural persons with regard to the processing of personal data | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1458 | BELPD-003 | 比利时数据安全及加密措施不妥当 该数据库收集并处理比利时居民的个人文件，但未采用比利时个人数据保护法所规定的强制性技术加密或行政安全控制。 法律依据: Belgian Act of 30 July 2018 on the protection of natural persons with regard to the processing of personal data | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1459 | BELPD-004 | 比利时不合规的数据保留周期 该网站保留比利时用户的个人记录时间超出指定处理目的所需时间，且缺少符合比利时个人数据保护法的删除协议。 法律依据: Belgian Act of 30 July 2018 on the protection of natural persons with regard to the processing of personal data | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1460 | BELPD-005 | 不合规的比利时数据跨国传输 控制者在未确保同等保护水平或获得比利时个人数据保护法及数据保护局 (APD-GBA)所需授权的情况下，将比利时居民的数据传输到境外。 法律依据: Belgian Act of 30 July 2018 on the protection of natural persons with regard to the processing of personal data | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1461 | GRCPD-001 | 希腊在未获得书面同意的情况下处理敏感数据 根据希腊关于执行 GDPR 措施的第 4624/2019 号法律，该网站在未获得事先书面明确同意的情况下，收集希腊主体的敏感个人记录（健康、财务状况）。 法律依据: Greek Law No. 4624/2019 on Personal Data Protection Measures | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1462 | GRCPD-002 | 希腊在控制者未向希腊个人数据保护局 (HDPA)注册的情况下处理个人数据 该网站控制者在未向希腊个人数据保护局 (HDPA)注册的情况下，收集希腊居民的个人信息，违反了希腊关于执行 GDPR 措施的第 4624/2019 号法律。 法律依据: Greek Law No. 4624/2019 on Personal Data Protection Measures | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1463 | GRCPD-003 | 希腊数据安全及加密措施不妥当 该数据库收集并处理希腊居民的个人文件，但未采用希腊关于执行 GDPR 措施的第 4624/2019 号法律所规定的强制性技术加密或行政安全控制。 法律依据: Greek Law No. 4624/2019 on Personal Data Protection Measures | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1464 | GRCPD-004 | 希腊不合规的数据保留周期 该网站保留希腊用户的个人记录时间超出指定处理目的所需时间，且缺少符合希腊关于执行 GDPR 措施的第 4624/2019 号法律的删除协议。 法律依据: Greek Law No. 4624/2019 on Personal Data Protection Measures | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1465 | GRCPD-005 | 不合规的希腊数据跨国传输 控制者在未确保同等保护水平或获得希腊关于执行 GDPR 措施的第 4624/2019 号法律及希腊个人数据保护局 (HDPA)所需授权的情况下，将希腊居民的数据传输到境外。 法律依据: Greek Law No. 4624/2019 on Personal Data Protection Measures | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1466 | PRTPD-001 | 葡萄牙在未获得书面同意的情况下处理敏感数据 根据葡萄牙关于执行 GDPR 规则的第 58/2019 号法律，该网站在未获得事先书面明确同意的情况下，收集葡萄牙主体的敏感个人记录（健康、财务状况）。 法律依据: Portuguese Law No. 58/2019 on execution rules of GDPR | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1467 | PRTPD-002 | 葡萄牙在控制者未向国家数据保护委员会 (CNPD)注册的情况下处理个人数据 该网站控制者在未向国家数据保护委员会 (CNPD)注册的情况下，收集葡萄牙居民的个人信息，违反了葡萄牙关于执行 GDPR 规则的第 58/2019 号法律。 法律依据: Portuguese Law No. 58/2019 on execution rules of GDPR | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1468 | PRTPD-003 | 葡萄牙数据安全及加密措施不妥当 该数据库收集并处理葡萄牙居民的个人文件，但未采用葡萄牙关于执行 GDPR 规则的第 58/2019 号法律所规定的强制性技术加密或行政安全控制。 法律依据: Portuguese Law No. 58/2019 on execution rules of GDPR | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1469 | PRTPD-004 | 葡萄牙不合规的数据保留周期 该网站保留葡萄牙用户的个人记录时间超出指定处理目的所需时间，且缺少符合葡萄牙关于执行 GDPR 规则的第 58/2019 号法律的删除协议。 法律依据: Portuguese Law No. 58/2019 on execution rules of GDPR | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1470 | PRTPD-005 | 不合规的葡萄牙数据跨国传输 控制者在未确保同等保护水平或获得葡萄牙关于执行 GDPR 规则的第 58/2019 号法律及国家数据保护委员会 (CNPD)所需授权的情况下，将葡萄牙居民的数据传输到境外。 法律依据: Portuguese Law No. 58/2019 on execution rules of GDPR | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1471 | GRLPD-001 | 格陵兰在未获得书面同意的情况下处理敏感数据 根据格陵兰个人数据处理法案，该网站在未获得事先书面明确同意的情况下，收集格陵兰主体的敏感个人记录（健康、财务状况）。 法律依据: Greenlandic Act on Processing of Personal Data (Persondataloven for Grønland) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1472 | GRLPD-002 | 格陵兰在控制者未向数据监察局 (Datatilsynet)注册的情况下处理个人数据 该网站控制者在未向数据监察局 (Datatilsynet)注册的情况下，收集格陵兰居民的个人信息，违反了格陵兰个人数据处理法案。 法律依据: Greenlandic Act on Processing of Personal Data (Persondataloven for Grønland) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1473 | GRLPD-003 | 格陵兰数据安全及加密措施不妥当 该数据库收集并处理格陵兰居民的个人文件，但未采用格陵兰个人数据处理法案所规定的强制性技术加密或行政安全控制。 法律依据: Greenlandic Act on Processing of Personal Data (Persondataloven for Grønland) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1474 | GRLPD-004 | 格陵兰不合规的数据保留周期 该网站保留格陵兰用户的个人记录时间超出指定处理目的所需时间，且缺少符合格陵兰个人数据处理法案的删除协议。 法律依据: Greenlandic Act on Processing of Personal Data (Persondataloven for Grønland) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1475 | GRLPD-005 | 不合规的格陵兰数据跨国传输 控制者在未确保同等保护水平或获得格陵兰个人数据处理法案及数据监察局 (Datatilsynet)所需授权的情况下，将格陵兰居民的数据传输到境外。 法律依据: Greenlandic Act on Processing of Personal Data (Persondataloven for Grønland) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1476 | FLKPD-001 | 福克兰群岛在未获得书面同意的情况下处理敏感数据 根据福克兰群岛2018年数据保护条例，该网站在未获得事先书面明确同意的情况下，收集福克兰群岛主体的敏感个人记录（健康、财务状况）。 法律依据: Falkland Islands Data Protection Ordinance 2018 | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1477 | FLKPD-002 | 福克兰群岛在控制者未向数据保护专员注册的情况下处理个人数据 该网站控制者在未向数据保护专员注册的情况下，收集福克兰群岛居民的个人信息，违反了福克兰群岛2018年数据保护条例。 法律依据: Falkland Islands Data Protection Ordinance 2018 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1478 | FLKPD-003 | 福克兰群岛数据安全及加密措施不妥当 该数据库收集并处理福克兰群岛居民的个人文件，但未采用福克兰群岛2018年数据保护条例所规定的强制性技术加密或行政安全控制。 法律依据: Falkland Islands Data Protection Ordinance 2018 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1479 | FLKPD-004 | 福克兰群岛不合规的数据保留周期 该网站保留福克兰群岛用户的个人记录时间超出指定处理目的所需时间，且缺少符合福克兰群岛2018年数据保护条例的删除协议。 法律依据: Falkland Islands Data Protection Ordinance 2018 | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1480 | FLKPD-005 | 不合规的福克兰群岛数据跨国传输 控制者在未确保同等保护水平或获得福克兰群岛2018年数据保护条例及数据保护专员所需授权的情况下，将福克兰群岛居民的数据传输到境外。 法律依据: Falkland Islands Data Protection Ordinance 2018 | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1481 | PYFPD-001 | 法属波利尼西亚在未获得书面同意的情况下处理敏感数据 根据适用于法属波利尼西亚的法国数据保护法，该网站在未获得事先书面明确同意的情况下，收集法属波利尼西亚主体的敏感个人记录（健康、财务状况）。 法律依据: French Data Protection Act applicable in French Polynesia (Loi Informatique et Libertés) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1482 | PYFPD-002 | 法属波利尼西亚在控制者未向国家监察委员会 (CNIL)注册的情况下处理个人数据 该网站控制者在未向国家监察委员会 (CNIL)注册的情况下，收集法属波利尼西亚居民的个人信息，违反了适用于法属波利尼西亚的法国数据保护法。 法律依据: French Data Protection Act applicable in French Polynesia (Loi Informatique et Libertés) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1483 | PYFPD-003 | 法属波利尼西亚数据安全及加密措施不妥当 该数据库收集并处理法属波利尼西亚居民的个人文件，但未采用适用于法属波利尼西亚的法国数据保护法所规定的强制性技术加密或行政安全控制。 法律依据: French Data Protection Act applicable in French Polynesia (Loi Informatique et Libertés) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1484 | PYFPD-004 | 法属波利尼西亚不合规的数据保留周期 该网站保留法属波利尼西亚用户的个人记录时间超出指定处理目的所需时间，且缺少符合适用于法属波利尼西亚的法国数据保护法的删除协议。 法律依据: French Data Protection Act applicable in French Polynesia (Loi Informatique et Libertés) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1485 | PYFPD-005 | 不合规的法属波利尼西亚数据跨国传输 控制者在未确保同等保护水平或获得适用于法属波利尼西亚的法国数据保护法及国家监察委员会 (CNIL)所需授权的情况下，将法属波利尼西亚居民的数据传输到境外。 法律依据: French Data Protection Act applicable in French Polynesia (Loi Informatique et Libertés) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1486 | NCLPD-001 | 新 Caledonia在未获得书面同意的情况下处理敏感数据 根据适用于新喀里多尼亚的法国数据保护法，该网站在未获得事先书面明确同意的情况下，收集新 Caledonia主体的敏感个人记录（健康、财务状况）。 法律依据: French Data Protection Act applicable in New Caledonia (Loi Informatique et Libertés) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1487 | NCLPD-002 | 新 Caledonia在控制者未向国家监察委员会 (CNIL)注册的情况下处理个人数据 该网站控制者在未向国家监察委员会 (CNIL)注册的情况下，收集新 Caledonia居民的个人信息，违反了适用于新喀里多尼亚的法国数据保护法。 法律依据: French Data Protection Act applicable in New Caledonia (Loi Informatique et Libertés) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1488 | NCLPD-003 | 新 Caledonia数据安全及加密措施不妥当 该数据库收集并处理新 Caledonia居民的个人文件，但未采用适用于新喀里多尼亚的法国数据保护法所规定的强制性技术加密或行政安全控制。 法律依据: French Data Protection Act applicable in New Caledonia (Loi Informatique et Libertés) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1489 | NCLPD-004 | 新 Caledonia不合规的数据保留周期 该网站保留新 Caledonia用户的个人记录时间超出指定处理目的所需时间，且缺少符合适用于新喀里多尼亚的法国数据保护法的删除协议。 法律依据: French Data Protection Act applicable in New Caledonia (Loi Informatique et Libertés) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1490 | NCLPD-005 | 不合规的新 Caledonia数据跨国传输 控制者在未确保同等保护水平或获得适用于新喀里多尼亚的法国数据保护法及国家监察委员会 (CNIL)所需授权的情况下，将新 Caledonia居民的数据传输到境外。 法律依据: French Data Protection Act applicable in New Caledonia (Loi Informatique et Libertés) | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1491 | MSRPD-001 | 蒙特塞拉特在未获得书面同意的情况下处理敏感数据 根据蒙特塞拉特数据保护法草案 / 网络安全规则，该网站在未获得事先书面明确同意的情况下，收集蒙特塞拉特主体的敏感个人记录（健康、财务状况）。 法律依据: Montserrat draft Data Protection Act / cybersecurity rules | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1492 | MSRPD-002 | 蒙特塞拉特在控制者未向数据保护专员注册的情况下处理个人数据 该网站控制者在未向数据保护专员注册的情况下，收集蒙特塞拉特居民的个人信息，违反了蒙特塞拉特数据保护法草案 / 网络安全规则。 法律依据: Montserrat draft Data Protection Act / cybersecurity rules | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1493 | MSRPD-003 | 蒙特塞拉特数据安全及加密措施不妥当 该数据库收集并处理蒙特塞拉特居民的个人文件，但未采用蒙特塞拉特数据保护法草案 / 网络安全规则所规定的强制性技术加密或行政安全控制。 法律依据: Montserrat draft Data Protection Act / cybersecurity rules | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1494 | MSRPD-004 | 蒙特塞拉特不合规的数据保留周期 该网站保留蒙特塞拉特用户的个人记录时间超出指定处理目的所需时间，且缺少符合蒙特塞拉特数据保护法草案 / 网络安全规则的删除协议。 法律依据: Montserrat draft Data Protection Act / cybersecurity rules | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1495 | MSRPD-005 | 不合规的蒙特塞拉特数据跨国传输 控制者在未确保同等保护水平或获得蒙特塞拉特数据保护法草案 / 网络安全规则及数据保护专员所需授权的情况下，将蒙特塞拉特居民的数据传输到境外。 法律依据: Montserrat draft Data Protection Act / cybersecurity rules | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1496 | SHNPD-001 | 圣赫勒拿在未获得书面同意的情况下处理敏感数据 根据圣赫勒拿数据保护条例 / 隐私规则草案，该网站在未获得事先书面明确同意的情况下，收集圣赫勒拿主体的敏感个人记录（健康、财务状况）。 法律依据: Saint Helena Data Protection Ordinance / draft privacy rules | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1497 | SHNPD-002 | 圣赫勒拿在控制者未向数据保护专员注册的情况下处理个人数据 该网站控制者在未向数据保护专员注册的情况下，收集圣赫勒拿居民的个人信息，违反了圣赫勒拿数据保护条例 / 隐私规则草案。 法律依据: Saint Helena Data Protection Ordinance / draft privacy rules | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1498 | SHNPD-003 | 圣赫勒拿数据安全及加密措施不妥当 该数据库收集并处理圣赫勒拿居民的个人文件，但未采用圣赫勒拿数据保护条例 / 隐私规则草案所规定的强制性技术加密或行政安全控制。 法律依据: Saint Helena Data Protection Ordinance / draft privacy rules | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1499 | SHNPD-004 | 圣赫勒拿不合规的数据保留周期 该网站保留圣赫勒拿用户的个人记录时间超出指定处理目的所需时间，且缺少符合圣赫勒拿数据保护条例 / 隐私规则草案的删除协议。 法律依据: Saint Helena Data Protection Ordinance / draft privacy rules | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1500 | SHNPD-005 | 不合规的圣赫勒拿数据跨国传输 控制者在未确保同等保护水平或获得圣赫勒拿数据保护条例 / 隐私规则草案及数据保护专员所需授权的情况下，将圣赫勒拿居民的数据传输到境外。 法律依据: Saint Helena Data Protection Ordinance / draft privacy rules | moderate | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1501 | OWASP-001 | 用户输入中的 SQL 注入漏洞 网站输入字段或 URL 参数易受 SQL 注入攻击，允许未经授权访问数据库。 法律依据: OWASP Top 10 A03:2021-Injection | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1502 | OWASP-002 | 跨站脚本 (XSS) 漏洞 用户输入未经验证即在页面上呈现，允许攻击者在访问者浏览器中执行恶意脚本。 法律依据: OWASP Top 10 A03:2021-XSS | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1503 | OWASP-003 | 身份验证损坏和会话泄露 网站在 URL 中暴露会话标识符或使用过短/过长的会话超时设定，导致会话劫持风险。 法律依据: OWASP Top 10 A07:2021-Identification & Auth | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1504 | OWASP-004 | 敏感数据的未加密传输 敏感客户信息（密码、支付文件）通过 HTTP 传输或使用过时的 TLS 1.0/1.1 协议。 法律依据: OWASP Top 10 A02:2021-Cryptographic Failures | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1505 | OWASP-005 | 失效的对象级访问控制 API 或后端端点未能验证已身份验证的用户是否有权访问所请求的资源 ID。 法律依据: OWASP Top 10 A01:2021-Broken Access Control | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1506 | OWASP-006 | 生产环境中处于激活状态的调试模式 详细的错误日志和堆栈跟踪对公众访问者可见，导致系统路径和环境变量泄露。 法律依据: OWASP Top 10 A05:2021-Security Misconfig | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1507 | OWASP-007 | XML 外部实体 (XXE) 注入漏洞 XML 解析器接受外部实体，使攻击者能够读取本地服务器文件或执行 SSRF 攻击。 法律依据: OWASP Top 10 A05:2021-XXE | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1508 | OWASP-008 | 不安全的反序列化不受信任输入 应用程序在未经验证的情况下反序列化用户控制的对象，这可能导致远程代码执行 (RCE)。 法律依据: OWASP Top 10 A08:2021-Software Integrity | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1509 | OWASP-009 | 具有已知漏洞的过时库 前端运行过时的第三方 NPM 包、WordPress 插件或具有公开 CVE 披露的 JQuery 库。 法律依据: OWASP Top 10 A06:2021-Vulnerable Components | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1510 | OWASP-010 | 安全日志记录和审计不足 关键操作（例如密码重置、管理登录和账单更改）未被记录，阻碍了安全鉴证。 法律依据: OWASP Top 10 A09:2021-Logging & Monitoring | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1511 | NISTP-001 | 不充分的访问控制策略 缺乏基于角色的访问控制 (RBAC) 允许标准用户帐户查看系统管理日志。 法律依据: NIST SP 800-53 Rev. 5 AC-2 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1512 | NISTP-002 | 缺失审计记录生成机制 Web 应用程序未将 API 配置更改或用户创建事件记录到不可变的审计存储库中。 法律依据: NIST SP 800-53 Rev. 5 AU-2 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1513 | NISTP-003 | 配置管理失效 服务器软件部署没有基线配置，导致安全级别不一致。 法律依据: NIST SP 800-53 Rev. 5 CM-2 | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1514 | NISTP-004 | 管理员缺少多因素身份验证 管理员登录使用单因素身份验证，违反了联邦安全标识标准。 法律依据: NIST SP 800-53 Rev. 5 IA-2 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1515 | NISTP-005 | 事件响应计划集成不充分 网站缺乏自动异常警报，无法在发生攻击时触发事件响应团队程序。 法律依据: NIST SP 800-53 Rev. 5 IR-4 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1516 | NISTP-006 | 系统维护跟踪不力 漏洞扫描日程未正式化，导致识别关键 CVE 时出现延误。 法律依据: NIST SP 800-53 Rev. 5 MA-2 | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1517 | NISTP-007 | 媒体保护和备份加密缺失 包含客户个人信息的系统备份存储在公共云存储桶中且未加密。 法律依据: NIST SP 800-53 Rev. 5 MP-4 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1518 | NISTP-008 | 缺少机房访问日志（自建托管服务器） 对于自建服务器部署，网站控制器缺少跟踪物理访问存储驱动器的日志。 法律依据: NIST SP 800-53 Rev. 5 PE-2 | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1519 | NISTP-009 | 安全培训记录不全 管理用户凭据的系统管理员缺乏经过验证的网络安全意识培训文档。 法律依据: NIST SP 800-53 Rev. 5 PS-8 | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1520 | NISTP-010 | 缺失网络边界和 DNSSEC 控制 域名缺少 DNSSEC 签名，导致用户面临 DNS 欺骗和中间人重定向风险。 法律依据: NIST SP 800-53 Rev. 5 SC-7 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1521 | ISO27-001 | 信息安全策略不足 公司运行缺乏正式的信息安全章程，且未由管理层进行年度审查。 法律依据: ISO/IEC 27001:2022 Control A.5.1 ISO/IEC 27001:2022 | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1522 | ISO27-002 | 安全角色和权限定义不清 未任命专职人员负责监督网络运营中的数据安全合规性。 法律依据: ISO/IEC 27001:2022 Control A.5.2 ISO/IEC 27001:2022 | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1523 | ISO27-003 | 客户数据资产清单不全 数据库运行没有资产清单，未分类标明个人身份信息 (PIPI) 和信用信息在各模式下的存储位置。 法律依据: ISO/IEC 27001:2022 Control A.5.9 ISO/IEC 27001:2022 | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1524 | ISO27-004 | 用户密码密码学保护薄弱 用户密码使用过时的 MD5 或 SHA1 算法进行安全哈希处理，且未配置盐值。 法律依据: ISO/IEC 27001:2022 Control A.8.24 ISO/IEC 27001:2022 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1525 | ISO27-005 | Web 服务器物理安全不足 容纳数据库驱动器的物理服务器机箱缺少防拆检测控制或安全锁轨。 法律依据: ISO/IEC 27001:2022 Control A.7.1 ISO/IEC 27001:2022 | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1526 | ISO27-006 | 运维安全不足及未经验证的备份 备份恢复周期未定期测试，导致在恢复过程中存在数据丢失风险。 法律依据: ISO/IEC 27001:2022 Control A.8.13 ISO/IEC 27001:2022 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1527 | ISO27-007 | 不安全的网络架构和薄弱的路由控制 数据库节点可从公共 IP 空间直接访问，缺少中间应用路由代理限制。 法律依据: ISO/IEC 27001:2022 Control A.8.20 ISO/IEC 27001:2022 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1528 | ISO27-008 | 软件开发中缺乏安全编码标准 网站开发团队运行缺少涵盖 SQL 注入和 XSS 防御的安全编码策略。 法律依据: ISO/IEC 27001:2022 Control A.8.25 ISO/IEC 27001:2022 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1529 | ISO27-009 | 供应商协议中缺乏安全要求 与第三方支付网关和分析型 SaaS 提供商签订的合同中缺少明确的安全条款。 法律依据: ISO/IEC 27001:2022 Control A.5.19 ISO/IEC 27001:2022 | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1530 | ISO27-010 | 缺乏事件管理和升级路径 不存在将活动系统入侵从 IT 运维人员向高级管理层升级报告的程序。 法律依据: ISO/IEC 27001:2022 Control A.5.24 ISO/IEC 27001:2022 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1531 | SOC2P-001 | 系统安全异常监控不足 服务器日志显示缺少自动入侵检测系统 (IDS) 针对暴力破解尝试发出警报的证据。 法律依据: SOC 2 Trust Services Criteria CC6.8 SOC 2 — Trust Services Criteria (AICPA) | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1532 | SOC2P-002 | 弱访问凭据和多因素身份验证缺失 访问控制允许在管理员端点上使用简单密码，而没有强制执行二次密钥检查。 