「先付三亿,剩下一亿等一纸撤销令」:司法部 8·21 与 TikTok、字节跳动达成 4 亿美元 COPPA 和解(C.D. Cal. No. 2:24-cv-06535)——修订版规则宽限期届满后,中资 App 的儿童数据敞口
2026 年 8 月 21 日,美国司法部(DOJ)宣布与 TikTok Inc.、字节跳动有限公司及其关联实体达成和解,就《儿童在线隐私保护法》(COPPA,15 U.S.C. §§ 6501–6506)及其实施细则的合规争议一次性了结。和解总额 4 亿美元,其中 3 亿美元立即支付;剩余 1 亿美元的支付条件是法院作出命令,撤销 2019 年针对 TikTok 前身 Musical.ly 的那份同意判决(consent decree)。司法部在新闻稿(Press Release No. 26-957)中称,这是 COPPA 项下有史以来金额最高的追偿之一。
案件由司法部民事司执行与主动诉讼处在联邦贸易委员会(FTC)移送后于 2024 年 8 月提起,案号 No. 2:24-cv-06535,管辖法院为加州中区联邦地区法院。和解文书载明,所解决的主张仅为指控,未经责任认定。
案件背景:一份随资产延续至今的同意判决
2019 年 2 月,Musical.ly 就未经家长同意收集 13 岁以下用户个人信息与 FTC 达成 570 万美元和解,并接受同意判决约束。字节跳动 2017 年收购 Musical.ly 后将其并入 TikTok,同意判决项下的义务随之延续到新的主体身上。
2024 年的起诉状指控,在同意判决生效期间,TikTok 仍然明知地允许 13 岁以下儿童注册普通账户,收集其电子邮箱地址与站内行为数据用于定向广告,未按 COPPA 要求向家长提供直接告知,未取得可核实的家长同意,并在家长请求删除子女账户的路径上设置了不合理障碍。
那一亿美元买的是什么
或有对价的部分需要单独说明。司法部并未把这 1 亿美元算作罚款,而是把它挂钩于一项程序性结果:只有当法院正式撤销 2019 年那份同意判决,这笔钱才到账。
这实际上给「解除历史同意令」标了一个价。同意判决项下的长期义务、年度报告与第三方评估本身就是持续的成本中心,被告愿意为提前脱身付费,执法方愿意收下这笔钱换取一次干净的了结。中资企业若在美国被 FTC 或州总检察长以同意令方式结案,这一条应当写进谈判考量:同意令的存续年限不是一个纯粹的法律负担,它有可以计算的价格,也有可以谈判的退出路径。
司法部新闻稿中另有一段表述影响后续判断。稿件称,自 2024 年起诉以来,TikTok 在所有权、管理层、合规职能与隐私实践方面发生了重大变化,公司已实施大量措施强化对低龄用户的保护、改进年龄相关控制并加强家长监督,这些进展「实质性推进了本部诉讼所依托的公共利益」。换言之,在金额确定的过程中,事后整改被计入了折让。
修订版 COPPA 规则:宽限期已于 2026 年 4 月 22 日届满
这份和解落地的时点,恰在修订版 COPPA 规则全面适用之后。FTC 于 2025 年 4 月 22 日在《联邦公报》公布终规(90 FR 16918,FR Doc. 2025-05904,编入 16 C.F.R. Part 312),2025 年 6 月 23 日生效;除 § 312.11(d)(1)、(d)(4) 与 (g) 三处针对安全港计划另有更早时限外,受规制主体的合规宽限期至 2026 年 4 月 22 日届满。这是该规则自 2013 年以来的首次实质修订。
对中资 App 影响最直接的有五处。
其一,生物识别与政府证件号被写进「个人信息」。§ 312.2「个人信息」定义第(10)项扩至生物识别标识符,列举包括指纹、掌纹、视网膜图样、虹膜图样、包含 DNA 序列在内的基因数据、声纹、步态特征、面部模板与脸纹,凡可用于自动或半自动识别个人者均在其列;第(6)项另将政府签发的身份识别号码(社会安全号、州身份证号、出生证明号、护照号)纳入。以语音输入、AI 陪伴、拍照换装、AR 试妆为卖点的应用,此前依赖「我们不收集姓名住址」的自我判断已不能成立。
其二,新增「混合受众」类别与中立年龄筛查义务。同条新增「混合受众网站或在线服务」定义。这类服务落入「面向儿童」的第(1)项,但并非以儿童为主要受众,且在采集年龄信息或采用其他合理手段判断访问者是否为儿童之前,除 § 312.5(c) 有限用途外不得收集任何访问者的个人信息。规则文本本身写明,年龄采集或其他判断手段「必须以中立方式进行,不得默认设定某一年龄,也不得诱导访问者虚报年龄」。作为对价,未被识别为 13 岁以下的访问者,该服务对其不视为面向儿童。大量中资短视频、社交与休闲游戏产品正落在这一类。
其三,第三方披露必须单独取得家长同意。§ 312.5(a)(2) 要求把「为提供服务而收集使用」与「向第三方披露」两项同意拆开。经营者必须给家长一个选项,允许其同意前者而不同意后者,除非该披露对服务本身不可或缺;在需要给出该选项的场合,还必须就披露另行取得可核实的家长同意。第三方定向广告之所以被这条抓住,是因为它落在「内部运营支持」豁免之外:§ 312.2 已将该豁免限缩至情境广告与频次控制,并明文排除行为广告与用户画像。把两项同意合并进一个勾选框,现已构成独立违规。
