「标签一换，责任上身」：爱荷华州总检察长诉 ADI——海康威视、大华摄像头的来源披露与“数据留在本地”宣传，中资硬件出海企业的消费者保护合规自查
2026年10月7日，爱荷华州总检察长 Brenna Bird 依据《消费者欺诈法》在 Polk County 地方法院起诉视频监控分销商 ADI Global Distribution，指控其隐瞒海康威视、大华摄像头的制造来源，并对数据“留在本地网络”作出误导性宣传。
「数据放在哪、谁能看」：德州总检察长与 Temu 的 300 万美元和解（Cause No. 471-01114-2026）——中资出海平台的数据本地化与访问限制合规自查
2026 年 10 月 16 日，德州总检察长公布与 PDD 及 Temu 运营主体的和解：支付 300 万美元，德州用户数据存放美国服务器，限制中国境内人员访问，并设年度审计与每次 800 万美元的罚则。本文梳理条款并提出中资企业五项合规要点。
「投诉入口已开、60 天整改窗口」：德州 TRAIGA（H.B. 149）进入可执法阶段——AI 出海中资企业的合规自查
德州《负责任人工智能治理法》（TRAIGA，H.B. 149）自 2026 年 1 月 1 日生效，总检察长须在 2026 年 9 月 1 日前开通 AI 投诉机制。本文梳理其禁止行为、CID 调查、60 天整改期与罚则，并提出中资 AI 出海企业的五项合规要点。
「四亿美元的儿童数据账单」：DOJ 与 TikTok、字节跳动就 COPPA 诉讼达成 4 亿美元和解——修订版 COPPA 规则已全面生效，中资出海企业的儿童数据合规自查清单
2026 年 8 月 21 日，美国司法部宣布与 TikTok、字节跳动就 COPPA 诉讼达成 4 亿美元和解：3 亿美元立即支付，另 1 亿美元待撤销 Musical.ly 旧同意令后支付。本文梳理案件脉络、修订版 COPPA 规则的新义务，并给出中资企业的儿童数据合规要点。
「供应商出事，委托方买单」：44 个总检察长与 Labcorp 就 AMCA 数据泄露达成 228.7 万美元和解——中资企业的第三方供应商数据安全自查清单
2026 年 9 月 24 日，44 个总检察长就 2018—2019 年 AMCA 数据泄露与 Labcorp 达成 228.7 万美元多州和解。数据安全义务不能外包，供应商出事，监管照样找委托方；中资企业应如何自查第三方供应商？
「FTC 不再“独立”，数据出境的“安全港”还稳吗」：Trump v. Slaughter 与欧美《数据隐私框架》（DPF）——中资企业的欧盟个人数据出境“备份方案”清单
2026 年 6 月 29 日，美国最高法院在 Trump v. Slaughter 案中推翻 Humphrey’s Executor，总统可无因免除 FTC 委员，触动了欧美《数据隐私框架》（DPF）所依赖的“FTC 独立性”支柱。DPF 目前仍然有效，但中资企业应提前备好 SCCs 等备份方案。
「不罚款，但要改系统」：佛罗里达州《数字权利法案》首案——Roku 和解与中资企业的敏感数据“出售”及儿童数据合规自查
2026 年 6 月下旬，佛罗里达州总检察长办公室与流媒体平台 Roku 就儿童数据案达成和解：不罚款，但需投入约 2,500 万美元改造系统。本文解读佛州《数字权利法案》敏感数据出售规则，并给出中资企业合规自查要点。
「数据不是越多越好」：加州 1,275 万美元 CCPA 史上最大罚单 × GM OnStar 数据最小化
2026 年 5 月 8 日，加州总检察长联合多县地区检察官并在 CalPrivacy 参与下，与通用汽车（GM）及 OnStar 达成 1,275 万美元和解，被报道为 CCPA 迄今最大罚单。监管重点已从"是否披露"转向"是否有必要收集、留存和出售"数据。
