美国数据隐私保护法：2026年指南

隐私法旨在防止未经授权的数据访问，确保数据所有者对收集行为的同意，并提供审查和删除个人信息的权利。

对个人数据处理、存储和保护的持续担忧，加上人工智能的影响，继续推动州级隐私法规的出台。

过去十年间，美国联邦政府、州和地方政府以及国际政府和立法机构已发布数十项关于数据保护和隐私的法律、法规、法令和其他指南。考虑到企业领导人在保护个人身份信息（PII）机密性、完整性和可用性方面面临越来越大的压力，CISO、CIO和其他IT领导人了解并遵守这些立法中的要求变得越来越重要。

虽然存在许多知名的数据安全和隐私标准——包括ISO/IEC 27001、ISO/IEC 27002和NIST特别出版物800-53——但这些标准仅代表了管理数据隐私和安全法规的一小部分。

什么是数据隐私法律法规？

考虑每小时生成的数据量以及其中包含PII和个人健康信息（PHI）的比例。保护具有这些独特特征的数据免受未经授权的访问并防止其公开至关重要。为此，保护数据的机密性、完整性和可用性至关重要。

因此，已经制定并继续制定数十项法律和法规来管理数据的收集、处理和存储方式。这些法规旨在：

• 禁止未经授权访问个人和私人数据
• 防止在所有者不知情或未批准的情况下更改数据的活动
• 建立防止除所有者外访问个人数据的访问流程
• 确保数据所有者可以访问和检查其数据
• 为收集个人数据提供许可
• 防止未经所有者同意向外部第三方出售或发布数据
• 确保所有者可以审查其数据以验证其正确性
• 允许所有者删除有关他们的数据
• 确保如果安全漏洞损害了他们的数据，所有者会收到通知

遵守这些指南有助于公司最大限度地降低被起诉或罚款的风险，并减轻负面客户影响和声誉损害的影响。

美国隐私立法

虽然美国目前没有国家数据隐私法，但已制定三项举措：

• 美国数据隐私和保护法：ADPPA在第117届国会（2021-2022年）期间提出。虽然于2022年由众议院能源和商业委员会通过，但从未获得众议院全体投票。其部分条款可能在未来立法中成为法律（见APRA）。
• 保护美国人敏感个人数据的行政命令：由总统乔·拜登于2024年2月28日发布，该命令授权美国司法部长阻止美国敏感数据大规模转移到受关注国家。
• 美国隐私权法：APRA由参议员玛丽亚·坎特韦尔（民主党-华盛顿州）和众议员凯茜·麦克莫里斯·罗杰斯（共和党-华盛顿州）于2024年提出。它建立在先前立法（包括ADPPA）的基础上，为各州和联邦机构提供国家数据隐私权框架。它还提供了对1998年《儿童在线隐私保护法》（COPPA）的更新。虽然该立法试图建立全国性的数据隐私法，但它面临许多挑战，尚未通过成为法律。

