马萨诸塞州通过隐私法案：禁止出售高精度位置数据

马萨诸塞州立法机构近日通过了一项具有里程碑意义的消费者数据隐私法案（Consumer Data Privacy Act）。该法案不仅赋予居民对自身数据的访问和删除权，更明确禁止企业出售用户的高精度位置数据。这一举措使马萨诸塞州成为美国在加强消费者隐私保护方面的最新先锋。

背景

长期以来，美国缺乏像欧盟《通用数据保护条例》（GDPR）那样统一的全国性隐私法律。相比之下，世界许多主要民主国家已建立了全面的隐私保护框架。在美国，由于联邦层面立法的缺失，各州不得不自行填补这一法律空白，形成了一套碎片化的隐私规则体系。

近年来，科技、广告和社交媒体行业滥用个人数据的案例屡见不鲜，引发了公众对隐私泄露的广泛担忧。在此背景下，马萨诸塞州立法者采取行动，旨在遏制这些滥用行为，并赋予州居民更强的数据控制权。

该法案的推进过程体现了跨党派的支持。今年9月，马萨诸塞州参议院40名议员全票赞成推进其各自的法案版本。随后，众议院于周四以146-0的全票一致通过了该法案。目前，众议院和参议院的法案版本将在参议院合并，并送往州长办公室签署。虽然预计州长将签署该法案，但具体生效时间尚不明确。

核心内容

如果该法案正式成为法律，它将对处理超过10万名消费者个人数据的公司产生约束力。这意味着法案的影响范围不仅涵盖硅谷的科技巨头，也将波及大量中型初创企业。

法案的核心条款包括：

1. 禁止未经同意的敏感数据共享或出售：公司必须在获得用户明确同意（explicit consent）的前提下，才能共享或出售敏感个人信息。
2. 受保护的数据类型：
   • 生物识别数据：包括健康数据、基因信息和指纹等。
   • 高精度地理定位数据：即能够精确追踪用户物理位置的数据。
   • 其他敏感标记：涉及用户的宗教信仰、移民身份和性取向等信息。
3. 位置数据禁令的广泛适用性：该禁令不仅适用于马萨诸塞州居民，也适用于访问该州的游客。这种“全覆盖”模式意味着，任何在马萨诸塞州境内收集或处理位置数据的行为，若涉及出售，均受到严格限制。

关键要点

• 数据经纪商的商业模式受到打击：多年来，数据经纪商依赖应用程序开发者出售用户的位置数据，然后将其重新包装并出售给任何有能力支付的买家，包括跟踪者、政府甚至军方。在许多情况下，政府声称无需搜查令即可从公开市场上购买这些商业数据。马萨诸塞州的禁令直接切断了这一链条。
• 联邦层面的政策反复：拜登政府曾接近在联邦层面禁止出售美国人的敏感数据，但随后的特朗普政府撤销了这一变更。马萨诸塞州的行动表明，在联邦立法停滞的情况下，州级立法正在成为隐私保护的主要驱动力。
• 跨党派共识：据当地媒体 WBUR 和《林恩日报》（Lynn Journal）报道，州立法者跨越党派界限合作，其核心理念是“隐私是马萨诸塞州居民的一项基本权利”。
• 行业影响范围：该法案预计将对在马萨诸塞州收集、共享和出售位置数据的初创企业，以及利用位置数据进行精准广告投放的广告公司产生广泛影响。

意义与影响

隐私倡导组织和民权团体对该法案给予了高度评价，认为这是遏制大型科技公司监控滥用行为的重要一步。

• Fight for the Future 的主任 Evan Greer 表示，马萨诸塞州的法案“在打击大型科技公司的监控滥用行为方面迈出了重大一步”。
• 美国公民自由联盟（ACLU） 称赞这项具有里程碑意义的法案，认为它将马萨诸塞州定位为“保护个人隐私和遏制数字监控的领导者”。

随着美国各州纷纷出台各自的隐私法规，马萨诸塞州的这一举措不仅加强了本地居民的数据权利，也可能对全国范围内的科技行业合规标准产生示范效应。特别是在位置数据这一长期存在的隐私争议焦点上，该法案为其他州提供了可借鉴的立法模板。