法律依据: SOC 2 Trust Services Criteria CC6.3 SOC 2 — Trust Services Criteria (AICPA) | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1533 | SOC2P-003 | 数据传输保护不足 网站 API 路由使用过时的 HTTP 协议，且缺少 HSTS 标头来强制执行加密。 法律依据: SOC 2 Trust Services Criteria CC6.7 SOC 2 — Trust Services Criteria (AICPA) | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1534 | SOC2P-004 | 薄弱的数据分类策略 内部记录缺少标记，无法识别哪些网站表单存储了机密客户凭据。 法律依据: SOC 2 Trust Services Criteria CC6.1 SOC 2 — Trust Services Criteria (AICPA) | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1535 | SOC2P-005 | 缺少漏洞管理基础设施 代码库运行没有集成工具来在 CI/CD 步骤中识别易受攻击的 Node 依赖项。 法律依据: SOC 2 Trust Services Criteria CC7.1 SOC 2 — Trust Services Criteria (AICPA) | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1536 | SOC2P-006 | 系统可用性和故障转移测试缺失 托管环境缺少自动化故障转移测试，导致数据库实例存在单点故障风险。 法律依据: SOC 2 Trust Services Criteria CC8.1 SOC 2 — Trust Services Criteria (AICPA) | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1537 | SOC2P-007 | 交易处理完整性薄弱 支付端点未能使用交易验证令牌，允许在结账过程中篡改参数。 法律依据: SOC 2 Trust Services Criteria CC9.1 SOC 2 — Trust Services Criteria (AICPA) | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1538 | SOC2P-008 | 数据存储的机密性保护不力 个人标识文件与公共资产一同存储，缺少访问授权检查。 法律依据: SOC 2 Trust Services Criteria CC6.6 SOC 2 — Trust Services Criteria (AICPA) | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1539 | SOC2P-009 | 数据生命周期管理薄弱 系统无限期保留个人资料，缺少自动删除过时条目的程序。 法律依据: SOC 2 Trust Services Criteria CC6.5 SOC 2 — Trust Services Criteria (AICPA) | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1540 | SOC2P-010 | 缺少变更控制和同行评审机制 代码提交直接部署到生产系统，缺少强制性的拉取请求审批。 法律依据: SOC 2 Trust Services Criteria CC8.1-Change SOC 2 — Trust Services Criteria (AICPA) | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1541 | CISA-001 | 启用了默认管理密码 数据库或 CMS 设置端点使用通用管理员密码，导致系统面临自动机器人接管风险。 法律依据: CISA Cybersecurity Performance Goal 1.1 CISA Cross-Sector Cybersecurity Performance Goals | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1542 | CISA-002 | 管理控制台缺少多因素身份验证 对托管面板、数据库节点或 API 控制台的管理员访问权限缺少 MFA 要求。 法律依据: CISA Cybersecurity Performance Goal 1.2 CISA Cross-Sector Cybersecurity Performance Goals | critical | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1543 | CISA-003 | Web 软件中存在已知被利用的漏洞 生产服务器运行 CISA 已知被利用漏洞 (KEV) 目录中列出的依赖项。 法律依据: CISA Cybersecurity Performance Goal 2.1 CISA Cross-Sector Cybersecurity Performance Goals | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1544 | CISA-004 | 面向互联网的资产清单失效 组织未盘点公共域名，导致孤立的子域名面临被劫持风险。 法律依据: CISA Cybersecurity Performance Goal 2.2 CISA Cross-Sector Cybersecurity Performance Goals | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1545 | CISA-005 | 缺失 DNS 完整性保护控制 域名注册缺少注册局锁定，导致解析记录易遭受未经授权的篡改。 法律依据: CISA Cybersecurity Performance Goal 2.3 CISA Cross-Sector Cybersecurity Performance Goals | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1546 | CISA-006 | 不安全的电子邮件身份验证标准（无 DMARC） 域名缺少 DMARC 配置，允许攻击者冒充该网站域名发送钓鱼电子邮件。 法律依据: CISA Cybersecurity Performance Goal 2.4 CISA Cross-Sector Cybersecurity Performance Goals | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1547 | CISA-007 | 缺乏安全事件演练 未进行桌面测试以验证在勒索软件或数据泄露事件发生时的响应程序。 法律依据: CISA Cybersecurity Performance Goal 3.1 CISA Cross-Sector Cybersecurity Performance Goals | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1548 | CISA-008 | 启用了不安全的远程访问协议 托管环境暴露了用于远程设备管理的 Telnet 或未加密的 HTTP 接口。 法律依据: CISA Cybersecurity Performance Goal 1.3 CISA Cross-Sector Cybersecurity Performance Goals | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1549 | CISA-009 | 数据备份隔离不足 数据库备份存储在相同的网络服务器子网中，在遭受网络攻击时存在同时丢失的风险。 法律依据: CISA Cybersecurity Performance Goal 4.1 CISA Cross-Sector Cybersecurity Performance Goals | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1550 | CISA-010 | 内部漏洞扫描失效 网站服务器未对面向公众的端点进行每周漏洞扫描。 法律依据: CISA Cybersecurity Performance Goal 2.5 CISA Cross-Sector Cybersecurity Performance Goals | moderate | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1551 | EUDSA-001 | 缺少向监管机构提供直接联系方式 网站缺少指定的电子联系地址，导致欧盟监管机构无法直接沟通。 法律依据: EU Digital Services Act (DSA) Article 11 Digital Services Act Art. 11 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1552 | EUDSA-002 | 条款中缺少内容审核规则说明 服务条款未能公开用于审核评论的算法过滤或人工审查政策。 法律依据: EU Digital Services Act (DSA) Article 14 Digital Services Act Art. 14 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1553 | EUDSA-003 | 推荐系统参数缺乏透明度 该网站在展示推荐或产品订购源时，未解释主要排序因素。 法律依据: EU Digital Services Act (DSA) Article 27 Digital Services Act Art. 27 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1554 | EUDSA-004 | 违规界面操纵（暗黑模式） 欺骗性的设计元素通过预选选项或隐藏关闭按钮，诱导用户订阅新闻通讯。 法律依据: EU Digital Services Act (DSA) Article 25 Digital Services Act Art. 25 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1555 | EUDSA-005 | 未标明在线广告及赞助商 付费推广链接或赞助商品在内容流中加载，但未明确标注标识购买广告的广告主。 法律依据: EU Digital Services Act (DSA) Article 26 Digital Services Act Art. 26 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1556 | EUDSA-006 | 缺少供用户使用的通知与行动机制 门户网站未向访问者提供清晰、易用的电子表单来举报非法评论或商品。 法律依据: EU Digital Services Act (DSA) Article 16 Digital Services Act Art. 16 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1557 | EUDSA-007 | 违规的用户停用规则 网站在不提供详细书面说明的情况下封禁帐户或下架卖家商品。 法律依据: EU Digital Services Act (DSA) Article 17 Digital Services Act Art. 17 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1558 | EUDSA-008 | 公共目录中缺少原因声明 网站托管商审核第三方评论，但未将决定发布在欧盟 DSA 数据库中。 法律依据: EU Digital Services Act (DSA) Article 24(5) Digital Services Act Art. 24(5) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1559 | EUDSA-009 | 投诉处理系统不完善 网站未提供电子申诉机制，允许用户在 6 个月内对审核裁决提出异议。 法律依据: EU Digital Services Act (DSA) Article 20 Digital Services Act Art. 20 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1560 | EUDSA-010 | 具有误导性的广告定位政策 该网站利用敏感的个人信息（宗教、健康、性取向）来定位推广横幅。 法律依据: EU Digital Services Act (DSA) Article 26 Digital Services Act Art. 26 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1561 | EUDMA-001 | 产品列表中的不公平自我优待 商店搜索引擎将自有品牌商品置于同等第三方卖家库存之上。 法律依据: EU Digital Markets Act (DMA) Article 6(5) Digital Markets Act Art. 6(5) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1562 | EUDMA-002 | 非法的多源数据组合 门户网站将核心服务的用户数据与第三方追踪像素相结合，而未经用户明确选择同意。 法律依据: EU Digital Markets Act (DMA) Article 5(2) Digital Markets Act Art. 5(2) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1563 | EUDMA-003 | 限制第三方软件侧载 Web 门户限制用户在页面框架内运行外部支付集成或浏览器。 法律依据: EU Digital Markets Act (DMA) Article 6(4) Digital Markets Act Art. 6(4) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1564 | EUDMA-004 | 限制商业用户的数据可移植性 网站结算后台阻止卖家将交易历史记录导出到外部服务器。 法律依据: EU Digital Markets Act (DMA) Article 6(10) Digital Markets Act Art. 6(10) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1565 | EUDMA-005 | 不公平的广告效果报告 系统向广告主收取推广空间费用，却不共享每日免费的效果指标。 法律依据: EU Digital Markets Act (DMA) Article 6(8) Digital Markets Act Art. 6(8) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1566 | EUDMA-006 | 限制跨平台价格平价（反引导） 服务条款处罚那些在自有直接渠道或其他网站上提供更低价格的商户。 法律依据: EU Digital Markets Act (DMA) Article 5(3) Digital Markets Act Art. 5(3) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1567 | EUDMA-007 | 具欺骗性的选择屏幕实现 系统在设置期间配置默认搜索引擎或浏览器，而未展示无偏向的选择项。 法律依据: EU Digital Markets Act (DMA) Article 6(3) Digital Markets Act Art. 6(3) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1568 | EUDMA-008 | 限制平台服务互操作性 API 限制第三方通信工具与核心消息传递系统建立连接。 法律依据: EU Digital Markets Act (DMA) Article 6(7) Digital Markets Act Art. 6(7) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1569 | EUDMA-009 | 具欺骗性且复杂的退订流程 门户网站强迫商业用户通过电话确认等繁琐流程来终止核心服务的使用权限。 法律依据: EU Digital Markets Act (DMA) Article 6(13) Digital Markets Act Art. 6(13) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1570 | EUDMA-010 | 非法利用商业用户的销售数据 网站托管商使用卖家的非公开结账交易数据来推出竞争性的自营产品。 法律依据: EU Digital Markets Act (DMA) Article 6(2) Digital Markets Act Art. 6(2) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1571 | UKAAC-001 | 针对敏感内容未进行充分的年龄验证 该门户在成人媒体流上仅使用简单的、未经验证的自我声明按钮进行年龄验证。 法律依据: UK Age Appropriate Design Code (Children's Code) Standard 3 UK Age Appropriate Design Code (ICO) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1572 | UKAAC-002 | 默认对未成年人激活高风险追踪 在进行年龄验证之前，注册时默认启用了地理位置和行为追踪。 法律依据: UK Age Appropriate Design Code (Children's Code) Standard 6 UK Age Appropriate Design Code (ICO) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1573 | UKAAC-003 | 针对年轻受众的隐私披露过于复杂 隐私政策使用复杂的法律术语，而不是简短易懂的儿童友好型说明。 法律依据: UK Age Appropriate Design Code (Children's Code) Standard 4 UK Age Appropriate Design Code (ICO) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1574 | UKAAC-004 | 针对未成年人的欺骗性引导 UI 技术 界面元素利用彩色的警报和奖励循环，诱导儿童选择较低的隐私设置。 法律依据: UK Age Appropriate Design Code (Children's Code) Standard 9 UK Age Appropriate Design Code (ICO) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1575 | UKAAC-005 | 非法的未成年人自动画像 推荐源默认对儿童用户的习惯进行画像分析，以推送易成瘾的内容流。 法律依据: UK Age Appropriate Design Code (Children's Code) Standard 11 UK Age Appropriate Design Code (ICO) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1576 | UKAAC-006 | 缺少家长追踪通知提示 当家长追踪活动会话时，应用程序未向儿童用户展示显着的的状态图标进行提示。 法律依据: UK Age Appropriate Design Code (Children's Code) Standard 13 UK Age Appropriate Design Code (ICO) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1577 | UKAAC-007 | 非法的儿童数据与广告商共享 门户网站在未经主动选择同意的情况下，与外部广告经纪商共享已验证未成年人的追踪 Cookie。 法律依据: UK Age Appropriate Design Code (Children's Code) Standard 12 UK Age Appropriate Design Code (ICO) | critical | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1578 | UKAAC-008 | 针对18岁以下人群的数据最小化实施不足 注册表单向被归类为未成年人的用户请求收集非必需的数据项（爱好、学校）。 法律依据: UK Age Appropriate Design Code (Children's Code) Standard 8 UK Age Appropriate Design Code (ICO) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1579 | UKAAC-009 | 针对儿童的有害营销定位做法 数据库伺机推送利用未成年人行为弱点或不安全感的定向营销横幅。 法律依据: UK Age Appropriate Design Code (Children's Code) Standard 5 UK Age Appropriate Design Code (ICO) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1580 | UKAAC-010 | 默认未成年人档案设置不安全 未成年人的搜索配置文件默认公开可见，允许未经身份验证的互联网用户查看儿童的详细信息。 法律依据: UK Age Appropriate Design Code (Children's Code) Standard 7 UK Age Appropriate Design Code (ICO) | serious | GDPR 欧盟 GDPR / 英国 GDPR / ePrivacy 指令 | 最高 €20,000,000 或全球年营业额的 4%（欧盟 GDPR）/ £17,500,000 或 4%（英国 GDPR） 国家 DPA 调查（CNIL、ICO 等）/ 处理禁令 / 强制违规报告 |
| 1581 | CAAAC-001 | 缺少针对未成年人访问服务的 DPIA 评估 控制器在部署以儿童为中心的功能之前，未能记录数据保护影响评估 (DPIA)。 法律依据: Cal. Civ. Code § 1798.99.31(a)(1) Cal. Civ. Code § 1798.99.31 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1582 | CAAAC-002 | 具欺骗性的年龄确认实现 该网站未能以合理的商业确定性评估用户年龄，导致未成年人暴露于成人聊天室。 法律依据: Cal. Civ. Code § 1798.99.31(a)(5) Cal. Civ. Code § 1798.99.31 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1583 | CAAAC-003 | 默认的高隐私设置被禁用 对于 18 岁以下的访问者，该网站在结算注册时默认将隐私设置配置为低隐私级别。 法律依据: Cal. Civ. Code § 1798.99.31(a)(6) Cal. Civ. Code § 1798.99.31 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1584 | CAAAC-004 | 非法的未成年人自动行为画像 网站分析未成年人的搜索查询以构建持久的广告画像，而未获得家长的同意。 法律依据: Cal. Civ. Code § 1798.99.31(b)(2) Cal. Civ. Code § 1798.99.31 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1585 | CAAAC-005 | 非法的已验证未成年人数据销售 平台在未获得必需的选择性同意授权的情况下，出售或共享 18 岁以下用户的数据。 法律依据: Cal. Civ. Code § 1798.99.31(b)(1) Cal. Civ. Code § 1798.99.31 | critical | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1586 | CAAAC-006 | 缺少针对未成年人的活动追踪指示器 移动 Web 应用程序记录儿童位置点，但未显示持续的视觉追踪符号。 法律依据: Cal. Civ. Code § 1798.99.31(a)(7) Cal. Civ. Code § 1798.99.31 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1587 | CAAAC-007 | 诱导绕过隐私设置的欺骗性引导模式 界面流程利用游戏化技术，诱使未成年人禁用默认的数据库安全保护。 法律依据: Cal. Civ. Code § 1798.99.31(b)(7) Cal. Civ. Code § 1798.99.31 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1588 | CAAAC-008 | 未提供清晰、显著且适宜未成年人的隐私条款 (加州适龄设计规范) 向可能被儿童访问的在线服务、产品或功能的提供企业，未能以简明、显著且适宜可能访问该服务的儿童年龄段的通俗易懂语言提供隐私信息、服务条款、政策及社区准则。 法律依据: Cal. Civ. Code § 1798.99.31(a)(7) (加利福尼亚州适龄设计规范 - 清晰易懂且适宜儿童的条款) | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1589 | CAAAC-009 | 非法收集未成年人地理位置历史记录 在没有即时应用交付原因的情况下，服务器记录了 18 岁以下访问者的精确设备坐标。 法律依据: Cal. Civ. Code § 1798.99.31(b)(8) Cal. Civ. Code § 1798.99.31 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1590 | CAAAC-010 | 缺少删除及资料清除控制功能 用户个人中心未能提供即时删除按钮，供未成年人用户清除其个人资料档案。 法律依据: Cal. Civ. Code § 1798.99.31(a)(9) Cal. Civ. Code § 1798.99.31 | serious | CCPA / CPRA 加州消费者隐私法 (CCPA/CPRA) / 加州适龄设计法典 (AB 2273) | 每次违规 $2,663–$7,988（CCPA）/ 每名受影响儿童 $2,500–$7,500（AB 2273，部分条款已被法院暂停） 加州隐私保护局 (CPPA) 审计 / 加州总检察长民事执法 |
| 1591 | EUAIA-001 | 未向用户披露其正在与人工智能交互 在线客服机器人运行在联系页面上，但未明确告知访问者他们正在与人工智能系统进行交流。 法律依据: EU AI Act Article 50(1) AI Act Art. 50(1) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1592 | EUAIA-002 | 生成式 AI 内容缺少标识说明 合成图像或 AI 生成的新闻条目缺少机器可读的标签来标识其人工生成的来源。 法律依据: EU AI Act Article 50(2) AI Act Art. 50(2) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1593 | EUAIA-003 | 违规部署情绪识别系统 网站在在线求职测试期间，使用 AI 追踪摄像头输入来分析求职者的情绪。 法律依据: EU AI Act Article 5(1)(f) AI Act Art. 5(1)(f) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1594 | EUAIA-004 | 非法的生物特征识别分类应用 人工智能分析系统根据生物特征图谱对访问者进行分类，以实现针对特定性别的产品目录定向展示。 法律依据: EU AI Act Article 5(1)(g) AI Act Art. 5(1)(g) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1595 | EUAIA-005 | 具欺骗性的深度伪造 (Deepfake) 图像和视频未进行披露 逼真的经过修改的视频或音频文件在媒体流中加载，但未提供明确的“已修改内容”警告。 法律依据: EU AI Act Article 50(4) AI Act Art. 50(4) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1596 | EUAIA-006 | 高风险人工智能系统风险管理不足 在线门户网站部署了自动化的简历筛选排名软件，但未进行部署前的测试和风险评估记录。 法律依据: EU AI Act Article 9 AI Act Art. 9 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1597 | EUAIA-007 | 高风险人工智能系统缺少日志记录功能 结账环节运行自动定价模型，但未记录追踪原始遥测输入参数的数据。 法律依据: EU AI Act Article 12 AI Act Art. 12 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1598 | EUAIA-008 | 自动化招聘中缺乏人工监管 AI 招聘筛选结果会自动拒绝候选人，缺少人工复核或申诉渠道。 法律依据: EU AI Act Article 14 AI Act Art. 14 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1599 | EUAIA-009 | 非法的网页数据爬取用于人工智能训练 网络爬虫从网站存储中抓取受版权保护的图像来训练 AI 模型，但未遵守拒绝抓取标记（如 robots.txt 规则）。 法律依据: EU AI Act Article 53(1)(c) AI Act Art. 53(1)(c) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1600 | EUAIA-010 | 高风险人工智能数据库集成不安全 服务器上运行自动信用资格评估模型，但未在公共欧盟 AI 数据库中进行登记注册。 法律依据: EU AI Act Articles 49, 71 AI Act Art. 49AI Act Art. 71 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1601 | TXDPS-001 | 未根据德克萨斯州数据隐私和安全法 (TDPSA)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据德克萨斯州数据隐私和安全法 (TDPSA)请求访问其存储的个人数据。 法律依据: Texas Data Privacy and Security Act (TDPSA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1602 | TXDPS-002 | 未根据德克萨斯州数据隐私和安全法 (TDPSA)提供数据纠错机制 网站未能提供表格或流程，供用户根据德克萨斯州数据隐私和安全法 (TDPSA)纠正收集到的不准确个人数据。 法律依据: Texas Data Privacy and Security Act (TDPSA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1603 | TXDPS-003 | 未根据德克萨斯州数据隐私和安全法 (TDPSA)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据德克萨斯州数据隐私和安全法 (TDPSA)清除其个人资料的用户使用。 法律依据: Texas Data Privacy and Security Act (TDPSA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1604 | TXDPS-004 | 未根据德克萨斯州数据隐私和安全法 (TDPSA)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据德克萨斯州数据隐私和安全法 (TDPSA)下载和传输其数据记录。 法律依据: Texas Data Privacy and Security Act (TDPSA) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1605 | TXDPS-005 | 未根据德克萨斯州数据隐私和安全法 (TDPSA)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据德克萨斯州数据隐私和安全法 (TDPSA)提供退出链接选项。 法律依据: Texas Data Privacy and Security Act (TDPSA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1606 | TXDPS-006 | 未根据德克萨斯州数据隐私和安全法 (TDPSA)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据德克萨斯州数据隐私和安全法 (TDPSA)提供显着的退出机制。 法律依据: Texas Data Privacy and Security Act (TDPSA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1607 | TXDPS-007 | 未根据德克萨斯州数据隐私和安全法 (TDPSA)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据德克萨斯州数据隐私和安全法 (TDPSA)提供退出选项。 