本文來自微信公眾號(hào)： Internet Law Review ，作者：張穎

2026年7月8日，美國(guó)司法部（DOJ）國(guó)家安全司（NSD）“數(shù)據(jù)安全計(jì)劃”（Data Security Program，DSP）結(jié)束寬限期、進(jìn)入全面執(zhí)法即將滿一周年。對(duì)于在美持有用戶數(shù)據(jù)的中資企業(yè)而言，DSP的落地規(guī)則《批量敏感數(shù)據(jù)規(guī)則》（28 CFR第202部分，簡(jiǎn)稱BSD）執(zhí)法理應(yīng)“全面展開”，但目前，公開渠道確實(shí)還沒看到專項(xiàng)罰單。

然而近期，美國(guó)一場(chǎng)私人訴訟的中間裁決，將美國(guó)《批量敏感數(shù)據(jù)規(guī)則》（BSD）合規(guī)風(fēng)險(xiǎn)推向遠(yuǎn)遠(yuǎn)超過DOJ執(zhí)法的范疇。該案或許將對(duì)未來的中國(guó)出海企業(yè)及其合作的供應(yīng)商產(chǎn)生比DOJ執(zhí)法更廣泛的影響：大量實(shí)時(shí)競(jìng)價(jià)（RTB）數(shù)據(jù)相關(guān)的私人集體訴訟，并由此產(chǎn)生巨額法定賠償。

2026年6月16日，美國(guó)伊利諾伊州北區(qū)地方法院針對(duì)“Baker訴Index Exchange”案，駁回了被告方Index Exchange公司提出的“駁回動(dòng)議”，并裁定涉嫌違反BSD規(guī)則足以構(gòu)成“侵權(quán)訴訟”，從而推翻《電子通信隱私法》（ECPA）下的同意抗辯。Index Exchange是一家供應(yīng)方數(shù)字廣告平臺(tái)。原告Baker指控，Index Exchange利用追蹤技術(shù)獲取了他與某網(wǎng)站的互動(dòng)信息和個(gè)人信息，并將這些數(shù)據(jù)傳輸給了Temu（與中國(guó)公司拼多多有關(guān)聯(lián)的零售商）。

該裁決屬于程序性裁決，法院指出存在尚未解決的事實(shí)問題，包括批量數(shù)據(jù)限制是否適用于Temu，案件將繼續(xù)審理。但ECPA的門已經(jīng)被撬開：私訴原告不需要等DOJ執(zhí)法認(rèn)定，就能把《批量敏感數(shù)據(jù)規(guī)則》（BSD）當(dāng)彈藥，將在美持有用戶數(shù)據(jù)的中資企業(yè)拖進(jìn)ECPA訴訟中。

一、Baker案真正的"新"在哪？——BSD撬動(dòng)隱私訴訟

美國(guó)《電子通信隱私法案》（ECPA）原則上禁止任何人偷聽或截取別人的通信內(nèi)容——不管是打電話、面對(duì)面說話還是網(wǎng)上發(fā)消息，但有一個(gè)關(guān)鍵例外：只要通信的至少一方（比如網(wǎng)站）同意，上述偷聽或攔截就不違法。

多年來，在ECPA相關(guān)的隱私訴訟中，供應(yīng)方服務(wù)提供商（SSP）作為被告一直依賴于“單方同意抗辯”，使其數(shù)據(jù)收集完全合法；而隱私侵權(quán)訴訟的原告一直試圖通過將涉嫌違反其他隱私法規(guī)（例如《加州信息隱私法》——需要雙方同意的法規(guī)）的行為作為一項(xiàng)獨(dú)立的犯罪，來推翻ECPA單方同意抗辯。有時(shí)候，原告律師會(huì)聲稱網(wǎng)站上的底層跟蹤腳本違反了聯(lián)邦竊聽法，但鮮有成功。

Baker案中，Index Exchange正是用這個(gè)“單方同意”規(guī)則為自己辯護(hù)——原告Baker訪問的BibleGateway.com網(wǎng)站同意了它的追蹤腳本，所以它認(rèn)為自己沒有違法。

然而，在該案中法院裁決徹底顛覆了這種辯護(hù)策略，首次駁回了原告提出的駁回ECPA訴訟請(qǐng)求的動(dòng)議，并裁定，即使出版商同意數(shù)據(jù)追蹤，如果其違反DOJ《批量敏感數(shù)據(jù)規(guī)則》（BSD）將大量用戶指標(biāo)傳輸給境外的“受監(jiān)管人員”，則該同意完全無效。理由是如果原告同時(shí)充分指控了違反BSD規(guī)則的行為，則犯罪/侵權(quán)例外適用。

