「每500毫秒截一次屏」：得州总检察长ACR智能电视系列诉讼进入第二阶段——LG合意终局判决写入「禁止向中共传输观看数据」条款，海信与TCL仍在应诉
美国得克萨斯州总检察长 Ken Paxton 于 2025 年 12 月 15 日一次性起诉索尼、三星、LG、海信与 TCL 五家电视厂商，指控其通过自动内容识别技术（Automated Content Recognition，ACR）在未取得知情同意的情况下持续抓取消费者的电视观看数据。八个月过去，案件格局已经分化：三星与 LG 先后和解，索尼、海信、TCL 三案仍在应诉。真正值得中资企业警惕的不是罚款数字，而是 2026 年 5 月 11 日 LG 合意终局判决中出现的一项新型救济条款——禁止 LG 以任何形式向中国共产党传输观看数据。州总检察长的隐私执法，正在把地缘政治风险直接写进和解协议的义务清单。
事件背景：每 500 毫秒一次的「屏幕指纹」
ACR 是嵌入智能电视操作系统的软件，通过对屏幕上的音频与画面采样生成「指纹」，再与内容数据库比对，从而识别用户正在观看的内容。得州在起诉状中指控，被告电视每 500 毫秒采样一次，相当于每小时 7,200 帧，且采集范围不限于电视自带的流媒体应用，还覆盖有线电视盒、卫星接收器、游戏主机、蓝光机以及通过 HDMI 接入的笔记本电脑。
得州对市场渗透率的估算颇具说服力：全州约 1,070 万户家庭，按全美约 68% 的智能电视保有率推算约 780 万户装有智能电视；TCL 约占美国智能电视安装基数的 14%，折合得州约 109 万户家庭；按户均 2.7 人计，约 295 万得州居民生活在装有 TCL 智能电视的家中。
起诉状进一步指控，ACR 数据结合设备标识符与元数据后，可推断出消费者的种族、性别、宗教与政治信仰——这些均落入得州及绝大多数隐私法域下的「敏感数据」范畴。
法律依据：为何用 DTPA 而非 TDPSA 打头阵
值得注意的是，得州的主请求权基础并非 2024 年 7 月生效的《得州数据隐私与安全法》（Texas Data Privacy and Security Act，TDPSA），而是历史更悠久的《得州欺骗性交易行为法》（Texas Deceptive Trade Practices Act，DTPA），具体为 Tex. Bus. & Com. Code § 17.46(a)（一般性禁止虚假、误导或欺骗性行为）与 § 17.46(b)(24)（明知而不披露，意图诱使消费者进行其本不会进行的交易）。
这一选择是有意为之。DTPA 无需证明消费者实际损害，只要总检察长「有理由相信」存在违法行为且诉讼符合公共利益即可（§ 17.47(a)）。得州此前依 DTPA 达成的两笔天价隐私和解——2024 年与 Meta 的 14 亿美元、2025 年与谷歌的 13.75 亿美元——已经证明了这条路径的杀伤力。
但 TDPSA 并未缺席。起诉状明确载明：本次诉讼的指控同时构成 Tex. Bus. & Com. Code § 541.154 项下的通知；若被告未在 30 天内纠正 §§ 541.101–102 所述违法行为，得州将追加 TDPSA 诉由。这是一种「双轨叠加」的施压结构：DTPA 先行立案并申请禁令，TDPSA 作为后手随时可挂。
处罚机制：每次违法 1 万美元，涉老年消费者可达 25 万美元
依 Tex. Bus. & Com. Code § 17.47(c)(1)，DTPA 民事罚款为每次违法不超过 10,000 美元；若违法行为系针对年满 65 周岁的消费者获取财物而实施，可就每次违法追加不超过 250,000 美元。得州在 TCL 案中明确主张被告行为系针对老年消费者，并请求超过 100 万美元的金钱救济。
§ 17.47(g) 列明了事实审理者「应当考虑」的六项量罚因素：违法严重性、既往违法记录、遏制未来违法所需金额、对被处罚方的经济影响、对违法性的明知程度，以及其他公正所需考量的事项。第二项与第五项对中资企业尤为不利——既往合规记录与「是否知道自己在违法」会被直接放大。
监管要点：LG 和解判决的三项义务与「CCP 条款」
2026 年 5 月 11 日，得州与 LG Electronics U.S.A., Inc. 达成合意终局判决（Agreed Final Judgment），核心义务包括三项：其一，在智能电视上以弹窗形式披露观看数据的收集与使用方式；其二，同一披露内容须同步登载于 LG 官网；其三，向用户提供清晰、简便的退出路径。
