「像素也是重大条款」：FTC 诉 Hims & Hers（N.D. Cal. No. 3:26-cv-07871，2026年7月29日）首次以 ROSCA 追责健康数据共享——每次违规 53,088 美元，中资出海订阅制业务的五道缺口

2026年7月29日，美国联邦贸易委员会（FTC）联合犹他州与加利福尼亚州（由洛杉矶县县法律顾问 Dawyn R. Harrison 代表加州人民），在美国加利福尼亚北区联邦地区法院对远程医疗公司 Hims & Hers Health, Inc. 提起民事执法诉讼，案号 No. 3:26-cv-07871。诉状全称为《要求永久禁令、金钱判决、民事罚款判决及其他救济的起诉状》，由 FTC 以 2 比 0 的委员表决授权提起，主办人员来自 FTC 西部地区洛杉矶办公室。

诉状指控三块行为：订阅计费、取消流程、健康数据共享。但真正改写规则的，是 FTC 把第三块塞进了第一块的法律框架——它主张，被告未披露其向第三方广告平台共享消费者健康数据的做法，本身即构成《恢复网上购物者信心法》（ROSCA，15 U.S.C. §§ 8401–8405）第4条项下「重大条款」（material terms）的披露失败。这是 FTC 第一次这样使用 ROSCA。

对中资出海企业而言，这一步的含义远超远程医疗行业：它把「隐私政策写得不准」从一个通常只能换来同意令（consent order）的第5条欺骗性行为问题，转化成了一个按次计算、可直接折算成美元的民事罚款问题。而在诉状提交后仅十三天（2026年8月11日），第一批消费者集体诉讼已经跟进立案。

一、案件背景：一张问诊表，三条被指控的产品链路

Hims & Hers 是一家总部位于旧金山的远程医疗与处方药直营（DTC）平台。消费者在线填写问诊表（intake form），由医疗提供者审阅后开具处方。FTC 指控的三条链路如下：

第一条：先扣款，后问诊。公司在广告与网站上宣称消费者可以「连接」并咨询医疗提供者，以确定是否需要处方药；在填写问诊表并留下计费信息时，消费者得到的保证是「在药品被开具之前不会被扣款」。FTC 主张，多数消费者从未获得真实的医生咨询，而是在提交问诊表后不久即被扣款并自动订阅了一项周期性治疗方案，且没有审阅或批准的机会。诉状引用的一份消费者投诉写道：对方告知几天后可与医生通话、当天不会扣卡，但费用被立即划走。

第二条：把「取消」藏起来。2023年之前，多数消费者只能通过电话、邮件或在线客服取消订阅。2023年上线在线取消功能后，FTC 仍指控其取消按钮被隐藏——消费者必须先点击「增加／移除订单商品」（add/remove items from order），再经过若干步骤，才会第一次看到「取消」（cancel）字样。此外，公司未清晰醒目地告知每月处方的续配日期，使消费者难以在下一个计费周期前取消。

第三条：健康数据流向广告平台。公司宣称其平台「100% 线上、私密、安全」，并向消费者保证敏感健康信息仅由负责其治疗的医疗提供者接触。FTC 指控，实际上公司通过两条链路把消费者健康信息共享给了 Meta、Snap 等第三方广告平台。

二、争点一：ROSCA 第4条的「重大条款」被扩张到隐私实践

ROSCA 第4条（15 U.S.C. § 8403）针对「负选项」（negative option）在线交易设定三项强制要求：（一）在取得消费者计费信息之前，清晰醒目地披露交易的全部重大条款；（二）取得消费者对该项计费的明示知情同意；（三）提供简单机制以停止后续周期性扣款。

历史上，FTC 将 ROSCA 的「重大条款」限定在交易本身的金钱要素：扣款金额、计费频率、如何停止后续扣款。本案中，FTC 首次主张「是否向第三方广告平台共享健康数据」同样属于必须在扣款前清晰醒目披露的重大条款。

