「州法更严，反而无效」：德州西区法院8月10日判定 § 20.05(a)(5) 被 FCRA § 1681t(b)(1)(E) 优先适用（CDIA v. Paxton, No. 1:19-cv-00876）——中资企业背调、租户筛查与助贷数据的三条合规断层
2026 年 8 月 10 日，美国德克萨斯州西区联邦地区法院（W.D. Tex.，奥斯汀分庭）Robert Pitman 法官在 Consumer Data Industry Association v. Paxton（案号 No. 1:19-cv-00876）中作出简易判决，宣告德州《商业与商法典》§ 20.05(a)(5)——该州 2019 年 SB 1037 法案禁止消费者报告机构在信用报告中列入特定院外急诊医疗催收账户的条款——被联邦《公平信用报告法》（FCRA）第 15 U.S.C. § 1681t(b)(1)(E) 条优先适用（preempted），不可执行。判决明确表示不同意第一巡回上诉法院在 Consumer Data Industry Ass'n v. Frey, 26 F.4th 1（1st Cir. 2022）中的相反结论。
这不是一起"医疗债务"案件。对在美经营的中资企业而言，这份判决真正改写的是一条被普遍误用的合规假设："按最严格的州法做，就一定安全。"在 FCRA 管辖的数据领域，更严格的州法可能是无效的州法——而依照一部已被宣告优先适用的州法去删减报告内容，本身就可能构成 FCRA 第 § 1681e(b) 条下的准确性瑕疵。
一、FCRA 的双层优先适用结构：为什么"不冲突"也不够
FCRA 罕见地写入了两套互不相同的优先适用条款，这正是本案争点的全部来源。
第一层——§ 1681t(a)（冲突排除）：本法不注销、豁免或以其他方式影响任何州法，"除非该州法与本分章任何条款不一致，且仅以不一致的限度为限"。这是典型的冲突式优先适用：州法只要能与联邦法并行遵守，即可存活。绝大多数中国企业的美国法务顾问在解释"州法可以更严"时，引用的就是这一层。
第二层——§ 1681t(b)(1)(E)（主题事项排除）："任何州的法律不得就本编第 1681c 条所规制的、与消费者报告所含信息有关的任何主题事项，施加任何要求或禁止"。这一层不问是否冲突——只要州法触碰了 § 1681c 所覆盖的"主题事项"（即消费者报告里可以放什么、不可以放什么），即被排除。该条由 1996 年《消费者信用报告改革法》引入，并经 2003 年《公平准确信用交易法》（FACTA，Pub. L. 108-159 § 711）永久化——原本设有的 2004 年 1 月 1 日日落条款被删除。
Pitman 法官的核心推理是结构性的：如果 § 1681t(b)(1)(E) 只排除"不一致"的州法，它就与 § 1681t(a) 完全重复，成为立法冗文。国会既然在同一条文里并列写下两套标准，就必然意图让第二套覆盖更广的范围——即按"主题事项"划出一块联邦独占的领域。判决同时援引 1996 年与 2003 年的立法史，指出国会反复强调的目标是全国统一的消费者报告体系；而 § 1681c(a)(6) 恰恰允许以编码方式列示医疗信息提供者的名称、地址与电话——只要该编码不足以识别具体服务提供者或服务性质；德州法却在同一主题上施加了绝对禁止。
二、与第一巡回 Frey 案的正面冲突：合规地图被撕成两半
Frey 案（No. 20-2064，2022 年 2 月 10 日）中，第一巡回撤销了缅因州地区法院的优先适用认定，采取窄解：§ 1681t(b)(1)(E) 需要逐条比对州法条款与 § 1681c 的具体规制内容，不构成对"消费者报告内容"的整体性排除；发回后，缅因州地区法院于 2024 年 2 月作出部分优先适用的裁定。
Paxton 判决对此的回应直白：立法史显示国会意图排除的不仅是"不一致"的州法，也包嫬限制不利信息进入报告的州法。至此形成的局面是——同一份消费者报告，在第五巡回辖区（德州、路易斯安那、密西西比）与第一巡回辖区（缅因、马萨诸塞、新罕布什尔、罗德岛、波多黎各）适用两套不同的内容规则。
