美国州级隐私法矩阵 · 跨境卖家合规速查（2026 版）
章节：06 数据隐私 ｜ 适用对象：面向美国消费者销售、收集个人信息（订单、物流、营销、客服）的卖家 核心认知：美国无联邦统一隐私法（联邦层面仅部分行业法），各州立法碎片化；2023-2026 已有 20+ 州生效，2026 年仍在扩容
一、为什么卖家必须关注州法
- 州法多采用"处理者-控制者"框架，卖家收集消费者个人信息即可能是"控制者"，直接承担义务——不因卖家在中国而豁免（法律多按"面向本州居民"连接点管辖）。
- 执法主体是各州总检察长（AG），2024-2026 年已有多起针对零售/电商的数据实践执法与和解（如广告追踪、数据出售未披露）。
- 私人诉权：少数州（加州 CCPA/CPRA 数据泄露部分、科罗拉多州 2027 年起）允许消费者起诉，其余主要靠 AG 执法——但 AG 行动成本高、和解金额大。
二、全美州法地图（按严格度分层）
第一梯队：综合框架（含敏感信息特殊规则 + 消费者权利较全）
| 州 | 法律 | 生效 | 关键差异 |
|---|---|---|---|
| 加州 | CCPA/CPRA (Cal. Civ. Code §1798.100+) | 2020/2023 修正 | 覆盖面最广；"出售/共享"触发退出权；数据泄露私人诉权；2026 年 AI 相关规则细化 |
| 弗吉尼亚 | VCDPA | 2023-01 | 无私人诉权；敏感数据需明确同意（opt-in） |
| 科罗拉多 | CPA | 2023-07 | 2027-01 起私人诉权；消费者健康数据专项规则 |
| 康涅狄格 | CTDPA | 2023-07 | 未成年人数据规则（13-16 岁 opt-in） |
| 犹他 | UCPA | 2023-12 | 范围较窄；豁免部分小企业 |
| 得州 | TDPSA | 2024-07 | 生效即对"精准广告+敏感数据"强约束；无营业额门槛（按消费者数量） |
| 俄勒冈 | OCPA | 2024-07 | 禁止"出售"定义宽泛；消费者健康数据专项 |
| 蒙大拿 | MCDPA | 2024-10 | 出售数据退出权生效即全面适用 |
第二梯队：2025-2026 新生效/即将生效
| 州 | 法律 | 生效 | 要点 |
|---|---|---|---|
| 新泽西 | NJDPA | 2025-01 | 敏感数据 opt-in；未成年数据保护；AG 执法+无私人诉权 |
| 新罕布什尔 | NHDPA | 2025-01 | 小企业豁免门槛（年收入 + 消费者数双条件） |
| 罗德岛 | RIDPA | 2026-01 | 数据出售 opt-out；敏感数据 opt-in |
| 明尼苏达 | MCDPA（明州） | 2025-07 | 明州儿童数据专项规则（13 岁以下高度限制） |
| 马里兰 | MOPPA | 2025-10（部分）/2026 | 消费者健康数据 (MHMDA 模式) 扩展 |
| 特拉华 | DDPA | 2025-01 | 涵盖"生物特征"定义宽 |
第三梯队：行业/专项法（对所有卖家有冲击）
- 华盛顿州 My Health My Data Act (MHMDA)：2024-03 生效（大企业），2025-06 全面适用——**消费者健康数据（含"推断的健康信息"，如从购买记录推断）**需 opt-in 同意 + 数据删除要求，AG+私人诉权。电商卖家卖保健品、可穿戴、母婴用品者高风险。
- 儿童隐私：COPPA 联邦层面（13 岁以下），加州 2024 年《加州适龄设计规范》（AADC，未成年人数据设计义务）；明州/马里兰儿童数据法陆续跟进。
- 基因/生物识别：伊利诺伊 BIPA（私人诉权、每次违规赔偿）、得州 CUBI、华盛顿州——采集面部/指纹/声纹（如客服录音、物流身份验证）需专门告知与同意。