法律依据: Texas Data Privacy and Security Act (TDPSA) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1608 | TXDPS-008 | 未经同意处理敏感个人数据违反德克萨斯州数据隐私和安全法 (TDPSA) 根据德克萨斯州数据隐私和安全法 (TDPSA)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: Texas Data Privacy and Security Act (TDPSA) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1609 | TXDPS-009 | 未根据德克萨斯州数据隐私和安全法 (TDPSA)进行数据保护影响评估 该组织未能针对德克萨斯州数据隐私和安全法 (TDPSA)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: Texas Data Privacy and Security Act (TDPSA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1610 | TXDPS-010 | 未根据德克萨斯州数据隐私和安全法 (TDPSA)提供合规的收集时声明 该网站在收集个人信息时，未能根据德克萨斯州数据隐私和安全法 (TDPSA)展示合规的隐私披露声明。 法律依据: Texas Data Privacy and Security Act (TDPSA) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1611 | VCDPA-001 | 未根据弗吉尼亚州消费者数据保护法 (VCDPA)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据弗吉尼亚州消费者数据保护法 (VCDPA)请求访问其存储的个人数据。 法律依据: Virginia Consumer Data Protection Act (VCDPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1612 | VCDPA-002 | 未根据弗吉尼亚州消费者数据保护法 (VCDPA)提供数据纠错机制 网站未能提供表格或流程，供用户根据弗吉尼亚州消费者数据保护法 (VCDPA)纠正收集到的不准确个人数据。 法律依据: Virginia Consumer Data Protection Act (VCDPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1613 | VCDPA-003 | 未根据弗吉尼亚州消费者数据保护法 (VCDPA)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据弗吉尼亚州消费者数据保护法 (VCDPA)清除其个人资料的用户使用。 法律依据: Virginia Consumer Data Protection Act (VCDPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1614 | VCDPA-004 | 未根据弗吉尼亚州消费者数据保护法 (VCDPA)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据弗吉尼亚州消费者数据保护法 (VCDPA)下载和传输其数据记录。 法律依据: Virginia Consumer Data Protection Act (VCDPA) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1615 | VCDPA-005 | 未根据弗吉尼亚州消费者数据保护法 (VCDPA)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据弗吉尼亚州消费者数据保护法 (VCDPA)提供退出链接选项。 法律依据: Virginia Consumer Data Protection Act (VCDPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1616 | VCDPA-006 | 未根据弗吉尼亚州消费者数据保护法 (VCDPA)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据弗吉尼亚州消费者数据保护法 (VCDPA)提供显着的退出机制。 法律依据: Virginia Consumer Data Protection Act (VCDPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1617 | VCDPA-007 | 未根据弗吉尼亚州消费者数据保护法 (VCDPA)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据弗吉尼亚州消费者数据保护法 (VCDPA)提供退出选项。 法律依据: Virginia Consumer Data Protection Act (VCDPA) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1618 | VCDPA-008 | 未经同意处理敏感个人数据违反弗吉尼亚州消费者数据保护法 (VCDPA) 根据弗吉尼亚州消费者数据保护法 (VCDPA)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: Virginia Consumer Data Protection Act (VCDPA) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1619 | VCDPA-009 | 未根据弗吉尼亚州消费者数据保护法 (VCDPA)进行数据保护影响评估 该组织未能针对弗吉尼亚州消费者数据保护法 (VCDPA)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: Virginia Consumer Data Protection Act (VCDPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1620 | VCDPA-010 | 未根据弗吉尼亚州消费者数据保护法 (VCDPA)提供合规的收集时声明 该网站在收集个人信息时，未能根据弗吉尼亚州消费者数据保护法 (VCDPA)展示合规的隐私披露声明。 法律依据: Virginia Consumer Data Protection Act (VCDPA) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1621 | COPR-001 | 未根据科罗拉多州隐私法 (CPA)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据科罗拉多州隐私法 (CPA)请求访问其存储的个人数据。 法律依据: Colorado Privacy Act (CPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1622 | COPR-002 | 未根据科罗拉多州隐私法 (CPA)提供数据纠错机制 网站未能提供表格或流程，供用户根据科罗拉多州隐私法 (CPA)纠正收集到的不准确个人数据。 法律依据: Colorado Privacy Act (CPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1623 | COPR-003 | 未根据科罗拉多州隐私法 (CPA)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据科罗拉多州隐私法 (CPA)清除其个人资料的用户使用。 法律依据: Colorado Privacy Act (CPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1624 | COPR-004 | 未根据科罗拉多州隐私法 (CPA)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据科罗拉多州隐私法 (CPA)下载和传输其数据记录。 法律依据: Colorado Privacy Act (CPA) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1625 | COPR-005 | 未根据科罗拉多州隐私法 (CPA)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据科罗拉多州隐私法 (CPA)提供退出链接选项。 法律依据: Colorado Privacy Act (CPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1626 | COPR-006 | 未根据科罗拉多州隐私法 (CPA)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据科罗拉多州隐私法 (CPA)提供显着的退出机制。 法律依据: Colorado Privacy Act (CPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1627 | COPR-007 | 未根据科罗拉多州隐私法 (CPA)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据科罗拉多州隐私法 (CPA)提供退出选项。 法律依据: Colorado Privacy Act (CPA) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1628 | COPR-008 | 未经同意处理敏感个人数据违反科罗拉多州隐私法 (CPA) 根据科罗拉多州隐私法 (CPA)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: Colorado Privacy Act (CPA) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1629 | COPR-009 | 未根据科罗拉多州隐私法 (CPA)进行数据保护影响评估 该组织未能针对科罗拉多州隐私法 (CPA)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: Colorado Privacy Act (CPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1630 | COPR-010 | 未根据科罗拉多州隐私法 (CPA)提供合规的收集时声明 该网站在收集个人信息时，未能根据科罗拉多州隐私法 (CPA)展示合规的隐私披露声明。 法律依据: Colorado Privacy Act (CPA) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1631 | CTDPA-001 | 未根据康涅狄格州数据隐私法 (CTDPA)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据康涅狄格州数据隐私法 (CTDPA)请求访问其存储的个人数据。 法律依据: Connecticut Data Privacy Act (CTDPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1632 | CTDPA-002 | 未根据康涅狄格州数据隐私法 (CTDPA)提供数据纠错机制 网站未能提供表格或流程，供用户根据康涅狄格州数据隐私法 (CTDPA)纠正收集到的不准确个人数据。 法律依据: Connecticut Data Privacy Act (CTDPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1633 | CTDPA-003 | 未根据康涅狄格州数据隐私法 (CTDPA)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据康涅狄格州数据隐私法 (CTDPA)清除其个人资料的用户使用。 法律依据: Connecticut Data Privacy Act (CTDPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1634 | CTDPA-004 | 未根据康涅狄格州数据隐私法 (CTDPA)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据康涅狄格州数据隐私法 (CTDPA)下载和传输其数据记录。 法律依据: Connecticut Data Privacy Act (CTDPA) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1635 | CTDPA-005 | 未根据康涅狄格州数据隐私法 (CTDPA)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据康涅狄格州数据隐私法 (CTDPA)提供退出链接选项。 法律依据: Connecticut Data Privacy Act (CTDPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1636 | CTDPA-006 | 未根据康涅狄格州数据隐私法 (CTDPA)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据康涅狄格州数据隐私法 (CTDPA)提供显着的退出机制。 法律依据: Connecticut Data Privacy Act (CTDPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1637 | CTDPA-007 | 未根据康涅狄格州数据隐私法 (CTDPA)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据康涅狄格州数据隐私法 (CTDPA)提供退出选项。 法律依据: Connecticut Data Privacy Act (CTDPA) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1638 | CTDPA-008 | 未经同意处理敏感个人数据违反康涅狄格州数据隐私法 (CTDPA) 根据康涅狄格州数据隐私法 (CTDPA)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: Connecticut Data Privacy Act (CTDPA) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1639 | CTDPA-009 | 未根据康涅狄格州数据隐私法 (CTDPA)进行数据保护影响评估 该组织未能针对康涅狄格州数据隐私法 (CTDPA)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: Connecticut Data Privacy Act (CTDPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1640 | CTDPA-010 | 未根据康涅狄格州数据隐私法 (CTDPA)提供合规的收集时声明 该网站在收集个人信息时，未能根据康涅狄格州数据隐私法 (CTDPA)展示合规的隐私披露声明。 法律依据: Connecticut Data Privacy Act (CTDPA) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1641 | UCPA-001 | 未根据犹他州消费者隐私法 (UCPA)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据犹他州消费者隐私法 (UCPA)请求访问其存储的个人数据。 法律依据: Utah Consumer Privacy Act (UCPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1642 | UCPA-002 | 未根据犹他州消费者隐私法 (UCPA)提供数据纠错机制 网站未能提供表格或流程，供用户根据犹他州消费者隐私法 (UCPA)纠正收集到的不准确个人数据。 法律依据: Utah Consumer Privacy Act (UCPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1643 | UCPA-003 | 未根据犹他州消费者隐私法 (UCPA)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据犹他州消费者隐私法 (UCPA)清除其个人资料的用户使用。 法律依据: Utah Consumer Privacy Act (UCPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1644 | UCPA-004 | 未根据犹他州消费者隐私法 (UCPA)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据犹他州消费者隐私法 (UCPA)下载和传输其数据记录。 法律依据: Utah Consumer Privacy Act (UCPA) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1645 | UCPA-005 | 未根据犹他州消费者隐私法 (UCPA)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据犹他州消费者隐私法 (UCPA)提供退出链接选项。 法律依据: Utah Consumer Privacy Act (UCPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1646 | UCPA-006 | 未根据犹他州消费者隐私法 (UCPA)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据犹他州消费者隐私法 (UCPA)提供显着的退出机制。 法律依据: Utah Consumer Privacy Act (UCPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1647 | UCPA-007 | 未根据犹他州消费者隐私法 (UCPA)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据犹他州消费者隐私法 (UCPA)提供退出选项。 法律依据: Utah Consumer Privacy Act (UCPA) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1648 | UCPA-008 | 未经同意处理敏感个人数据违反犹他州消费者隐私法 (UCPA) 根据犹他州消费者隐私法 (UCPA)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: Utah Consumer Privacy Act (UCPA) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1649 | UCPA-009 | 未根据犹他州消费者隐私法 (UCPA)进行数据保护影响评估 该组织未能针对犹他州消费者隐私法 (UCPA)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: Utah Consumer Privacy Act (UCPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1650 | UCPA-010 | 未根据犹他州消费者隐私法 (UCPA)提供合规的收集时声明 该网站在收集个人信息时，未能根据犹他州消费者隐私法 (UCPA)展示合规的隐私披露声明。 法律依据: Utah Consumer Privacy Act (UCPA) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1651 | ORCPA-001 | 未根据俄勒冈州消费者隐私法 (OCPA)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据俄勒冈州消费者隐私法 (OCPA)请求访问其存储的个人数据。 法律依据: Oregon Consumer Privacy Act (OCPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1652 | ORCPA-002 | 未根据俄勒冈州消费者隐私法 (OCPA)提供数据纠错机制 网站未能提供表格或流程，供用户根据俄勒冈州消费者隐私法 (OCPA)纠正收集到的不准确个人数据。 法律依据: Oregon Consumer Privacy Act (OCPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1653 | ORCPA-003 | 未根据俄勒冈州消费者隐私法 (OCPA)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据俄勒冈州消费者隐私法 (OCPA)清除其个人资料的用户使用。 法律依据: Oregon Consumer Privacy Act (OCPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1654 | ORCPA-004 | 未根据俄勒冈州消费者隐私法 (OCPA)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据俄勒冈州消费者隐私法 (OCPA)下载和传输其数据记录。 法律依据: Oregon Consumer Privacy Act (OCPA) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1655 | ORCPA-005 | 未根据俄勒冈州消费者隐私法 (OCPA)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据俄勒冈州消费者隐私法 (OCPA)提供退出链接选项。 法律依据: Oregon Consumer Privacy Act (OCPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1656 | ORCPA-006 | 未根据俄勒冈州消费者隐私法 (OCPA)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据俄勒冈州消费者隐私法 (OCPA)提供显着的退出机制。 法律依据: Oregon Consumer Privacy Act (OCPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1657 | ORCPA-007 | 未根据俄勒冈州消费者隐私法 (OCPA)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据俄勒冈州消费者隐私法 (OCPA)提供退出选项。 法律依据: Oregon Consumer Privacy Act (OCPA) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1658 | ORCPA-008 | 未经同意处理敏感个人数据违反俄勒冈州消费者隐私法 (OCPA) 根据俄勒冈州消费者隐私法 (OCPA)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: Oregon Consumer Privacy Act (OCPA) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1659 | ORCPA-009 | 未根据俄勒冈州消费者隐私法 (OCPA)进行数据保护影响评估 该组织未能针对俄勒冈州消费者隐私法 (OCPA)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: Oregon Consumer Privacy Act (OCPA) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1660 | ORCPA-010 | 未根据俄勒冈州消费者隐私法 (OCPA)提供合规的收集时声明 该网站在收集个人信息时，未能根据俄勒冈州消费者隐私法 (OCPA)展示合规的隐私披露声明。 法律依据: Oregon Consumer Privacy Act (OCPA) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1661 | FLORDB-001 | 未根据佛罗里达州数字权利法案 (FDBR)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据佛罗里达州数字权利法案 (FDBR)请求访问其存储的个人数据。 法律依据: Florida Digital Bill of Rights (FDBR) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1662 | FLORDB-002 | 未根据佛罗里达州数字权利法案 (FDBR)提供数据纠错机制 网站未能提供表格或流程，供用户根据佛罗里达州数字权利法案 (FDBR)纠正收集到的不准确个人数据。 法律依据: Florida Digital Bill of Rights (FDBR) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1663 | FLORDB-003 | 未根据佛罗里达州数字权利法案 (FDBR)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据佛罗里达州数字权利法案 (FDBR)清除其个人资料的用户使用。 法律依据: Florida Digital Bill of Rights (FDBR) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1664 | FLORDB-004 | 未根据佛罗里达州数字权利法案 (FDBR)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据佛罗里达州数字权利法案 (FDBR)下载和传输其数据记录。 法律依据: Florida Digital Bill of Rights (FDBR) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1665 | FLORDB-005 | 未根据佛罗里达州数字权利法案 (FDBR)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据佛罗里达州数字权利法案 (FDBR)提供退出链接选项。 法律依据: Florida Digital Bill of Rights (FDBR) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1666 | FLORDB-006 | 未根据佛罗里达州数字权利法案 (FDBR)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据佛罗里达州数字权利法案 (FDBR)提供显着的退出机制。 法律依据: Florida Digital Bill of Rights (FDBR) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1667 | FLORDB-007 | 未根据佛罗里达州数字权利法案 (FDBR)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据佛罗里达州数字权利法案 (FDBR)提供退出选项。 法律依据: Florida Digital Bill of Rights (FDBR) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1668 | FLORDB-008 | 未经同意处理敏感个人数据违反佛罗里达州数字权利法案 (FDBR) 根据佛罗里达州数字权利法案 (FDBR)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: Florida Digital Bill of Rights (FDBR) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1669 | FLORDB-009 | 未根据佛罗里达州数字权利法案 (FDBR)进行数据保护影响评估 该组织未能针对佛罗里达州数字权利法案 (FDBR)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: Florida Digital Bill of Rights (FDBR) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1670 | FLORDB-010 | 未根据佛罗里达州数字权利法案 (FDBR)提供合规的收集时声明 该网站在收集个人信息时，未能根据佛罗里达州数字权利法案 (FDBR)展示合规的隐私披露声明。 法律依据: Florida Digital Bill of Rights (FDBR) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1671 | PIPEDA-001 | 未根据加拿大个人信息保护和电子文件法 (PIPEDA)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据加拿大个人信息保护和电子文件法 (PIPEDA)请求访问其存储的个人数据。 法律依据: Canada Personal Information Protection and Electronic Documents Act (PIPEDA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1672 | PIPEDA-002 | 未根据加拿大个人信息保护和电子文件法 (PIPEDA)提供数据纠错机制 网站未能提供表格或流程，供用户根据加拿大个人信息保护和电子文件法 (PIPEDA)纠正收集到的不准确个人数据。 法律依据: Canada Personal Information Protection and Electronic Documents Act (PIPEDA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1673 | PIPEDA-003 | 未根据加拿大个人信息保护和电子文件法 (PIPEDA)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据加拿大个人信息保护和电子文件法 (PIPEDA)清除其个人资料的用户使用。 法律依据: Canada Personal Information Protection and Electronic Documents Act (PIPEDA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1674 | PIPEDA-004 | 未根据加拿大个人信息保护和电子文件法 (PIPEDA)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据加拿大个人信息保护和电子文件法 (PIPEDA)下载和传输其数据记录。 法律依据: Canada Personal Information Protection and Electronic Documents Act (PIPEDA) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1675 | PIPEDA-005 | 未根据加拿大个人信息保护和电子文件法 (PIPEDA)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据加拿大个人信息保护和电子文件法 (PIPEDA)提供退出链接选项。 法律依据: Canada Personal Information Protection and Electronic Documents Act (PIPEDA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1676 | PIPEDA-006 | 未根据加拿大个人信息保护和电子文件法 (PIPEDA)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据加拿大个人信息保护和电子文件法 (PIPEDA)提供显着的退出机制。 法律依据: Canada Personal Information Protection and Electronic Documents Act (PIPEDA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1677 | PIPEDA-007 | 未根据加拿大个人信息保护和电子文件法 (PIPEDA)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据加拿大个人信息保护和电子文件法 (PIPEDA)提供退出选项。 法律依据: Canada Personal Information Protection and Electronic Documents Act (PIPEDA) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1678 | PIPEDA-008 | 未经同意处理敏感个人数据违反加拿大个人信息保护和电子文件法 (PIPEDA) 根据加拿大个人信息保护和电子文件法 (PIPEDA)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: Canada Personal Information Protection and Electronic Documents Act (PIPEDA) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1679 | PIPEDA-009 | 未根据加拿大个人信息保护和电子文件法 (PIPEDA)进行数据保护影响评估 该组织未能针对加拿大个人信息保护和电子文件法 (PIPEDA)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: Canada Personal Information Protection and Electronic Documents Act (PIPEDA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1680 | PIPEDA-010 | 未根据加拿大个人信息保护和电子文件法 (PIPEDA)提供合规的收集时声明 该网站在收集个人信息时，未能根据加拿大个人信息保护和电子文件法 (PIPEDA)展示合规的隐私披露声明。 