得州 AG 5·11 起诉 Netflix：TDPSA + SCOPE Act + CUBI 三法叠加执法时代——中资 OTT / 智能终端 / 跨境企业的合规重构清单
一、开篇：得州 AG"5 月 11 日起诉 Netflix"——TDPSA 执法迎来里程碑
2026 年 5 月 11 日，得克萨斯州总检察长 Ken Paxton 在科林县（Collin County）地方法院提起对 Netflix, Inc. 的诉讼，指控其"长期、系统地"非法采集得州成年人及未成年人的行为数据，并以多达 5 PB/日、1000 万事件/秒 的"监控级"基础设施支撑其广告和推荐微服务运行。起诉书援引《得州欺骗性交易行为—消费者保护法》（DTPA，Tex. Bus. & Com. Code § 17.46）及《得州未成年人在线安全法（SCOPE Act）》（HB 18），要求强制 Netflix 在儿童账号下默认关闭自动播放（autoplay）、停止其"未充分披露的第一方行为日志记录"，并主张禁令救济与民事罚款。
此案是 Paxton 自 2024 年 6 月启动"得州数据隐私与安全执法专项"（Data Privacy and Security Initiative）以来的最新里程碑——继 2024 年 7 月对 Meta 达成 14 亿美元生物识别和解（全美单州历史最高）、2025 年 5 月对 Google 达成 13.75 亿美元地理位置/隐私模式和解、2026 年初对 LG 智能电视 ACR 技术达成同意令之后，得州 AG 已在不到两年的时间内将得州打造成与加州 CPPA 并列的联邦层级数据隐私执法引擎。对于在德州运营或面向得州消费者销售产品/服务的中资企业，这一执法节奏的变化意味着合规底层重置。本文围绕得州三大法源——TDPSA、SCOPE Act、CUBI——逐项拆解，并给出五项立即行动清单。
二、得州数据合规的"三法一令"框架
第一，《得州数据隐私与安全法》（TDPSA）。Tex. Bus. & Com. Code 第 541 章，2024 年 7 月 1 日生效。适用对象为"在得州开展业务"且处理得州居民个人数据的实体，门槛较加州 CCPA 显著放宽——TDPSA 没有营收门槛，仅以"非小型企业"（非 SBA 定义的 small business）为最低过滤。义务包括隐私通知、数据主体权利响应（35 日内，可延期）、敏感数据"opt-in"采集同意、定向广告和"售卖"的退出权（universal opt-out signal 须识别）、合同性数据处理协议（DPA）等。
第二，《SCOPE Act》（HB 18）。2024 年 9 月 1 日生效。要求数字服务提供者：(i) 不得向未成年人（未满 18 周岁）销售或定向投放广告；(ii) 不得在未取得家长/监护人同意下与未成年人订立服务条款；(iii) 实施"知名度商业可行"（commercially reasonable）的年龄识别机制；(iv) 在未成年人账户中禁用使其延长在线时长的"沉迷设计"（含 autoplay、infinite scroll、push notification 等）。违规属 DTPA 项下欺骗行为，每次违规民事罚款上限为 10,000 美元。需要注意的是，得州北区联邦法院 Pitman 法官在 2024–2025 年陆续就 SCOPE Act 的"内容审核、定向广告、年龄验证"条款颁布初步禁令，但家长同意、未成年人个人信息采集最小化等核心条款仍然有效。
第三，《得州生物识别捕获或使用法》（CUBI）。Tex. Bus. & Com. Code § 503.001。要求"捕获生物识别符"（指纹、声纹、视网膜/虹膜、手或面部几何特征）前须告知并取得同意，并设保留销毁义务。CUBI 不设私人诉权——仅由 AG 执行——但每次违规罚款上限为 25,000 美元，这正是 Meta 14 亿美元和解的法律基础。