第四项才是真正的新东西：LG 同意禁止以任何形式向中国共产党传输观看数据。这是一项与传统隐私救济（告知、同意、删除、审计）在性质上完全不同的义务——它不针对数据处理行为本身，而针对数据的最终接收方身份。此前得州对海信与三星均已取得临时限制令（TRO），要求其在得州境内停止相关 ACR 数据采集。
起诉状还援引了两项对中资企业极为敏感的事实基础：一是 TCL 的用户条款与隐私政策明示适用中华人民共和国法律；二是《中华人民共和国国家情报法》被援引为「中国政府可要求企业提供用户数据」的依据。换言之，企业自己写在协议里的法律适用条款，被总检察长反向用作国家安全论据。
对中资企业的合规启示
1. 把「开机设置流程」当作首要合规现场。得州指控的核心不是「收集了数据」，而是「同意不是知情的」：ACR 被标注为「性能与分析数据」、「更多详情」按钮后是稀薄的条款、整个流程只突出显示一个「同意」按钮。整改动作应当是：将追踪类同意从必要功能中拆分为独立分层的选项，在同意界面正文（而非二级页面）直接说明采集频率、采集范围（含 HDMI 外接设备）与接收方类别。
2. 退出路径必须与开启路径「对称」。起诉状点名了两类暗黑模式：「Privacy Zuckering」（诱导超额分享）与「Roach Motel」（易进难出）。得州计算出 TCL 的退出选项散落在四个以上界面、需点击 200 余次。合规基线是：一键开启就必须一键关闭，且设置完成后用户须能随时复查已同意的条款并变更选择，建议在设置菜单一级层级设置「隐私」入口。
3. 数据最小化要能「举证」，而不只是写进政策。得州最有力的论证是：「提供个性化内容不需要每 500 毫秒采样一次，也不需要追踪 HDMI 外接设备。」企业应当为每一类数据字段建立必要性评估文档，将字段逐一对应到具体功能，并保留「是否存在侵入性更低的替代方案」的书面分析。这类文档在美国州级执法中是抗辩的核心证据，事后补做没有意义。
4. 重新审查美国版用户协议的法律适用与数据流向表述。「适用中华人民共和国法律」「可能与关联方共享」等表述，在美国市场会被直接引为跨境数据风险的证据。建议：美国市场使用独立版本的隐私政策与用户协议；明确列明数据存储地、境外访问的具体主体与目的；对中国境内团队的访问权限做技术隔离并留存日志。同时需与第 14117 号行政令及司法部大宗敏感数据规则下的义务统一梳理，避免出现相互矛盾的对外表述。
5. 提前规划 § 541.154 的 30 天整改窗口。TDPSA 下总检察长在起诉前须给予 30 天整改期。这 30 天是极其宝贵的窗口：企业应当预先准备好整改预案（同意界面改版、退出功能上线、数据字段下线的技术方案与工时评估），一旦收到通知即可在期限内完成整改并提交书面说明与不再违反的承诺，从而阻断 TDPSA 诉由。但须注意——整改不能阻断 DTPA 索赔，这也正是得州先打 DTPA 的原因。
6. 预判和解条款的「地缘政治化」。LG 判决中的「CCP 条款」很可能成为后续和解的模板条款。中资企业应当预判未来可能被要求接受的义务类型：数据本地化、第三方独立审计、禁止特定关联方访问、向监管机构定期报送。在诉讼发生前完成数据映射与访问权限隔离，比在和解桌上被动接受更有利——因为前者可以自主设计技术架构，后者往往被写成不可谈判的终局判决义务。
趋势展望
得州这一系列诉讼的示范意义在于三点。第一，州总检察长正在把消费者保护法（而非综合性隐私法）作为隐私执法的主武器，因其举证门槛低、罚则重、无需证明实际损害。第二，执法对象从「数据收集行为」扩展到「设备本身的架构设计」——ACR 作为出厂预装功能被整体质疑，这对所有硬件出海企业都是新的风险维度。第三，也是最关键的，数据接收方的国别属性正在成为独立的救济事由：LG 的义务不因其合规改进而豁免，而是被写入判决的绝对禁止。
索尼、海信与 TCL 三案仍在得州威廉森县地区法院审理，其判决或和解条款将进一步明确这一模板的边界。对中资出海企业而言，现在应当做的不是等待判决，而是立即以本案指控清单为对照表，逐条自查设备端同意流程、退出对称性、数据字段必要性与美国版协议文本。在州总检察长发出 30 天整改通知之前完成的整改，成本是最低的。