本文來自微信公眾號： Internet Law Review ，作者：張穎

2026年7月8日，美國司法部（DOJ）國家安全司（NSD）“數(shù)據(jù)安全計劃”（Data Security Program，DSP）結(jié)束寬限期、進入全面執(zhí)法即將滿一周年。對于在美持有用戶數(shù)據(jù)的中資企業(yè)而言，DSP的落地規(guī)則《批量敏感數(shù)據(jù)規(guī)則》（28 CFR第202部分，簡稱BSD）執(zhí)法理應(yīng)“全面展開”，但目前，公開渠道確實還沒看到專項罰單。

然而近期，美國一場私人訴訟的中間裁決，將美國《批量敏感數(shù)據(jù)規(guī)則》（BSD）合規(guī)風(fēng)險推向遠遠超過DOJ執(zhí)法的范疇。該案或許將對未來的中國出海企業(yè)及其合作的供應(yīng)商產(chǎn)生比DOJ執(zhí)法更廣泛的影響：大量實時競價（RTB）數(shù)據(jù)相關(guān)的私人集體訴訟，并由此產(chǎn)生巨額法定賠償。

2026年6月16日，美國伊利諾伊州北區(qū)地方法院針對“Baker訴Index Exchange”案，駁回了被告方Index Exchange公司提出的“駁回動議”，并裁定涉嫌違反BSD規(guī)則足以構(gòu)成“侵權(quán)訴訟”，從而推翻《電子通信隱私法》（ECPA）下的同意抗辯。Index Exchange是一家供應(yīng)方數(shù)字廣告平臺。原告Baker指控，Index Exchange利用追蹤技術(shù)獲取了他與某網(wǎng)站的互動信息和個人信息，并將這些數(shù)據(jù)傳輸給了Temu（與中國公司拼多多有關(guān)聯(lián)的零售商）。

該裁決屬于程序性裁決，法院指出存在尚未解決的事實問題，包括批量數(shù)據(jù)限制是否適用于Temu，案件將繼續(xù)審理。但ECPA的門已經(jīng)被撬開：私訴原告不需要等DOJ執(zhí)法認定，就能把《批量敏感數(shù)據(jù)規(guī)則》（BSD）當彈藥，將在美持有用戶數(shù)據(jù)的中資企業(yè)拖進ECPA訴訟中。

一、Baker案真正的"新"在哪？——BSD撬動隱私訴訟

美國《電子通信隱私法案》（ECPA）原則上禁止任何人偷聽或截取別人的通信內(nèi)容——不管是打電話、面對面說話還是網(wǎng)上發(fā)消息，但有一個關(guān)鍵例外：只要通信的至少一方（比如網(wǎng)站）同意，上述偷聽或攔截就不違法。

多年來，在ECPA相關(guān)的隱私訴訟中，供應(yīng)方服務(wù)提供商（SSP）作為被告一直依賴于“單方同意抗辯”，使其數(shù)據(jù)收集完全合法；而隱私侵權(quán)訴訟的原告一直試圖通過將涉嫌違反其他隱私法規(guī)（例如《加州信息隱私法》——需要雙方同意的法規(guī)）的行為作為一項獨立的犯罪，來推翻ECPA單方同意抗辯。有時候，原告律師會聲稱網(wǎng)站上的底層跟蹤腳本違反了聯(lián)邦竊聽法，但鮮有成功。

Baker案中，Index Exchange正是用這個“單方同意”規(guī)則為自己辯護——原告Baker訪問的BibleGateway.com網(wǎng)站同意了它的追蹤腳本，所以它認為自己沒有違法。

然而，在該案中法院裁決徹底顛覆了這種辯護策略，首次駁回了原告提出的駁回ECPA訴訟請求的動議，并裁定，即使出版商同意數(shù)據(jù)追蹤，如果其違反DOJ《批量敏感數(shù)據(jù)規(guī)則》（BSD）將大量用戶指標傳輸給境外的“受監(jiān)管人員”，則該同意完全無效。理由是如果原告同時充分指控了違反BSD規(guī)則的行為，則犯罪/侵權(quán)例外適用。

Baker案是第一次法院認了“違反BSD規(guī)則”可以構(gòu)成“獨立侵權(quán)”，把國家安全類行政法規(guī)直接變成私權(quán)訴訟的彈藥。值得注意的是，法院尚未認定Index Exchange真的違反了BSD，只是說“指控夠了，案子可以繼續(xù)”——但這已經(jīng)足夠讓一類新型集體訴訟開門。

二、中國企業(yè)為什么是"連坐"重災(zāi)區(qū)？——BSD中“受管控主體”范疇

這里需要注意的是，Baker案里Index Exchange的兩個動議理由都被拒了：

（1）Index是加拿大公司不是美國實體，因此不受BSD的約束；

（2）Temu不是“受管控主體”（covered person），因此不適用BSD。

法院兩個都否決了。特別是第二個，法院直接把“Temu是否受管控主體”的問題推到事實審去打，而不在駁回階段了結(jié)，同時又認為，認為關(guān)于所有權(quán)、控制權(quán)及與關(guān)注國的運營聯(lián)系的指控足以合理地聲稱Temu是“受管控實體”。

這里需要進一步澄清BSD中“受管控主體”（covered person）的5個類別：

1、在受關(guān)注國（中/俄/伊/朝/古/委，含港澳）設(shè)立或主營地在該國的外國實體；

2、被“受關(guān)注國”或“受管控實體”直接或間接、單獨或合計持股≥50%的外國實體；

3、受關(guān)注國或(1)/(2)/(5)類實體的外國雇員/承包商；

4、主要居住在受關(guān)注國的外國自然人；

5、總檢察長個案指定的任何主體（無論位于何處）——只要被認定（1）受關(guān)注國/受管控實體所有/控制/管轄/指揮，（2）代表其行事，或（3）明知導(dǎo)致/指示違反本規(guī)則。