三、卖家通用义务清单（对齐多数州法）
1. 隐私政策（Privacy Notice）
- 必须披露：收集的个人信息类别、来源、使用目的、是否出售/共享、第三方接收方、消费者权利及行使方式。
- 各州信息类别表述略有差异，建议按加州 + 通用类别双版本覆盖。
- 更新频率：规则变化或实践变化即时更新；保留版本历史（AG 会查"是否与实一致"）。
2. 消费者权利响应
- 通用权利：访问（access）、删除（delete）、更正（correct）、退出出售/共享（opt-out of sale/sharing）、限制敏感数据处理（opt-in）、退出精准广告（opt-out of targeted advertising）。
- 响应时限：多数州 45 天（可延 45 天）；加州 45 天。
- 实操：建立统一收口渠道（邮箱/表单/客服），一套流程同时覆盖多州；记录请求与响应证据（AG 调查时自证）。
3. 敏感数据处理（最易踩雷）
- 触发 opt-in 的敏感类别各州不同：种族、宗教、健康、基因、生物识别、性取向、精确地理位置、未成年人数据、工会会员、犯罪记录等。
- 跨境电商高发敏感场景：健康/母婴/保健品类目（健康推断）、智能硬件（精确位置+生物识别）、客服录音（语音=部分州生物识别）、年龄采集（儿童触发）。
- 处理原则：默认不收集；确需收集则明确 opt-in + 目的限定 + 尽快脱敏。
4. 出售/共享（Sale/Share）界定
- 加州"出售"定义极宽（含"共享用于跨语境行为广告"）；各州宽严不一。
- 把消费者数据给广告平台/数据分析商（Meta Pixel、Google Ads 再营销、TikTok 广告）在加州口径下很可能构成"共享"→ 必须提供 opt-out（如"不要出售/分享我的个人信息"链接 + 全局退出机制 GPC）。
- 2025-2026 执法热点：网站埋点（Pixel/API）未披露 + 未提供退出，已有多起 AG 调查。
5. 数据安全（各州通用底线）
- 合理的安全措施（加密、访问控制、最小化留存）。
- 泄露通知：各州触发门槛不同（多数按"未加密个人信息泄露"）；加州需给 AG + 消费者；多州需给征信机构。
- 跨境卖家被黑事件中，通知义务按"受影响消费者所在州"逐一触发——建议预案覆盖所有州，统一模板。
四、小企业豁免自查（省成本关键）
多数州有豁免门槛，通常为组合条件（典型口径）：
- 年收入 ≤ $25M，且
- 处理 ≤ 10 万消费者数据（部分州 2.5 万 + 出售收入占比条件）
注意：得州 TDPSA、蒙大拿 MCDPA 等没有或收窄了小企业豁免；加州 CCPA 对 10 万+家庭/设备数据无收入豁免。豁免不等于免责——豁免州法仍有反欺诈、行业法约束。
五、跨境卖家落地优先级（按风险排序）
- 立即：隐私政策多州合规化（至少覆盖加州+得州+新泽西口径）；加"Do Not Sell/Share My Personal Information"入口 + GPC 支持。
- 30 天内：像素/API 埋点盘点（删掉不必要追踪或加退出）；敏感数据（健康/生物识别/儿童）专项流程；响应机制（45 天 SLA）。
- 90 天内：数据留存策略（最小化）；供应商 DPA（数据处理协议）签署；年度隐私影响评估（PIA，马里兰/科罗拉多要求）；记录 AG 执法动态（2026 新州生效跟踪）。
六、2026 年关注窗口
- 加州 CPRA 规则完善 + AI 相关数据规则（自动化决策披露）持续出台。
- 明尼苏达、马里兰、罗德岛等新法进入执法期（生效满 12-18 个月后 AG 开始行动）。
- 联邦层面：美国隐私法案（APRA 类）立法进程若通过，将部分统一各州义务——通过前按州法碎片化合规，通过后按联邦标准复查。
Tina · 资深法务首席 · 2026-07-31 补产