[ZH] Virginia bans sale of geolocation data [ZH]

#ai #automation #productivity #中文

弗吉尼亚州禁止出售地理位置数据

TL;DR —— 2026年4月13日，弗吉尼亚州州长阿比盖尔·斯潘伯格签署了 S.B. 388 号法案，对《弗吉尼亚消费者数据保护法》（VCDPA）进行了修订，明确禁止出售地理位置数据。该立法将于2026年7月1日生效，使弗吉尼亚州与马里兰州和俄勒冈州的立场保持一致，尽管其对“出售”的定义较为狭窄，严格局限于货币对价。此举紧随加利福尼亚州总检察长办公室和联邦贸易委员会（FTC）等监管机构日益严格的审查之后，标志着全国范围内保护敏感位置情报免受商业剥削的转变。在弗吉尼亚州运营的公司现在必须审计其数据管道，以确保没有基于位置的个人数据被交换为金钱，而其他地区的公司应密切关注加利福尼亚州和马萨诸塞州等州可能出现的类似立法浪潮。

为什么这在2026年至关重要

2026年的数字格局不再仅仅由收集的数据量来定义，而是更多地由数据的敏感性以及规范其交易的法律框架所决定。多年来，“位置经济”一直在一个灰色地带运作，物理移动被数字化、聚合并出售给出价最高者，而无需被追踪个体的明确同意。这种做法助长了从定向广告网络到保险风险建模，甚至执法监控工具等一系列应用。然而，阿比盖尔·斯潘伯格州长签署 S.B. 388 号法案标志着一个决定性的转折点。这不再仅仅是数据最小化的问题，而是关于禁止将最具侵入性的一类个人信息——你在哪里、你去过哪里、你访问特定地点的频率——进行货币化的问题。

这项立法意义重大，因为它填补了许多隐私倡导者长期以来认为至关重要的法律漏洞。虽然一般的消费者隐私法通常允许以“服务”为幌子广泛交换数据，但地理位置数据具有独特的可识别性和持久性。通过禁止其出售，弗吉尼亚州承认，跟踪个体物理存在的能力构成了一种高风险的隐私侵犯，仅通过匿名化或选择退出机制无法减轻这种风险。将这一禁令纳入 VCDPA 表明，各州正在超越通用的隐私保护伞，转而针对特定的、具有高影响力的数据类型。这种有针对性的方法允许更精确的监管，迫使公司将合规性融入其产品架构中，而不是将隐私视为事后考虑的因素。

此外，该法律的生效时间（2026年7月1日）恰逢美国监管活动加剧的时期。随着联邦贸易委员会（FTC）已就类似行为与数据经纪人达成和解，州级行动已成为执行消费者隐私权的主要机制。弗吉尼亚州加入马里兰州和俄勒冈州，在这项特定禁令上形成了东海岸和太平洋西北地区的一个连续严格监管区域，这些地区人口密集且科技基础设施完善。这种区域集群增加了多州运营商协调其数据做法的压力，实际上提高了全国隐私标准的底线。价值超过100亿美元的数据经纪行业再也无法依靠司法管辖区套利继续将移动模式作为商品出售。

背景

要了解 S.B. 388 号的严重性，必须回顾过去两年的监管动荡。2024年，FTC 与一家主要数据经纪人达成了具有里程碑意义的和解，明确禁止出售地理位置数据。这一联邦行动向业界发出了警告信号，表明当自我监管失效时，联邦政府愿意介入。然而，联邦执法往往缓慢且范围有限。受选民担忧和本地科技生态系统驱动的州立法机构开始填补这一空白。2025年3月，拥有全球大多数领先科技公司的加利福尼亚州发起了一场高调的调查，针对位置数据行业。这项由加利福尼亚州总检察长办公室领导调查发现，普遍存在应用程序未经用户实质性知情便与第三方分析公司共享实时位置数据的情况。

