2026年7月1日,康涅狄格州《数据隐私与在线监控法》(CTDPA)的重大修正案 SB 1295 正式生效:适用门槛从10万消费者骤降至3.5万,”神经数据”被写入敏感数据清单,并叠加”零补救期”执法。本文解析新规要点与中资企业的合规红线。

2026年7月8日，美国司法部”数据安全计划”（DSP，28 C.F.R. Part 202）全面执法即将满一周年：中国被列为”受关注国家”之首，大量中资背景企业被界定为”受管控主体”，年度审计与年度报告义务已全部生效。本文解析DSP的禁止类与限制类交易、批量敏感数据门槛与处罚框架，并给出中资企业五项立即合规动作。

美国国防部 1260H“中国军事企业”清单最新一版于 2026 年 6 月 10 日在《联邦公报》发布（档案号 DOD-2026-OS-1288），共点名约 188 家实体，母体/集团级 80 家，并删除 10 家。本文解析其法律依据、与其他清单的区别、FY2024 NDAA 第 805 条采购禁令时间表，并附完整名单（中英文对照）。

2026 年 5 月 14 日，科罗拉多州州长签署 SB 26-189，废止并重建被誉为"全美首部综合性 AI 立法"的《科罗拉多人工智能法》（CAIA），新法将于 2027 年 1 月 1 日生效。本文梳理这场"推倒重来"的来龙去脉与核心义务变化，并为面向美国市场的中资企业提出五项立即合规重构动作。

2026 年 6 月 5 日，FTC 正式敲定与教育科技公司 Illuminate Education 及加密跨链桥运营商 Illusory Systems（Nomad）的两份"十年同意令"，均依据《FTC 法》第 5 条就数据安全问题达成和解。本文梳理两案事实与命令义务，并为面向美国市场的中资企业提出可落地的合规要点。

2026 年 1 月 1 日，加州正式上线全美首个由政府运营的统一删除平台——删除请求与退出平台（Delete Request and Opt-out Platform，简称 DROP）。这是加州《删除法案》（Delete Act，SB 362，2023 年第 709 章）落地的核心机制：加州居民只需向加州隐私保护局（California Privacy Protection Agency，CPPA）提交一次删除请求，即可一键要求 500 余家已注册数据经纪人（data broker）删除其全部非豁免个人信息，全程免费。

真正的"硬约束"将在 2026 年 8 月 1 日触发——距今仅 57 天。自该日起，所有注册数据经纪人必须每 45 天至少访问 DROP 一次，检索并处理消费者删除请求；检索后须在 45 天内在平台上回报每一笔请求的处理状态，并在 90 天内完成数据删除。未能履行者，将按 每笔未处理删除请求每日 200 美元计罚。对于持有加州消费者数据、却"自认为不是数据经纪人"的中资广告、招聘、营销与 SaaS 企业，这是一道不容错过的合规闸口。

2026·4·29 NYDFS 同意令 Delta Dental 225 万——首单 2026 年 23 NYCRR Part 500 罚单。本文剖析 MOVEit 余震下 72 小时通报、数据最小化与第三方风险三大义务，给出中资金融、保险与跨境支付企业五项立即合规重构动作。

截至 2026 年 5 月 31 日，DOJ NSD 依据 EO 14117 颁布的《数据安全程序》（DSP，28 CFR Part 202）已执法满 8 个月。每笔违规交易民事罚款最高 $368,136 或 2 倍交易金额，故意违规可处 20 年监禁 + $100 万罚金。中资跨境企业、健康 / 基因 / 金融 SaaS、出海广告 / 招聘服务商面临首批 willful violation 穿透判定风险。本文系统梳理 DSP 立法源流、'国家关切方'穿透、七类敏感数据 bulk 门槛、罚则架构与中资企业五项立即合规重构动作。

2026 年 4 月 1 日，《马里兰在线数据隐私法》（MODPA）正式步入执法窗口期，距今已满 60 天。马里兰总检察长 Anthony G. Brown 已获权对违法行为发起调查与处罚，按违规最高 $10,000、再犯最高 $25,000 计算民事罚款。本文拆解 MODPA "严格必要"标准与"敏感数据销售零容忍"规则，并为中资企业开出五项立即合规重构动作。

2026 年 4 月 22 日，FTC 修订后的 COPPA 2.0（16 C.F.R. Part 312）正式触发强制合规——距今满 36 天。叠加 Cognosphere（米哈游）$2,000 万与 Disney $1,000 万两起 COPPA 先例，本文拆解 § 312.2、§ 312.4、§ 312.5、§ 312.8、§ 312.10 五条款修订要点、$53,088/违规罚款，并为中资游戏 / 教育 / 短视频企业开出五项立即合规重构动作。

距离 2026 年 8 月 1 日仅剩 66 天——加州《删除法》DROP 平台将开启数据掮客强制对接。CPPA "执法突击队" 已对 Rickenbacher Data 与 ROR Partners 开出 $45,000 与 $56,600 罚款，叠加 EO 14117 / DSP 对涉华数据流的国家安全审查。本文拆解 SB 362 三段式时间表、§ 1798.99.80(d) 四要件判定，并为中资数据驱动企业开出五项立即合规动作。

2026 年 5 月 24 日，距华盛顿《我的健康我的数据法》(MHMDA, RCW 19.373) 首批合规截止日已满 26 个月。AG 尚未公开执法，但私人诉权先一步把 Maxwell v. Amazon SDK 集体诉讼与 Uncle Ike’s 像素+Cookie 案推上前线，把"位置=健康数据""SDK 默认采集=无效同意""像素回传=未经授权销售"三条新基线带到所有面向华州居民的中资企业面前。

2026 年 5 月，美国司法部国家安全司（NSD）领导的「数据安全计划」（DSP，依据 EO 14117 与 28 CFR Part 202）已正式步入全面执法的第八个月。中国被列为六个「重点关注国家」之首，所有在美中资企业、被中国主体持股 ≥50% 的「涵盖人」，以及与之有数据合作的美国对手方，都已直接进入 NSD 的执法雷达。