「1,850 英尺、神经数据与「外国主体」披露」：佛蒙特 S.71（VDPOSA，2026年6月16日签署）与 H.211 双法落地——中资出海企业最近的一道闸门在 2027 年 1 月 1 日

2026 年 6 月 16 日，佛蒙特州州长 Phil Scott 同日签署了两部隐私法案：S.71《佛蒙特数据隐私与在线监控法》（Vermont Data Privacy and Online Surveillance Act，VDPOSA；Act 145，编入 9 V.S.A. ch. 61A，§ 2415a–2415k）与 H.211 数据经纪商改革法案（Act 138）。S.71 此前曾于 6 月 8 日被州长否决，两院随即修改文本（其中删除了私人诉权）后方获签署。加上 2025 年 6 月 12 日已签署的 S.69/Act 63《适龄设计法》（Age-Appropriate Design Code Act），佛蒙特在一年之内搭起了一套三层的隐私规制结构。VDPOSA 使美国综合性州级消费者隐私法增至 23 部（个别统计口径计为 24 部）。

表面上看，VDPOSA 的生效日在 2028 年 1 月 1 日，似乎还很遥远；而且立法过程中最具争议的私人诉权（private right of action）已被删除，法案对企业更为友好。但这两点极易造成误判。真正逼近的闸门是 H.211 与 Act 63——两者均于 2027 年 1 月 1 日生效，距今不足 17 个月；而 VDPOSA 在若干条款上叠加了远超「康涅狄格模板」的佛蒙特特色，其中消费者健康数据部分不设任何适用门槛，意味着大量原本不在综合法射程内的中小型出海企业也会被直接覆盖。

一、适用门槛：全美最低之一

VDPOSA 适用于任何在佛蒙特州开展业务、或向佛蒙特居民提供产品与服务的主体，只要在上一个日历年度内满足以下任一条件（仅为完成支付交易而处理的数据除外）：

（1） 控制或处理至少 35,000 名消费者的个人数据；（2） 控制或处理至少 3,000 名消费者的敏感个人数据；或 （3） 对外出售至少 3,000 名消费者的个人数据。

这一门槛紧随 2025 年修订版《康涅狄格数据隐私法》（CTDPA），属全美最低区间之一。佛蒙特总人口约 65 万，35,000 人略高于州人口的 5%——一个中等规模的跨境电商站点很容易在无意间跨过门槛。

执法权专属于佛蒙特州总检察长（Vermont Attorney General），违规按《消费者保护法》（9 V.S.A. § 2458）论处，民事罚款上限为每次违规 10,000 美元。60 天的整改宽限期（cure period）自 2028 年 1 月 1 日起至 2029 年 6 月 30 日止为强制性（限于总检察长认定可以补正的情形）；此后是否给予补正机会转为总检察长裁量，不再是企业可主张的权利。宽限期应被视为规划期，而非安全网。

二、「敏感数据」的最宽定义：神经数据正式入列

VDPOSA 的敏感数据定义是目前全美最宽泛的之一，涵盖揭示以下内容的数据：种族或民族出身、宗教信仰、性生活、性取向、非二元或跨性别身份、公民身份或移民身份、精神或身体健康状况、诊断、残疾或治疗；单独定义的消费者健康数据（涵盖性别肯定医疗数据与生殖或性健康数据）；基因数据与生物识别数据；已知从儿童处收集的数据；精确地理位置数据；神经数据（neural data）；金融账户凭证；以及政府签发的身份证件号码。

其中最值得关注的是神经数据——即通过测量中枢神经系统活动所生成的信息（与康涅狄格口径一致，不含外周神经系统）。佛蒙特由此成为将神经数据写入综合性隐私法敏感数据定义的第四个州（继加利福尼亚、科罗拉多、康涅狄格之后）；若将蒙大拿以《基因信息隐私法》（SB 163，2025 年）规制神经技术数据的路径一并计入，则为第五个。对于出口 EEG 头环、睡眠监测设备、专注力训练类可穿戴产品、以及各类脑机接口早期产品的中国厂商而言，这意味着相关数据的处理与出售均需取得明示同意（opt-in consent），而非以隐私政策告知了事。

