「国籍、签证身份、护照号，一并列入敏感数据」：特拉华 HB 380（85 Del. Laws ch. 463，2026年9月2日签署，2027年1月1日适用）把适用门槛降到全美最低的 1 万人——「仅自动化」三个字被删、雇员数据豁免收窄，与中资在美子公司的 AI 招聘敞口
2026 年 9 月 2 日，特拉华州州长 Matt Meyer 签署 House Bill 380 与 House Bill 381，分别编入《特拉华州法律汇编》第 85 卷第 463 章与第 464 章。HB 380 修订《特拉华州法典》第 6 编第 12D 章，即 2023 年制定、2025 年 1 月 1 日施行的《特拉华个人数据隐私法》（DPDPA），自 2027 年 1 月 1 日适用，距今 110 天。HB 381 修订同编第 12B 章的计算机安全泄露条款，自签署之日即 2026 年 9 月 2 日起生效，已在施行中。
州长办公室当日的新闻稿把这套修订称为"全美覆盖面最广的数据保护"，依据是适用门槛：任何在上一日历年度控制或处理 1 万名以上消费者个人数据的主体，都落入该法。特拉华州常住人口约 105 万，1 万人约占其中百分之一。这个比例目前在全美各州综合性隐私法中最低。
一、从 3.5 万到 1 万：门槛怎么改的
修订前的第 12D-103(a) 条设两条触发路径。第一条是上一日历年度控制或处理不少于 35,000 名消费者的个人数据（仅为完成支付交易而处理的除外）；第二条是控制或处理不少于 10,000 名消费者的个人数据，且超过 20% 的毛收入来自个人数据的销售。
HB 380 把第一条降到 10,000，第二条降到 5,000，并新增第三条：从控制者处取得个人数据的第三方（third parties who acquire personal data from a controller）。第三条没有写任何数量门槛。换言之，一家从未直接面向特拉华消费者的数据接收方，只要从某个控制者手上拿到过特拉华居民的个人数据，就可能直接受该法约束。新增的第 12D-107A 条进一步就这类第三方规定了独立义务：未依约取得授权的不得继续处理；须配合控制者完成数据保护评估与尽职调查；如果其本身达到第 12D-103(a)(1) 或 (2) 项的门槛，则须遵守全章规定。
数据保护评估的触发门槛同步下调，第 12D-108(a) 条由 100,000 名消费者降至 50,000 名。
二、敏感数据清单：国籍、公民身份与移民身份进来了
第 12D-102(30) 条重写了"敏感数据"的定义。修订后的 (a) 项覆盖"揭示或识别"种族、民族或国籍出身、宗教信仰、身心健康状况、诊断、治疗或状态（含妊娠）、性生活、性取向、跨性别或非二元性别身份、公民身份（citizenship status）以及移民身份（immigration status）的数据。(e) 项新增神经数据，定义为通过测量个人中枢神经系统活动而产生的数据。(f) 项纳入金融账号、金融账户登录信息，以及配合访问码、密码或凭证使用的信用卡、借记卡号。(g) 项纳入法律不要求公开展示的政府签发身份号码，明确列举社会安全号、护照号、州身份证号与驾照号。
最需要注意的是引言部分：基于个人数据单独或结合其他数据作出的推断（inferences），只要被"用于揭示或识别"上述任一类别，本身即构成敏感数据。
中资企业在美设立的子公司，人事档案里普遍同时存在三样东西：员工国籍、签证类别与移民身份、护照号与社会安全号。2027 年 1 月 1 日之后，这三样在特拉华都是敏感数据。第 12D-106(a)(4) 条要求处理敏感数据不仅须取得同意，还须"与已披露目的合理必要且相称"。同意本身不再是唯一门槛。