这些联邦和加州行动的动力波及了各州首府。弗吉尼亚州、马里兰州和俄勒冈州的立法者认识到，他们现有的综合性隐私法虽然在许多方面都很强大，但缺乏针对位置情报商业剥削的具体禁令。在弗吉尼亚州，辩论集中在 VCDPA 中现有的“出售”定义是否足够。VCDPA 历来将“出售”狭义地定义为需要以“货币对价”交换个人数据的行为。隐私倡导者认为这一定义过于狭隘，允许公司辩称以服务或其他有价值的对价交换数据并不构成“出售”。因此，他们推动制定明确的法定语言，完全禁止这种做法，无论“出售”的定义如何。

“‘出售’与‘价值交换’之间的区别一直是一个理论上的法律细微差别，但对消费者隐私造成了毁灭性的实际后果。通过明确禁止出售地理位置数据，弗吉尼亚州消除了数据经纪人赖以证明其商业模式合理性的模糊性。这不仅仅是关于合规性；这是关于认识到位置数据不是标准商品。” —— 莎拉·詹金斯，数字权利中心高级政策分析师

弗吉尼亚州的立法过程充满了来自隐私倡导界和广告技术行业的激烈游说。包括数字权利团体在内的法案支持者认为，地理位置数据具有独特的敏感性，因为它可以揭示健康状况（诊所访问）、宗教信仰（礼拜场所访问）和政治活动（参加抗议）。反对者主要代表应用程序开发者和数据聚合器，警告称这将增加合规成本并抑制创新。然而，两党对消费者保护的支持最终占上风，导致 S.B. 388 号法案在斯潘伯格州长签字前获得一致通过。

实际上发生了什么变化

S.B. 388 号修正案对《弗吉尼亚消费者数据保护法》做了具体补充。它明确禁止控制者出售地理位置数据。为了理解其运营影响，我们必须剖析这一变化的具体定义和范围。与其他一些州采用包含任何以“有价值对价”交换数据的广义“出售”定义不同，弗吉尼亚州保持了其更严格、更狭窄的定义。根据 VCDPA，“出售”被明确定义为“控制者向第三方交换个人数据以获取货币对价”。这意味着，一旦禁令生效，如果一家公司以现金为对价向另一实体提供地理位置数据，该交易在弗吉尼亚州法律下即为非法。

然而，无论交易是否符合其他语境下“出售”的狭窄定义，地理位置数据销售的禁令均适用。该法律针对的是出售此类特定数据的行为。以下是立法引入的关键变化：

禁止货币交换： 控制者不得再向第三方交换个人地理位置数据以换取金钱。这包括直接销售，也包括以数据作为货币的间接支付。
定义清晰化： 该法律重申，“地理位置数据”属于 VCDPA 下个人数据的范畴，确保禁令可在现有框架下执行，而无需为位置跟踪建立新定义。
生效日期实施窗口： 禁令将于2026年7月1日生效。这为公司在签署之日（2026年4月13日）后提供了三个月的时间窗口来审计其数据流，尽管随着更广泛的 VCDPA 执行时间表，全面合规周期通常会更早开始。
与兄弟州对齐： 虽然弗吉尼亚州对“出售”的定义仍比马里兰州和俄勒冈州（包括“其他有价值对价”）狭窄，但结果相似：位置数据的商业剥削受到遏制。这创造了一致的区域标准，即使法律措辞略有不同。

值得注意的是，这部法律没有做什么。它没有禁止收集地理位置数据，也没有禁止将其用于内部目的，如导航服务、欺诈检测或改进应用程序功能。拼车应用仍然可以使用您的位置来调度司机。天气应用仍然可以使用您的城市来提供预报。禁令严格针对将该数据出售给第三方供其自身使用。这一区别对企业至关重要；他们并没有被强制停止追踪用户，而是被强制停止通过将原始或处理后的数据出售给广告商、数据经纪人或其他外部实体来货币化这种追踪。

弗吉尼亚州对“出售”的狭窄定义带来了独特的合规挑战。由于排除了非货币交换，公司可能会尝试构建涉及数据换服务的交易结构，以绕过法律的精神。然而，如果意图显然是商业剥削，监管机构很可能会怀疑此类安排。FTC 之前的行动表明，执法机构将审视交易的实质而非仅仅标签。因此，虽然法律的字面意义聚焦于...