三、消费者健康数据：零门槛适用与 1,850 英尺电子围栏禁令

这是 VDPOSA 最具杀伤力的设计：消费者健康数据的限制不设适用门槛，适用于任何在佛蒙特开展业务或面向佛蒙特居民的主体，无论其是否满足前述 35,000／3,000／3,000 的一般门槛。受规制主体：

（1） 不得允许员工或承包商接触消费者健康数据，除非该等人员受合同或法定保密义务约束；（2） 未订立合规的处理者合同，不得向处理者开放访问；（3） 不得在任何医疗机构（含精神卫生机构、生殖或性健康机构）周边 1,850 英尺（约 564 米）范围内设置电子围栏（geofence），用于识别、追踪、收集消费者健康数据或就此向消费者推送通知；（4） 未经消费者同意，不得出售或要约出售消费者健康数据。

1,850 英尺是一个需要工程落地的具体数字。依赖第三方广告 SDK、LBS 推送或位置定向投放的中资 App 与营销技术服务商，必须在地理围栏引擎中真正建立医疗机构排除图层，而不能停留在政策文本层面。

四、消费者权利中的三处佛蒙特特色

控制者一般须在收到请求后 45 天内响应，申诉决定窗口为 60 天。除访问、更正、删除、可携与退出定向广告／出售／自动化画像等常规权利外，有三项设计明显超出多州基线：

第一，数据出售对象清单。消费者有权获取其个人数据被出售给哪些具体第三方的清单；若控制者未按消费者逐一维护该数据，则须提供其出售个人数据的全部第三方清单。这实质上要求企业建立可按主体检索的数据出售流向台账。

第二，画像结果的人工复核与申诉。数据被用于产生法律效果或类似重大影响之决定的消费者，有权质询决定结果、获知决策理由、并查看所使用的数据；在住房类决定中，消费者还有权更正不准确数据并要求重新评估该决定。

第三，访问请求的受限响应类别。与多数州法相反，VDPOSA 禁止控制者在响应访问请求时披露特定类别数据，仅可确认其存在，包括：社会安全号码、政府签发的身份证件号码、金融账户号码、健康保险与医疗识别号码、密码与安全问题，以及生物识别数据。这一「反向要求」意味着照搬加州 DSAR 模板的企业反而会踩线。

五、双重评估义务与 AI 训练披露

控制者须就存在较高损害风险的处理活动开展并记录数据保护影响评估（DPA），包括：定向广告处理、个人数据出售、可合理预见存在不公平对待／财务或名誉损害／隐私侵扰或其他实质损害风险的画像，以及敏感数据处理。

在此之上，VDPOSA 另行要求对用于作出产生法律效果或类似重大影响之决定的画像开展独立的画像影响评估（profiling impact assessment），并规定了目的披露、以及该在线产品／服务／功能所持有的未成年人个人数据类别等法定要素。评估文件本身保密，但总检察长有权调取。

另一项前沿义务是AI 训练披露：控制者向消费者提供的隐私通知，必须声明其是否为训练大语言模型（LLM）之目的而收集、使用或出售个人数据。佛蒙特是继康涅狄格（其修订后隐私法已于 2026 年 7 月 1 日生效）之后第二个提出该要求的州。

针对未成年人，VDPOSA 规定：控制者在实际知悉且蓄意漠视（actual knowledge and willful disregard）某消费者年满 13 周岁但未满 18 周岁的情形下，不得为定向广告目的处理其个人数据，亦不得出售其个人数据。这一「实际知悉 + 蓄意漠视」的复合表述，与企业习惯的单一「实际知悉」标准不同，会直接影响年龄信号的识别与归因控制设计。

六、H.211：数据经纪商改革中的「外国主体」披露

与 VDPOSA 同日签署的 H.211（Act 138），其数据经纪商与教育科技条款于 2027 年 1 月 1 日生效，要求包括：

（1） 向佛蒙特州务卿（Secretary of State）年度注册并缴纳 900 美元注册费；（2） 首次满足数据经纪商法定定义后，须在 30 天内完成注册；（3） 扩大强制披露范围，包括是否收集精确地理位置数据或移民身份；是否曾向外国主体（foreign actors）、政府实体或生成式 AI 系统／模型的开发者出售或共享消费者数据；以及消费者权利页面的 URL；（4） 新设 20,000 美元保证金要求；（5） 数据经纪商专属的数据泄露通知义务。