联邦贸易委员会是负责评估影响数据隐私法律合规性的关键监管机构。其执法行动保护消费者免受不公平或欺骗性行为的侵害，并实施联邦隐私和数据保护法规。

对隐私问题行使权力的其他机构包括货币监理署、卫生与公众服务部、联邦通信委员会、证券交易委员会、消费者金融保护局和商务部。

涵盖隐私问题的美国法规包括：

• 1974年隐私法：该法建立了公平信息实践准则，以管理PII的收集、处理、管理、传播和销毁。
• 健康保险流通与责任法案：1996年颁布的HIPAA有两个关键部分：安全规则和隐私规则。这些规则为受保护的健康信息提供者和处理者提供了保护用户数据的灵活性。此外，它是一份重要的审计文件。遵守该法律及其许多规定对于避免处罚和罚款至关重要。
• 格雷姆-里奇-布莱利法：1999年颁布的GLBA现代化了金融服务合规要求，并通过要求金融机构向客户解释其信息共享实践并保护敏感数据来解决与消费者财务隐私相关的问题。
• 儿童在线隐私保护法：COPPA旨在保护使用在线服务的13岁以下儿童的隐私和PII。
• 驾驶员隐私保护法：DPPA管理州级机动车部门收集的个人信息的隐私和披露。
• 视频隐私保护法：VPPA限制视频或类似视听材料的租赁或销售记录的披露，包括在线流媒体。
• 1984年有线通信政策法：包括专门保护订阅者隐私的条款。
• 公平信用报告法：FCRA限制使用涉及个人信用度、信用状况、信用能力、性格、一般声誉、个人特征或生活模式的信息，作为确定信用、就业或保险资格的努力的一部分。
• 电话消费者保护法：TCPA规范发送到手机的呼叫和短信，以及使用自动拨号系统出于营销目的拨打住宅电话。
• 2003年控制非请求色情和营销攻击法：CAN-SPAM法制定了发送商业电子邮件的指南，包括允许收件人选择退出进一步消息的条款。
• 家庭教育权利和隐私法：FERPA允许学生检查并修改其学生记录的准确性。它还禁止未经学生或父母同意披露学生记录或其他学生PII。

州级隐私立法

虽然没有国家立法，但许多美国州已颁布自己的数据隐私法，包括加利福尼亚州、科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、印第安纳州、爱荷华州、明尼苏达州、蒙大拿州、内布拉斯加州、新罕布什尔州、新泽西州、俄勒冈州、田纳西州、德克萨斯州、犹他州和弗吉尼亚州。此外，超过一半的美国州已提出或通过某种形式的有针对性立法，引用人工智能在政治竞选、学校教育、犯罪数据、性犯罪和深度伪造中的使用。

加利福尼亚州 加利福尼亚州一直是数据隐私立法的领导者，颁布的法律比任何其他州都多。

《加州消费者隐私法》（CCPA）自2020年起生效。它规定居民可以要求企业披露他们收集的信息类型、收集信息的原因以及数据来源。

自2023年起生效的《加州隐私权法》修订并建立在CCPA的基础上，赋予居民防止企业共享其个人数据、要求纠正个人数据不准确之处以及防止公司使用敏感PII（如种族和性取向）的能力。

加利福尼亚州立法机构已通过几项与人工智能相关的法案，定义了人工智能并监管最大的人工智能模型、生成式人工智能训练数据透明度、算法歧视和选举竞选中的深度伪造。

科罗拉多州 自2023年起生效的《科罗拉多隐私法》授予消费者管理其个人数据的权利，并规定了企业必须如何保护个人数据。

科罗拉多州是第一个颁布关于人工智能使用的广泛法规的州，称为《科罗拉多人工智能法》。该法于2024年通过，将于2026年生效，将要求人工智能系统开发人员"使用合理注意保护消费者免受高风险系统中任何已知或合理可预见的算法歧视风险"。

康涅狄格州 《康涅狄格数据隐私法》，也称为《康涅狄格个人数据隐私和在线监控法》，自2023年起生效。它规定了与个人数据、在线监控和数据隐私相关的消费者权利。

特拉华州 《特拉华个人数据隐私法》于2023年签署，并于2025年1月1日生效。它概述了消费者权利和企业保护个人数据的要求。

佛罗里达州 自2024年起生效的《佛罗里达数字权利法案》适用于年总收入超过10亿美元且要么其全球年收入的50%或以上来自在线广告销售，要么运营带有基于云的语音助手的消费者智能扬声器，要么运行拥有至少250,000个应用程序的应用程序商店的实体。

印第安纳州 《印第安纳消费者数据保护法》将于2026年1月1日生效，概述了消费者权利和数据保护要求，包括数据访问、纠正和删除，以及选择退出定向广告的能力。

爱荷华州 2023年签署成为法律的《爱荷华消费者数据保护法》于2025年1月1日生效。它描述了消费者权利和数据保护要求。

明尼苏达州 《明尼苏达消费者数据隐私法》于2025年7月1日生效，涉及消费者如何访问、纠正和删除其数据，选择退出定向广告，以及获取有关其数据已出售给哪些第三方的信息。