敏感数据的对外销售受第 12D-106(a)(12) 条的四项条件约束：其一，该披露对提供或维持消费者主动请求的产品或服务而言严格必要；其二，销售前作出清晰显著的告知，载明拟披露的具体敏感数据类别、披露目的，并指明接收方第三方；其三，取得消费者同意；其四，同意记录须保存 5 年，且须随数据保护评估一并提交。
三、"仅自动化"三个字被删掉了
第 12D-104(a)(6)c 项原文是"在仅自动化（solely-automated）决策中进行的、对消费者产生法律上或类似重大影响的画像"。HB 380 把 solely 删去，改为"自动化决策"。
这一处改动的射程最大。在原文之下，只要决策链条上有人参与，画像就不落入消费者的选择退出权。改为"自动化"之后，用算法生成评分、由人依该评分作出决定的通行做法，不再当然免于告知与选择退出。科罗拉多 SB 26-189 今年 5 月重写该州 AI 法时也处理了同一个问题，两州的落点相近。
与之配套的是新增的第 12D-106(f) 条。控制者若将"报告"（report）披露给第三方、供其用于法律上或类似重大影响的决策，必须在合同中要求该第三方向居民提供：不利结果的通知；所依据个人数据的说明；居民可向控制者索取第 12D-106(f)(2) 项信息的告知；以及居民可请求人工复核的告知，条件是技术上可行，但复核不符合居民最佳利益（例如危及生命或安全）的除外。居民提出请求后，控制者须在 30 日内提供其所保存的该居民个人数据、画像所用数据的来源，以及此前 24 个月内取得过该居民报告的全部第三方，并须提供更正错误数据的机会。
第 12D-106(g) 条留了一个出口：如果该报告是依《公平信用报告法》（15 U.S.C. § 1681 及以下）出具或本应依该法出具的消费者报告，(f) 款不适用。
四、雇员数据豁免被撕开一道口子
第 12D-103(c)(11)a 项原本把雇佣关系语境下收集使用的数据整体排除在外。HB 380 在其后加了一句例外：与第 12D-106(f) 条项下的画像和报告有关而处理的个人数据除外。
州长新闻稿对这一处的表述是，修订"收窄了现有的雇员数据排除，这类数据常与 AI 简历筛选器、面试评分工具，以及决定录用、晋升、纪律处分与解雇的报告相结合"。对使用第三方 AI 招聘工具的在美中资企业，这句话的含义是具体的：工具的输出一旦构成 (f) 款意义上的"报告"，雇员数据豁免就不再遮挡，告知、说明、人工复核与 30 日回应义务随之落地。
五、HB 381：泄露通知的三处收紧，已经生效
第 12B-101(5)d 项规定替代通知的适用条件（通知成本超过 75,000 美元、受影响特拉华居民超过 100,000 人，或联系信息不足），修订后在替代通知的组成部分中增列一项：向总检察长作出泄露通知。
第 12B-102(c)(3) 项针对经合理勤勉在 60 日内仍无法确定是否涉及特拉华居民个人信息的情形，修订后要求该主体在确定发生泄露后 60 日内向总检察长通知，除非其已在同一 60 日内依第 12B-101(5)d 项作出替代通知。
第 12B-103(b) 项收窄了 HIPAA 与 GLBA 的安全港。原文是受监管主体遵循其监管机构的程序即"视为遵守本章"，修订后改为"视为遵守本编第 12B-102(c) 条"。遵循行业监管程序此后只满足 60 日时限这一项，不再覆盖整章义务。这三处自 2026 年 9 月 2 日起已经生效，没有过渡期。
六、执法：宽限期已经过去
第 12D-111(e) 条规定，违反该章构成第 6 编第 2513 条项下的不法行为，同时构成第 25 章第二分章的违反，并"仅由司法部执行"。特拉华没有为 DPDPA 设私人诉权。
