2026 年 6 月下旬，佛罗里达州总检察长办公室与流媒体平台 Roku, Inc. 就一起儿童数据案达成和解。该案由州总检察长办公室下设的家长权利办公室（Office of Parental Rights）于 2025 年 10 月中旬在 Collier County 巡回法院提起，据公开报道，是佛罗里达州《数字权利法案》（Florida Digital Bill of Rights，Fla. Stat. § 501.701 及以下）下的首起公开执法案件。据报道，和解不含罚款，也不含对违法的承认，但 Roku 需投入约 2,500 万美元的工程成本，落实年龄识别、家长同意与隐私控制披露，并在 12 个月内完成全国范围部署。对在美销售智能硬件、运营 App 或接入广告 SDK 的中资企业而言，这份和解给出的是一个清晰信号：州检察长愿意用“改系统”而不是“交罚款”来收场，而系统要改成什么样，取决于企业手里有多少未经同意的敏感数据在流向第三方。
一、法规与案件背景
《数字权利法案》源自 2023 年的 SB 262，自 2024 年 7 月 1 日起施行，由佛罗里达州法律事务部（Department of Legal Affairs，即总检察长办公室）独家执行，不设私人诉权。依据第 501.72 条，每项违法最高可处 50,000 美元民事罚款，在涉及儿童等特定情形下可加倍；主管部门可酌情给予 45 天的整改期。
据州总检察长的起诉描述，Roku 被指控的核心行为包括：未经家长同意收集、出售儿童的敏感个人数据（观看习惯、语音录音等），并使这些数据可被重新识别；未在平台上实施年龄识别或儿童用户档案；未披露其可能出售敏感数据；并对隐私控制与退出工具的有效性作出不实陈述。报道还提到，起诉书点名了与其合作的数据经纪商 Kochava。检方同时援引《佛罗里达欺骗性和不公平贸易行为法》（FDUTPA），请求民事罚款和禁令救济。
二、核心法律分析
1. 适用范围不止于“十亿美元门槛”。《数字权利法案》中完整的“控制者”义务，适用于全球年总收入超过 10 亿美元、且满足三项条件之一的主体（广告收入占 50% 以上、运营带语音助手的智能音箱、或运营拥有 25 万个以上应用的应用商店）。但第 501.715 条的敏感数据出售规则通过引用第 501.702 条第 (9)(a) 款 1 至 3 项，适用于在佛州经营、收集个人数据并决定处理目的与方式的营利性实体，不以 10 亿美元收入为前提。出售敏感数据须事先取得消费者同意，并在网站上显示法定提示：“NOTICE: This website may sell your sensitive personal data.”
2. 敏感数据与儿童的叠加。敏感数据包括精确地理位置、生物识别和遗传数据、种族或民族出身，以及从已知儿童处收集的个人数据。对 13 至 17 岁的未成年人，须取得其本人的肯定性授权；13 岁以下儿童则适用联邦《儿童在线隐私保护法》（COPPA）的家长同意规则。
3. “去标识化”不是挡箭牌。检方的理论是：向广告商和数据经纪商共享的数据，如果可被重新关联到个人，就不能当作无风险数据处理。这与近年各州检察长的执法思路一致，企业不能只看自己是否“收集”了姓名，而要看下游合作方能否把数据还原。
4. 和解没有回答的问题。案件以和解结案，法院没有就 Roku 是否属于“控制者”、“已知儿童”的认定标准、“出售”的边界作出裁判。这些问题仍是开放的，企业不宜把“无罚款”理解为“无风险”。
三、对中资企业的合规要点
1. 先盘点“出售”。列出所有向第三方提供精确位置、语音、生物识别和儿童账户数据的场景，特别是广告 SDK、联合营销伙伴和数据经纪商。“出售”包括以金钱或其他有价对价进行的交换，不限于现金交易。
2. 建立年龄识别与儿童档案机制。如产品面向家庭用户（智能电视、教育硬件、游戏、短视频），应设置儿童档案或家庭账户，并按年龄分层：13 岁以下走 COPPA 家长同意，13 至 17 岁取得本人的肯定性授权。
3. 让披露与系统行为一致。隐私政策、退出工具和法定提示，必须逐项测试是否真的生效。“页面写了可以退出、后台仍在共享”，会同时触碰《数字权利法案》和 FDUTPA。
4. 收紧第三方合同。与广告商、数据经纪商和 SDK 提供方的协议应禁止再识别、限定用途、禁止再出售并保留审计权。如数据会流向中国境内的关联方或服务商，还应同步评估美国司法部数据安全计划（28 C.F.R. Part 202）对批量敏感个人数据传输的限制。
5. 备好 45 天整改窗口的应对方案。收到总检察长调查函或整改通知后，企业需要在短时间内拿出数据地图、同意记录和整改计划。这些材料应在平时就准备好，而不是临时拼凑。
四、格知律所如何协助
针对上述风险，格知律所可为在美运营的中资企业提供：敏感数据“出售”与共享的盘点与数据地图；佛罗里达州及其他州隐私法的适用性评估（控制者门槛、敏感数据条款）；儿童与未成年人数据的分层同意方案，涵盖 COPPA 与各州年龄分层要求；隐私政策、出售通知与退出机制的合规审阅；广告 SDK、数据经纪商及云服务商的数据处理协议审阅与谈判；以及在收到州总检察长调查函或整改期通知后的应对与沟通。我们的做法是先把“数据实际流向了谁”查清楚，再决定哪些环节需要改系统、哪些只需改合同和披露。
五、结语
按报道的和解时间表，Roku 的全国范围部署将在 2027 年年中前后完成。Roku 案的启示在于：执法重点正在从“有没有隐私政策”转向“系统实际在做什么”，儿童数据与敏感数据的组合是最容易被盯上的场景。建议中资企业在年底前完成一轮数据流向盘点，并把年龄识别和第三方合同列入整改清单。本文仅供一般信息参考，不构成法律意见。