其四,书面信息安全计划与供应商书面担保。§ 312.8(b) 要求书面的信息安全计划,且必须指定协调人、至少每年开展一次风险评估、针对已识别风险设计并落实防护措施、定期测试与监控其有效性、至少每年评估并修订计划。(c) 款进一步规定,在让其他经营者、服务提供商或第三方代为收集、保存儿童个人信息,或向其释出该等信息之前,经营者须采取合理步骤确认对方具备保密、安全与完整性维护能力,并取得书面担保。合同管理由此从建议做法变成了规则义务。
其五,禁止无限期留存,留存政策须公示。§ 312.10 禁止无限期留存,并要求制定、实施与维持书面的数据留存政策,载明收集儿童个人信息的具体目的、留存该等信息的商业必要性,以及删除时限;该政策须依 § 312.4(d) 在在线隐私告知中一并公示。以「备份系统无法删除」为由拖延,在该条项下不再是有效抗辩。
「实际知情」的门槛比想象中低
COPPA 的适用触发点有两条:服务「主要面向儿童」,或者经营者「实际知情」(actual knowledge)其正在收集 13 岁以下用户的个人信息。中资出海企业在自评时最常出现的判断失误,是把第二条理解成需要用户自行申报年龄才能成立。
实践并非如此。FTC 与法院此前认定,产品内的年龄标签、客服工单中家长的陈述、应用商店的年龄评级、内部用户画像中出现的低龄标签,都可能构成实际知情。TikTok 案的起诉状即援引公司内部的年龄识别与人工审核流程作为知情证据——企业自己建立的识别能力,反过来成了证明其「知道」的材料。
加州 AB 1043 的年龄信号机制应当一并纳入判断。当操作系统层面开始向应用传递年龄区间信号,「我们不知道用户是儿童」这一抗辩的事实基础将被系统性削弱。收到信号却继续按成年人处理,在 COPPA 项下很难解释为不知情。
对中资企业的合规要点
第一,重做一次数据盘点,范围限定在 13 岁以下用户可能触及的字段。声纹、面部模板、步态数据、设备标识符与精确位置要单独列出,并标注每一项的收集目的、留存期限与接收方。修订版规则下,这份清单本身就是 § 312.10 留存政策的底稿。
第二,把同意流程拆开。服务性收集与第三方披露必须是两个动作、两条记录。同意日志需要能按用户、按时间点、按同意范围复原,否则在执法问询中无法证明合规。
第三,审查 SDK 与广告变现链路。多数中资 App 的儿童数据外流不发生在自有服务器,而发生在集成的第三方 SDK。需要逐一确认哪些 SDK 在儿童模式下仍在上报,并取得供应商的书面担保。§ 312.8(c) 已经把这项审查写成义务。
第四,重新评估年龄筛查的设计。中立筛查不得默认成年,界面上也不得暗示某个年龄可以解锁更多功能。此前普遍采用的「输入生日,不合格则直接跳转成年模式」的做法需要复核。
第五,检查现存的同意令与和解协议。若企业或其收购标的曾在美国接受 FTC 或州总检察长的同意令约束,应核实义务是否随资产或股权转移而延续。TikTok 案的教训正在于此:2017 年的收购把 2019 年的同意判决义务一并接了过来,而 2024 年的起诉状把违反同意判决作为加重情节。
格知律所如何协助
格知律师事务所的数据合规团队为中资出海企业提供 COPPA 与儿童数据专项服务,具体包括:按修订版 16 C.F.R. Part 312 逐条开展儿童数据合规审计与差距分析;出具混合受众定性与「实际知情」风险评估意见;设计分层同意流程与可核实家长同意(VPC)机制并起草相应文本;撰写中英双语的隐私政策、直接告知与 § 312.10 留存政策;审查第三方 SDK 与广告技术供应商的数据处理协议,谈判 § 312.8(c) 项下的书面担保条款;在 FTC 民事调查请求(CID)、司法部民事司问询与州总检察长调查中代理应对。对已受同意令约束的企业,我们亦承办义务存续分析、年度合规报告编制与撤销申请。团队同时处理 CCPA/CPRA、《删除法案》、生物识别(BIPA、CUBI)与 EO 14117 项下的跨境数据传输等相邻议题,可在同一次盘点中完成多法域的合规映射。
结语
4 亿美元这个数字本身不是这份和解最重要的部分。真正的信号有三个:司法部民事司在 FTC 移送后亲自出面并将案件办至终局;执法方愿意为撤销历史同意令明码标价,说明同意令的存续成本已被双方认可为可交易的对象;事后整改在金额确定中获得了实质折让。
对尚未进入执法视野的中资 App 而言,第三点是唯一可以主动利用的。修订版 COPPA 规则的宽限期已于 2026 年 4 月 22 日届满,FTC 依 15 U.S.C. § 45(m)(1) 可科处的民事罚款上限现为每次违法 53,088 美元(16 C.F.R. § 1.98,2025 年 1 月 17 日通胀调整后金额;因 2025 年秋季拨款中断致 CPI-U 缺失,OMB M-26-11 已取消 2026 年度调整,该金额继续适用),而儿童用户的每一次数据收集都可能被单独计算。距离下一份起诉状,往往只差一次内部盘点。