2025隐私合规进入【严刑峻法】时代​

2025年虽然可能是2020年以来首个没有新增州级全面隐私法的年份，但一点都不平静，具体能分成这几大块看：

新的全面隐私法没新增，但有小插曲。阿拉巴马、俄克拉荷马、佐治亚这三个州的相关法案在敲定前卡壳了，缅因和佛蒙特想搞更严格的规定，也没2024年离成功那么近。

不过也有几个州在年底冲刺，比如马萨诸塞9月底参议院全票通过了一个类似马里兰州的法案，要求严格控制数据收集；

宾夕法尼亚10月初众议院通过了法案，但去年类似法案在参议院卡住了，今年还不好说；密歇根和威斯康星虽然还在推进，但法案还没走出委员会。

9个州都给现存的隐私法打了补丁，改动还不少。康涅狄格州改得挺彻底，把“神经数据”算成敏感数据，企业得说清有没有用个人数据训练大语言模型，还禁止给18岁以下未成年人定向广告，AI自动决策也得让用户能退出。

蒙大拿州降低了合规门槛，处理2.5万消费者数据，或者处理1.5万且四分之一收入来自数据销售的企业都要遵守，还取消了企业整改的缓冲期。

其他州也有小动作，比如俄勒冈三次修法，禁售16岁以下未成年人数据和精准定位数据，还把车企纳入监管；

科罗拉多把“1850英尺内的精准定位数据”算敏感数据，卖敏感数据得要用户主动同意；

弗吉尼亚要求社交平台识别未成年人，默认每天只能用1小时；加州则要求浏览器加个“一键退出”的设置。

规则制定从“立新法”转向“细化旧规”。加州搞了127页的CCPA新规，2026年1月生效，涉及AI自动决策、风险评估这些，2028年起企业还得发誓遵守规定并提交证明，不然算伪证。

科罗拉多针对未成年人隐私明确了“故意忽视用户是未成年人”的定义，新泽西也出了草案，比如说公开信息不包括爬来的数据，但没说清楚“爬数据”到底啥意思，还说用个人数据训练AI不能用“内部研究”当借口，不过“AI”也没定义，现在还在等反馈后的修改。

今年各州查得更严了，罚款不少。加州CPPA罚了车企63万多美元、服装零售商34万多、某生活类零售商135万，还罚了没注册的数据经纪商；加州总检察长让一家健康网站赔了155万，康涅狄格罚了票务平台8.5万。

处罚主要集中在隐私通知不清楚、用户退订机制没用、没签数据处理协议这些点上，还要求企业定期扫描数字资产、做审计。

得州更直接，靠打官司执法，今年和一家科技公司达成了超10亿美元的和解，还起诉了保险公司；

佛罗里达首加入执法，起诉了电视内容平台，说它没经过同意卖敏感数据（包括精准定位和儿童数据），单条违规罚款上限高达150万。而且现在多州还联手查，10个州还组了“隐私监管联盟”。

几个重点领域监管特别严。

未成年人隐私方面，阿肯色、加州等8个州出新法，康涅狄格、俄勒冈改了旧法，路易斯安那、得州、犹他要求应用商店收集用户年龄，加州则要求操作系统传年龄信息，但各州规定乱，比如内布拉斯加和佛蒙特的“儿童适宜设计法”差别超大，企业难应对。

健康隐私方面，纽约通过了类似华盛顿州的健康信息隐私法，但还没给州长签字；弗吉尼亚禁止随便处理生殖健康信息，加州不让在医疗场所1850英尺内搞定位追踪，还保护移民相关医疗数据，不过华盛顿和内华达的健康隐私法生效一年多了，还没公开执法案例。

数据经纪商方面，加州要求它们注册时多披露信息，比如有没有收集社保号、精准定位数据，有没有卖给外国机构；德州改了两次相关法律，扩大了“数据经纪商”的定义，以前得靠数据业务赚钱才算，现在只要处理非直接收集的个人数据就算。

美国各州的隐私规定一年比一年复杂，现在还没统一的联邦规定，接下来各州估计还会继续在这方面出政策、定规则。合规门槛陡增，违法成本飙升，企业急需专业人才破解“法规迷宫”。