Baker案是第一次法院認(rèn)了“違反BSD規(guī)則”可以構(gòu)成“獨(dú)立侵權(quán)”，把國(guó)家安全類行政法規(guī)直接變成私權(quán)訴訟的彈藥。值得注意的是，法院尚未認(rèn)定Index Exchange真的違反了BSD，只是說“指控夠了，案子可以繼續(xù)”——但這已經(jīng)足夠讓一類新型集體訴訟開門。

二、中國(guó)企業(yè)為什么是"連坐"重災(zāi)區(qū)？——BSD中“受管控主體”范疇

這里需要注意的是，Baker案里Index Exchange的兩個(gè)動(dòng)議理由都被拒了：

（1）Index是加拿大公司不是美國(guó)實(shí)體，因此不受BSD的約束；

（2）Temu不是“受管控主體”（covered person），因此不適用BSD。

法院兩個(gè)都否決了。特別是第二個(gè)，法院直接把“Temu是否受管控主體”的問題推到事實(shí)審去打，而不在駁回階段了結(jié)，同時(shí)又認(rèn)為，認(rèn)為關(guān)于所有權(quán)、控制權(quán)及與關(guān)注國(guó)的運(yùn)營(yíng)聯(lián)系的指控足以合理地聲稱Temu是“受管控實(shí)體”。

這里需要進(jìn)一步澄清BSD中“受管控主體”（covered person）的5個(gè)類別：

1、在受關(guān)注國(guó)（中/俄/伊/朝/古/委，含港澳）設(shè)立或主營(yíng)地在該國(guó)的外國(guó)實(shí)體；

2、被“受關(guān)注國(guó)”或“受管控實(shí)體”直接或間接、單獨(dú)或合計(jì)持股≥50%的外國(guó)實(shí)體；

3、受關(guān)注國(guó)或(1)/(2)/(5)類實(shí)體的外國(guó)雇員/承包商；

4、主要居住在受關(guān)注國(guó)的外國(guó)自然人；

5、總檢察長(zhǎng)個(gè)案指定的任何主體（無論位于何處）——只要被認(rèn)定（1）受關(guān)注國(guó)/受管控實(shí)體所有/控制/管轄/指揮，（2）代表其行事，或（3）明知導(dǎo)致/指示違反本規(guī)則。

針對(duì)第二類，DOJ直接借了OFAC的50%Rule，還特意加了“間接”（indirectly）和“合計(jì)”（in the aggregate）兩個(gè)詞。在后面解釋的“示例8”中進(jìn)一步解釋讓這個(gè)問題更加清晰：BSD執(zhí)法過程中DOJ會(huì)往上追溯，只要中國(guó)方面的持股加起來超過50%，不管是通過幾層公司、幾個(gè)股東，整家公司就會(huì)被認(rèn)定為“受管控主體”。

此外，第五條是口袋條款，是動(dòng)態(tài)的。這對(duì)中資常用的“開曼控股→愛爾蘭運(yùn)營(yíng)→境內(nèi)VIE”這套隔離是真正的穿透器。

回到Baker案原告對(duì)Temu的主張——Temu母公司PDD Holdings雖在愛爾蘭/開曼，但“Temu至少50%由中國(guó)個(gè)人持有”。Index Exchange反駁說PDD Holdings總部在愛爾蘭所以Temu不是受管控實(shí)體，但法院表示暫時(shí)不予置評(píng)，而是留給后面的案件中進(jìn)行審理。

需要注意的是，VIE協(xié)議控制、表決權(quán)委托等——CFIUS早穿透了。Temu/PDD這類架構(gòu)，對(duì)美國(guó)的NSD來說并不是障礙。下一波訴中國(guó)出海電商平臺(tái)的原告律師，訴狀里很可能會(huì)原樣照搬。