「眼镜里的人脸，德州盯上了」：德州总检察长 5·20 对 Meta 智能眼镜发出 CID × CUBI（Tex. Bus. & Com. Code § 503.001）与 TRAIGA 2026 年修订——中资智能硬件与 AI 企业的生物识别自查清单
2026 年 5 月 20 日，德州总检察长 Paxton 就 Meta 智能眼镜发出民事调查令（CID），调查是否未经告知同意记录他人并采集面部几何数据。德州已凭 CUBI（Tex. Bus. & Com. Code § 503.001）拿下 Meta 14 亿与 Google 13.75 亿美元和解，TRAIGA 又自 2026 年 1 月 1 日起修订了该法。
「数据出境，一年检验」：DOJ《数据安全计划》（28 C.F.R. Part 202）审计义务 10 月 6 日满一周年——中资企业的涵盖人员、批量数据与受限交易自查清单
2026 年 10 月 6 日，DOJ《数据安全计划》（28 C.F.R. Part 202）中受限交易的审计与报告义务将满一周年。本文梳理其涵盖人员、批量数据门槛、受限交易与罚则，并提示中资企业的自查要点。
「规则拖到 2027，执法一天没停」：HIPAA《安全规则》修订终局推迟至 2027 年 7 月 × OCR 四起勒索软件和解合计 116.5 万美元——中资医疗器械、健康 App 与业务伙伴的「风险分析」自查清单
2026 年 4 月 23 日，HHS OCR 一次性公布四起 HIPAA 勒索软件调查和解，合计罚款 116.5 万美元、涉及 427,657 名个人；与此同时，HIPAA《安全规则》修订案的终局规则被推迟到 2027 年 7 月。规则往后拖，执法没有停。
「供应商出事，监管照样找你」：NYDFS 4·30对Delta Dental开出225万美元同意令——MOVEit漏洞、迟报72小时与《23 NYCRR第500部分》2025年11月最终合规节点全解析
2026年4月30日，纽约州金融服务局（NYDFS）就2023年MOVEit漏洞事件中的迟报与数据处置违规，对Delta Dental处以225万美元罚款——这是审视《23 NYCRR第500部分》2025年11月最终合规节点执行力度的清晰样本。
「推荐流与自动播放，对 16 岁以下用户一律关闭」：加州 AB 1709 与 AB 2246 于 9 月 10 日签署——《适龄设计准则法》废止重写，每名受影响未成年人最高罚 5 万美元，2027 年 1 月 1 日施行
2026 年 9 月 10 日，加州州长 Gavin Newsom 签署了 13 项儿童网络安全法案。其中 AB 1709 禁止受规管平台向 16 岁以下用户提供个性化推荐流与自动播放，AB 2246 则废止并重写了 2022 年的《加州适龄设计准则法》，两部法律均于 2027 年 1 月 1 日生效。
「撤回的是政策声明，规则一字未改」：FTC 9·9 撤回 2021 年健康 App 泄露通知政策声明——《健康泄露通知规则》（16 C.F.R. Part 318）仍然适用，中资可穿戴设备与健康 App 的 60 日通知义务并未解除
2026 年 9 月 9 日，FTC 撤回其 2021 年发布的健康 App 泄露通知政策声明，理由是 2024 年修订的《健康泄露通知规则》（16 C.F.R. Part 318）已将健康 App 与联网设备纳入规则本身。撤回的是解释性文件，规则条文一字未改：60 日通知时限、未经授权披露即构成泄露的规定仍然有效。
「离诊所 1,750 英尺，这条线是法律画的」：加州 AB 45（《民法典》第 1798.99.92 条，2026年1月1日施行）与弗吉尼亚 SB 338（2026年7月1日生效）的医疗机构电子围栏禁令——兼评 FTC 诉 Hims & Hers（N.D. Cal.，2026年7月29日）与中资出海企业的投放参数体检