法律依据: Canada Personal Information Protection and Electronic Documents Act (PIPEDA) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1681 | LAW25-001 | 未根据魁北克省第25号法案提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据魁北克省第25号法案请求访问其存储的个人数据。 法律依据: Quebec Law 25 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1682 | LAW25-002 | 未根据魁北克省第25号法案提供数据纠错机制 网站未能提供表格或流程，供用户根据魁北克省第25号法案纠正收集到的不准确个人数据。 法律依据: Quebec Law 25 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1683 | LAW25-003 | 未根据魁北克省第25号法案提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据魁北克省第25号法案清除其个人资料的用户使用。 法律依据: Quebec Law 25 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1684 | LAW25-004 | 未根据魁北克省第25号法案提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据魁北克省第25号法案下载和传输其数据记录。 法律依据: Quebec Law 25 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1685 | LAW25-005 | 未根据魁北克省第25号法案提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据魁北克省第25号法案提供退出链接选项。 法律依据: Quebec Law 25 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1686 | LAW25-006 | 未根据魁北克省第25号法案提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据魁北克省第25号法案提供显着的退出机制。 法律依据: Quebec Law 25 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1687 | LAW25-007 | 未根据魁北克省第25号法案提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据魁北克省第25号法案提供退出选项。 法律依据: Quebec Law 25 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1688 | LAW25-008 | 未经同意处理敏感个人数据违反魁北克省第25号法案 根据魁北克省第25号法案，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: Quebec Law 25 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1689 | LAW25-009 | 未根据魁北克省第25号法案进行数据保护影响评估 该组织未能针对魁北克省第25号法案下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: Quebec Law 25 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1690 | LAW25-010 | 未根据魁北克省第25号法案提供合规的收集时声明 该网站在收集个人信息时，未能根据魁北克省第25号法案展示合规的隐私披露声明。 法律依据: Quebec Law 25 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1691 | TDDDG-001 | 未根据德国电信和电传媒体数据保护法 (TDDDG)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据德国电信和电传媒体数据保护法 (TDDDG)请求访问其存储的个人数据。 法律依据: German Telecommunications-Telemedia Data Protection Act (TDDDG) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1692 | TDDDG-002 | 未根据德国电信和电传媒体数据保护法 (TDDDG)提供数据纠错机制 网站未能提供表格或流程，供用户根据德国电信和电传媒体数据保护法 (TDDDG)纠正收集到的不准确个人数据。 法律依据: German Telecommunications-Telemedia Data Protection Act (TDDDG) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1693 | TDDDG-003 | 未根据德国电信和电传媒体数据保护法 (TDDDG)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据德国电信和电传媒体数据保护法 (TDDDG)清除其个人资料的用户使用。 法律依据: German Telecommunications-Telemedia Data Protection Act (TDDDG) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1694 | TDDDG-004 | 未根据德国电信和电传媒体数据保护法 (TDDDG)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据德国电信和电传媒体数据保护法 (TDDDG)下载和传输其数据记录。 法律依据: German Telecommunications-Telemedia Data Protection Act (TDDDG) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1695 | TDDDG-005 | 未根据德国电信和电传媒体数据保护法 (TDDDG)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据德国电信和电传媒体数据保护法 (TDDDG)提供退出链接选项。 法律依据: German Telecommunications-Telemedia Data Protection Act (TDDDG) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1696 | TDDDG-006 | 未根据德国电信和电传媒体数据保护法 (TDDDG)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据德国电信和电传媒体数据保护法 (TDDDG)提供显着的退出机制。 法律依据: German Telecommunications-Telemedia Data Protection Act (TDDDG) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1697 | TDDDG-007 | 未根据德国电信和电传媒体数据保护法 (TDDDG)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据德国电信和电传媒体数据保护法 (TDDDG)提供退出选项。 法律依据: German Telecommunications-Telemedia Data Protection Act (TDDDG) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1698 | TDDDG-008 | 未经同意处理敏感个人数据违反德国电信和电传媒体数据保护法 (TDDDG) 根据德国电信和电传媒体数据保护法 (TDDDG)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: German Telecommunications-Telemedia Data Protection Act (TDDDG) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1699 | TDDDG-009 | 未根据德国电信和电传媒体数据保护法 (TDDDG)进行数据保护影响评估 该组织未能针对德国电信和电传媒体数据保护法 (TDDDG)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: German Telecommunications-Telemedia Data Protection Act (TDDDG) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1700 | TDDDG-010 | 未根据德国电信和电传媒体数据保护法 (TDDDG)提供合规的收集时声明 该网站在收集个人信息时，未能根据德国电信和电传媒体数据保护法 (TDDDG)展示合规的隐私披露声明。 法律依据: German Telecommunications-Telemedia Data Protection Act (TDDDG) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1701 | SGPDPA-001 | 未根据新加坡个人数据保护法 (PDPA)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据新加坡个人数据保护法 (PDPA)请求访问其存储的个人数据。 法律依据: Singapore Personal Data Protection Act (PDPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1702 | SGPDPA-002 | 未根据新加坡个人数据保护法 (PDPA)提供数据纠错机制 网站未能提供表格或流程，供用户根据新加坡个人数据保护法 (PDPA)纠正收集到的不准确个人数据。 法律依据: Singapore Personal Data Protection Act (PDPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1703 | SGPDPA-003 | 未根据新加坡个人数据保护法 (PDPA)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据新加坡个人数据保护法 (PDPA)清除其个人资料的用户使用。 法律依据: Singapore Personal Data Protection Act (PDPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1704 | SGPDPA-004 | 未根据新加坡个人数据保护法 (PDPA)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据新加坡个人数据保护法 (PDPA)下载和传输其数据记录。 法律依据: Singapore Personal Data Protection Act (PDPA) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1705 | SGPDPA-005 | 未根据新加坡个人数据保护法 (PDPA)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据新加坡个人数据保护法 (PDPA)提供退出链接选项。 法律依据: Singapore Personal Data Protection Act (PDPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1706 | SGPDPA-006 | 未根据新加坡个人数据保护法 (PDPA)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据新加坡个人数据保护法 (PDPA)提供显着的退出机制。 法律依据: Singapore Personal Data Protection Act (PDPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1707 | SGPDPA-007 | 未根据新加坡个人数据保护法 (PDPA)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据新加坡个人数据保护法 (PDPA)提供退出选项。 法律依据: Singapore Personal Data Protection Act (PDPA) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1708 | SGPDPA-008 | 未经同意处理敏感个人数据违反新加坡个人数据保护法 (PDPA) 根据新加坡个人数据保护法 (PDPA)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: Singapore Personal Data Protection Act (PDPA) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1709 | SGPDPA-009 | 未根据新加坡个人数据保护法 (PDPA)进行数据保护影响评估 该组织未能针对新加坡个人数据保护法 (PDPA)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: Singapore Personal Data Protection Act (PDPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1710 | SGPDPA-010 | 未根据新加坡个人数据保护法 (PDPA)提供合规的收集时声明 该网站在收集个人信息时，未能根据新加坡个人数据保护法 (PDPA)展示合规的隐私披露声明。 法律依据: Singapore Personal Data Protection Act (PDPA) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1711 | AUSAPP-001 | 未根据澳大利亚隐私原则 (APPs)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据澳大利亚隐私原则 (APPs)请求访问其存储的个人数据。 法律依据: Australian Privacy Principles (APPs) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1712 | AUSAPP-002 | 未根据澳大利亚隐私原则 (APPs)提供数据纠错机制 网站未能提供表格或流程，供用户根据澳大利亚隐私原则 (APPs)纠正收集到的不准确个人数据。 法律依据: Australian Privacy Principles (APPs) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1713 | AUSAPP-003 | 未根据澳大利亚隐私原则 (APPs)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据澳大利亚隐私原则 (APPs)清除其个人资料的用户使用。 法律依据: Australian Privacy Principles (APPs) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1714 | AUSAPP-004 | 未根据澳大利亚隐私原则 (APPs)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据澳大利亚隐私原则 (APPs)下载和传输其数据记录。 法律依据: Australian Privacy Principles (APPs) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1715 | AUSAPP-005 | 未根据澳大利亚隐私原则 (APPs)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据澳大利亚隐私原则 (APPs)提供退出链接选项。 法律依据: Australian Privacy Principles (APPs) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1716 | AUSAPP-006 | 未根据澳大利亚隐私原则 (APPs)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据澳大利亚隐私原则 (APPs)提供显着的退出机制。 法律依据: Australian Privacy Principles (APPs) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1717 | AUSAPP-007 | 未根据澳大利亚隐私原则 (APPs)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据澳大利亚隐私原则 (APPs)提供退出选项。 法律依据: Australian Privacy Principles (APPs) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1718 | AUSAPP-008 | 未经同意处理敏感个人数据违反澳大利亚隐私原则 (APPs) 根据澳大利亚隐私原则 (APPs)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: Australian Privacy Principles (APPs) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1719 | AUSAPP-009 | 未根据澳大利亚隐私原则 (APPs)进行数据保护影响评估 该组织未能针对澳大利亚隐私原则 (APPs)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: Australian Privacy Principles (APPs) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1720 | AUSAPP-010 | 未根据澳大利亚隐私原则 (APPs)提供合规的收集时声明 该网站在收集个人信息时，未能根据澳大利亚隐私原则 (APPs)展示合规的隐私披露声明。 法律依据: Australian Privacy Principles (APPs) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1721 | NZPRIV-001 | 未根据新西兰2020年隐私法提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据新西兰2020年隐私法请求访问其存储的个人数据。 法律依据: New Zealand Privacy Act 2020 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1722 | NZPRIV-002 | 未根据新西兰2020年隐私法提供数据纠错机制 网站未能提供表格或流程，供用户根据新西兰2020年隐私法纠正收集到的不准确个人数据。 法律依据: New Zealand Privacy Act 2020 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1723 | NZPRIV-003 | 未根据新西兰2020年隐私法提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据新西兰2020年隐私法清除其个人资料的用户使用。 法律依据: New Zealand Privacy Act 2020 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1724 | NZPRIV-004 | 未根据新西兰2020年隐私法提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据新西兰2020年隐私法下载和传输其数据记录。 法律依据: New Zealand Privacy Act 2020 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1725 | NZPRIV-005 | 未根据新西兰2020年隐私法提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据新西兰2020年隐私法提供退出链接选项。 法律依据: New Zealand Privacy Act 2020 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1726 | NZPRIV-006 | 未根据新西兰2020年隐私法提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据新西兰2020年隐私法提供显着的退出机制。 法律依据: New Zealand Privacy Act 2020 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1727 | NZPRIV-007 | 未根据新西兰2020年隐私法提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据新西兰2020年隐私法提供退出选项。 法律依据: New Zealand Privacy Act 2020 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1728 | NZPRIV-008 | 未经同意处理敏感个人数据违反新西兰2020年隐私法 根据新西兰2020年隐私法，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: New Zealand Privacy Act 2020 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1729 | NZPRIV-009 | 未根据新西兰2020年隐私法进行数据保护影响评估 该组织未能针对新西兰2020年隐私法下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: New Zealand Privacy Act 2020 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1730 | NZPRIV-010 | 未根据新西兰2020年隐私法提供合规的收集时声明 该网站在收集个人信息时，未能根据新西兰2020年隐私法展示合规的隐私披露声明。 法律依据: New Zealand Privacy Act 2020 | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1731 | JPAPPI-001 | 未根据日本个人信息保护法 (APPI)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据日本个人信息保护法 (APPI)请求访问其存储的个人数据。 法律依据: Japan Act on the Protection of Personal Information (APPI) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1732 | JPAPPI-002 | 未根据日本个人信息保护法 (APPI)提供数据纠错机制 网站未能提供表格或流程，供用户根据日本个人信息保护法 (APPI)纠正收集到的不准确个人数据。 法律依据: Japan Act on the Protection of Personal Information (APPI) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1733 | JPAPPI-003 | 未根据日本个人信息保护法 (APPI)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据日本个人信息保护法 (APPI)清除其个人资料的用户使用。 法律依据: Japan Act on the Protection of Personal Information (APPI) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1734 | JPAPPI-004 | 未根据日本个人信息保护法 (APPI)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据日本个人信息保护法 (APPI)下载和传输其数据记录。 法律依据: Japan Act on the Protection of Personal Information (APPI) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1735 | JPAPPI-005 | 未根据日本个人信息保护法 (APPI)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据日本个人信息保护法 (APPI)提供退出链接选项。 法律依据: Japan Act on the Protection of Personal Information (APPI) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1736 | JPAPPI-006 | 未根据日本个人信息保护法 (APPI)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据日本个人信息保护法 (APPI)提供显着的退出机制。 法律依据: Japan Act on the Protection of Personal Information (APPI) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1737 | JPAPPI-007 | 未根据日本个人信息保护法 (APPI)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据日本个人信息保护法 (APPI)提供退出选项。 法律依据: Japan Act on the Protection of Personal Information (APPI) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1738 | JPAPPI-008 | 未经同意处理敏感个人数据违反日本个人信息保护法 (APPI) 根据日本个人信息保护法 (APPI)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: Japan Act on the Protection of Personal Information (APPI) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1739 | JPAPPI-009 | 未根据日本个人信息保护法 (APPI)进行数据保护影响评估 该组织未能针对日本个人信息保护法 (APPI)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: Japan Act on the Protection of Personal Information (APPI) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1740 | JPAPPI-010 | 未根据日本个人信息保护法 (APPI)提供合规的收集时声明 该网站在收集个人信息时，未能根据日本个人信息保护法 (APPI)展示合规的隐私披露声明。 法律依据: Japan Act on the Protection of Personal Information (APPI) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1741 | KRPIPA-001 | 未根据韩国个人信息保护法 (PIPA)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据韩国个人信息保护法 (PIPA)请求访问其存储的个人数据。 法律依据: South Korea Personal Information Protection Act (PIPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1742 | KRPIPA-002 | 未根据韩国个人信息保护法 (PIPA)提供数据纠错机制 网站未能提供表格或流程，供用户根据韩国个人信息保护法 (PIPA)纠正收集到的不准确个人数据。 法律依据: South Korea Personal Information Protection Act (PIPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1743 | KRPIPA-003 | 未根据韩国个人信息保护法 (PIPA)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据韩国个人信息保护法 (PIPA)清除其个人资料的用户使用。 法律依据: South Korea Personal Information Protection Act (PIPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1744 | KRPIPA-004 | 未根据韩国个人信息保护法 (PIPA)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据韩国个人信息保护法 (PIPA)下载和传输其数据记录。 法律依据: South Korea Personal Information Protection Act (PIPA) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1745 | KRPIPA-005 | 未根据韩国个人信息保护法 (PIPA)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据韩国个人信息保护法 (PIPA)提供退出链接选项。 法律依据: South Korea Personal Information Protection Act (PIPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1746 | KRPIPA-006 | 未根据韩国个人信息保护法 (PIPA)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据韩国个人信息保护法 (PIPA)提供显着的退出机制。 法律依据: South Korea Personal Information Protection Act (PIPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1747 | KRPIPA-007 | 未根据韩国个人信息保护法 (PIPA)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据韩国个人信息保护法 (PIPA)提供退出选项。 法律依据: South Korea Personal Information Protection Act (PIPA) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1748 | KRPIPA-008 | 未经同意处理敏感个人数据违反韩国个人信息保护法 (PIPA) 根据韩国个人信息保护法 (PIPA)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: South Korea Personal Information Protection Act (PIPA) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1749 | KRPIPA-009 | 未根据韩国个人信息保护法 (PIPA)进行数据保护影响评估 该组织未能针对韩国个人信息保护法 (PIPA)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: South Korea Personal Information Protection Act (PIPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1750 | KRPIPA-010 | 未根据韩国个人信息保护法 (PIPA)提供合规的收集时声明 该网站在收集个人信息时，未能根据韩国个人信息保护法 (PIPA)展示合规的隐私披露声明。 法律依据: South Korea Personal Information Protection Act (PIPA) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1751 | VNDPD-001 | 未根据越南个人数据保护令第 13/2023/ND-CP 号提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据越南个人数据保护令第 13/2023/ND-CP 号请求访问其存储的个人数据。 