「是否向外国主体出售或共享」这一栏，对中资背景企业及其美国关联实体具有特殊分量。它与美国司法部 28 C.F.R. Part 202《数据安全项目》（DSP，落实第 14117 号行政令）形成事实上的信息叠加：一边是联邦层面对受关注国家的批量敏感数据交易禁令，一边是州层面公开可查的自我披露记录。企业若在两处的口径不一致，风险将被显著放大。

七、对中资企业的合规要点

一、重做适用性判断与数据流向清册。以 35,000／3,000／3,000 三项门槛逐一核算佛蒙特居民数据量，并单独盘点消费者健康数据——后者零门槛适用，需与一般适用性分开评估。

二、扩充敏感数据目录并改造同意流。将神经数据、性别肯定医疗数据、生殖与性健康数据、精确地理位置、移民身份纳入敏感数据清单，确认其处理与出售均走 opt-in 明示同意路径，而非默认收集加事后退出。

三、在广告与位置技术栈中落地 1,850 英尺排除层。审查自有 App、小程序、以及所有嵌入的第三方广告与归因 SDK，在地理围栏配置中建立医疗机构缓冲区，并保留可供监管调取的配置证据。

四、改造 DSAR 管线以适配三项特色权利。建立按消费者可检索的数据出售对象台账；为重大影响决定配置人工复核与申诉通道（住房场景增加更正后重新评估）；并在访问响应中屏蔽社会安全号、政府证件号、金融账号、医保／医疗识别号、密码与安全问题、生物识别数据等受限类别。

五、拆分评估模板并更新隐私政策。将画像影响评估从既有 DPA 模板中独立出来，明确其法定要素与保密／可调取属性；同时在隐私通知中新增是否为训练大语言模型而收集、使用或出售个人数据的声明，并与康涅狄格的口径保持一致。

八、格知律所如何协助

格知律师事务所的数据合规团队长期为中资出海企业处理美国州级隐私法的落地问题。围绕 VDPOSA 与 H.211，我们可提供的具体工作包括：适用性门槛测算与佛蒙特居民数据流向清册编制；敏感数据（含神经数据、消费者健康数据）识别规则与 opt-in 同意流设计；广告与 LBS 技术栈的电子围栏合规审查，含第三方 SDK 与数据处理协议（DPA）条款重谈；数据出售对象台账与 DSAR 响应管线建设，含受限响应类别的屏蔽逻辑；画像影响评估与数据保护影响评估模板的拆分、撰写与留档；隐私政策中 AI 训练披露条款的起草与多州口径统一；数据经纪商注册资格判断、州务卿注册文件与 20,000 美元保证金安排；以及「是否向外国主体出售或共享」披露口径与司法部 DSP（28 C.F.R. Part 202）申报、《个人信息保护法》出境路径之间的一致性审查。若已收到总检察长问询函，我们亦可在 60 天宽限期内主导整改方案的设计与答复。

九、结语

佛蒙特是一个人口不足百万的小州，但 S.71 与 H.211 的组合具有明显的示范意义：它把神经数据、AI 训练披露、画像结果质询权、医疗机构电子围栏禁令、外国主体数据流向披露这五项此前分散在不同州、不同层级立法中的前沿要求，压缩进了同一批法案。对于已经建成康涅狄格式合规体系的企业，佛蒙特的增量工作量有限；但对于仍以「加州模板走天下」的中资出海企业，VDPOSA 恰恰会在最不设防的几处——零门槛的健康数据、反向要求的访问响应、以及公开可查的外国主体披露——形成实质暴露。

最近的一道闸门在 2027 年 1 月 1 日（H.211 与 Act 63），主闸门在 2028 年 1 月 1 日（VDPOSA），整改宽限期在 2029 年 6 月 30 日关闭。以数据清册与同意流改造的实际周期计算，现在开始并不算早。