弗吉尼亚州长Abigail Spanberger在2026年4月13日签署了SB 338,修订《弗吉尼亚消费者数据保护法》(VCDPA),禁止出售地理位置数据,7月1日生效。听起来是又一个州加入了监管队伍,但仔细看条文,这道禁令留了一个不小的口子。
VCDPA对"出售"的定义,只覆盖"控制者向第三方以金钱对价交换个人数据"。换句话说,只要不是直接收钱,而是拿位置数据去换广告库存、换分析服务、换平台权限,这种在adtech行业极常见的操作方式,大概率不在这次禁令的管辖范围内。
三个州,三种"出售"
弗吉尼亚不是第一个动手的。此前马里兰和俄勒冈已经先后立法禁售位置数据。但三州对"出售"的圈定方式并不一样,这一点原文只是一笔带过,实际差别很关键。
俄勒冈今年生效的HB 2008把"出售"定义为"金钱或其他有价对价"的交换,直接把非现金交易也纳入监管。这意味着俄勒冈堵住了弗吉尼亚留下的那个口子。马里兰是否采用同样宽的定义,目前没有找到明确条文佐证,不能简单归为同一类。
- 风险.弗吉尼亚版本可能被数据经纪商用作"合规洼地",在此州设置非现金交易架构规避新法。
FTC 早就动手了,州法只是补课
这次立法看着新鲜,但真正的监管动作两年前就在发生了。2024到2025年间,FTC已经连续对四家数据经纪商发出最终禁令:InMarket、X-Mode(后更名Outlogic)、Mobilewalla、Gravy Analytics(旗下Venntel)。理由高度一致——这些公司出售的精确位置数据,能被用来追踪个人前往诊所、宗教场所等敏感地点。
加州总检察长也没闲着,2025年3月10日宣布对整个位置数据行业启动合规调查性执法,聚焦CCPA履约情况。
四起案子,时间连成一条线。各州这一轮立法,更像是在把FTC个案里已经打赢的规则,写进本州的成文法。子曰"名不正则言不顺",州法能不能真正"正名",要看它把FTC判过的那些操作模式圈进去了多少——弗吉尼亚这版,显然没有全圈进去。
谁该看紧这道口子
对数据经纪商和依赖位置数据投放广告的adtech公司来说,弗吉尼亚新法与其说是禁令,不如说是一份"哪些州还能做非现金交易"的清单。跨州运营的企业接下来要做的,大概率不是停止交易,而是重新设计交易结构——把"卖"改成"换"。
法律追认执法,却常常慢一步补上执法早就发现的漏洞。
加州AB 322、马萨诸塞S.197、佛蒙特S.71、华盛顿HB 1671这几份还在审的法案,才是真正值得盯的变量。它们如果延续俄勒冈的"有价对价"表述,弗吉尼亚模式就会被架空;如果照抄弗吉尼亚的窄口径,这个漏洞就会从个案变成行规。
- 结论.判断一部数据隐私法有没有用,别看它禁了什么,先看它怎么定义"交易"。