法律依据: Vietnam Personal Data Protection Decree 13/2023/ND-CP | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1752 | VNDPD-002 | 未根据越南个人数据保护令第 13/2023/ND-CP 号提供数据纠错机制 网站未能提供表格或流程，供用户根据越南个人数据保护令第 13/2023/ND-CP 号纠正收集到的不准确个人数据。 法律依据: Vietnam Personal Data Protection Decree 13/2023/ND-CP | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1753 | VNDPD-003 | 未根据越南个人数据保护令第 13/2023/ND-CP 号提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据越南个人数据保护令第 13/2023/ND-CP 号清除其个人资料的用户使用。 法律依据: Vietnam Personal Data Protection Decree 13/2023/ND-CP | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1754 | VNDPD-004 | 未根据越南个人数据保护令第 13/2023/ND-CP 号提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据越南个人数据保护令第 13/2023/ND-CP 号下载和传输其数据记录。 法律依据: Vietnam Personal Data Protection Decree 13/2023/ND-CP | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1755 | VNDPD-005 | 未根据越南个人数据保护令第 13/2023/ND-CP 号提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据越南个人数据保护令第 13/2023/ND-CP 号提供退出链接选项。 法律依据: Vietnam Personal Data Protection Decree 13/2023/ND-CP | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1756 | VNDPD-006 | 未根据越南个人数据保护令第 13/2023/ND-CP 号提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据越南个人数据保护令第 13/2023/ND-CP 号提供显着的退出机制。 法律依据: Vietnam Personal Data Protection Decree 13/2023/ND-CP | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1757 | VNDPD-007 | 未根据越南个人数据保护令第 13/2023/ND-CP 号提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据越南个人数据保护令第 13/2023/ND-CP 号提供退出选项。 法律依据: Vietnam Personal Data Protection Decree 13/2023/ND-CP | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1758 | VNDPD-008 | 未经同意处理敏感个人数据违反越南个人数据保护令第 13/2023/ND-CP 号 根据越南个人数据保护令第 13/2023/ND-CP 号，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: Vietnam Personal Data Protection Decree 13/2023/ND-CP | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1759 | VNDPD-009 | 未根据越南个人数据保护令第 13/2023/ND-CP 号进行数据保护影响评估 该组织未能针对越南个人数据保护令第 13/2023/ND-CP 号下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: Vietnam Personal Data Protection Decree 13/2023/ND-CP | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1760 | VNDPD-010 | 未根据越南个人数据保护令第 13/2023/ND-CP 号提供合规的收集时声明 该网站在收集个人信息时，未能根据越南个人数据保护令第 13/2023/ND-CP 号展示合规的隐私披露声明。 法律依据: Vietnam Personal Data Protection Decree 13/2023/ND-CP | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1761 | THPDPA-001 | 未根据泰国个人数据保护法 (PDPA)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据泰国个人数据保护法 (PDPA)请求访问其存储的个人数据。 法律依据: Thailand Personal Data Protection Act (PDPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1762 | THPDPA-002 | 未根据泰国个人数据保护法 (PDPA)提供数据纠错机制 网站未能提供表格或流程，供用户根据泰国个人数据保护法 (PDPA)纠正收集到的不准确个人数据。 法律依据: Thailand Personal Data Protection Act (PDPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1763 | THPDPA-003 | 未根据泰国个人数据保护法 (PDPA)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据泰国个人数据保护法 (PDPA)清除其个人资料的用户使用。 法律依据: Thailand Personal Data Protection Act (PDPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1764 | THPDPA-004 | 未根据泰国个人数据保护法 (PDPA)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据泰国个人数据保护法 (PDPA)下载和传输其数据记录。 法律依据: Thailand Personal Data Protection Act (PDPA) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1765 | THPDPA-005 | 未根据泰国个人数据保护法 (PDPA)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据泰国个人数据保护法 (PDPA)提供退出链接选项。 法律依据: Thailand Personal Data Protection Act (PDPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1766 | THPDPA-006 | 未根据泰国个人数据保护法 (PDPA)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据泰国个人数据保护法 (PDPA)提供显着的退出机制。 法律依据: Thailand Personal Data Protection Act (PDPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1767 | THPDPA-007 | 未根据泰国个人数据保护法 (PDPA)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据泰国个人数据保护法 (PDPA)提供退出选项。 法律依据: Thailand Personal Data Protection Act (PDPA) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1768 | THPDPA-008 | 未经同意处理敏感个人数据违反泰国个人数据保护法 (PDPA) 根据泰国个人数据保护法 (PDPA)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: Thailand Personal Data Protection Act (PDPA) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1769 | THPDPA-009 | 未根据泰国个人数据保护法 (PDPA)进行数据保护影响评估 该组织未能针对泰国个人数据保护法 (PDPA)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: Thailand Personal Data Protection Act (PDPA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1770 | THPDPA-010 | 未根据泰国个人数据保护法 (PDPA)提供合规的收集时声明 该网站在收集个人信息时，未能根据泰国个人数据保护法 (PDPA)展示合规的隐私披露声明。 法律依据: Thailand Personal Data Protection Act (PDPA) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1771 | INDPDP-001 | 未根据印度2023年数字个人数据保护法 (DPDP)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据印度2023年数字个人数据保护法 (DPDP)请求访问其存储的个人数据。 法律依据: India Digital Personal Data Protection Act 2023 (DPDP) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1772 | INDPDP-002 | 未根据印度2023年数字个人数据保护法 (DPDP)提供数据纠错机制 网站未能提供表格或流程，供用户根据印度2023年数字个人数据保护法 (DPDP)纠正收集到的不准确个人数据。 法律依据: India Digital Personal Data Protection Act 2023 (DPDP) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1773 | INDPDP-003 | 未根据印度2023年数字个人数据保护法 (DPDP)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据印度2023年数字个人数据保护法 (DPDP)清除其个人资料的用户使用。 法律依据: India Digital Personal Data Protection Act 2023 (DPDP) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1774 | INDPDP-004 | 未根据印度2023年数字个人数据保护法 (DPDP)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据印度2023年数字个人数据保护法 (DPDP)下载和传输其数据记录。 法律依据: India Digital Personal Data Protection Act 2023 (DPDP) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1775 | INDPDP-005 | 未根据印度2023年数字个人数据保护法 (DPDP)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据印度2023年数字个人数据保护法 (DPDP)提供退出链接选项。 法律依据: India Digital Personal Data Protection Act 2023 (DPDP) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1776 | INDPDP-006 | 未根据印度2023年数字个人数据保护法 (DPDP)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据印度2023年数字个人数据保护法 (DPDP)提供显着的退出机制。 法律依据: India Digital Personal Data Protection Act 2023 (DPDP) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1777 | INDPDP-007 | 未根据印度2023年数字个人数据保护法 (DPDP)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据印度2023年数字个人数据保护法 (DPDP)提供退出选项。 法律依据: India Digital Personal Data Protection Act 2023 (DPDP) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1778 | INDPDP-008 | 未经同意处理敏感个人数据违反印度2023年数字个人数据保护法 (DPDP) 根据印度2023年数字个人数据保护法 (DPDP)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: India Digital Personal Data Protection Act 2023 (DPDP) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1779 | INDPDP-009 | 未根据印度2023年数字个人数据保护法 (DPDP)进行数据保护影响评估 该组织未能针对印度2023年数字个人数据保护法 (DPDP)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: India Digital Personal Data Protection Act 2023 (DPDP) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1780 | INDPDP-010 | 未根据印度2023年数字个人数据保护法 (DPDP)提供合规的收集时声明 该网站在收集个人信息时，未能根据印度2023年数字个人数据保护法 (DPDP)展示合规的隐私披露声明。 法律依据: India Digital Personal Data Protection Act 2023 (DPDP) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1781 | BRLGPD-001 | 未根据巴西通用数据保护法 (LGPD)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据巴西通用数据保护法 (LGPD)请求访问其存储的个人数据。 法律依据: Brazil General Data Protection Law (LGPD) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1782 | BRLGPD-002 | 未根据巴西通用数据保护法 (LGPD)提供数据纠错机制 网站未能提供表格或流程，供用户根据巴西通用数据保护法 (LGPD)纠正收集到的不准确个人数据。 法律依据: Brazil General Data Protection Law (LGPD) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1783 | BRLGPD-003 | 未根据巴西通用数据保护法 (LGPD)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据巴西通用数据保护法 (LGPD)清除其个人资料的用户使用。 法律依据: Brazil General Data Protection Law (LGPD) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1784 | BRLGPD-004 | 未根据巴西通用数据保护法 (LGPD)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据巴西通用数据保护法 (LGPD)下载和传输其数据记录。 法律依据: Brazil General Data Protection Law (LGPD) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1785 | BRLGPD-005 | 未根据巴西通用数据保护法 (LGPD)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据巴西通用数据保护法 (LGPD)提供退出链接选项。 法律依据: Brazil General Data Protection Law (LGPD) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1786 | BRLGPD-006 | 未根据巴西通用数据保护法 (LGPD)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据巴西通用数据保护法 (LGPD)提供显着的退出机制。 法律依据: Brazil General Data Protection Law (LGPD) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1787 | BRLGPD-007 | 未根据巴西通用数据保护法 (LGPD)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据巴西通用数据保护法 (LGPD)提供退出选项。 法律依据: Brazil General Data Protection Law (LGPD) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1788 | BRLGPD-008 | 未经同意处理敏感个人数据违反巴西通用数据保护法 (LGPD) 根据巴西通用数据保护法 (LGPD)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: Brazil General Data Protection Law (LGPD) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1789 | BRLGPD-009 | 未根据巴西通用数据保护法 (LGPD)进行数据保护影响评估 该组织未能针对巴西通用数据保护法 (LGPD)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: Brazil General Data Protection Law (LGPD) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1790 | BRLGPD-010 | 未根据巴西通用数据保护法 (LGPD)提供合规的收集时声明 该网站在收集个人信息时，未能根据巴西通用数据保护法 (LGPD)展示合规的隐私披露声明。 法律依据: Brazil General Data Protection Law (LGPD) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1791 | ZAPOPI-001 | 未根据南非个人信息保护法 (POPIA)提供有效的数据访问渠道 该网站未提供有效的访问机制或联系邮箱，供用户根据南非个人信息保护法 (POPIA)请求访问其存储的个人数据。 法律依据: South Africa Protection of Personal Information Act (POPIA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1792 | ZAPOPI-002 | 未根据南非个人信息保护法 (POPIA)提供数据纠错机制 网站未能提供表格或流程，供用户根据南非个人信息保护法 (POPIA)纠正收集到的不准确个人数据。 法律依据: South Africa Protection of Personal Information Act (POPIA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1793 | ZAPOPI-003 | 未根据南非个人信息保护法 (POPIA)提供数据删除入口 网站缺乏清晰的删除请求机制，供要求根据南非个人信息保护法 (POPIA)清除其个人资料的用户使用。 法律依据: South Africa Protection of Personal Information Act (POPIA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1794 | ZAPOPI-004 | 未根据南非个人信息保护法 (POPIA)提供便携的数据导出功能 网站未能提供便携式、结构化的格式，供用户根据南非个人信息保护法 (POPIA)下载和传输其数据记录。 法律依据: South Africa Protection of Personal Information Act (POPIA) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1795 | ZAPOPI-005 | 未根据南非个人信息保护法 (POPIA)提供退出定向广告的选项 该网站部署了用于行为广告的追踪像素，但未根据南非个人信息保护法 (POPIA)提供退出链接选项。 法律依据: South Africa Protection of Personal Information Act (POPIA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1796 | ZAPOPI-006 | 未根据南非个人信息保护法 (POPIA)提供退出个人数据销售的选项 该网站与营销经纪商共享用户详细信息，但未根据南非个人信息保护法 (POPIA)提供显着的退出机制。 法律依据: South Africa Protection of Personal Information Act (POPIA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1797 | ZAPOPI-007 | 未根据南非个人信息保护法 (POPIA)提供退出自动化画像分析的选项 该网站使用自动化决策模型评估客户资格，但未根据南非个人信息保护法 (POPIA)提供退出选项。 法律依据: South Africa Protection of Personal Information Act (POPIA) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1798 | ZAPOPI-008 | 未经同意处理敏感个人数据违反南非个人信息保护法 (POPIA) 根据南非个人信息保护法 (POPIA)，该网站在未获得积极同意的情况下，收集敏感的个人记录（健康、信仰、财务）。 法律依据: South Africa Protection of Personal Information Act (POPIA) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1799 | ZAPOPI-009 | 未根据南非个人信息保护法 (POPIA)进行数据保护影响评估 该组织未能针对南非个人信息保护法 (POPIA)下的高风险网页画像分析进行或记录必需的风险评估。 法律依据: South Africa Protection of Personal Information Act (POPIA) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1800 | ZAPOPI-010 | 未根据南非个人信息保护法 (POPIA)提供合规的收集时声明 该网站在收集个人信息时，未能根据南非个人信息保护法 (POPIA)展示合规的隐私披露声明。 法律依据: South Africa Protection of Personal Information Act (POPIA) | critical | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1801 | TXSBB-001 | 数据经纪商未在得克萨斯州登记 收集、处理或转移并非直接从个人处获取的个人数据的企业，看起来在得克萨斯州以数据经纪商身份经营，却未向得州州务卿登记（登记费 300 美元）。处罚：每天至少 100 美元外加未缴费用，12 个月内最高 10,000 美元。须以公开登记册而非网站确认。 法律依据: Tex. Bus. & Com. Code § 510.005 Tex. Bus. & Com. Code § 510.005 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1802 | TXSBB-002 | 网站未显著公示数据经纪商声明（得克萨斯州） 数据经纪商的网站或应用未发布显著声明，说明该实体是数据经纪商；声明须清晰、不具误导性、公众（包括残障人士）易于获取，并包含得州州务卿规定的文字。处罚：每天至少 100 美元，12 个月内最高 10,000 美元。 法律依据: Tex. Bus. & Com. Code § 510.004(1)–(3) Tex. Bus. & Com. Code § 510.004 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1803 | TXSBB-003 | 数据经纪商声明未说明隐私权利行使方式（得克萨斯州） 网站或应用上的数据经纪商声明未告知消费者如何行使得州《数据隐私与安全法》（第 541 章）规定的权利；该要求自 2025 年 9 月 1 日起生效。 法律依据: Tex. Bus. & Com. Code § 510.004(4) Tex. Bus. & Com. Code § 510.004 | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1804 | TXSBB-004 | 缺少全面的信息安全计划（得州数据经纪商） 在得州经营的数据经纪商显示出数据保护薄弱的迹象（例如数据外泄或缺少基本防护），表明其缺少得州要求数据经纪商具备的、包含行政、技术和物理防护措施的书面全面信息安全计划。须经审计确认。 法律依据: Tex. Bus. & Com. Code § 510.007 Tex. Bus. & Com. Code § 510.007 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1805 | TXSBB-005 | 数据经纪商未在加州隐私保护局登记 符合数据经纪商定义的企业看起来未在次年 1 月 31 日前向加州隐私保护局登记。行政罚款：未登记期间每天 200 美元，外加未缴费用和相关费用。须以该局登记册而非网站确认。 法律依据: Cal. Civ. Code § 1798.99.82 Cal. Civ. Code § 1798.99.82 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1806 | TXSBB-006 | 数据经纪商隐私政策未披露请求统计（加州） 数据经纪商的隐私政策未在每年 7 月 1 日前披露上一年收到、全部或部分执行及拒绝的删除、访问、退出等消费者请求数量，以及响应时间的中位数和平均数与拒绝理由。 法律依据: Cal. Civ. Code § 1798.99.85 Cal. Civ. Code § 1798.99.85 | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1807 | TXSBB-007 | 数据经纪商未处理加州 DROP 删除请求 自 2026 年 8 月 1 日起，已登记的数据经纪商须至少每 45 天访问加州隐私保护局的统一删除机制，并删除提出请求的消费者的个人信息。若消费者数据仍被展示等迹象表明其未履行该义务。罚款：每项删除请求每延误一天 200 美元。 法律依据: Cal. Civ. Code § 1798.99.86(c) Cal. Civ. Code § 1798.99.86 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1808 | TXSBB-008 | 数据经纪商未在佛蒙特州登记 数据经纪商看起来未在每年 1 月 31 日前向佛蒙特州州务卿完成年度登记（费用 100 美元），并说明退出方式、不可退出的活动、买方资质审核及上一年度的安全事件。须以州登记册而非网站确认。 法律依据: 9 V.S.A. § 2446 (Vermont) 9 V.S.A. § 2446 | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1809 | TXSBB-009 | 缺少书面信息安全计划（佛蒙特州数据经纪商） 数据保护薄弱的迹象表明，数据经纪商缺少佛蒙特州要求的书面全面信息安全计划，包括指定负责维护的员工以及识别个人身份信息面临的可预见内外部风险。须经审计确认。 法律依据: 9 V.S.A. § 2447 (Vermont) 9 V.S.A. § 2447 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1810 | TXSBB-010 | 缺少显著的隐私权利说明页面（得州数据经纪商） 数据经纪商网站没有显著展示消费者如何行使得州《数据隐私与安全法》权利具体说明的页面；自 2025 年 9 月 1 日起，数据经纪商向州务卿登记时必须提供该页面的链接。 法律依据: Tex. Bus. & Com. Code § 510.005(b)(2-a) Tex. Bus. & Com. Code § 510.005 | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1811 | WAHMHD-001 | 在线下医疗机构周围设置地理围栏（华盛顿州） 网站上的位置追踪或广告技术表明，其可能在提供线下医疗服务的机构周围设置了地理围栏（2,000 英尺以内的虚拟边界），用以识别或追踪就医者、收集其健康数据，或向其发送与健康相关的信息或广告。华盛顿州将此列为违法行为；须经对位置投放活动的审计确认。 法律依据: RCW 19.373.080 (Washington My Health My Data Act) RCW 19.373.080 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 1812 | WAHMHD-002 | 首页缺少消费者健康数据隐私政策链接（华盛顿州） 收集消费者健康数据的企业未在首页显著发布单独的消费者健康数据隐私政策链接，而华盛顿州《我的健康我的数据法》对受监管实体和小企业有此要求。 法律依据: RCW 19.373.020(1)(b) (Washington My Health My Data Act) RCW 19.373.020 | serious | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 1813 | WAHMHD-003 | 健康数据隐私政策缺少法定披露内容（华盛顿州） 消费者健康数据隐私政策未清晰、显著地披露所收集的健康数据类别及目的、数据来源、共享的数据类别、接收数据的第三方类别和具体关联方，以及消费者如何行使其权利。 法律依据: RCW 19.373.020(1)(a) (Washington My Health My Data Act) RCW 19.373.020 | serious | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 1814 | WAHMHD-004 | 收集与共享健康数据共用一项同意（华盛顿州） 网站以单一同意同时涵盖消费者健康数据的收集和共享，而华盛顿州要求共享须取得独立于收集同意的单独同意，除非共享是提供消费者所请求服务所必需。 法律依据: RCW 19.373.030(1)(b) (Washington My Health My Data Act) RCW 19.373.030 | serious | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 1815 | WAHMHD-005 | 健康数据同意请求缺少法定信息（华盛顿州） 收集或共享消费者健康数据的同意请求未清晰、显著地说明数据类别、目的和具体用途、接收方类别，以及消费者如何撤回同意。 法律依据: RCW 19.373.030(1)(c) (Washington My Health My Data Act) RCW 19.373.030 | moderate | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 1816 | WAHMHD-006 | 无法提交健康数据权利请求（华盛顿州） 消费者健康数据隐私政策未说明安全可靠的请求提交方式（用于确认、访问、删除健康数据或撤回同意），且该方式应符合消费者与企业的常规互动方式。 法律依据: RCW 19.373.040(1)(d) (Washington My Health My Data Act) RCW 19.373.040 | moderate | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 1817 | WAHMHD-007 | 未经签署授权出售健康数据（华盛顿州） 存在出售或要约出售健康数据的迹象（例如数据出售披露，或广告技术伙伴接收健康信号），却未取得消费者签署的有效授权——须以通俗语言书写、独立于收集同意且一年后失效。须经对数据销售的审计确认。 法律依据: RCW 19.373.070 (Washington My Health My Data Act) RCW 19.373.070 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 1818 | WAHMHD-008 | 健康数据的安全与访问控制薄弱（华盛顿州） 可见的安全弱点表明，消费者健康数据的访问未限于确有需要的员工和处理者，且行政、技术和物理防护措施未达到行业合理注意标准。须经审计确认。 法律依据: RCW 19.373.050 (Washington My Health My Data Act) RCW 19.373.050 | serious | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 1819 | WAHMHD-009 | 在心理、生殖或性健康机构附近设置地理围栏（康涅狄格州） 位置追踪或广告技术表明，可能在心理健康、生殖或性健康机构 1,750 英尺范围内设置地理围栏，用以识别、追踪消费者、收集其数据或就其健康数据向其发送通知。康涅狄格州禁止此行为，由州总检察长执法。须经审计确认。 法律依据: Conn. Gen. Stat. § 42-526(a)(1)(C) (Connecticut) Conn. Gen. Stat. § 42-526 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 1820 | WAHMHD-010 | 未经同意出售消费者健康数据（康涅狄格州） 存在出售或要约出售消费者健康数据的迹象（例如向广告主提供基于健康特征的受众），却未事先取得消费者同意，康涅狄格州禁止此行为。须经对数据销售的审计确认。 法律依据: Conn. Gen. Stat. § 42-526(a)(1)(D) (Connecticut) Conn. Gen. Stat. § 42-526 | critical | HIPAA / Medical HIPAA 隐私规则 / 华盛顿州《我的健康我的数据法案》(MHMDA) | 每次违规 $145–$2,190,294，同类违规每年 $2,190,294（HIPAA）/ 每次违规最高 $7,500（MHMDA） HHS OCR 民事调查 / MHMDA 下的集体诉讼 / DOJ 起诉 |