三、比"國(guó)家安全數(shù)據(jù)"更寬的陷阱

《批量敏感數(shù)據(jù)規(guī)則》（BSD）的名義靶子是“防止受關(guān)注國(guó)家獲取美國(guó)人批量敏感個(gè)人數(shù)據(jù)及美國(guó)政府相關(guān)數(shù)據(jù)”，這本應(yīng)該是反間諜、反情報(bào)的國(guó)安工具，跟Temu、SHEIN賣日常用品所需要的廣告數(shù)據(jù)沒什么關(guān)系。但把“敏感個(gè)人數(shù)據(jù)”定義和六類閾值綜合來看，BSD的執(zhí)法范疇或?qū)?huì)充斥著大量是AdTech圈里跑了十幾年的“日常商業(yè)數(shù)據(jù)”：IP地址、Cookie、廣告ID、設(shè)備UA、推斷出的用戶興趣、瀏覽行為、模糊化后的地理位置。這些數(shù)據(jù)在傳統(tǒng)合規(guī)框架里連“個(gè)人數(shù)據(jù)”都未必算，但在BSD下，它們要么歸入受管控個(gè)人標(biāo)識(shí)符（covered personal identifiers），要么通過綜合數(shù)據(jù)（combined data）往下掉檔。

更關(guān)鍵的是，“國(guó)家安全”這四個(gè)字在BSD里可以包羅萬(wàn)象，真正的寬口徑藏在三個(gè)地方：

第一，加密/脫敏/去標(biāo)識(shí)/匿名，全都不豁免。中國(guó)企業(yè)過去十年做跨境數(shù)據(jù)回流最依賴的技術(shù)路徑這套，在BSD面前等于沒做。

第二，12個(gè)月滾動(dòng)+累計(jì)。BSD不是單次傳輸超閾值才算，而是過去一年里“同一個(gè)美國(guó)網(wǎng)站/App”對(duì)“同一個(gè)中資對(duì)手方”的累計(jì)。一個(gè)中型出海電商運(yùn)營(yíng)一年，10萬(wàn)美國(guó)人的數(shù)據(jù)輕松過線。

第三，綜合數(shù)據(jù)（combined data）取最低閾值——這是真正讓“商業(yè)數(shù)據(jù)”變“敏感數(shù)據(jù)”的杠桿。Temu這種億級(jí)用戶的平臺(tái)，用戶池里必然有政府雇員，政府設(shè)施周邊定位也必然有——也就是說，只要Temu的用戶池夠大，政府相關(guān)數(shù)據(jù)那條零門檻就會(huì)自動(dòng)激活。

此外，DOJ對(duì)“數(shù)據(jù)經(jīng)紀(jì)（data brokerage）的定義寬到包含了“任何把非自采數(shù)據(jù)賣給沒采過它的人的交易”。SSP的招標(biāo)、數(shù)據(jù)管理平臺(tái)的受眾包、甚至集團(tuán)內(nèi)部“美國(guó)子公司采、中國(guó)母公司用”，都在這個(gè)定義里。

四、總結(jié)

供應(yīng)方平臺(tái)（SSP）所使用的是一種廣告技術(shù)（AdTech）軟件平臺(tái)，它幫助數(shù)字出版商和媒體所有者自動(dòng)打包、管理和銷售其可用的廣告位。他們通過在網(wǎng)站上使用跟蹤腳本來實(shí)現(xiàn)廣告的自動(dòng)化“銷售代理”，其中的這些腳本與競(jìng)價(jià)過程的交互是一個(gè)龐大的業(yè)務(wù)，它影響著互聯(lián)網(wǎng)運(yùn)作的方方面面，特別是已經(jīng)出海的中國(guó)電商企業(yè)。

自美國(guó)DOJ的《批量數(shù)據(jù)規(guī)則》（BSD）于2025年生效以來，已有大量基于涉嫌違反該規(guī)則而提起的集體訴訟。然而，迄今為止，Baker訴Index Exchange是僅有一起成功進(jìn)入了審理階段的訴訟。

目前Baker案還沒有正式進(jìn)入審理階段，Temu到底算不算“受監(jiān)管實(shí)體”，以及BSD該法規(guī)是否在這類案件中有效，或是否超越了DOJ根據(jù)《國(guó)際緊急經(jīng)濟(jì)權(quán)力法》（IEEPA）所擁有的權(quán)限，很多問題都還沒定。

但中國(guó)出海企業(yè)必須注意，門已經(jīng)被踢開了——接下來12-24個(gè)月，在美國(guó)伊利諾伊州（集體訴訟的天堂）會(huì)看到一波以“BSD違反→ECPA例外”為模板的訴狀，標(biāo)的全是中資背景的廣告主/AdTech。

中國(guó)企業(yè)現(xiàn)在的合規(guī)，不僅僅是應(yīng)對(duì)DOJ檢查，還要包括應(yīng)對(duì)原告律師。如何通過構(gòu)建數(shù)據(jù)交易結(jié)構(gòu)，使其明顯游離于BSD限制之外，更是企業(yè)的工作重點(diǎn)之一。