蒙大拿州 自2024年起生效并于2025年4月修订的《蒙大拿消费者数据隐私法》适用于在蒙大拿州开展业务或向蒙大拿州居民提供产品或服务的实体。

内布拉斯加州 《内布拉斯加数据隐私法》于2025年1月1日生效，针对在内布拉斯加州或其居民开展业务或处理或销售个人数据的企业，解决了数据隐私和保护的关键方面。

新罕布什尔州 《新罕布什尔隐私法》于2025年1月1日生效。它适用于在新罕布什尔州开展业务或创建针对新罕布什尔州居民的产品或服务的实体。它包括关于消费者权利和选择退出选项的条款。

新泽西州 《新泽西数据保护法》于2025年1月15日生效。它适用于在新泽西州开展业务或创建针对新泽西州居民的产品或服务的实体，并包括关于消费者权利和选择退出选项以及控制者和处理者安全要求的条款。

俄勒冈州 《俄勒冈消费者隐私法》于2024年生效。它概述了消费者权利和数据保护规则，包括企业数据保护要求和消费者访问、删除和选择退出权利。

田纳西州 2023年签署的《田纳西信息保护法》于2025年7月1日生效。它概述了消费者权利，并管理企业的数据保护和数据泄露报告要求。

德克萨斯州 《德克萨斯数据隐私和安全法》于2024年生效。它描述了消费者权利和企业数据保护要求，包括隐私通知、选择加入同意和数据影响评估。

犹他州 《犹他消费者隐私法》自2023年起生效。它提供消费者权利，并描述企业数据保护评估和安全措施。

弗吉尼亚州 《弗吉尼亚消费者数据保护法》自2023年起生效。它授予消费者访问、纠正、删除和发布其个人数据的权利；要求企业遵守数据保护规则；并影响每年处理特定数量个人数据的政府和非政府组织。

国际隐私法规

最重要的国际数据隐私法包括：

• 通用数据保护条例：GDPR于2018年推出，由欧盟和欧洲经济区制定。任何针对或从欧盟成员国的人员和企业收集数据的组织——无论其总部位于何处——都必须遵守该法律。
• 英国数据（使用和访问）法2025：DUAA于2025年7月获批。它更新了先前的立法，包括英国GDPR、2018年数据保护法和隐私与电子通信法规，但并未取代或替换它们。
• 欧盟数据法：该立法于2024年生效，并于2025年更新，以解决跨技术平台的数据共享问题。

《欧盟人工智能法》于2024年生效，并在其分阶段实施过程中更新，以更精确地监管各种基于人工智能的系统，并就人工智能实践、高风险人工智能系统以及其他人工智能系统和模型提供更清晰的说明。

全球有100多个国家已颁布数据隐私法规。每项法律都解决了有关数据创建和处理、数据所有权和其他标准的基本问题。每个国家的要求可能不同，合规要求也不同，但信息很明确：保护个人数据至关重要。

美国数据隐私法的未来

鉴于数据隐私和保护的重要性，预计更多州将正式颁布数据隐私法，很可能建立在加利福尼亚州和其他一直处于消费者保护前沿的州奠定的基础上。一个值得考虑的趋势是，在多个州运营的企业在遵守每个州的隐私法时将遇到更多挑战。

虽然当前州和地方层面的隐私立法已演变成一系列零散的活动，但这很可能导致一项广泛的、两党支持的美国国家数据隐私法，该法也将监管人工智能的开发、部署和应用。

Paul Kirvan是一名独立顾问和技术作家。他在业务连续性、灾难恢复、运营弹性、网络安全、治理、风险和合规、网络和IT审计方面拥有超过35年的经验。