这一分歧并非孤立事件。2025 年 7 月 11 日，德州东区联邦地区法院 Sean D. Jordan 法官在 Cornerstone Credit Union League v. CFPB（No. 4:25-cv-00016-SDJ）中撤销了 CFPB 的《Regulation V 医疗信息规则》（90 Fed. Reg. 3276，2025 年 1 月 14 日），认定其与 FCRA 文本"不可调和"，并以非约束性表述指出各州同类限制亦应被优先适用。三个月后的 2025 年 10 月 28 日，CFPB 发布解释性规则《Fair Credit Reporting Act; Preemption of State Laws》，正式确立"FCRA 广泛优先适用于规制消费者报告内容的州法"这一立场，取代了 2022 年的窄解释（该窄解释已于 2025 年 5 月被撤回）。Paxton 是这条链条上第一份把该立场落到具体州法条文上的司法判决。
三、被波及的远不止医疗债务
把 Paxton 的射程限定在医疗债务，是这份判决最容易被误读的地方。§ 1681c 覆盖的"主题事项"包括破产记录（十年）、民事诉讼与判决、逮捕记录、已缴清税务留置权、催收账户，以及 § 1681c(a)(5) 的兜底条款——"任何其他对消费者不利的信息项，其发生日期早于报告日七年以上"。这意味着以下各类州法都进入了射程：
（1） 限制逮捕记录、未定罪指控、已封存记录进入背景调查报告的州法与市级条例；（2） 限制驱逐记录与租金拖欠进入租户筛查报告的州法；（3） 缩短 7 年 / 10 年报告期的州法；（4） 各州近年新增的医疗债务禁报法——截至 2026 年初已有约十五个州立法。
需要强调：被排除的只是"报告内容"层面。FCRA 的使用端规则——合法目的（§ 1681b(a)）、雇佣用途的独立书面披露与授权（§ 1681b(b)(2)）、预先不利行动程序（§ 1681b(b)(3)）、不利行动通知（§ 1681m(a)）——不受本判决影响，各州"禁问前科"（ban-the-box）类法律因规制的是雇主决策行为而非报告内容，通常也在射程之外。这条界线，正是实操中最容易划错的一刀。
四、另一半陷阱：FCRA 数据落在州隐私法之外
优先适用是一把双刃剑。几乎所有州综合隐私法都为 FCRA 数据设置了数据级豁免——加州《民法典》§ 1798.145(d)、德州 TDPSA、科罗拉多《消费者保护法》第 6-1-1304 条等，均将"依 FCRA 收集、处理、销售或披露的消费者报告信息"整体排除在适用范围之外。
由此产生两个方向相反的错误，中资企业两种都常犯：
错误一：把 CCPA 合规当作 FCRA 合规。企业完成了隐私政策更新与 DSAR（数据主体请求）管道建设，就认为背调与信用数据"已经覆盖"。实际上 FCRA 有自成体系的消费者权利（§ 1681g 档案披露、§ 1681i 争议调查、§ 1681j 免费年度报告），流程、时限（30 天）与免责事由完全不同。
错误二：把 FCRA 豁免误读为"这批数据不用管"。豁免的是州隐私法的义务，不是所有义务；且豁免边界以"是否构成消费者报告"为准——同一批数据用于营销时不是消费者报告，用于就业或信贷决定时就是。用途决定定性，定性决定法域。
五、对中资企业的合规要点
1. 按巡回区重建"报告内容"矩阵。如果贵司在美使用背景调查、租户筛查或信用报告，请立即要求供应商书面说明：其报告内容规则是按全国统一标准执行，还是按州法逐州删减。在第五巡回辖区继续依德州 § 20.05(a)(5) 删减数据，现在缺乏法律依据；而在第一巡回辖区照搬"联邦统一"做法，则可能违反尚属有效的州法。要求供应商提供按巡回区分层的合规声明，并写入合同。