2026 年 7 月 29 日，FTC 会同犹他州消费者保护司与洛杉矶县在加州北区联邦法院起诉远程医疗公司 Hims & Hers，指控其把按病症分类的客户名单交给 Meta 与 Snap 投放广告。此前四周，弗吉尼亚 SB 338 于 7 月 1 日生效，禁止出售精确位置数据；加州 AB 45 新增的《民法典》第 1798.99.92 条则自今年 1 月 1 日起，禁止对医疗机构设置电子围栏，每次违规民事罚款 25,000 美元。
「独立监管机构这根支柱，被美国最高法院自己抽掉了」：EDPB 7·31 致函欧委会要求重审欧美《数据隐私框架》适格性（Trump 诉 Slaughter，No. 25-332，2026年6月29日）——中资企业的 SCC 回退方案与 EO 14086 双轨敞口
2026 年 7 月 31 日，欧洲数据保护委员会（EDPB）致函欧盟委员会，要求评估美国最高法院 Trump 诉 Slaughter（No. 25-332）判决是否已动摇欧美《数据隐私框架》适格性决定的基础。适格性决定目前仍然有效，但仅以 DPF 认证为唯一传输依据的中资企业，现在就应当重做依据盘点并在 DPA 中预置 SCC 回退条款。
「距 2027 年 1 月 1 日还有 106 天」：加州 CCPA 自动化决策技术（ADMT）规则全面适用（11 CCR §§ 7200、7220–7222）——五类「重大决定」、退出权与中资企业 AI 招聘、授信系统的改造清单
加州隐私保护局（CPPA）关于自动化决策技术（ADMT）的规则，将于 2027 年 1 月 1 日对已在使用此类技术的企业全面适用，从今天算起还有 106 天。规则已于 2025 年 9 月 23 日获加州行政法办公室核准，各项义务分阶段落地：预先告知、退出权与访问权以 2027 年 1 月 1 日为限。
「一个像素，等于一次出售」：康州 SB 1295（2025 PA 113）7 月 1 日取消数量门槛 × 8·19 TaxAct 27.5 万美元和解确立「标签治理」范本——中资出海企业的第三方追踪技术体检
2026 年 8 月 19 日，康涅狄格州总检察长 William Tong 宣布与在线报税服务商 TaxAct 达成 27.5 万美元和解：TaxAct 网站上的 Meta 与 Google 第三方追踪代码，把纳税人的收入、退税额与扣除项一并传给了广告平台。此前不久，SB 1295 对康州《数据隐私法》的修订于 2026 年 7 月 1 日生效，取消了敏感数据处理与个人数据出售这两条适用路径的数量门槛，一枚像素就足以把企业拉进管辖范围。
「一条行政法规，换来一张集体诉讼的入场券」：Baker 诉 Index Exchange（No. 1:25-cv-10517，伊北区 2026年6月16日）首次准许以违反司法部《数据安全项目》击穿 ECPA 单方同意抗辩——中资关联企业的广告技术链条敞口
2026 年 6 月 16 日，伊利诺伊州北区联邦法院 Kennelly 法官在 Baker 诉 Index Exchange（No. 1:25-cv-10517）中驳回撤销之诉动议，首次准许原告援引司法部《数据安全项目》（28 C.F.R. Part 202）作为 ECPA「犯罪—侵权例外」的前提，从而击穿单方同意抗辩。一部没有私人诉权设计的国家安全法规，由此进入民事集体诉讼。
「国籍、签证身份、护照号，一并列入敏感数据」：特拉华 HB 380（85 Del. Laws ch. 463，2026年9月2日签署，2027年1月1日适用）把适用门槛降到全美最低的 1 万人——「仅自动化」三个字被删、雇员数据豁免收窄，与中资在美子公司的 AI 招聘敞口
2026 年 9 月 2 日，特拉华州州长 Matt Meyer 签署 HB 380 与 HB 381。HB 380 把《特拉华个人数据隐私法》的适用门槛从 35,000 名消费者降到 10,000 名，并新增一条没有数量门槛的「第三方」路径，自 2027 年 1 月 1 日适用；国籍、公民身份、移民身份、护照号与社会安全号一并列入敏感数据，「仅自动化」决策的安全区亦被取消。