这一扩张之所以关键，在于罚则通道。ROSCA 第5条（15 U.S.C. § 8404）规定，违反该法应视为违反 FTC 法第18(a)(1)(B)条项下的规则，因而可依 FTC 法第5(m)(1)(A)条（15 U.S.C. § 45(m)(1)(A)）课以民事罚款。按现行 16 C.F.R. § 1.98(d)（90 FR 5581，2025年1月17日生效）的通胀调整金额，每次违规上限为 53,088 美元。在最高法院 AMG Capital Management, LLC v. FTC（2021）否定 FTC 法第13(b)条项下的金钱救济权限之后，ROSCA 已成为 FTC 取得实质金钱赔付最主要的法定路径——而在订阅制业务中，「每次违规」通常按消费者人次或扣款笔数计算。

换言之：如果法院接受 FTC 的解释，一份不准确的隐私政策，将不再只是同意令与整改承诺的问题，而会被直接转换为按笔累积的罚款基数。同理，其他非金钱事项（例如商品原产地）未来是否也会被认定为「重大条款」，将取决于本案的判决。

三、争点二：数据是怎么流出去的——名单上传与 Events 回传

FTC 指控的两条数据外流链路，是当前跨境电商与消费类 App 最常见的两种技术配置：

链路一：客户名单直接上传。公司将标识特定客户的名单共享给广告平台，使平台得以基于消费者的健康状况投放定向广告。在广告技术语境下，这通常表现为「自定义受众」（Custom Audience）或「客户名单匹配」功能——市场部上传一份哈希后的邮箱或手机号名单，平台完成匹配。问题不在于名单是否加密，而在于名单本身的分组标准即揭示了健康状况。

链路二：第三方跟踪技术自动回传。公司在网站上部署跟踪工具，自动将访客的「Events」（访客在网站上的行为，包括与健康相关的浏览活动）共享给广告公司。这就是通常所说的像素（pixel）与 SDK 回传。这条链路的危险性在于其默认开启、自动运行：营销团队安装一段代码用于转化归因，法务团队却往往并不知晓该代码回传了哪些字段。

两条链路的共同点是：都不需要企业存在「出售数据」的主观意图。FTC 的理论建立在「承诺与实践不符」之上——只要公开宣称保护隐私，而后台数据流与该宣称不一致，第5(a)条的欺骗性行为即告成立；本案再叠加 ROSCA，把它变成罚款。

四、争点三：三层执法叠加，加一层私人诉讼

本案的原告结构值得中资企业特别注意——这不是一个联邦机构的单独行动，而是四层责任的叠加：

联邦层：FTC 法第5(a)条（15 U.S.C. § 45(a)）欺骗性行为，加 ROSCA 第4条。
州层：犹他州依《犹他州消费者销售行为法》（Utah Consumer Sales Practices Act）起诉；加州依《商业与职业法典》第17200条（不正当竞争法，UCL）与第17500条（虚假广告法，FAL）起诉。
地方层：加州的诉讼由洛杉矶县县法律顾问办公室代表加州人民提起——县级检察机关直接进入联邦执法队列，是近两年美国消费者保护执法的显著新趋势。
私人层：2026年8月11日，已有原告律所依据同一事实基础提起消费者集体诉讼。

此外，同一套事实在其他州法项下还有独立的风险敞口：华盛顿州《我的健康我的数据法》（My Health My Data Act, RCW 19.373）就消费者健康数据设有私人诉权，其「消费者健康数据」定义远宽于 HIPAA 的「受保护健康信息」，且明确涵盖非医疗机构；加州 CCPA／CPRA 将健康信息列为敏感个人信息（Cal. Civ. Code § 1798.121），赋予消费者限制使用与披露的权利；FTC《健康数据泄露通知规则》（16 C.F.R. Part 318）经2024年修订后，已明确适用于健康类 App 与非 HIPAA 实体，未经授权的对外披露即可能触发通知义务。

五、对中资企业的合规要点

1. 做一次真实的数据流盘点，而不是审阅隐私政策。用浏览器开发者工具或第三方扫描工具，抓取网站与 App 在真实用户会话中实际发出的所有第三方请求，逐一列出接收方、字段与触发条件。重点检查 Meta Pixel、TikTok Pixel、Snap Pixel、Google Ads 的转化事件参数，以及任何以 URL、页面标题或商品 SKU 形式外传的健康、疾病、症状类信息。合规的起点是知道数据实际去了哪里，而不是知道政策上写了什么。