| 1821 | NYDFS-001 | 未向纽约州金融服务部提交年度网络安全合规文件 受纽约州金融服务部（DFS）监管的金融服务公司，没有迹象表明其每年 4 月 15 日前提交上一年度实质遵守第 500 部分的书面证明，或附整改时间表的不合规书面确认。须向监管机构核实，而非通过网站确认。 法律依据: 23 NYCRR § 500.17(b) (NY DFS Cybersecurity Regulation) 23 NYCRR § 500.17 (DFS text) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1822 | NYDFS-002 | 非公开信息在传输中未加密（纽约州 DFS） 受 DFS 监管公司处理非公开信息的页面或表单通过普通 HTTP、混合内容或过时 TLS 提供，而第 500 部分要求对经外部网络传输的非公开信息采用符合行业标准的加密。 法律依据: 23 NYCRR § 500.15(a) (NY DFS Cybersecurity Regulation) 23 NYCRR § 500.15 (DFS text) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1823 | NYDFS-003 | 访问系统未采用多因素认证（纽约州 DFS） 受 DFS 监管公司暴露在互联网上的登录门户表明仅凭密码即可访问，而第 500 部分要求任何访问其信息系统的人员都使用多因素认证（适用有限豁免的小型公司至少须用于远程访问、含非公开信息的云应用及特权账户）。须经审计确认。 法律依据: 23 NYCRR § 500.12(a) (NY DFS Cybersecurity Regulation) 23 NYCRR § 500.12 (DFS text) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1824 | NYDFS-004 | 未进行年度渗透测试（纽约州 DFS） 长期存在且易被发现的弱点表明，该公司未按第 500 部分的要求，至少每年由合格方从内部和外部对其信息系统进行渗透测试。须经审计确认。 法律依据: 23 NYCRR § 500.5(a)(1) (NY DFS Cybersecurity Regulation) 23 NYCRR § 500.5 (DFS text) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1825 | NYDFS-005 | 已知漏洞未修复（纽约州 DFS） 受 DFS 监管公司的公开网站运行着存在公开已知漏洞版本的软件或库，而第 500 部分要求按风险优先级及时修复漏洞。 法律依据: 23 NYCRR § 500.5(c) (NY DFS Cybersecurity Regulation) 23 NYCRR § 500.5 (DFS text) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1826 | NYDFS-006 | 网络安全事件未在 72 小时内报告 DFS 存在网络安全事件的公开迹象（例如页面篡改、数据暴露或勒索软件通知），却无证据表明公司在确定事件发生后 72 小时内以电子方式通知了监管负责人，而第 500 部分对此有要求。须向监管机构核实。 法律依据: 23 NYCRR § 500.17(a) (NY DFS Cybersecurity Regulation) 23 NYCRR § 500.17 (DFS text) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1827 | NYDFS-007 | 缺少完整的资产清单（纽约州 DFS） 互联网上可见的被遗忘子域名、测试系统或过时服务表明，公司缺少第 500 部分要求的完整、准确且有记录的信息系统清单（包括所有者、位置、分类及支持终止日期）。须经审计确认。 法律依据: 23 NYCRR § 500.13(a) (NY DFS Cybersecurity Regulation) 23 NYCRR § 500.13 (DFS text) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1828 | NYDFS-008 | 远程控制协议处于开放状态（纽约州 DFS） 公司设备的远程控制服务（例如远程桌面或 VNC）看起来可从互联网访问，而第 500 部分要求禁用或安全配置所有允许远程控制设备的协议。此情况通过网络扫描而非网站可见，须经审计确认。 法律依据: 23 NYCRR § 500.7(a)(5) (NY DFS Cybersecurity Regulation) 23 NYCRR § 500.7 (DFS text) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1829 | NYDFS-009 | 未开展年度网络安全意识培训（纽约州 DFS） 易受社会工程攻击的迹象（例如员工邮箱和职务未加防护地公开，或发生钓鱼事件）表明，公司未按第 500 部分要求，至少每年为全体人员提供包含社会工程内容的网络安全意识培训。须经审计确认。 法律依据: 23 NYCRR § 500.14(a)(3) (NY DFS Cybersecurity Regulation) 23 NYCRR § 500.14 (DFS text) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1830 | NYDFS-010 | 缺少符合行业标准的密码策略（纽约州 DFS） 登录表单没有任何密码要求或常见密码防护的迹象，表明公司缺少第 500 部分要求的、在使用密码之处须符合行业标准的书面密码策略。须经审计确认。 法律依据: 23 NYCRR § 500.7(b) (NY DFS Cybersecurity Regulation) 23 NYCRR § 500.7 (DFS text) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1831 | PSD2-001 | 强客户认证（SCA）不合规 支付服务提供者看起来在付款人在线访问支付账户或发起电子支付时未采用强客户认证（知识、持有或固有特征中的两个独立要素），或未将远程支付与金额和收款人动态绑定。该义务由支付服务提供者承担；须经测试支付或审计确认。 法律依据: Directive (EU) 2015/2366 Art. 97(1)–(2) (PSD2) PSD2 Art. 97(1) | critical | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1832 | PSD2-002 | 使用消费者银行卡支付被收取附加费（欧盟） 结账流程对使用交换费受第 (EU) 2015/751 号条例监管的消费者借记卡或信用卡支付，或对 SEPA 转账和直接借记加收费用，而 PSD2 禁止收款人收取此类费用。 法律依据: Directive (EU) 2015/2366 Art. 62(4) (PSD2) PSD2 Art. 62(4) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1833 | PSD2-003 | 支付方式费用高于商家成本（欧盟） 网站就特定支付方式（例如电子钱包或商务卡）向消费者收取的费用，看起来超出商家为该支付方式承担的成本，而欧盟消费者法禁止这种做法。 法律依据: Directive 2011/83/EU Art. 19 (Consumer Rights Directive) Consumer Rights Directive Art. 19 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1834 | PSD2-004 | 提供货币转换却未披露费用和汇率（欧盟） 结账时收款人提供以另一种货币扣款（动态货币转换），却未事先披露全部费用及所用汇率，而 PSD2 要求作此披露并由付款人据此同意。 法律依据: Directive (EU) 2015/2366 Art. 59(2) (PSD2) PSD2 Art. 59(2) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1835 | PSD2-005 | 支付服务未提供执行时间、费用或汇率（欧盟） 支付服务提供者的网站（例如汇款服务）未在单笔支付前提供最长执行时间、全部费用及明细，以及实际或参考汇率，而 PSD2 对此有要求。 法律依据: Directive (EU) 2015/2366 Art. 45(1) (PSD2) PSD2 Art. 45(1) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1836 | PSD2-006 | 认证时未向付款人显示金额和收款人（欧盟） 远程支付的认证环节未向付款人显示金额和收款人，或认证码未与其绑定，而欧盟关于动态绑定的技术标准对此有要求。须经测试支付确认。 法律依据: Commission Delegated Regulation (EU) 2018/389 Art. 5 (SCA RTS) Delegated Regulation (EU) 2018/389 Art. 5 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1837 | PSD2-007 | 支付凭证保护不足（欧盟） 支付服务提供者的登录或支付页面在传输用户个性化安全凭证时缺乏充分保护，例如通过普通 HTTP、混合内容，或在加载未经审核的第三方脚本的页面上，而 PSD2 要求采取充分措施保护其机密性和完整性。 法律依据: Directive (EU) 2015/2366 Art. 97(3) (PSD2) PSD2 Art. 97(3) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1838 | PSD2-008 | 未向用户通报重大安全事件（欧盟） 支付服务提供者发生重大运营或安全事件的公开迹象，却无证据表明其在用户财务利益受到或可能受到影响时，已按 PSD2 要求及时告知用户事件情况及可采取的缓解措施。须经审计确认。 法律依据: Directive (EU) 2015/2366 Art. 96(1) (PSD2) PSD2 Art. 96(1) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1839 | PSD2-009 | 使用消费者银行卡支付被收取附加费（英国） 结账流程对使用消费者（非商务）卡支付或受 SEPA 条例管辖的支付收取费用，而在英国收款人不得就这些支付方式向付款人收取任何费用。 法律依据: UK Consumer Rights (Payment Surcharges) Regulations 2012 reg. 6A Consumer Rights (Payment Surcharges) Regulations 2012 reg. 6A | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1840 | PSD2-010 | 未采用强客户认证（英国） 英国支付服务提供者看起来在用户在线访问支付账户、发起电子支付或通过存在欺诈风险的远程渠道操作时未采用强客户认证，或未将远程支付与金额和收款人动态绑定。须经测试支付或审计确认。 法律依据: UK Payment Services Regulations 2017 reg. 100 Payment Services Regulations 2017 reg. 100 | critical | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1841 | PCISC-001 | 客户端脚本完整性控制不足 结账页面在未启用活动子资源完整性 (SRI) 验证过滤器的情况下加载外部 JavaScript 模块。 法律依据: PCI-DSS v4.0 Req. 6.4.3 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1842 | PCISC-002 | 客户端脚本完整性控制不足 — 审计与记录失效 结账页面在未启用活动子资源完整性 (SRI) 验证过滤器的情况下加载外部 JavaScript 模块。 审计跟踪不充分，未能记录配置设置。 法律依据: PCI-DSS v4.0 Req. 6.4.3 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1843 | PCISC-003 | 客户端脚本完整性控制不足 — 界面设计缺陷 结账页面在未启用活动子资源完整性 (SRI) 验证过滤器的情况下加载外部 JavaScript 模块。 用户界面采用了限制访问者访问或选择的设计组件。 法律依据: PCI-DSS v4.0 Req. 6.4.3 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1844 | PCISC-004 | 客户端脚本完整性控制不足 — 密码学强度不足 结账页面在未启用活动子资源完整性 (SRI) 验证过滤器的情况下加载外部 JavaScript 模块。 密码哈希算法或加密传输层低于基线标准。 法律依据: PCI-DSS v4.0 Req. 6.4.3 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1845 | PCISC-005 | 客户端脚本完整性控制不足 — 漏洞扫描失效 结账页面在未启用活动子资源完整性 (SRI) 验证过滤器的情况下加载外部 JavaScript 模块。 自动扫描工具未能定期在公共网络路径上运行。 法律依据: PCI-DSS v4.0 Req. 6.4.3 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1846 | PCISC-006 | 客户端脚本完整性控制不足 — 同意日志记录完整性缺陷 结账页面在未启用活动子资源完整性 (SRI) 验证过滤器的情况下加载外部 JavaScript 模块。 自动日志系统未能将客户选择存储在不可变的存储注册表中。 法律依据: PCI-DSS v4.0 Req. 6.4.3 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1847 | PCISC-007 | 客户端脚本完整性控制不足 — 退出链接可见性问题 结账页面在未启用活动子资源完整性 (SRI) 验证过滤器的情况下加载外部 JavaScript 模块。 页脚缺乏显着的链接允许访问者请求排除在数据追踪之外。 法律依据: PCI-DSS v4.0 Req. 6.4.3 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1848 | PCISC-008 | 客户端脚本完整性控制不足 — 隐私声明披露不足 结账页面在未启用活动子资源完整性 (SRI) 验证过滤器的情况下加载外部 JavaScript 模块。 披露未能清楚说明个人文件处理的目的和范围。 法律依据: PCI-DSS v4.0 Req. 6.4.3 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1849 | PCISC-009 | 客户端脚本完整性控制不足 — 审计控制验证缺失 结账页面在未启用活动子资源完整性 (SRI) 验证过滤器的情况下加载外部 JavaScript 模块。 数据传输过程在没有确保记录有效性的自动检查情况下运行。 法律依据: PCI-DSS v4.0 Req. 6.4.3 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1850 | PCISC-010 | 客户端脚本完整性控制不足 — 管理员凭据安全弱点 结账页面在未启用活动子资源完整性 (SRI) 验证过滤器的情况下加载外部 JavaScript 模块。 管理控制台允许使用标准用户凭据，且未强制执行 MFA 密钥。 法律依据: PCI-DSS v4.0 Req. 6.4.3 | serious | PCI-DSS / Security PCI DSS v4.0 | 无法定罚款（合同标准） 卡网络罚款 / 强制取证审计 / 信用卡处理终止 |
| 1851 | GLBAS-001 | 金融数据缺少安全传输控制 受 FTC 管辖的非银行金融机构（例如贷款机构、抵押贷款经纪人或报税服务商）的申请或账户页面，通过普通 HTTP、混合内容或过时 TLS 传输社会安全号码、信用数据等客户信息，而《保障规则》要求对经外部网络传输的所有客户信息进行加密。 法律依据: 16 CFR § 314.4(c)(3) (GLBA Safeguards Rule) 16 CFR 314.4 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1852 | GLBAS-002 | 访问系统未采用多因素认证（GLBA） 登录门户没有多因素认证的迹象，而《保障规则》要求任何访问任何信息系统的人员都使用多因素认证，除非合格负责人书面批准了合理同等或更安全的控制措施。须经审计确认。 法律依据: 16 CFR § 314.4(c)(5) (GLBA Safeguards Rule) 16 CFR 314.4 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1853 | GLBAS-003 | 未进行渗透测试或半年一次的漏洞扫描（GLBA） 公开已知的漏洞长期未修复，表明在缺乏持续监控的情况下，该机构未按《保障规则》对持有 5,000 名以上消费者信息的机构的要求，进行年度渗透测试及至少每六个月一次的漏洞评估。须经审计确认。 法律依据: 16 CFR § 314.4(d)(2) (GLBA Safeguards Rule) 16 CFR 314.4 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1854 | GLBAS-004 | 面向客户的应用存在不安全开发迹象（GLBA） 传输或存储客户信息的网络应用显示出不安全开发的迹象，例如暴露的版本控制目录、调试页面、详细错误信息或目录列表，而《保障规则》要求自研应用采用安全开发实践，并对外部应用进行安全测试。 法律依据: 16 CFR § 314.4(c)(4) (GLBA Safeguards Rule) 16 CFR 314.4 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1855 | GLBAS-005 | 涉及 500 名以上消费者的泄露未在 30 日内报告 FTC 存在涉及未加密客户信息的安全事件的公开迹象，却无证据表明该机构在发现后 30 日内以电子方式通知 FTC，而影响至少 500 名消费者时须如此通知。须向监管机构核实。 法律依据: 16 CFR § 314.4(j)(1) (GLBA Safeguards Rule) 16 CFR 314.4 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1856 | GLBAS-006 | 无必要地将客户信息保留超过两年（GLBA） 诸如无限期保留的声明或长期不活跃账户仍保存完整数据等迹象表明，该机构缺少在最后一次使用后两年内安全处置客户信息的程序（确有必要或法律要求保留的除外），也未定期审查其数据保留政策。须经审计确认。 法律依据: 16 CFR § 314.4(c)(6) (GLBA Safeguards Rule) 16 CFR 314.4 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1857 | GLBAS-007 | 安全计划缺少合格负责人（GLBA） 没有迹象表明指定了负责监督、实施和执行信息安全计划的合格负责人（例如完全没有安全联系人），而《保障规则》要求设立（可由服务提供商或关联公司人员担任）。须经审计确认。 法律依据: 16 CFR § 314.4(a) (GLBA Safeguards Rule) 16 CFR 314.4 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1858 | GLBAS-008 | 缺少书面事件响应计划（GLBA） 对安全事件响应迟缓或混乱的迹象表明，该机构缺少《保障规则》要求持有 5,000 名以上消费者信息的机构制定的书面事件响应计划（包括目标、角色、沟通、补救和记录）。须经审计确认。 法律依据: 16 CFR § 314.4(h) (GLBA Safeguards Rule) 16 CFR 314.4 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1859 | GLBAS-009 | 未对员工开展安全意识培训（GLBA） 易受社会工程攻击的迹象表明，该机构未按《保障规则》要求，为员工提供根据风险评估所识别风险而更新的安全意识培训。须经审计确认。 法律依据: 16 CFR § 314.4(e)(1) (GLBA Safeguards Rule) 16 CFR 314.4 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1860 | GLBAS-010 | 服务提供商在无监督下接收客户数据（GLBA） 第三方脚本或服务从申请或账户页面接收数据，表明该机构未按《保障规则》要求选择有能力的服务提供商、以合同约束其维持防护措施并定期评估。须经对合同和评估的审计确认。 法律依据: 16 CFR § 314.4(f) (GLBA Safeguards Rule) 16 CFR 314.4 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1861 | FTCDP-001 | 基于虚构原价的折扣 商品目录以划线“原价”作为折扣依据，但没有迹象表明该商品确曾在相当长的时间内以该价格公开、善意地定期出售，例如长期“促销”或从未实际收取的“原价”。FTC 指南将虚构的原价视为虚假优惠。 法律依据: 16 CFR § 233.1 (FTC Guides Against Deceptive Pricing) 16 CFR 233.1 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1862 | FTCDP-002 | 无依据的“对比价”或“参考价值” 商品页面显示“对比价”或“价值”价格，暗示其他零售商以该价格销售同一商品，但无证据表明该价格在当地确有相当数量的成交。 法律依据: 16 CFR § 233.2 (FTC Guides Against Deceptive Pricing) 16 CFR 233.2 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1863 | FTCDP-003 | 以制造商建议零售价作为虚构参照 折扣以制造商标价或建议零售价（MSRP）为基准计算，而市场上实际并无以该价格进行的相当数量的销售。 法律依据: 16 CFR § 233.3 (FTC Guides Against Deceptive Pricing) 16 CFR 233.3 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1864 | FTCDP-004 | “免费”或“买一送一”促销中抬高基础价格 “免费”赠品或“买一送一”活动以购买另一商品为条件，而该商品的价格被抬高，或其质量、数量被降低，以抵消赠品成本。 法律依据: 16 CFR § 233.4 (FTC Guides Against Deceptive Pricing) 16 CFR 233.4 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1865 | FTCDP-005 | 误导性的“批发价”“出厂价”或“限时”价格宣称 网站将零售价称为“批发价”或“出厂价”，宣传实际上并不限量的“限时/限量”优惠，或以完好商品的价格为基准对次品和瑕疵品打折而不作说明。 法律依据: 16 CFR § 233.5 (FTC Guides Against Deceptive Pricing) 16 CFR 233.5 | moderate | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1866 | FTCDP-006 | 活动门票或短租住宿隐藏强制性费用 票务或住宿网站显示的价格未包含强制性费用，或总价的显著程度低于其他价格信息。FTC 该规则仅适用于现场活动门票和短期住宿。 法律依据: 16 CFR § 464.2 (FTC Rule on Unfair or Deceptive Fees) 16 CFR 464.2 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1867 | FTCDP-007 | 歪曲服务费、预订费或度假村费 票务或住宿网站歪曲某项费用的性质、用途、金额或可退还性，或该费用所对应的内容——例如将“服务费”表述为政府税费。 法律依据: 16 CFR § 464.3 (FTC Rule on Unfair or Deceptive Fees) 16 CFR 464.3 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1868 | FTCDP-008 | 面向欧盟消费者的降价未标示 30 天前价 面向欧盟消费者宣布的折扣未显示“先前价格”，即商家在降价前至少 30 天内适用的最低价格。 法律依据: Directive 98/6/EC (Price Indication), Art. 6a Price Indication Directive Art. 6a | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1869 | FTCDP-009 | 加州：“原价”超过三个月 向加州消费者显示的“原价”在广告发布前三个月内并非通行市场价格，且未清楚说明该价格适用的日期。 法律依据: Cal. Bus. & Prof. Code § 17501 Cal. Bus. & Prof. Code § 17501 | moderate | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1870 | FTCDP-010 | 加州：显示价格未包含强制性费用 向加州消费者显示的价格未包含所有强制性费用；仅政府税费和实际运费可以不计入。 法律依据: Cal. Civ. Code § 1770(a)(29) Cal. Civ. Code § 1770 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1871 | FTCCC-001 | 在线开通的订阅无法在线取消 网站允许消费者在线接受自动续订服务，却不提供在线终止的途径，例如要求致电或与客服聊天。加利福尼亚州法律要求消费者可随时在线终止，且不得设置阻碍或拖延的步骤：须通过显著位置的直接链接或按钮（位于账户或设置中），或由商家提供、可直接发送的终止邮件。 法律依据: Cal. Bus. & Prof. Code § 17602(d)(1) Cal. Bus. & Prof. Code § 17602 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1872 | FTCCC-002 | 在收集付款信息前未披露重要条款 带有“负选择”功能（在消费者取消前持续扣费）的在线要约，在清晰、显著地披露交易全部重要条款（如价格、扣费频率以及在取消前会持续扣费）之前，就要求填写银行卡或账单信息。 法律依据: 15 U.S.C. § 8403(1) (ROSCA) 15 U.S.C. 8403 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1873 | FTCCC-003 | 未经明确知情同意即定期扣费 消费者在没有单独、主动表示同意的情况下被纳入定期扣费——例如通过预先勾选的复选框，或仅因完成购买——卖方因此未能在从银行卡或账户扣款前取得 ROSCA 要求的明确知情同意。 法律依据: 15 U.S.C. § 8403(2) (ROSCA) 15 U.S.C. 8403 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1874 | FTCCC-004 | 自动续订条款未显示在同意请求旁 在完成购买前，自动续订条款未以清晰、显著的方式呈现在同意请求的视觉邻近位置；如要约包含免费试用，未清楚说明试用结束后将收取的价格。 法律依据: Cal. Bus. & Prof. Code § 17602(a)(1) Cal. Bus. & Prof. Code § 17602 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1875 | FTCCC-005 | 合同文字削弱对自动续订的同意 要约或合同中含有干扰、分散、抵触或以其他方式削弱消费者对自动续订作出明确同意能力的信息，例如同意选项旁淡化或与续订条款相矛盾的文字。 法律依据: Cal. Bus. & Prof. Code § 17602(a)(5) Cal. Bus. & Prof. Code § 17602 | moderate | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1876 | FTCCC-006 | 挽留优惠旁没有可见的“click to cancel”按钮 消费者在线申请取消时，网站展示折扣、挽留福利或取消后果说明，却未同时在显著位置、持续且就近显示标有“click to cancel”（点击取消）或同义文字的直接链接或按钮。 法律依据: Cal. Bus. & Prof. Code § 17602(e)(2) Cal. Bus. & Prof. Code § 17602 | moderate | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1877 | FTCCC-007 | 缺少“Verträge hier kündigen”解约按钮（德国） 消费者可在其上订立有偿持续性合同的网站，没有仅标注“Verträge hier kündigen”（在此解除合同）或同样明确措辞、持续可用、可直接且便捷访问并直接通往确认页面的解约按钮。缺少该按钮时，消费者可随时解约，无需遵守通知期（德国民法典第 312k 条第 6 款）。 法律依据: BGB § 312k(2) (Germany) BGB § 312k | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1878 | FTCCC-008 | 解约确认页面不完整（德国） 解约按钮所通往的页面未要求并允许消费者填写解约类型（如为非常解约，需填写理由）、可明确识别其身份的信息、所涉合同、解约生效时间以及接收电子确认的方式，或页面上没有仅标注“jetzt kündigen”（立即解约）或同样明确措辞的确认按钮。 法律依据: BGB § 312k(2) sentence 3 (Germany) BGB § 312k | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1879 | FTCCC-009 | 取消比订阅更难（纽约州） 纽约州消费者无法随时通过与表示同意时同样简便、且经由同一渠道的机制取消，或取消受到阻碍或被不合理拖延，例如提供关于如何取消的虚假信息，或歪曲取消的后果或费用。 法律依据: N.Y. Gen. Bus. Law § 527-a(1)(d), (e) N.Y. Gen. Bus. Law § 527-a | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1880 | FTCCC-010 | 缺少“在此撤销合同”功能（欧盟） 对于通过在线界面订立的远程合同，网站未提供标注“withdraw from contract here”（在此撤销合同）或同义明确措辞的撤销功能；该功能须在显著位置展示、在整个撤销期内持续可用，并通往在线撤销声明及“confirm withdrawal”（确认撤销）步骤。自 2026 年 6 月 19 日起在欧盟适用（由第 (EU) 2023/2673 号指令增设）。 法律依据: Directive 2011/83/EU Art. 11a (Consumer Rights Directive) Consumer Rights Directive Art. 11a | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1881 | FTCFR-001 | 未披露的有偿评价激励 网站展示的评价或推荐来自从卖方获得报酬、免费或折扣商品、抽奖机会或其他利益的人，而这一重大关联未在评价旁清晰、显著地披露。 法律依据: 16 CFR § 255.5(a) (FTC Endorsement Guides) 16 CFR 255.5 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1882 | FTCFR-002 | 仅为好评提供奖励 网站以金钱、折扣、优惠券、礼品、抽奖资格或其他激励换取特定倾向的评价，例如五星好评即可打折。FTC《消费者评价与推荐规则》禁止以评价倾向（无论正面或负面）为条件提供激励。 法律依据: 16 CFR § 465.4 (FTC Consumer Reviews Rule) 16 CFR 465.4 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1883 | FTCFR-003 | 企业控制的网站被包装为独立评测 由企业控制、拥有或运营的评测或比较网站、“奖项”页面或组织，被呈现为对包括该企业自身产品或服务在内的某类产品或服务提供独立评测或意见。 法律依据: 16 CFR § 465.6 (FTC Consumer Reviews Rule) 16 CFR 465.6 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1884 | FTCFR-004 | 展示非常规效果的推荐却未说明一般效果 推荐内容描述产品关键属性上的效果（如减重、收入或节省金额），却未清晰、显著地披露消费者通常可预期的效果；除非广告主能证明此类效果具有代表性，FTC《推荐指南》要求作出该披露。 法律依据: 16 CFR § 255.2(b) (FTC Endorsement Guides) 16 CFR 255.2 | moderate | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1885 | FTCFR-005 | 服务条款限制或惩罚评价 网站的格式销售或服务条款禁止或限制客户发表评价、对评价收取费用或处以罚款，或要求客户转让评价的知识产权。根据美国《消费者评价公平法》，此类条款自始无效，提供此类条款即属违法；加州另行禁止放弃消费者就卖方或其商品发表言论权利的合同条款（罚款首次最高 2,500 美元，其后最高 5,000 美元）。 法律依据: 15 U.S.C. § 45b (Consumer Review Fairness Act); Cal. Civ. Code § 1670.8 15 U.S.C. 45bCal. Civ. Code § 1670.8 | serious | FTC Enforcement 联邦贸易委员会法 | 每次违规最高 $53,088 FTC 执法令 / 同意令 / 强制消费者退款 / 审计 |