第四，2024 年 Paxton 行政令（Data Privacy and Security Initiative）。设立专门 AG 工作组，明确将传感器和 IoT 设备、生成式 AI、儿童在线服务、智能电视、汽车遥测、生物识别捕获列为优先执法领域。
三、Netflix 案件的关键诉因解析
起诉书共列出五项主要违法事实：第一，违反 SCOPE Act 家长同意要求——Netflix 在儿童账户中默认开启自动播放，构成"沉迷设计"。第二，违反 SCOPE Act 定向广告禁令——尽管 Netflix 名义上声称广告版仅向 18 岁以上用户开放，但 AG 调查发现儿童账户行为数据仍被用于跨账号建模。第三，违反 DTPA 第 17.46(b) 条之"误述/遗漏"条款——Netflix 隐私政策未充分披露其将行为日志出售或共享给第三方广告测量服务的全部范围。第四，违反 TDPSA 第 541.101 条数据主体权利——AG 调查显示 Netflix 未能在 35 日内对得州用户的删除、获取、纠正请求做出实质性回应。第五，违反 TDPSA 第 541.103 条敏感数据 opt-in——Netflix 在未获取明示同意的情况下处理了精确地理位置、宗教信仰、健康状况等敏感数据类目。
AG 寻求的救济包括：(i) 禁止 Netflix 继续在得州进行未经合规披露的数据采集；(ii) 在儿童账户下默认关闭 autoplay；(iii) 按违规次数计算的民事罚款（DTPA 项下 10,000 美元/次、TDPSA 项下 7,500 美元/次、SCOPE Act 项下 10,000 美元/次，可叠加）；(iv) 律师费及调查费用。考虑到 Netflix 在得州的数百万订阅用户规模与每日 PB 级数据吞吐，总敞口很可能再次进入 10 亿美元级别。
四、得州执法的"组合拳"模式：为何特别难防
相较加州 CPPA"先发函、再调查、再罚款"的渐进式风格，得州 AG 的执法呈现三个明显特征：
第一，多法源叠加起诉。同一行为可同时构成 TDPSA、SCOPE Act、CUBI、DTPA 项下违规，罚款按四个法律分别计算并叠加。Meta 案的 14 亿美元正是 CUBI 25,000 美元 × 海量违规次数的乘积。
第二，30 日"治愈期"已实质虚化。TDPSA 第 541.155 条原本设有 30 日治愈期，但 AG 通常以 SCOPE Act 或 DTPA 起诉以绕开该条——这两部法律均未设治愈机制。即便在 TDPSA 项下，治愈期亦将于2026 年 9 月 1 日因 SB 1188 修正案而失效。
第三，CID 先于诉讼且范围极宽。AG 通常先发出民事调查传票（Civil Investigative Demand，Tex. Bus. & Com. Code § 17.61），要求 3-6 年的源代码、行为日志、广告投放参数、A/B 测试结果、ML 模型卡等。CID 不答复或答复不充分本身即构成藐视并可单独追偿。
五、对中资企业的合规要点
第一，立即开展"得州适用性"映射。 凡向得州居民销售产品/提供服务（含 OTT、社交、电商、游戏、IoT、智能家居、智能车机、跨境零售、教育科技）的中资企业，无论是否在得州注册实体，均落入 TDPSA 管辖。重点应识别：是否处理未成年人（<18 周岁）数据、是否采集生物识别符、是否运行推荐 / 广告算法、是否使用 ACR（自动内容识别）或 SDK 上报、是否将数据传至中国母公司或第三方供应商。
第二，按"敏感数据 opt-in"标准重做同意流程。 TDPSA 第 541.001(28) 将精确地理位置、生物识别、健康、宗教、性取向、种族、国籍、移民身份、儿童数据均列为"敏感数据"。同意须满足"自由、具体、知情、明确"四要素（与 GDPR 标准接近），且应支持universal opt-out signal（如 Global Privacy Control）。隐藏在长篇隐私政策中的"概括同意"已被 AG 多次定性为欺骗性条款。