針對第二類，DOJ直接借了OFAC的50%Rule，還特意加了“間接”（indirectly）和“合計”（in the aggregate）兩個詞。在后面解釋的“示例8”中進一步解釋讓這個問題更加清晰：BSD執(zhí)法過程中DOJ會往上追溯，只要中國方面的持股加起來超過50%，不管是通過幾層公司、幾個股東，整家公司就會被認定為“受管控主體”。

此外，第五條是口袋條款，是動態(tài)的。這對中資常用的“開曼控股→愛爾蘭運營→境內(nèi)VIE”這套隔離是真正的穿透器。

回到Baker案原告對Temu的主張——Temu母公司PDD Holdings雖在愛爾蘭/開曼，但“Temu至少50%由中國個人持有”。Index Exchange反駁說PDD Holdings總部在愛爾蘭所以Temu不是受管控實體，但法院表示暫時不予置評，而是留給后面的案件中進行審理。

需要注意的是，VIE協(xié)議控制、表決權(quán)委托等——CFIUS早穿透了。Temu/PDD這類架構(gòu)，對美國的NSD來說并不是障礙。下一波訴中國出海電商平臺的原告律師，訴狀里很可能會原樣照搬。

三、比"國家安全數(shù)據(jù)"更寬的陷阱

《批量敏感數(shù)據(jù)規(guī)則》（BSD）的名義靶子是“防止受關(guān)注國家獲取美國人批量敏感個人數(shù)據(jù)及美國政府相關(guān)數(shù)據(jù)”，這本應(yīng)該是反間諜、反情報的國安工具，跟Temu、SHEIN賣日常用品所需要的廣告數(shù)據(jù)沒什么關(guān)系。但把“敏感個人數(shù)據(jù)”定義和六類閾值綜合來看，BSD的執(zhí)法范疇或?qū)涑庵罅渴茿dTech圈里跑了十幾年的“日常商業(yè)數(shù)據(jù)”：IP地址、Cookie、廣告ID、設(shè)備UA、推斷出的用戶興趣、瀏覽行為、模糊化后的地理位置。這些數(shù)據(jù)在傳統(tǒng)合規(guī)框架里連“個人數(shù)據(jù)”都未必算，但在BSD下，它們要么歸入受管控個人標識符（covered personal identifiers），要么通過綜合數(shù)據(jù)（combined data）往下掉檔。

更關(guān)鍵的是，“國家安全”這四個字在BSD里可以包羅萬象，真正的寬口徑藏在三個地方：

第一，加密/脫敏/去標識/匿名，全都不豁免。中國企業(yè)過去十年做跨境數(shù)據(jù)回流最依賴的技術(shù)路徑這套，在BSD面前等于沒做。

第二，12個月滾動+累計。BSD不是單次傳輸超閾值才算，而是過去一年里“同一個美國網(wǎng)站/App”對“同一個中資對手方”的累計。一個中型出海電商運營一年，10萬美國人的數(shù)據(jù)輕松過線。

第三，綜合數(shù)據(jù)（combined data）取最低閾值——這是真正讓“商業(yè)數(shù)據(jù)”變“敏感數(shù)據(jù)”的杠桿。Temu這種億級用戶的平臺，用戶池里必然有政府雇員，政府設(shè)施周邊定位也必然有——也就是說，只要Temu的用戶池夠大，政府相關(guān)數(shù)據(jù)那條零門檻就會自動激活。

此外，DOJ對“數(shù)據(jù)經(jīng)紀（data brokerage）的定義寬到包含了“任何把非自采數(shù)據(jù)賣給沒采過它的人的交易”。SSP的招標、數(shù)據(jù)管理平臺的受眾包、甚至集團內(nèi)部“美國子公司采、中國母公司用”，都在這個定義里。

四、總結(jié)

供應(yīng)方平臺（SSP）所使用的是一種廣告技術(shù)（AdTech）軟件平臺，它幫助數(shù)字出版商和媒體所有者自動打包、管理和銷售其可用的廣告位。他們通過在網(wǎng)站上使用跟蹤腳本來實現(xiàn)廣告的自動化“銷售代理”，其中的這些腳本與競價過程的交互是一個龐大的業(yè)務(wù)，它影響著互聯(lián)網(wǎng)運作的方方面面，特別是已經(jīng)出海的中國電商企業(yè)。

自美國DOJ的《批量數(shù)據(jù)規(guī)則》（BSD）于2025年生效以來，已有大量基于涉嫌違反該規(guī)則而提起的集體訴訟。然而，迄今為止，Baker訴Index Exchange是僅有一起成功進入了審理階段的訴訟。

目前Baker案還沒有正式進入審理階段，Temu到底算不算“受監(jiān)管實體”，以及BSD該法規(guī)是否在這類案件中有效，或是否超越了DOJ根據(jù)《國際緊急經(jīng)濟權(quán)力法》（IEEPA）所擁有的權(quán)限，很多問題都還沒定。

但中國出海企業(yè)必須注意，門已經(jīng)被踢開了——接下來12-24個月，在美國伊利諾伊州（集體訴訟的天堂）會看到一波以“BSD違反→ECPA例外”為模板的訴狀，標的全是中資背景的廣告主/AdTech。

中國企業(yè)現(xiàn)在的合規(guī)，不僅僅是應(yīng)對DOJ檢查，還要包括應(yīng)對原告律師。如何通過構(gòu)建數(shù)據(jù)交易結(jié)構(gòu)，使其明顯游離于BSD限制之外，更是企業(yè)的工作重點之一。