| 1886 | FTCFR-006 | 未说明评价如何核实（欧盟） 网站提供消费者对其产品的评价，却未说明是否以及如何确保所发布的评价来自实际使用或购买过该产品的消费者；欧盟法律将此类信息视为重要信息，缺失可能构成误导性遗漏。 法律依据: Directive 2005/29/EC Art. 7(6) (Unfair Commercial Practices Directive) Unfair Commercial Practices Directive Art. 7(6) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1887 | FTCFR-007 | 宣称“已验证评价”却无实际核实（欧盟） 网站声称其评价来自实际使用或购买过产品的消费者（例如标注“已验证买家”），但无需核实购买或使用即可发布评价，例如通过开放表单。未采取合理、相称的核实措施而作此类声明，属于欧盟在任何情况下均禁止的行为清单。 法律依据: Directive 2005/29/EC Annex I point 23b Unfair Commercial Practices Directive Annex I | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1888 | FTCFR-008 | 以误导方式发布评价（英国） 消费者评价或由评价得出的信息（如平均星级）以误导方式发布，例如不发布或删除差评而展示好评、突出显示好评，或隐瞒评价系受委托撰写。自 2025 年 4 月 6 日起在英国任何情况下均被禁止。 法律依据: UK DMCCA 2024 Sch. 20 para. 13(2) DMCCA 2024 Sch. 20 para. 13 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1889 | FTCFR-009 | 平台未公示信用评价规则或删除评价（中国） 面向中国消费者的电子商务平台未公示信用评价规则，未为消费者提供对平台内销售的商品或者提供的服务进行评价的途径，或删除消费者对其平台内商品或服务的评价。 法律依据: E-Commerce Law of the PRC Art. 39 (China) E-Commerce Law of the PRC Art. 39 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1890 | FTCFR-010 | 受激励的评价未予说明（英国） 企业提交或委托他人提交、撰写隐瞒其受激励事实的消费者评价——评价者以任何方式受到委托，而该事实未在评价中或以其他方式显现。自 2025 年 4 月 6 日起在英国任何情况下均被禁止。 法律依据: UK DMCCA 2024 Sch. 20 para. 13(1)(b) DMCCA 2024 Sch. 20 para. 13 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1891 | EUDOR-001 | 关键系统未每周进行漏洞扫描 受 DORA 约束的金融实体没有迹象表明其对支持关键或重要功能的 ICT 资产至少每周进行一次自动化漏洞扫描，而欧盟 ICT 风险管理技术标准对此有明确要求。外部扫描只能提示这一缺口（例如长期未更新的软件），须经审计确认。 法律依据: Commission Delegated Regulation (EU) 2024/1774 Art. 10(2)(b) (ICT risk management RTS) Delegated Regulation (EU) 2024/1774 Art. 10(2)(b) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1892 | EUDOR-002 | 使用存在已知漏洞的过时第三方库 金融实体的公开网页界面加载了存在公开已知漏洞版本的第三方或开源库。欧盟 ICT 风险管理技术标准要求跟踪支持关键或重要功能的服务所使用的第三方库，并优先部署已发现漏洞的补丁。 法律依据: Commission Delegated Regulation (EU) 2024/1774 Art. 10(2)(d), (f) (ICT risk management RTS) Delegated Regulation (EU) 2024/1774 Art. 10(2)(d), (f) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1893 | EUDOR-003 | 经公共互联网的连接未加密 金融实体网络服务的页面或接口可通过普通 HTTP 访问且未重定向到 HTTPS，或 HTTPS 页面通过 HTTP 加载资源（混合内容），而欧盟 ICT 风险管理技术标准要求对经过公共网络的网络连接进行加密。 法律依据: Commission Delegated Regulation (EU) 2024/1774 Art. 13(e) (ICT risk management RTS) Delegated Regulation (EU) 2024/1774 Art. 13(e) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1894 | EUDOR-004 | TLS 证书已过期或未及时续期 金融实体网站的 TLS 证书已过期或将在数日内到期且未部署续期证书，而欧盟 ICT 风险管理技术标准要求在证书到期前及时续期。 法律依据: Commission Delegated Regulation (EU) 2024/1774 Art. 7(5) (ICT risk management RTS) Delegated Regulation (EU) 2024/1774 Art. 7(5) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1895 | EUDOR-005 | 仍接受过时的加密协议 金融实体网站仍接受 TLS 1.0 或 TLS 1.1，而 RFC 8996 已于 2021 年正式弃用这两个版本；欧盟 ICT 风险管理技术标准要求根据密码分析的发展更新密码技术。 法律依据: Commission Delegated Regulation (EU) 2024/1774 Art. 6(4) (ICT risk management RTS); RFC 8996 Delegated Regulation (EU) 2024/1774 Art. 6(4)RFC 8996 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1896 | EUDOR-006 | 缺少向客户和公众披露漏洞的程序 金融实体未显示向客户、交易对手和公众负责任地披露漏洞的程序（例如没有安全公告），而欧盟 ICT 风险管理技术标准要求建立此类程序。网站上缺失只能提示这一缺口，须经审计确认。 法律依据: Commission Delegated Regulation (EU) 2024/1774 Art. 10(2)(e) (ICT risk management RTS) Delegated Regulation (EU) 2024/1774 Art. 10(2)(e) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1897 | EUDOR-007 | 已发现的漏洞未记录和跟踪 外部可见的漏洞长期存在，表明影响 ICT 系统的已发现漏洞未被记录、其修复情况未被监控，而欧盟 ICT 风险管理技术标准对此有要求。仅能通过审计漏洞记录确认。 法律依据: Commission Delegated Regulation (EU) 2024/1774 Art. 10(2)(h) (ICT risk management RTS) Delegated Regulation (EU) 2024/1774 Art. 10(2)(h) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1898 | EUDOR-008 | 缺少最新的证书登记册 外部可见的证书问题（过期、不匹配或子域名上被遗忘的证书）表明，金融实体未按欧盟 ICT 风险管理技术标准的要求，为支持关键或重要功能的 ICT 资产维护最新的证书及证书存储设备登记册。须经审计确认。 法律依据: Commission Delegated Regulation (EU) 2024/1774 Art. 7(4) (ICT risk management RTS) Delegated Regulation (EU) 2024/1774 Art. 7(4) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1899 | EUDOR-009 | 未每年审查网络安全设计 暴露在外的管理界面或不必要的开放服务表明，金融实体未按欧盟 ICT 风险管理技术标准的要求，每年审查一次网络架构和网络安全设计以发现潜在漏洞。须经审计确认。 法律依据: Commission Delegated Regulation (EU) 2024/1774 Art. 13(i) (ICT risk management RTS) Delegated Regulation (EU) 2024/1774 Art. 13(i) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1900 | EUDOR-010 | 缺少重大 ICT 事件的危机沟通计划 金融实体未显示危机沟通安排（例如没有公开的状态页或事件通知渠道），无法向客户、交易对手和公众负责任地披露重大 ICT 相关事件或漏洞，而 DORA 要求将其纳入 ICT 风险管理框架。须经审计确认。 法律依据: Regulation (EU) 2022/2554 (DORA), Art. 14(1) DORA Art. 14(1) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1901 | EUCTA-001 | 网站缺少商业登记信息 在欧盟设立的服务提供者的网站，未以便捷、直接且永久可访问的方式提供其所登记的商业登记簿及登记号（或该登记簿中的同等识别方式）。 法律依据: Directive 2000/31/EC Art. 5(1)(d) (e-Commerce Directive) e-Commerce Directive Art. 5(1)(d) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1902 | EUCTA-002 | 缺少提供者名称、地理地址或直接联系方式 网站未永久提供服务提供者的名称、其设立地的地理地址，或可迅速直接联系的联系方式（包括电子邮箱地址）；仅有联系表单或邮政信箱并不能提供这些信息。 法律依据: Directive 2000/31/EC Art. 5(1)(a)–(c) (e-Commerce Directive) e-Commerce Directive Art. 5(1)(a) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1903 | EUCTA-003 | 未显示增值税识别号 其活动须缴纳增值税的服务提供者，未在网站上以便捷、直接且永久可访问的方式显示其增值税识别号。 法律依据: Directive 2000/31/EC Art. 5(1)(g) (e-Commerce Directive) e-Commerce Directive Art. 5(1)(g) | advisory | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1904 | EUCTA-004 | 许可类业务未注明监管机构 网站提供需经许可的业务（例如持牌金融、保险或支付服务），却未提供相关监管机构的详细信息。 法律依据: Directive 2000/31/EC Art. 5(1)(e) (e-Commerce Directive) e-Commerce Directive Art. 5(1)(e) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1905 | EUCTA-005 | 缺少或隐藏法律声明（Impressum）（德国） 提供商业性（通常为有偿）数字服务的网站，没有易于识别、可直接访问且持续可用的法律声明（Impressum），例如完全没有 Impressum 链接，需多次点击才能到达，或被隐藏在脚本之后。 法律依据: DDG § 5(1) (Germany) DDG § 5 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1906 | EUCTA-006 | Impressum 未写明法律形式或授权代表（德国） 公司（法人）的法律声明列出名称和地址，却遗漏法律形式或有权代表公司的人，而德国《数字服务法》（Digitale-Dienste-Gesetz，DDG）第 5 条第 1 款第 1 项对此有要求。 法律依据: DDG § 5(1) Nr. 1 (Germany) DDG § 5 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1907 | EUCTA-007 | 英国公司网站未披露注册号或注册办事处（英国） 在英国注册的公司网站未披露其注册地所属的英国地区、公司注册号及注册办事处地址。 法律依据: UK Company, LLP and Business (Names and Trading Disclosures) Regulations 2015 reg. 25 Company, LLP and Business (Names and Trading Disclosures) Regulations 2015 reg. 25 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1908 | EUCTA-008 | 价格未说明是否含税及运费（英国） 提及价格的在线服务未清楚、明确地标示价格，尤其未说明价格是否包含税费和运费。 法律依据: UK Electronic Commerce (EC Directive) Regulations 2002 reg. 6(2) Electronic Commerce (EC Directive) Regulations 2002 reg. 6 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1909 | EUCTA-009 | 首页未公示营业执照信息（中国） 面向中国消费者的电子商务经营者未在其首页显著位置持续公示营业执照信息、与其经营业务有关的行政许可信息（或上述信息的链接标识）。依第七十六条第（一）项可处一万元以下罚款。 法律依据: E-Commerce Law of the PRC Art. 15 (China) E-Commerce Law of the PRC Art. 15 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1910 | EUCTA-010 | 受监管职业未提供必要的职业信息 提供受监管职业服务（例如律师、医生、建筑师或会计师）的网站，未说明提供者所注册的职业团体、职业头衔及授予该头衔的成员国，或适用的职业规则及其获取方式。 法律依据: Directive 2000/31/EC Art. 5(1)(f) (e-Commerce Directive) e-Commerce Directive Art. 5(1)(f) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1911 | WCAG2-001 | 按钮点击目标尺寸不足 导航链接、图标和按钮等交互目标小于 24×24 CSS 像素，且不符合 WCAG 2.2 允许的间距、等效控件或其他例外（文本内链接、由浏览器控制或必要的尺寸），使行动不便者难以点击。 法律依据: WCAG 2.2 SC 2.5.8 WCAG 2.2 SC 2.5.8 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1912 | WCAG2-002 | 内容被锁定为单一屏幕方向 网站仅允许以竖屏或横屏方式查看或操作，而该方向并非必需，导致设备固定在某一方向的用户无法使用。 法律依据: WCAG 2.1 SC 1.3.4 WCAG 2.1 SC 1.3.4 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1913 | WCAG2-003 | 个人信息字段未标明输入用途（autocomplete） 收集用户本人信息（姓名、邮箱、电话、地址）的表单字段未以编程方式声明其用途（例如使用 HTML autocomplete 属性），浏览器和辅助技术无法自动填写或识别。 法律依据: WCAG 2.1 SC 1.3.5 WCAG 2.1 SC 1.3.5 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1914 | WCAG2-004 | 按钮、表单边框和图标对比度不足 控件的可见边界（输入框边框、按钮、复选框）以及有意义的图标与相邻颜色的对比度低于 3:1。 法律依据: WCAG 2.1 SC 1.4.11 WCAG 2.1 SC 1.4.11 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1915 | WCAG2-005 | 悬停弹出内容无法关闭或保持显示 悬停或获得焦点时出现的提示、菜单或弹出框，无法在不移动指针或焦点的情况下关闭，指针移入时即消失，或在用户读完之前就消失。 法律依据: WCAG 2.1 SC 1.4.13 WCAG 2.1 SC 1.4.13 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1916 | WCAG2-006 | 无法关闭的单键快捷键 网站使用由单个字母、数字或符号键构成的快捷键，且无法关闭、重新映射或仅在相关组件获得焦点时生效，导致语音输入用户误触发操作。 法律依据: WCAG 2.1 SC 2.1.4 WCAG 2.1 SC 2.1.4 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1917 | WCAG2-007 | 键盘焦点指示被隐藏 通过键盘移动到链接、按钮和表单控件时没有可见的焦点指示（常因 CSS 去除了轮廓线），键盘用户无法看到当前位置。 法律依据: WCAG 2.1 SC 2.4.7 WCAG 2.1 SC 2.4.7 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1918 | WCAG2-008 | 功能仅支持多指或路径手势 轮播、地图或滑块只能通过捏合、多指或滑动路径手势操作，没有单击或按钮替代方式。 法律依据: WCAG 2.1 SC 2.5.1 WCAG 2.1 SC 2.5.1 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1919 | WCAG2-009 | 按下即触发而非松开时触发 按钮或控件在点击或触摸的按下事件时即执行操作，误按的用户无法通过移开来取消。 法律依据: WCAG 2.1 SC 2.5.2 WCAG 2.1 SC 2.5.2 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1920 | WCAG2-010 | 可访问名称中不包含可见标签 按钮或链接的可访问名称（例如来自 aria-label）不包含其可见文本，使用语音输入的用户说出所见文字时无法激活它。 法律依据: WCAG 2.1 SC 2.5.3 WCAG 2.1 SC 2.5.3 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1921 | EAAAX-001 | 电子商务结账控件无障碍缺失 网店的身份识别、安全和支付功能（登录、验证码、银行卡字段、支付按钮）不具备可感知、可操作、可理解和稳健性（例如字段无标签、验证码无无障碍替代方式，或支付框中存在键盘陷阱），而《欧洲无障碍法案》要求这些功能无障碍。 法律依据: Directive (EU) 2019/882 Annex I Section IV(g)(ii)–(iii) (European Accessibility Act) European Accessibility Act Annex I | critical | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1922 | EAAAX-002 | 未向买家提供产品无障碍信息（欧盟） 网店的产品页面未提供所售产品或服务的无障碍信息，而《欧洲无障碍法案》要求电子商务服务在责任经营者（例如制造商）提供该信息时予以提供。 法律依据: Directive (EU) 2019/882 Annex I Section IV(g)(i) (European Accessibility Act) European Accessibility Act Annex I | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1923 | EAAAX-003 | 服务网站不可感知、不可操作、不可理解或不稳健（欧盟） 受《欧洲无障碍法案》约束的服务的网站或相关在线应用存在无障碍缺陷（例如缺少文本替代、对比度不足或键盘无法访问控件），而该法案要求网站和移动服务以一致、适当的方式实现无障碍。 法律依据: Directive (EU) 2019/882 Annex I Section III(c) (European Accessibility Act) European Accessibility Act Annex I | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1924 | EAAAX-004 | 服务信息字号小、对比度低或间距固定（欧盟） 关于服务运作的信息使用了大小或形状不当的字体、对比度不足，或字母、行和段落间距无法调整，而《欧洲无障碍法案》要求具备这些呈现特性。 法律依据: Directive (EU) 2019/882 Annex I Section III(b)(v) (European Accessibility Act) European Accessibility Act Annex I | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1925 | EAAAX-005 | 支持服务缺少无障碍信息（欧盟） 网站提供的服务台、客服中心或技术支持未提供关于服务无障碍性及其与辅助技术兼容性的信息，或仅能通过单一不无障碍的渠道联系（例如仅限电话），而《欧洲无障碍法案》要求在设有支持服务时提供上述信息。 法律依据: Directive (EU) 2019/882 Annex I Section III(d) (European Accessibility Act) European Accessibility Act Annex I | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1926 | EAAAX-006 | 服务条款中缺少无障碍信息（欧盟） 一般条款和条件（或同等文件）未包含评估服务如何满足无障碍要求的信息，即以无障碍格式提供的服务概述、理解其运作所需的说明，以及如何满足附件一要求的描述。 法律依据: Directive (EU) 2019/882 Annex V point 1 (European Accessibility Act) European Accessibility Act Annex V | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1927 | EAAAX-007 | 消费者银行信息过于复杂（高于 B2）（欧盟） 消费者银行服务提供的信息复杂程度超过《欧洲语言共同参考框架》B2（中高级）水平，而《欧洲无障碍法案》要求其在该水平内易于理解。 法律依据: Directive (EU) 2019/882 Annex I Section IV(e)(ii) (European Accessibility Act) European Accessibility Act Annex I | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1928 | EAAAX-008 | 网上银行的身份识别、签名或支付无障碍缺失（欧盟） 消费者银行服务的身份识别方式、电子签名、安全步骤或支付服务不具备可感知、可操作、可理解和稳健性（例如有时限且无无障碍替代方式的一次性验证码界面），而《欧洲无障碍法案》要求其无障碍。 法律依据: Directive (EU) 2019/882 Annex I Section IV(e)(i) (European Accessibility Act) European Accessibility Act Annex I | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1929 | EAAAX-009 | 在德国提供未达无障碍要求的服务 受德国《无障碍强化法》（BFSG）约束的服务（例如网店或消费者银行服务）在未满足无障碍要求的情况下提供，例如网站未通过基本无障碍检查。提供此类服务属行政违法，最高可处 100,000 欧元罚款（BFSG 第 37 条第 1 款第 8 项及第 2 款）。 法律依据: BFSG § 14(1) Nr. 1 (Germany) BFSG § 14 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1930 | EAAAX-010 | 无障碍信息未以无障碍形式公布（德国） 德国《无障碍强化法》附件 3 要求的信息（服务如何满足无障碍要求）未编制，或未以无障碍形式向公众提供，例如缺失或仅以图片或扫描版 PDF 发布。 法律依据: BFSG § 14(1) Nr. 2 (Germany) BFSG § 14 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1931 | ONADA-001 | 缺少无障碍反馈渠道 在安大略省提供商品、服务或设施的组织，没有公开的流程来接收和回应关于其如何为残障人士提供服务的反馈，而《综合无障碍标准》要求建立此类流程，并使公众可便捷获取相关信息。 法律依据: O. Reg. 191/11 s. 80.50 (Ontario AODA) O. Reg. 191/11 s. 80.50 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1932 | ONADA-002 | 网站未达 WCAG 2.0 AA 级（安大略省） 大型组织（在安大略省有 50 名以上员工）或指定公共部门组织的公开网站不符合 WCAG 2.0 AA 级成功标准，而自 2021 年 1 月 1 日起其所有网站和网页内容均须符合（实时字幕 1.2.4 和预录音频描述 1.2.5 除外）。 法律依据: O. Reg. 191/11 s. 14(4) (Ontario AODA) O. Reg. 191/11 s. 14 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1933 | ONADA-003 | 未告知可提供无障碍格式（安大略省） 该组织未按《综合无障碍标准》的要求，告知公众残障人士可应要求获得无障碍格式和沟通支持。 法律依据: O. Reg. 191/11 s. 12(3) (Ontario AODA) O. Reg. 191/11 s. 12 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1934 | ONADA-004 | 反馈流程未告知无障碍格式（安大略省） 该组织设有反馈流程，却未告知公众该流程可提供无障碍格式和沟通支持，而安大略省既要求反馈流程无障碍，也要求作出此项告知。 法律依据: O. Reg. 191/11 s. 11(2) (Ontario AODA) O. Reg. 191/11 s. 11 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1935 | ONADA-005 | 无障碍政策未公开（安大略省） 非小型组织未公开描述其无障碍政策的文件（包括及时满足残障人士无障碍需求的承诺声明），或未应要求以无障碍格式提供这些文件。 法律依据: O. Reg. 191/11 s. 3(3) (Ontario AODA) O. Reg. 191/11 s. 3 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1936 | ONADA-006 | 未公开通知无障碍服务的临时中断（安大略省） 网站未显示有向公众通知残障人士常用设施或服务（例如无障碍入口或电梯）临时中断的做法，包括原因、预计持续时间及可用替代方案，而安大略省客户服务标准对此有要求。须经审计确认。 法律依据: O. Reg. 191/11 s. 80.48 (Ontario AODA) O. Reg. 191/11 s. 80.48 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1937 | ONADA-007 | 无障碍格式未及时提供或加收费用（安大略省） 有迹象表明，无障碍格式和沟通支持未应要求及时提供，且费用高于向他人收取的常规费用（例如大字版加价或长时间拖延），而安大略省对此有要求。须经申请或审计确认。 法律依据: O. Reg. 191/11 s. 12(1) (Ontario AODA) O. Reg. 191/11 s. 12 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1938 | ONADA-008 | 反馈流程未规定投诉处理措施（安大略省） 公布的反馈流程未说明组织在收到关于其如何向残障人士提供商品、服务或设施的投诉时将采取的措施，而安大略省对此有要求。 法律依据: O. Reg. 191/11 s. 80.50(2) (Ontario AODA) O. Reg. 191/11 s. 80.50 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1939 | ONADA-009 | 客户服务文件未以无障碍格式提供（安大略省） 组织须应要求提供的客户服务文件（例如反馈流程或服务动物政策）看起来只有无障碍性不足的文件，表明未应要求以无障碍格式或借助沟通支持提供。须经申请或审计确认。 法律依据: O. Reg. 191/11 s. 80.51(1) (Ontario AODA) O. Reg. 191/11 s. 80.51 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1940 | ONADA-010 | 无障碍报告虚假或具有误导性（安大略省） 宣称完全符合无障碍要求的公开声明与网站自身的无障碍缺陷相矛盾，表明组织向安大略省主管提交的无障碍报告可能含有虚假或误导性信息，此属违法行为，每日最高罚款 50,000 加元，公司每日最高 100,000 加元。须经审查已提交的报告确认。 法律依据: Accessibility for Ontarians with Disabilities Act, 2005 s. 37(1)(a), (3) Accessibility for Ontarians with Disabilities Act, 2005 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1941 | SEC50-001 | 预录视频缺少隐藏字幕（第 508 条） 联邦机构公开网站上的有声预录视频（例如培训或入职视频）没有同步字幕，而第 508 条要求面向公众的电子内容符合 WCAG 2.0 A 级和 AA 级，包括为预录音频提供字幕。 法律依据: 36 CFR 1194 App. A E205.4 (Section 508); WCAG 2.0 SC 1.2.2 36 CFR Part 1194 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1942 | SEC50-002 | 联邦公开内容未达 WCAG 2.0 AA（第 508 条） 联邦机构面向公众的电子内容（网页、文件、表单）不符合 WCAG 2.0 A 级或 AA 级成功标准，而修订后的 508 标准要求所有面向公众的电子内容均须符合。 法律依据: 36 CFR 1194 App. A E205.2 (Section 508) 36 CFR Part 1194 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1943 | SEC50-003 | 视频播放器未在音量旁提供字幕控制（第 508 条） 嵌入式视频播放器提供音量控制，却未在与音量或节目选择相同的菜单层级提供字幕选择控制，而第 508 条对软件的技术要求对此有规定。 法律依据: 36 CFR 1194 App. C 503.4.1 (Section 508) 36 CFR Part 1194 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1944 | SEC50-004 | 视频播放器缺少音频描述控制（第 508 条） 提供节目选择的视频播放器未在与音量或节目选择相同的菜单层级提供音频描述选择控制，而第 508 条对此有要求。 法律依据: 36 CFR 1194 App. C 503.4.2 (Section 508) 36 CFR Part 1194 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1945 | SEC50-005 | 帮助与支持文档无障碍缺失（第 508 条） 电子支持文档（帮助页面、常见问题、用户指南、网页自助支持）不符合 WCAG 2.0 A 级和 AA 级，例如没有文本的扫描版 PDF 手册，而第 508 条对此有要求。 法律依据: 36 CFR 1194 App. C 602.3 (Section 508) 36 CFR Part 1194 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1946 | SEC50-006 | 支持服务缺少无障碍功能信息（第 508 条） 服务台或支持页面未提供 ICT 的无障碍和兼容性功能信息（例如如何配合屏幕阅读器或仅用键盘使用），而第 508 条要求支持服务包含此类信息。 法律依据: 36 CFR 1194 App. C 603.2 (Section 508) 36 CFR Part 1194 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1947 | SEC50-007 | 无法在无视觉的情况下操作（第 508 条） 功能仅能通过视觉使用，例如绘制在 canvas 上的内容、纯图片按钮或没有文本替代的地图，缺少无需视觉的操作方式，而第 508 条的功能性能标准对此有要求。 法律依据: 36 CFR 1194 App. C 302.1 (Section 508) 36 CFR Part 1194 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1948 | SEC50-008 | 无法在无听觉的情况下操作（第 508 条） 信息或操作依赖声音（仅有音频的说明、声音提醒或没有文字稿的播客），缺少无需听觉的操作方式，而第 508 条的功能性能标准对此有要求。 法律依据: 36 CFR 1194 App. C 302.4 (Section 508) 36 CFR Part 1194 | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1949 | SEC50-009 | 预录视频缺少音频描述（第 508 条） 联邦机构公开网站上的预录视频传达了重要的视觉信息，但既未在原声中说明，也没有音频描述音轨，而第 508 条要求符合 WCAG 2.0 AA 级，包括为预录视频提供音频描述。 法律依据: 36 CFR 1194 App. A E205.4 (Section 508); WCAG 2.0 SC 1.2.5 36 CFR Part 1194 | moderate | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1950 | SEC50-010 | 联邦服务未提供同等访问（第 508 条） 在线向联邦机构寻求信息或服务的残障公众无法与他人同等地访问和使用这些信息或服务（例如无法用屏幕阅读器填写的申请表），而第 508 条要求提供同等访问，若造成不当负担则须提供替代方式。 法律依据: 29 U.S.C. § 794d(a)(1)(A) (Section 508) 29 U.S.C. 794d | serious | ADA / WCAG ADA 第三章 / 欧洲无障碍法案 (EAA) / 安大略省 AODA | $118,225–$236,451（ADA：首次–再次违规）/ 最高 €100,000（EAA，德国）/ 每天最高 $100,000（AODA，公司） 司法部民事执法 / 国家市场监督处罚 / 安大略省部审计 |