2. 重写雇佣背调文件包。§ 1681b(b)(2) 要求披露文件"仅由该披露构成"（consists solely of the disclosure）——把披露与授权、免责声明、州法告知合并在一页纸上，是美国 FCRA 集体诉讼最高发的单一违规类型。§ 1681n 对故意违法规定每名消费者 $100–$1,000 的法定赔偿，另加惩罚性赔偿与律师费；千人规模的雇员池即意味着七位数敞口。同时核查预先不利行动程序：是否随通知附送报告副本与《消费者权利摘要》，是否留出合理等待期。
3. 建立 furnisher 争议处理 SOP。中资助贷、BNPL、跨境支付与消费金融平台若向 CRA 报送数据，即为 § 1681s-2 意义上的"信息提供者"。收到 CRA 转来的争议后必须开展合理调查并在 § 1681i(a)(1) 的 30 天期限内答复，且 § 1681t(b)(1)(F) 对该主题事项同样设有优先适用——仅马萨诸塞（Mass. Gen. Laws ch. 93 § 54A(a)）与加州（Cal. Civ. Code § 1785.25(a)）保留了 1996 年 9 月 30 日版本的历史性例外。请确认该 SOP 有书面文件、有时限台账、有留痕。
4. 重新评估"我们是不是 CRA"。若贵司向第三方提供的画像、身份核验或风控评分被用于就业、信贷、租赁或保险决定，即可能落入 § 1681a(f) 的"消费者报告机构"定义——不以自我认定为准。CFPB 已于 2025 年 5 月 15 日撤回数据经纪商规则，联邦规则层面出现真空，但 FTC 依《FTC 法》第 5 条与 FCRA 的执法权限未变，本所此前分析过的 RentGrow 租户筛查和解即为例证。
5. 把 FCRA 数据从州隐私法 DSAR 管道中"隔离"而非"遗忘"。在数据地图中单列 FCRA 数据流，为其配置独立的 § 1681g / § 1681i 响应流程，并在隐私政策中明确说明该部分数据的处理依据与消费者救济路径。豁免必须可举证——监管机构或原告律师质询时，需要能拿出"为何这批数据属于消费者报告"的书面分析。
六、格知律所如何协助
格知律师事务所（Getech Law）数据合规团队为中资在美企业提供 FCRA 与州隐私法交叉领域的全流程支持。针对本文议题，我们的常规工作包括：优先适用适用性分析——按业务所在巡回区出具报告内容规则的分层意见，并将结论转化为可执行的供应商指令；雇佣背调文件包重写与审计——独立披露文件、书面授权、预先不利行动信、《消费者权利摘要》附送流程与等待期设置的全套合规化，这是降低集体诉讼敞口性价比最高的一项工作；供应商合同 FCRA 条款谈判——合规声明、审计权、赔偿与责任上限条款；furnisher 争议处理 SOP 设计与 30 天时限台账搭建；CRA 身份评估——判断数据产品是否触发 § 1681a(f) 定义，并据此设计准确性程序（§ 1681e(b)）与档案披露机制；以及州隐私法 FCRA 豁免边界划定——在数据地图层面分流 FCRA 数据与 CCPA/TDPSA/CPA 数据，避免两套流程互相污染。若已收到 FTC 或 CFPB 的民事调查令，或已被提起 FCRA 集体诉讼，我们同时提供应对与抗辩支持。
七、结语与展望
德州总检察长办公室是否上诉至第五巡回，是未来 30 日内最值得关注的节点。若上诉并获维持，第五巡回与第一巡回之间将形成正式的巡回分歧——这类涉及联邦优先适用范围的分歧，历来是最高法院颁发调卷令的高概率情形。
但对企业而言，等待终局并不是一个可行的策略。从 2025 年 7 月的 Cornerstone、10 月的 CFPB 解释性规则，到 2026 年 8 月的 Paxton，方向已经清晰：消费者报告的"内容"正在回归联邦独占，而"使用"仍然是州与联邦叠加监管的战场。把这两条线混在一起管理的合规体系，无论偏向哪一边，都会在某个辖区失灵。
对中资企业，最务实的一步不是重写政策文本，而是先回答一个事实问题：过去十二个月，我们在美国到底调取、报送或转售了多少份"消费者报告"？绝大多数企业给不出这个数字——而这恰恰是所有 FCRA 风险的分母。
本文仅为一般性法律信息，不构成针对具体事项的法律意见。如需就贵司在美消费者报告合规或 FCRA 诉讼事宜获取建议，欢迎联系格知律师事务所。