新泽西州A.5328数据经纪商法即时生效：全面禁售敏感数据、每条记录5万美元罚款——中资企业数据合规的新雷区

2026年6月30日，新泽西州州长Mikie Sherrill签署A.5328号法案（P.L.2026, c.25），该法当日即时生效，被业界称为“全美最严厉、成本最高”的数据经纪商法。法案不仅要求数据经纪商（data broker）和数据收集商（data collector）每年注册并缴纳最高150万美元的年费，更在全州范围内无门槛禁止出售敏感个人数据——违者每条记录可被处以5万美元民事罚款。对于涉及广告技术、用户画像、数据变现或跨境数据流转的中资企业而言，这部即时生效、几乎没有过渡期的新法构成了不容忽视的合规风险。

立法背景

新泽西州于2023年通过州综合隐私法（New Jersey Data Privacy Act，P.L.2023, c.266），已于2025年生效。此次A.5328号法案由州众议员William F. Moen, Jr.等人于2026年6月28日提出，仅两天后即在6月30日经参议院修正通过并由州长签署，立法速度之快在美国州隐私立法史上极为罕见，多家律所将其称为“独立日突袭”（Independence Day surprise）。

在此之前，加州（Delete Act）、佛蒙特州、俄勒冈州和德克萨斯州已建立数据经纪商注册制度。但新泽西州的新法在覆盖范围、注册费用和处罚力度上全面超越上述各州，标志着州层面对数据交易行业的监管进入了新阶段。

法律要点：双轨监管框架

新法建立了两条并行的监管轨道。

第一，全面禁止出售敏感数据。法案修订了新泽西州综合隐私法第9条（C.56:8-166.12），新增控制者（controller）“不得出售敏感数据”的义务，并明确该禁令“适用于所有个人或法律实体，无论其控制或处理的消费者数据数量多少”。这意味着即使企业未达到州综合隐私法原有的适用门槛，只要出售了哪怕一名新泽西州居民的敏感数据，即可能违法。更值得注意的是，该禁令没有消费者同意例外——取得用户同意也不能豁免。

法案定义的“敏感数据”范围广泛，包括：种族或民族、宗教信仰、身心健康状况、金融账户信息（账号与密码等组合）、性生活或性取向、公民身份或移民状态、跨性别或非二元性别身份、可识别个人的基因或生物特征数据、已知儿童的个人数据，以及精确地理位置数据（半径1,750英尺以内）。

第二，注册与年费制度。法案要求两类主体每年向州消费者事务局（Division of Consumer Affairs）注册：一是“数据经纪商”，即与消费者没有直接关系却收集或购买其个人数据并向第三方出售或许可的实体；二是“数据收集商”，即与消费者有直接关系（如客户、用户、雇员），但将其个人数据出售或许可给数据经纪商的企业。第二类定义使大量拥有第一方数据的普通企业——而不仅是传统数据贩子——落入监管范围。注册时须披露退出机制（opt-out）、数据删除政策、历史数据泄露事件及未成年人数据处理实践等信息。州消费者事务局将建立公开登记册，该条款将于法案生效270日后（2027年3月27日）启动。

处罚机制与费用

注册年费按涉及的新泽西州消费者数量分为七档：10万人以下为5,000美元，逐级递增至450万人以上的150万美元——为全美各州同类制度中最高。未注册或未缴费的，每日可处2,500美元民事罚款，且须补缴历年注册费。

最具威慑力的是敏感数据禁售令的罚则：数据经纪商（包括控制者）或数据收集商违法出售、要约出售或许可敏感数据的，每条记录可处以5万美元民事罚款。以数据交易动辄百万条记录的规模计算，理论罚款金额可达天文数字。法案仅为HIPAA涵盖的医疗信息、GLBA监管的金融机构、FCRA框架下的征信机构等设置了有限的行业豁免。

对中资企业的合规启示

第一，立即开展数据地图（data mapping）梳理。确认企业是否收集、购买或出售新泽西州居民的个人数据，特别是精确定位、生物特征、移民身份等敏感类别。由于禁售令无适用门槛，即使新泽西业务量极小也不能忽略。

第二，重新审视“出售”的定义。法案将“出售”界定为“为金钱或其他有价对价而共享、披露或转移个人数据”，与CCPA类似的宽泛定义可能涵盖广告技术合作、SDK数据回传、联合营销等常见商业安排。App出海企业尤其应审查程序化广告链条中的数据流。

第三，评估是否构成“数据收集商”。即使企业只处理自己客户的第一方数据，只要向数据经纪商出售或许可这些数据，就须注册缴费。应盘点下游数据合作方的身份，必要时修订供应商数据处理协议（DPA），明确禁止对方以经纪商身份转售数据。

第四，更新隐私政策与同意撤回机制。新法同时要求控制者提供与授予同意同样便捷的撤回同意机制，且须在收到请求后15日内停止处理。DSAR（数据主体请求）响应流程应同步更新。

第五，关注多州合规联动。已在加州Delete Act、德州、俄勒冈州注册的数据经纪商，应将新泽西州纳入年度注册清单，并注意各州对“敏感数据”定义的差异——新泽西州将移民身份和跨性别身份纳入敏感数据，在当前执法环境下尤为敏感。

趋势展望

A.5328的即时生效模式打破了州隐私立法通常预留12至18个月合规过渡期的惯例，反映出州立法者对数据经纪行业的耐心正在耗尽。结合联邦层面DOJ数据安全计划（针对向中国等“受关注国家”的批量敏感数据传输）已进入全面执法阶段，以及FTC对位置数据经纪商的连续执法，美国对数据交易的监管正在形成“联邦国家安全审查+州消费者保护”的双重夹击格局。对于数据密集型的中资出海企业，敏感数据的识别、隔离与交易限制应当上升为2026年下半年合规工作的最高优先级。

本文仅为一般性信息介绍，不构成法律意见。如您的企业需要评估美国州隐私法合规义务，欢迎联系格知律师事务所。