| 1951 | EEOC-001 | 自动化招聘算法缺少偏见审计 在纽约市招聘的雇主或职业介绍机构使用自动化雇用决策工具筛选候选人或员工，但该工具在使用前一年内未经过偏见审计。首次违规最高罚款 500 美元，其后每次 500–1,500 美元；每使用一天即构成一次单独违规。须以审计记录确认。 法律依据: NYC Admin. Code § 20-871(a)(1) (Local Law 144) NYC Local Law 144 of 2021 (Admin. Code §§ 20-870–20-874) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1952 | EEOC-002 | 偏见审计摘要未在网站公布（纽约市） 在纽约市使用自动化雇用决策工具的雇主或职业介绍机构，未在使用前于其网站公布最近一次偏见审计结果摘要及所审计工具的分发日期。 法律依据: NYC Admin. Code § 20-871(a)(2) (Local Law 144) NYC Local Law 144 of 2021 (Admin. Code §§ 20-870–20-874) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1953 | EEOC-003 | 未告知自动化筛选或替代流程（纽约市） 职位发布或申请流程未在使用前至少十个工作日告知纽约市候选人将使用自动化雇用决策工具对其评估，也未允许其申请替代选拔流程或便利安排。每缺少一项通知即构成单独违规。 法律依据: NYC Admin. Code § 20-871(b)(1) (Local Law 144) NYC Local Law 144 of 2021 (Admin. Code §§ 20-870–20-874) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1954 | EEOC-004 | 未告知工具评估的资格条件（纽约市） 未在使用前至少十个工作日告知纽约市候选人或员工，自动化雇用决策工具将使用哪些职位资格和特征对其进行评估。 法律依据: NYC Admin. Code § 20-871(b)(2) (Local Law 144) NYC Local Law 144 of 2021 (Admin. Code §§ 20-870–20-874) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1955 | EEOC-005 | 未披露招聘工具的数据类型、来源及保留期限（纽约市） 网站未披露为自动化雇用决策工具收集的数据类型、数据来源及数据保留政策；若未在网站披露，须在候选人或员工书面请求后 30 日内提供。 法律依据: NYC Admin. Code § 20-871(b)(3) (Local Law 144) NYC Local Law 144 of 2021 (Admin. Code §§ 20-870–20-874) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1956 | EEOC-006 | 自动化筛选排除残障申请人（ADA） 在线招聘中的自动化测试或选拔标准（例如限时游戏、视频或语音分析）可能排除残障申请人；根据 ADA，除非这些标准与职位相关且符合业务需要，否则构成歧视。须经结果分析确认。 法律依据: 42 U.S.C. § 12112(b)(6) (ADA) 42 U.S.C. 12112 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1957 | EEOC-007 | 在线评估中无法申请便利安排（ADA） 在线申请或自动化评估未向申请人提供申请合理便利（例如延长时间或替代格式）的途径，而根据 ADA，不为合格的残障申请人提供合理便利即构成歧视，除非会造成不当困难。 法律依据: 42 U.S.C. § 12112(b)(5)(A) (ADA) 42 U.S.C. 12112 | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1958 | EEOC-008 | 可能产生差别影响的自动化选拔（第七章） 对申请人进行排序或筛选的自动化招聘工具，可能因种族、肤色、宗教、性别或国籍产生差别影响；根据《民权法》第七章，除非雇主证明其与职位相关且符合业务需要，并且未拒绝歧视性更小的替代方案，否则构成非法雇用行为。须经统计分析确认。 法律依据: 42 U.S.C. § 2000e-2(k)(1)(A) (Title VII) 42 U.S.C. 2000e-2 | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1959 | EEOC-009 | 候选人隐私声明未提及自动化决策（欧盟） 面向求职者的隐私声明未说明是否使用自动化决策（包括用户画像），也未提供其所涉逻辑、重要性及对候选人预期后果的有意义信息，而 GDPR 在作出此类决策时对此有要求。 法律依据: GDPR Art. 13(2)(f) GDPR Art. 13(2)(f) | moderate | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1960 | EEOC-010 | 完全自动化拒绝候选人且无人工复核（欧盟） 有迹象表明申请被自动拒绝（例如自动化测试后立即发出拒信），没有人工参与，也未提供获得人工干预、表达意见和质疑决定的权利，而 GDPR 对仅基于自动化处理且产生法律或类似重大影响的决定有此要求。须经审计确认。 法律依据: GDPR Art. 22(1), (3) GDPR Art. 22(1), (3) | serious | Digital Operations 加拿大 PIPEDA 与第 25 号法律 / 巴西 LGPD / 澳大利亚隐私法 / 新加坡 PDPA / 欧盟 AI 法案与 DSA | 最高 C$100,000（PIPEDA）/ C$25,000,000 或 4%（魁北克）/ 巴西营业额的 2%，上限 R$50,000,000（LGPD）/ A$50,000,000、收益的 3 倍或营业额的 30%（澳大利亚）/ 新加坡营业额的 10% 或 S$1,000,000（PDPA）/ €35,000,000 或 7%（AI 法案） 加拿大 OPC 调查 / 巴西 ANPD 审计 / 澳大利亚 OAIC 诉讼 / 欧盟 AI 办公室执法 |
| 1961 | BIPAX-001 | 虚拟试妆缺少生物特征采集同意 虚拟试穿（试妆）或类似功能出于商业目的采集面部几何特征（或其他生物特征标识符），却未事先告知本人并取得同意，得克萨斯州禁止此行为；每次违规最高可处 25,000 美元民事罚款。 法律依据: Tex. Bus. & Com. Code § 503.001(b) Tex. Bus. & Com. Code § 503.001 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1962 | BIPAX-002 | 生物特征标识符被出售或披露给他人（得克萨斯州） 有迹象表明，采集的生物特征标识符在得州允许的狭窄例外（如本人请求的交易或执法搜查令）之外被出售、出租或披露给第三方（例如面部数据发送给广告或分析合作方）。每次违规最高 25,000 美元；须经数据流审计确认。 法律依据: Tex. Bus. & Com. Code § 503.001(c)(1) Tex. Bus. & Com. Code § 503.001 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1963 | BIPAX-003 | 目的结束后仍保留生物特征数据（得克萨斯州） 保留声明或做法表明生物特征标识符被无限期保存，而得州要求在合理时间内且不迟于收集目的届满后一年内销毁。每次违规最高 25,000 美元；须经审计确认。 法律依据: Tex. Bus. & Com. Code § 503.001(c)(3) Tex. Bus. & Com. Code § 503.001 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1964 | BIPAX-004 | 生物特征图像传输未尽合理注意（得克萨斯州） 网站采集的面部图像或其他生物特征数据通过未加密连接上传，或被发送给第三方脚本，而得州要求以合理注意存储、传输和保护生物特征标识符，保护程度不低于其他机密信息。 法律依据: Tex. Bus. & Com. Code § 503.001(c)(2) Tex. Bus. & Com. Code § 503.001 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1965 | BIPAX-005 | 未经告知、同意或退出机制登记生物特征（华盛顿州） 服务出于商业目的将生物特征标识符（例如面部或声纹模板）登记入数据库，却未事先提供易于获取的通知并取得同意，或未提供阻止其后续商业使用的机制，而华盛顿州对此有要求。由州总检察长依据《消费者保护法》执法。 法律依据: RCW 19.375.020(1)–(2) (Washington) RCW 19.375.020 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1966 | BIPAX-006 | 已登记的生物特征未经同意被披露（华盛顿州） 有迹象表明，已登记的生物特征标识符在未经本人同意且不属于华盛顿州允许的例外（例如本人请求的服务、金融交易或法院命令）的情况下，出于商业目的被出售、出租或披露给他人。须经审计确认。 法律依据: RCW 19.375.020(3) (Washington) RCW 19.375.020 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1967 | BIPAX-007 | 已登记的生物特征保留时间超过必要（华盛顿州） 保留声明表明，已登记的生物特征标识符的保存时间超过提供服务、防范欺诈或安全威胁、遵守法律或法院命令所合理必需的期限，而华盛顿州对此有限制。须经审计确认。 法律依据: RCW 19.375.020(4)(b) (Washington) RCW 19.375.020 | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1968 | BIPAX-008 | 未经明确同意进行生物特征识别（欧盟） 人脸识别、声纹识别或类似功能为唯一识别欧盟境内的个人而处理生物特征数据，却未取得明确同意（或符合第 9 条第 2 款的其他例外），例如在没有单独、具体同意步骤的情况下就开始面部扫描。 法律依据: GDPR Art. 9(1), (2)(a) GDPR Art. 9(1), (2) | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1969 | BIPAX-009 | 无法便捷撤回生物特征同意（欧盟） 对面部或声纹处理的同意只需一次点击即可给出，但之后没有同样便捷的撤回方式（例如只能通过邮寄或电子邮件申请），而 GDPR 要求撤回同意与给予同意一样容易。 法律依据: GDPR Art. 7(3) GDPR Art. 7(3) | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1970 | BIPAX-010 | 基于从互联网抓取的图像进行人脸搜索（得克萨斯州） 服务从网上找到的照片中采集生物特征标识符（例如在抓取的图像中进行人脸搜索），并将其公开可得视为同意，而在得州，仅因图像存在于网上并不视为本人已被告知或已同意，除非图像是本人自行公开的。每次违规最高 25,000 美元。 法律依据: Tex. Bus. & Com. Code § 503.001(b-1) Tex. Bus. & Com. Code § 503.001 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1971 | CIPAX-001 | 聊天消息被第三方读取且未作提示（加州） 第三方聊天或转录脚本在访客发送消息时实时接收其内容，既未告知也未取得各方同意。加州窃听条款禁止在未经各方同意的情况下读取或获知传输中通信的内容，也禁止协助他人这样做；个人每次违规可索赔 5,000 美元。网站聊天服务商是否适用该条款在法院存在争议。 法律依据: Cal. Penal Code § 631(a); § 637.2(a) Cal. Penal Code § 631Cal. Penal Code § 637.2 | critical | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1972 | CIPAX-002 | 追踪脚本未经同意记录寻址数据（加州） 第三方追踪脚本未经同意采集访客的 IP 地址、设备标识符或其他寻址和路由信息。加州禁止在没有法院命令的情况下安装或使用笔式记录器或追踪设备（即记录此类信息的设备或程序），个人每次违规可索赔 5,000 美元；网站追踪器是否属于此类在法院存在争议。 法律依据: Cal. Penal Code § 638.51(a); § 637.2(a) Cal. Penal Code § 638.51Cal. Penal Code § 637.2 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1973 | CIPAX-003 | 未经同意录制含机密通信的会话（加州） 会话回放或录制脚本在未经各方同意的情况下，记录访客在聊天或表单中输入的机密内容（例如健康或财务问题）。加州禁止未经各方同意录制机密通信；每次违规最高罚款 2,500 美元，个人可就每次违规起诉索赔 5,000 美元。 法律依据: Cal. Penal Code § 632(a); § 637.2(a) Cal. Penal Code § 632Cal. Penal Code § 637.2 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1974 | CIPAX-004 | 未经同意录制手机来电（加州） 网站一键呼叫或呼叫中心功能表明，客户来电（包括来自手机或无绳电话的来电）在未告知来电者并取得各方同意的情况下被录音，而加州禁止此行为。须经测试呼叫或审计确认。 法律依据: Cal. Penal Code § 632.7(a) Cal. Penal Code § 632.7 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1975 | CIPAX-005 | 未经各方同意拦截电子通信（佛罗里达州） 聊天、会话回放或类似脚本在未取得各方事先同意的情况下拦截访客的电子通信，而佛州规定拦截须经各方事先同意方为合法。通信被拦截者可索赔实际损失，但不低于每天 100 美元或 1,000 美元（取较高者）。此类工具是否构成“拦截”在法院存在争议。 法律依据: Fla. Stat. § 934.03(1)(a), (2)(d) Fla. Stat. § 934.03 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1976 | CIPAX-006 | 披露或使用被拦截的通信内容（佛罗里达州） 有迹象表明，被拦截的聊天或录制会话内容被披露给其他公司或被使用（例如用于广告），而企业知道或应当知道这些内容系通过非法拦截获得，佛州禁止此行为。须经数据共享审计确认。 法律依据: Fla. Stat. § 934.03(1)(c)–(d) Fla. Stat. § 934.03 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1977 | CIPAX-007 | 未经所有参与者同意拦截私人通信（华盛顿州） 聊天或消息功能通过旨在录制或传输通信的设备或程序，在未事先取得所有参与者同意的情况下拦截或录制个人之间的私人通信，而华盛顿州将此列为违法。 法律依据: RCW 9.73.030(1)(a) (Washington) RCW 9.73.030 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1978 | CIPAX-008 | 语音功能未经同意录制私人对话（华盛顿州） 语音助手、语音留言或使用麦克风的功能在未事先取得所有参与者同意的情况下录制私人对话，而华盛顿州禁止此行为。 法律依据: RCW 9.73.030(1)(b) (Washington) RCW 9.73.030 | moderate | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1979 | CIPAX-009 | 会话回放或聊天脚本在同意前访问设备（欧盟） 会话回放、热力图或第三方聊天脚本在取得同意前就在访客设备上存储或读取标识符，而对于用户所请求服务并非严格必需的操作，欧盟法律要求基于清晰、全面的信息事先取得同意。 法律依据: ePrivacy Directive Art. 5(3) ePrivacy Directive Art. 5(3) | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1980 | CIPAX-010 | 将被拦截的聊天内容用于其他目的（加州） 有迹象表明，从传输中被读取的聊天中获得的信息被用于其他目的（例如训练模型或定向广告），而加州窃听条款也禁止使用或试图使用以此方式获得的信息。须经对服务商数据使用的审计确认。 法律依据: Cal. Penal Code § 631(a) Cal. Penal Code § 631 | serious | State Privacy Laws 美国州隐私法 (VA VCDPA、TX TDPSA、CO CPA) / NY DFS / NY SHIELD | 每次违规最高 $7,500（VA、TX）/ 最高 $20,000（CO）/ 最高 $5,000（NY SHIELD） 州总检察长民事诉讼 / NY DFS 金融执法 / 集体诉讼责任 |
| 1981 | LKSG-001 | 缺少供应链申诉渠道 受德国《供应链尽职调查法》约束的公司（在德国拥有 1,000 名以上员工）未公开提供关于如何联系和使用其申诉程序的清晰信息，该程序用于报告自身业务或直接供应商中的人权和环境风险。未建立该程序最高可处 800,000 欧元罚款。 法律依据: LkSG § 8(1), (4) (Germany) LkSG § 8 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1982 | LKSG-002 | 申诉程序规则未公开（德国） 公司未以文本形式公布其供应链申诉程序的程序规则，而德国《供应链尽职调查法》要求这些规则公开可查。 法律依据: LkSG § 8(2) (Germany) LkSG § 8 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1983 | LKSG-003 | 年度尽职调查报告未在网站公布（德国） 公司未在财年结束后四个月内于其网站免费公布关于履行供应链尽职调查义务的年度报告（识别的风险、采取的措施、评估与结论），且该报告须保留七年。最高罚款 100,000 欧元。 法律依据: LkSG § 10(2) (Germany) LkSG § 10 | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1984 | LKSG-004 | 缺少人权战略政策声明（德国） 没有迹象表明公司管理层发布了关于人权战略的政策声明（说明尽职调查程序、优先人权和环境风险，以及对员工和供应商的期望），而德国《供应链尽职调查法》要求在识别风险后发布。须经审计确认。 法律依据: LkSG § 6(2) (Germany) LkSG § 6 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1985 | LKSG-005 | 申诉程序未每年审查（德国） 过时或失效的申诉渠道（例如失效链接或无人回复的联系地址）表明，公司未按德国《供应链尽职调查法》要求，至少每年以及在风险状况变化时审查申诉程序的有效性。最高罚款 500,000 欧元；须经审计确认。 法律依据: LkSG § 8(5) (Germany) LkSG § 8 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1986 | LKSG-006 | 首页缺少供应链奴役问题披露链接（加州） 在加州经营、全球总收入超过 1 亿美元的零售商或制造商，未在首页设置醒目易懂的链接，指向其关于消除直接供应链中奴役和人口贩卖所作努力的披露（核查、审计、认证、内部问责及培训）。 法律依据: Cal. Civ. Code § 1714.43 Cal. Civ. Code § 1714.43 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1987 | LKSG-007 | 现代奴役声明未在首页链接（英国） 营业额超过英国门槛且拥有网站的商业组织，未在网站上发布年度奴役和人口贩卖声明，或未在首页显著位置放置该声明的链接。 法律依据: UK Modern Slavery Act 2015 s. 54(7) Modern Slavery Act 2015 s. 54 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1988 | LKSG-008 | 现代奴役声明未经批准或签署（英国） 公司公布的奴役和人口贩卖声明未显示经董事会（或同等管理机构）批准并由一名董事签署，而英国《现代奴役法》对此有要求（有限责任合伙及合伙企业须由法定成员或合伙人批准或签署）。 法律依据: UK Modern Slavery Act 2015 s. 54(6) Modern Slavery Act 2015 s. 54 | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1989 | LKSG-009 | 强迫劳动报告未在网站显著位置公布（加拿大） 须于每年 5 月 31 日前向部长报告其供应链中防止强迫劳动和童工措施的实体，未公开该报告，包括未在其网站显著位置发布。违规属刑事罪，最高罚款 250,000 加元。 法律依据: Fighting Against Forced Labour and Child Labour in Supply Chains Act (S.C. 2023, c. 9) s. 13(1), 19(1) (Canada) Fighting Against Forced Labour and Child Labour in Supply Chains Act (S.C. 2023, c. 9) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1990 | LKSG-010 | 强迫劳动报告缺少法定内容（加拿大） 公布的报告未说明实体的结构、业务和供应链，其针对强迫劳动和童工的政策与尽职调查程序，存在风险的业务和供应链环节及已采取的措施，而加拿大供应链法对此有要求。 法律依据: Fighting Against Forced Labour and Child Labour in Supply Chains Act (S.C. 2023, c. 9) s. 11(3) (Canada) Fighting Against Forced Labour and Child Labour in Supply Chains Act (S.C. 2023, c. 9) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1991 | CSRD-001 | 管理报告未采用统一电子报告格式（欧盟） 须进行欧盟可持续发展报告的企业仅以 PDF 或网页形式发布管理报告，表明其未按会计指令要求采用统一电子报告格式（依据第 (EU) 2019/815 号授权条例的 XHTML）；可持续发展部分的标记须待标记规则通过后方为强制。须以官方报送确认。 法律依据: Directive 2013/34/EU Art. 29d(1) (as amended by CSRD) Accounting Directive Art. 29d(1) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1992 | CSRD-002 | 适用范围内企业未进行可持续发展报告（欧盟） 看起来同时超过 4.5 亿欧元净营业额和平均 1,000 名员工的企业，发布的管理报告缺少理解其对可持续发展事项的影响以及这些事项如何影响其发展、业绩和状况所需的可持续发展信息。须以企业规模数据和官方报告确认。 法律依据: Directive 2013/34/EU Art. 19a(1) (as amended by Directive (EU) 2026/470) Accounting Directive Art. 19a(1) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1993 | CSRD-003 | 可持续发展信息未设专门章节（欧盟） 适用范围内企业发布的管理报告将可持续发展信息分散在全文中，而非按会计指令要求以清晰可辨的专门章节呈现。 法律依据: Directive 2013/34/EU Art. 19a(1) second subparagraph Accounting Directive Art. 19a(1) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1994 | CSRD-004 | 缺少迈向 1.5 °C 的转型计划（欧盟） 可持续发展章节未说明企业为使其商业模式和战略与向可持续经济转型、《巴黎协定》1.5 °C 温控目标及 2050 年气候中和相一致而制定的计划，包括实施行动及相关财务和投资计划。须经审查官方报告确认。 法律依据: Directive 2013/34/EU Art. 19a(2)(a)(iii) Accounting Directive Art. 19a(2)(a)(iii) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1995 | CSRD-005 | 缺少有时限的可持续发展目标及进展（欧盟） 可持续发展章节未提供有时限的目标（在适当情况下包括至少 2030 年和 2050 年的温室气体绝对减排目标）、目标进展，以及环境目标是否基于确凿科学证据的说明。须经审查官方报告确认。 法律依据: Directive 2013/34/EU Art. 19a(2)(b) Accounting Directive Art. 19a(2)(b) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1996 | CSRD-006 | 未说明可持续发展尽职调查及不利影响（欧盟） 可持续发展章节未说明针对可持续发展事项的尽职调查程序、与自身运营及价值链相关的主要实际或潜在不利影响，以及为预防、减轻或补救这些影响所采取的行动。须经审查官方报告确认。 法律依据: Directive 2013/34/EU Art. 19a(2)(f) Accounting Directive Art. 19a(2)(f) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1997 | CSRD-007 | 适用范围内集团未进行合并可持续发展报告（欧盟） 按合并口径看起来超过 4.5 亿欧元净营业额和平均 1,000 名员工的集团，其母公司发布的合并管理报告缺少关于集团可持续发展影响以及可持续发展事项如何影响集团的专门章节。须以集团数据和官方报告确认。 法律依据: Directive 2013/34/EU Art. 29a(1) (as amended by Directive (EU) 2026/470) Accounting Directive Art. 29a(1) | serious | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1998 | CSRD-008 | 可持续发展报告缺少有限鉴证意见（欧盟） 发布的报告中没有法定审计师基于有限鉴证业务，就可持续发展报告是否符合指令和报告准则（包括《分类法条例》第 8 条披露）出具的意见。须经审查审计报告确认。 法律依据: Directive 2013/34/EU Art. 34(1)(aa) Accounting Directive Art. 34(1)(aa) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 1999 | CSRD-009 | 管理报告未在 12 个月内公布（欧盟） 经正式批准的财务报表和管理报告（连同审计师意见）看起来未在资产负债表日后 12 个月内公布（适用时采用电子报告格式），而会计指令对此有要求。须通过商业登记簿确认。 法律依据: Directive 2013/34/EU Art. 30(1) Accounting Directive Art. 30(1) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |
| 2000 | CSRD-010 | 未说明主要可持续发展风险（欧盟） 可持续发展章节未说明企业与可持续发展事项相关的主要风险、对这些事项的主要依赖，以及企业如何管理这些风险。须经审查官方报告确认。 法律依据: Directive 2013/34/EU Art. 19a(2)(g) Accounting Directive Art. 19a(2)(g) | moderate | Financial / Corporate 欧盟 DORA / Gramm-Leach-Bliley 法案 (GLBA) / 企业透明度法案 (CTA) | 每日最高为日均全球营业额的 1%，最长 6 个月（DORA）/ 法律未规定金额（GLBA）/ 美国公司已豁免（CTA） FinCEN/IRS 刑事处罚 / SEC 执法 / 欧洲 ESA 监管审计 |