第三，立即审视"沉迷设计"清单。 凡产品包含 autoplay、infinite scroll、loot box、push notification、streak / 连击徽章、个性化推荐 feed 的，应：(i) 在已注册或可推定为未成年人的账户下默认关闭这些功能；(ii) 建立独立的"家长面板"使父母可调整这些设置；(iii) 保留可审计的家长同意记录与年龄识别证据，以便在 AG 发出 CID 时 30 日内可调取。
第四，DSAR/删除请求流水线本地化。 应建立独立的得州 DSAR 处理通道，承诺 35 日内回应（含可延期 45 日的书面通知），并整合 DROP（加州数据经纪人删除平台，2026 年 1 月 1 日上线）与 GPC 信号识别能力。建议同步构建 SCC（标准合同条款）/ DPA 模板库，覆盖与中国母公司、境外云服务商、广告 SDK 提供商之间的数据传输安排，叠加 EO 14117"批量敏感个人数据"规则做交叉合规审查。
第五，CID 应对预案。 中资企业一旦收到得州 AG 的 CID，应在 72 小时内做出三项决定：(i) 是否启动律师—客户特权审查程序；(ii) 是否申请保护令以限制源代码或 ML 模型披露范围；(iii) 是否需向中国总部启动数据出境申报（PIPL 第 36–38 条）。建议预先与本地数据隐私律师签订 retainer，以确保 30 日内可形成正式答复。
六、格知律所如何协助
格知律所为中资企业在得克萨斯州及全美数据隐私执法中提供端到端的合规与应诉服务。结合本文议题，我们的服务包括：TDPSA / SCOPE Act / CUBI 三法合一适用性映射与差距分析（覆盖 OTT、IoT、智能电视、智能车机、跨境电商、教育科技、生成式 AI 等高风险业态）；儿童数据合规专项（家长同意流程、年龄识别机制、沉迷设计审查、SCOPE Act 与联邦 COPPA 双轨合规）；敏感数据 opt-in 流程改造与 GPC / DROP 通用退出信号集成；DSAR 与删除请求流水线搭建（35 日内可审计响应，含中英双语用户面板）；得州 AG 民事调查传票（CID）应对（72 小时响应小组、特权审查、源代码保护令、ML 模型披露范围谈判）；跨境数据传输与 EO 14117 叠加合规（DPA 模板设计、关联方数据互通限制、向中国总部数据出境的 PIPL 申报联动）；数据隐私集体诉讼与多州 AG 联合调查协调防御（结合芝加哥本所与得州本地合作律师 24 小时跨时区响应）。
七、结语 / 展望
得州 AG 对 Netflix 的起诉并非孤立事件，而是 Paxton "数据隐私与安全执法专项"自 2024 年启动以来一以贯之的逻辑延伸——以"多法叠加 + 高额罚款 + 高调和解"模式将得州打造为继加州之后的第二大数据合规执法策源地。从行业视角观察，三个趋势值得中资企业警惕：第一，智能终端（智能电视、智能音箱、智能家居网关、智能车机）正成为下一波执法重点——LG 案打开了 ACR 技术合规的"潘多拉盒"，TCL、Hisense、Xiaomi、Skyworth 等已部分进入北美市场的中资品牌须重新评估传感与遥测策略。第二，未成年人数据合规将从"年龄门"扩展至"沉迷设计禁令"——SCOPE Act 模式正被 Utah、Florida、纽约 SAFE for Kids Act 等多州效仿，构成一张快速织密的全国监管网。第三，30 日治愈期的实质失效叠加 CID 工具，使得州 AG 拥有了类似 FTC 但更具地方利益驱动的执法武器。
对于中资企业而言，将得州视为"另一个执法重点州"已远远不够。在 TDPSA 治愈期 2026 年 9 月 1 日失效之前的不到 4 个月窗口期，应抓紧完成隐私通知更新、敏感数据 opt-in 流程改造、家长同意机制部署与 CID 应对预案搭建——任何一项延误，都可能在下一份 Paxton 新闻稿上看到自己的名字。