需要算清楚的是宽限期。第 12D-111(b) 条的 60 日强制通知与补救期，仅在 2025 年 1 月 1 日至 2025 年 12 月 31 日之间存在，已经届满。自 2026 年 1 月 1 日起，是否给予补救机会由司法部裁量。2027 年 1 月 1 日 HB 380 适用时，不会再有一轮新的强制宽限期。
罚则依《消费者欺诈法》第 2522 条：经法院认定属故意（wilful）违反，总检察长可申请对每一次违反处以不超过 10,000 美元的民事罚款；"故意"的认定标准是行为人知道或应当知道其行为属于该分章禁止之列。第 12D-108(c) 条另有一条值得留意：总检察长可以要求提交数据保护评估；评估文件属保密，不构成 29 Del. C. § 10002(o) 项下的公共记录，提交不构成对律师-当事人特权或工作成果保护的放弃，但评估本身可以被用于执法程序。
七、对中资企业的合规要点
第一，重做适用性判断，并把"第三方"这一身份算进去。按 10,000 与 5,000 两档重新统计特拉华居民数据量，同时单独判断本公司是否从某个控制者处取得过特拉华居民个人数据。第三条路径没有数量门槛，只按数据来源判断，这是最容易被漏掉的一条。
第二，把人事档案里的国籍、签证与移民身份数据单列。员工国籍、公民身份、移民身份、护照号与社会安全号在 2027 年 1 月 1 日后都是敏感数据。需要确认的是同意的取得方式、处理目的是否与已披露目的相称，以及这些字段是否流向了第三方系统。
第三，清点所有"人机结合"的决策流程。solely 一词删除后，凡算法产出评分、人工据以决定的流程，都需要重新判断是否构成受管辖画像。招聘、晋升、授信、租赁审核是四个高发场景。
第四，改造供应商合同。第 12D-106(a)(10) 条要求合同载明限定目的（含是否用于重大决策）、第三方遵守本章并提供同等保护水平、控制者的核查权、第三方无法继续履行时的告知义务，以及控制者叫停与补救的权利。第 12D-106(a)(11) 条进一步要求尽职调查"至少包括使用问卷与审阅第三方相关文件"。这两条都是可验证的书面要求，不是原则性表述。
第五，把泄露响应流程改到 HB 381 的口径上。安全港收窄之后，受 HIPAA 或 GLBA 监管的中资主体不能再以"已按行业监管程序处理"作为整章抗辩；替代通知的触发场景下，须同时向总检察长通知。这一条已经生效。
八、格知律所如何协助
格知律师事务所在美国数据合规领域为中资企业提供的服务，与本文所列义务基本一一对应。其一是受管辖性评估，按各州现行门槛逐条核算，包括本次新增的"第三方"路径。其二是敏感数据盘点与同意机制改造，重点处理在美雇员的国籍、签证与移民身份字段，以及同意记录的 5 年保存与随评估提交的要求。其三是自动化决策与 AI 招聘工具治理，涵盖受管辖画像的判定、不利结果通知模板、人工复核流程与 30 日回应机制的搭建。其四是供应商数据处理协议与尽职调查体系，按第 12D-106(a)(10)、(11) 条的可验证标准起草问卷与合同条款。其五是数据保护评估的撰写与特权保护安排，兼顾总检察长可调取与评估可被用于执法这两项设定。其六是泄露响应，覆盖 HB 381 之后的总检察长通知时点判断与多州通知义务的协调。中资企业的美国数据合规通常不是单州问题，我们的做法是以适用门槛最低的州为基准搭建统一流程，再按各州差异作局部调整。
九、结语
特拉华的这两份法案不是新设一部法律，而是把一部只施行了 20 个月的法律往前推了一大步：门槛降到全美最低，第三方被直接纳入，敏感数据清单扩到把国籍与移民身份包含在内，"仅自动化"的安全区被取消，雇员数据豁免在画像与报告这一块被撕开。
特拉华是大量中资企业的注册地，而注册地与营业地历来是两件事，DPDPA 管的也一直是营业行为而非注册行为。但门槛降到 1 万人之后，"在特拉华没有实际业务"这个判断，需要用数据而不是印象来支持。距 2027 年 1 月 1 日还有 110 天，且不会再有新一轮强制宽限期。