新泽西州"闪电立法"A5328：数据经纪商年度注册费最高150万美元、出售敏感数据每条罚5万美元——中资App、广告与电商企业的数据变现新红线

2026年6月30日，就在独立日假期前夕，新泽西州州长 Mikie Sherrill 签署了 A5328 法案，使新泽西成为继佛蒙特、加州、得克萨斯、俄勒冈等州之后，全美第七个建立数据经纪商（data broker）注册监管制度的州，也是继康涅狄格之后今年第二个。该法案6月28日才正式提出，随州预算案在几天之内火速通过并签署，业界几乎没有得到任何预警。法案签署后立即生效（注册制度部分于颁布后270天、即2027年3月27日启动）。其年度注册费最高达150万美元、出售敏感数据每条记录罚款5万美元的规定，均创下全美数据经纪商立法之最。

立法背景：从"注册披露"走向"重费+禁令"

美国迄今没有统一的联邦隐私法，数据经纪商监管由各州自行推进。佛蒙特州2018年首创注册制，加州2023年通过《删除法》（Delete Act，SB 362）要求经纪商接入统一删除请求机制，得州、俄勒冈州相继跟进。此前各州的年度注册费大多仅为数百美元，监管重心在于"披露"。新泽西 A5328 则代表了一条更激进的路径：以高额分级年费和惩罚性罚款直接抬高数据交易的经济成本。法案同时修订了2023年通过的《新泽西数据隐私法》（NJDPA，P.L.2023, c.266），在州综合隐私法层面同步增设敏感数据销售禁令。

监管对象：不仅是数据经纪商，还有"数据收集者"

A5328 最重要的制度创新，是首次将监管范围从传统数据经纪商扩展至"数据收集者"（data collector）。二者的区别在于：数据经纪商指明知地收集或购买与其没有直接关系的消费者的个人数据、并向第三方出售或许可该数据的主体；数据收集者则是与消费者存在直接关系（如客户、用户、雇员），但将所收集的个人数据出售或许可给数据经纪商的企业。换言之，任何将自有用户数据"变现"给数据经纪商的普通企业——电商平台、App 开发者、智能设备厂商——都可能落入监管范围，即使其自身并非经纪商。受 HIPAA、GLBA、FCRA 等联邦行业法规制的数据和主体获得豁免。

注册费与处罚机制

数据经纪商与数据收集者须每年向新泽西州消费者事务局（Division of Consumer Affairs）注册并缴费，费用按所涉新泽西消费者数量分为七档：10万人及以下为5,000美元；10万至50万人为1万美元；50万至100万人为10万美元；100万至150万人为50万美元；150万至250万人为75万美元；250万至450万人为100万美元；超过450万人则为150万美元。未注册或未缴费的，除补缴各年度注册费外，另按日处以2,500美元民事罚款；未提交或未更新注册信息的，同样按日罚款2,500美元。须提交的注册信息包括 opt-out 机制、删除机制、历史数据泄露事件、未成年人数据处理情况以及数据处理者名单等。

敏感数据：全面禁售，每条记录罚款5万美元

A5328 明确规定，数据经纪商和数据收集者在任何情况下均不得向任何主体出售或许可敏感数据；同时修订 NJDPA，禁止所有控制者（controller）出售敏感数据——该禁令不设任何消费者数量门槛，适用于所有企业。敏感数据范围很广，包括：种族或民族、宗教信仰、身心健康状况、金融账户信息、性生活或性取向、公民身份或移民状态、跨性别或非二元性别身份、基因与生物识别数据、已知儿童的个人数据，以及精确地理位置数据（可定位至半径1,750英尺以内）。违反禁令的，每条记录可处5万美元民事罚款——以数据交易动辄数十万、上百万条记录的规模计算，理论罚款金额可达天文数字。

对中资企业的合规启示

1. 立即盘点数据变现链条。通过数据映射（data mapping）梳理是否存在向第三方出售或许可用户数据的行为，包括广告 SDK 数据共享和与数据合作方的收入分成安排。凡向数据经纪商供数的，即可能构成"数据收集者"，须评估新泽西注册义务和预算影响。

2. 全面停止敏感数据交易。精确地理位置、健康、生物识别、移民身份等敏感数据在新泽西已完全禁售，且每条记录5万美元的罚则几乎没有容错空间。应在与下游合作方的数据处理协议（DPA）中明确禁止转售敏感数据，并重点审查广告技术栈中位置数据的流向。

3. 与联邦数据安全计划叠加合规。根据 EO 14117 和司法部数据安全计划（DSP），向中国关联主体提供美国敏感个人数据本已受到禁止或限制；A5328 在州层面又增加一道禁令。中资企业的数据流动安排须同时通过联邦国家安全审查和州隐私法的双重测试。

4. 更新隐私政策与 opt-out 流程。注册时须如实披露 opt-out 与删除机制，企业应确保对外披露与实际操作一致，避免因披露不实另行引发欺诈性商业行为指控。

5. 锁定2027年3月27日注册节点。注册制度将于2027年3月27日启动，建议在2026年底前完成数据交易行为评估——最高150万美元的年费足以改变部分数据业务的商业可行性。

趋势展望

A5328 的"闪电立法"再次表明，美国州隐私立法的节奏与不可预测性正在上升：一部重大法案可以在一周之内完成从提出到签署的全过程。与此同时，加州 Delete Act 的统一删除机制将于2026年8月进入大规模执行阶段，得州、俄勒冈州也在强化数据经纪商执法。"让数据交易变贵"正在成为州监管的新共识。对以数据驱动增长的中资出海企业而言，数据变现的合规成本必须内化进商业模型本身，而非事后补救。

（本文基于新泽西州议会公布的 A5328 法案文本及 IAPP 分析整理，不构成法律意见。如需针对性合规评估，请联系格知律师事务所。）