美国《SECURE数据法案》（H.R. 8413）来袭：联邦统一隐私立法或终结"州法拼图"，并要求企业披露流向中国的数据
2026年6月3日，美国众议院能源与商业委员会下设的"商业、制造与贸易小组委员会"就一项里程碑式的联邦隐私立法举行听证会。这部名为《SECURE数据法案》（SECURE Data Act，H.R. 8413）的法案，意图以一部统一的联邦法律取代当前美国二十个州各自为政的隐私法"拼图"。尤其值得中资企业警惕的是：法案明确要求企业披露其流向中国、俄罗斯等"外国对手"（foreign adversaries）的个人数据。这意味着，无论该法最终能否通过，"数据流向中国"正被美国立法者置于聚光灯下。
立法背景
《SECURE数据法案》全称为《确立消费者数据统一权利与执法法案》（Securing and Establishing Consumer Uniform Rights and Enforcement over Data Act），于2026年4月22日由众议院能源与商业委员会主席Brett Guthrie（KY-02）与数据隐私工作组负责人John Joyce（PA-13）领衔提出。与之配套，众议院金融服务委员会同步推出《GUARD金融数据法案》（GUARD Financial Data Act），旨在修订1999年的《格雷姆—里奇—比利雷法》（GLBA），强化金融机构的数据隐私义务。
长期以来，美国缺乏统一的联邦综合隐私法，企业不得不应对加州CCPA/CPRA、得州、康涅狄格州等二十部各异的州法。该法案试图终结这一碎片化格局。2026年6月3日的听证会，是法案进入实质立法程序的重要一步，但两党就核心条款仍存在明显分歧，最终能否通过尚不确定。
法案核心内容
该法案借鉴了多数州综合隐私法已采用的成熟框架，由联邦贸易委员会（FTC）与各州总检察长共同执法。其要点包括：
消费者权利：消费者有权知悉数据被收集与使用、以可携格式访问其个人数据副本、删除个人数据，并可退出（opt-out）定向广告、数据出售及某些自动化决策。处理敏感数据须经消费者同意；处理儿童与青少年数据须经家长同意。
企业义务：企业须将个人数据收集限于为已披露目的所"充分、相关且合理必要"（adequate, relevant, and reasonably necessary）的范围（即数据最小化）；须实施合理的数据安全措施；并须披露其与他方共享的个人数据，包括任何在中国、俄罗斯或其他外国对手处理或售予对方的个人数据。
数据经纪商（Data Brokers）：须遵守数据最小化、披露与安全要求，并在FTC登记。FTC将建立一个面向公众、可检索的数据经纪商登记册，供消费者了解如何行使隐私权。
配套金融立法：《GUARD金融数据法案》则针对金融机构，要求其最小化数据收集与披露，允许现有及前客户访问其金融数据、前客户请求删除数据，并要求在披露敏感个人信息前取得消费者的明确选择同意（opt-in consent）。此外，法案授权美国商务部长继续推动跨境数据流动、应对外国数据本地化壁垒，并保护美国人数据免受外国对手风险。
联邦优先权（Preemption）争议
法案最具争议之处在于其强势的联邦优先权（preemption）条款：凡"涉及"（relates to）该法所规范事项的州法律，原则上将被联邦法取代。这意味着加州CCPA、各州数据经纪商登记制度乃至部分行业性州法都可能被架空。加州隐私保护局（CPPA）已就此致函国会表达反对，民主党议员亦批评该版本"对产业过于友好"。法案对GLBA下的金融机构、HIPAA下的受监管实体及业务伙伴、部分非营利组织与高等院校设有豁免。鉴于此，法案前景仍存较大不确定性。
对中资企业的合规启示
尽管法案尚未成为法律，但其释放的监管信号对中资企业极具警示意义，建议提前布局：
一、高度关注"流向中国"的数据披露要求。该法案首次在联邦综合隐私立法层面，明确点名要求披露流向中国等外国对手的个人数据。这与DOJ《数据安全计划》（28 C.F.R. Part 202）对批量敏感数据出境的限制形成呼应。中资企业应尽早梳理跨境数据流向，明确哪些美国个人数据被传输至中国境内处理。
二、建立数据地图与数据最小化机制。无论联邦法还是现行州法，"合理必要"原则均为合规基石。企业应盘点收集的数据类别、目的与流向，删除非必要数据，避免"过度收集"成为合规负债。
三、审视数据经纪商身份与登记义务。若企业向无直接关系的第三方出售或共享个人数据，可能落入"数据经纪商"定义，需评估在联邦及加州层面的登记与披露义务。
四、夯实消费者权利响应流程。提前搭建可处理访问、删除、退出（DSAR）请求的标准化流程，并为敏感数据与未成年人数据设置同意机制，以同时满足现行州法与潜在联邦法要求。
五、动态跟踪立法进程，避免"双重合规"被动。在联邦法落地前，州法仍然有效；企业不应因预期联邦统一而松懈州法合规，而应以"最严标准"统筹搭建合规体系，从容应对日趋收紧、且日益聚焦"中国因素"的美国数据监管环境。
格知律所如何协助
面对从"州法拼图"走向联邦统一、且日益聚焦"中国因素"的美国数据监管环境，格知律师事务所可为中资企业提供端到端的合规支持：开展跨境数据流向梳理与数据地图（data mapping），识别哪些美国个人数据被传输至中国境内处理，并据此完成《数据安全计划》（28 C.F.R. Part 202）与潜在联邦披露要求下的出境合规评估；进行数据经纪商身份判定与联邦／加州层面的登记、披露义务分析；搭建可统一处理访问、更正、删除与退出请求的DSAR 标准化流程，并为敏感数据及未成年人数据设计同意机制；起草符合多州及潜在联邦标准的隐私政策与数据处理协议（DPA）；就 GLBA 与《GUARD 金融数据法案》下的金融数据义务提供专项合规意见；并为客户建立"最严标准"的多州合规基线与立法动态跟踪机制，确保在联邦法落地前后均能从容应对。
结语与展望
《SECURE 数据法案》能否最终成为法律仍取决于两党博弈——联邦优先权的范围、是否设私人诉权、敏感数据门槛等核心条款均存争议，CPPA 与民主党的反对意味着立法之路不会平坦。但无论结果如何，三点趋势已然清晰：其一，美国正认真尝试以单一联邦标准取代州法拼图；其二，"数据流向中国"已从执法议题上升为立法议题，跨境数据合规将持续承压；其三，在联邦法落地前，二十余部州法仍然有效，企业唯有以最严标准统筹搭建合规体系，方能进退有据。格知律所将持续跟踪本法案及配套《GUARD 金融数据法案》的立法进展，为客户提供及时、可执行的合规指引。