2. 冻结「客户名单上传」这一动作，改为审批制。明确规定：任何向广告平台上传客户名单的行为，必须先书面回答两个问题——该名单的分组标准是否会揭示健康、性生活、生育、精神健康、财务困境或其他敏感属性？消费者是否已就此获得清晰披露并作出肯定选择？两个问题任一无法通过，即不得上传。哈希处理不构成抗辩。

3. 把隐私实践写进结账前的披露层，而不只是页脚链接。依 ROSCA 的新解读，重大条款必须在取得计费信息之前清晰醒目地呈现。这意味着：扣款金额、首次与后续扣款时间、续订周期、取消方式，以及（在涉及敏感信息的业务中）第三方数据共享的存在与范围，都应出现在结账页面的可视区域，而非埋在需另行点击的政策文档中。同意应当是单独、肯定、可举证的动作。

4. 重做取消流程，并留存证据。取消入口应与订阅入口对称：在同一介质中，以不多于订阅所需的步骤完成。避免将取消功能置于任何与取消无语义关联的菜单之下。建议保存取消流程各版本的截图与代码留痕——在 FTC 与州总检察长的调查中，「当时的页面长什么样」几乎总是第一个举证难题。

5. 重签供应商与广告平台协议，并同步中国法义务。与广告技术供应商、SaaS 服务商的合同中，应明确数据用途限制、禁止再营销与二次利用、审计权与删除义务，并在涉及加州业务时纳入 CCPA 服务提供者（service provider）条款以避免被认定为「出售／共享」。同时注意与中国《个人信息保护法》第28条至第29条的衔接：处理敏感个人信息须具有特定目的与充分必要性，并取得单独同意——美国侧的「清晰醒目披露＋肯定同意」与中国侧的「单独同意」，可以用同一套前端同意架构一次性满足，但必须在产品设计阶段就并线，事后补救成本极高。

六、格知律所如何协助

格知律师事务所（Getech Law）在数据合规领域为在美中资企业提供全链条服务。就本文所涉风险，我们的常规工作包括：广告技术数据流审计——在真实会话环境下抓取并还原网站与 App 的第三方数据外传路径，出具字段级风险图谱与整改清单；订阅制与负选项合规审查——依 ROSCA 第4条、FTC《负选项规则》及各州自动续订法（如 Cal. Bus. & Prof. Code § 17600 及以下）重构结账披露层、同意机制与取消流程，并建立可举证的版本留痕制度；隐私政策与结账披露文本起草，使公开承诺与后台实际数据流严格一致；供应商与广告平台数据处理协议（DPA）审查与重谈，包括 CCPA 服务提供者条款与再营销限制；敏感数据合规架构设计，覆盖健康、生物识别与地理位置数据在美国州法与中国《个人信息保护法》项下的双重义务；以及FTC 与州总检察长调查应对——从民事调查令（CID）响应、事实梳理到和解谈判与同意令义务落地。若贵司业务涉及健康、医美、保健品、心理健康或任何依据用户健康状况投放广告的场景，我们建议在收到监管问询之前完成一次数据流盘点。

七、结语

FTC 诉 Hims & Hers 案尚未有实体裁判，法院是否接受「隐私实践属于 ROSCA 重大条款」的解释仍是未知数。但对合规工作而言，等待判决并非可行选项——因为无论法院最终如何认定，FTC 已经明确表达了执法意图，州总检察长与县级检察机关已经加入，私人集体诉讼已经跟进，而华盛顿州等地的私人诉权本就不以联邦执法为前提。

这起案件真正的启示或许最为朴素：在美国，隐私合规的核心不是政策文本写得多完善，而是政策文本与后台数据流是否一致。一段为了衡量广告转化率而安装的像素代码，可以在企业毫无恶意的情况下，把一份写得很好的隐私政策变成一份按次计罚的虚假陈述。对正在美国市场扩张订阅制业务的中资企业来说，现在花几周时间把数据流盘清楚，成本远低于日后在加州北区解释「当时的页面长什么样」。

本文仅为一般性法律资讯，不构成针对具体事项的法律意见，亦不构成律师-客户关系。如需就贵司具体情形获取建议，欢迎联系格知律师事务所。

格知律师事务所 Getech Law Firm
邮箱：info@getechlaw.com
电话：+1-312-888-6633
地址：203 N LaSalle St, Ste 2100, Chicago, IL 60601