随着数据经济的不断发展，个人数据的收集、处理和共享已成为全球隐私保护的核心议题。然而，美国在隐私保护方面长期缺乏一套全面的国家级法律框架，导致各州隐私立法呈现高度分散化的状态。自2018年《加州消费者隐私法案》（California Consumer Privacy Act, CCPA）颁布以来，州级隐私立法活动持续上升，而这种趋势预计将在2025年继续。

趋势一：实质性的数据最小化

数据最小化原则一直是隐私立法的重要内容，大多数州的隐私法通过禁止超出合理必要范围的数据处理来贯彻这一原则。然而，这种“程序性数据最小化”（procedural data minimization）通常依赖于企业在隐私政策中的披露，而消费者权益倡导者长期以来批评这种做法仅停留在形式上，难以有效保护消费者隐私。

2023年通过的《马里兰州在线数据隐私法案》（Maryland Online Data Privacy Act）首次引入“实质性数据最小化”（substantive data minimization）的概念，直接对数据的收集和使用进行严格限制，要求仅在提供消费者所需的特定服务或产品时才可使用相关数据。这一立法突破被视为对传统“通知与同意”（notice and consent）模式的重大改革。

虽然目前只有马里兰州采用了“实质性数据最小化”标准，但类似提案已在佛蒙特州和缅因州提出。与此同时，其他州的行业立法也反映出类似趋势，例如《华盛顿州我的健康我的数据法案》（Washington State My Health My Data Act）、《纽约儿童数据保护法案》（New York Child Data Protection Act）和《弗吉尼亚儿童数据隐私修正案》（Virginia Child Data Privacy Amendment）。尽管如此，这些法律在具体条款上存在不少差异。

趋势二：对数据经纪人的监管

数据经纪人是美国数据交易市场的关键参与方。过去一年里，多家知名媒体发布了关于第三方收集和出售敏感数据（包括健康和位置信息）的调查文章并引起关注。

2024年，美国州一级没有通过针对数据经纪人的新的隐私立法提案，但数据代理注册法现已在加利福尼亚州、德克萨斯州、俄勒冈州和佛蒙特州生效，并且越来越多地得到执行。加州还因其努力建立“一站式”可访问删除机制而引起关注，该机制旨在允许个人在整个数据代理生态系统中请求删除其个人信息。

在联邦层面却是另外一番景象。美国联邦贸易委员会（FTC）先后对Kochava提起诉讼、与Gravy Analytics及Mobilewalla达成和解。特别值得关注的是，美国司法部赶在2024年结束之前发布了“应对外国对手获取美国公民敏感个人数据”的最终规则（Provisions Pertaining to Preventing Access to U.S. Sensitive Personal Data and Government-Related Data by Countries of Concern or Covered Persons – Final Rules），限制美国人的敏感个人数据（6个子类）和美国政府相关数据这两大类型数据的交易。

趋势三：AI治理中的隐私保护

隐私保护是AI治理中的关键议题。目前的隐私保护法也同样适用于收集、处理和输出个人信息的AI系统，特别是，现有法律下的透明度、安全性、风险评估等要求可能对AI系统的开发和应用产生不小的影响。

美国联邦层面的AI立法还未现端倪。2023年10月23日，拜登总统签署的《关于安全、可靠、可信地开发和使用人工智能的行政命令》发布，近一年之后的2024年7月26日，白宫发布了《事实清单：拜登-哈里斯政府宣布新的AI行动并获得额外的重大自愿承诺》，对基于该行政命令的系列成果进行了总结，内容涉及训练数据、性能表现、安全风险、全球标准、知识产权等主题，几乎涵盖了AI治理的各重要方面。

在各州层面，加州议会于2024年8月28日通过了《前沿人工智能模型安全创新法案》（“SB 1047法案”），但引发了硅谷人士的强烈反对，认为该法案会对美国人工智能的发展和国家安全产生负面影响。2024年11月，加州州长最终否决了该法案。

2024年年末，美国德克萨斯州发布了《负责任的 AI 治理法案》（Texas Responsible AI Governance Act） 草案，该法案借鉴了欧盟《人工智能法案》的基于风险的方法，寻求全面广泛地解决AI的安全性、透明度和公平性问题。该法案将有可能在2025年正式完成立法，如获通过并生效，德克萨斯州的《数据隐私和安全法案》也将需要修改，以纳入针对 AI 的条款。

参考资料：

https://fpf.org/blog/five-big-questions-and-zero-predictions-for-the-u-s-state-privacy-landscape-in-2025/

声明：本文来自数据信任与治理，稿件和图片版权均归原作者所有。所涉观点不代表东方安全立场，转载目的在于传递更多信息。如有侵权，请联系rhliu@skdlabs.com，我们将及时按原作者或权利人的意愿予以更正。