TikTok剥离法案投票通过

如果你不想错过更多文娱资讯，如果你想看到更多精彩文章，
点击上方“周公观娱”→点击右上角“···”→点选“设为星标⭐”


13日，美国国会众议院投票通过法案，要求中国企业字节跳动在165天内剥离旗下短视频社交应用TikTok的业务否则TikTok在美国将被应用商店下架，并声称TikTok威胁美国国家安全。虽然至今也未拿出证据证明到底如何威胁美国国家安全，但结合近几年美国针对TikTok的一些行动，TikTok的数据收集和网络安全风险正是美国忌惮的一大原因。

而且就在不久前，拜登政府发布《关于防止受关注国家获取美国人大规模敏感个人数据及美国政府相关数据的行政命令》，也剑指中国，限制或禁止涉及某些批量敏感个人数据或美国政府相关数据的交易，防止这些数据被大规模转移到中国等国家。

美国的这些行动，与数据引起的国家安全考虑分不开。不过，即便当下的美国环境对中企并不友好，但是仍吸引着很多中企赴美淘金。

那么，抛却当下美国对华的政治倾向不谈，美国的数据监管风向究竟如何，中企尤其互联网企业想要出海，到底该关注哪些合规依据？

（图片来源：网络）

数据合规通常是指企业在收集、处理、存储和传输数据过程中遵守相关的法律法规、行业标准和内部政策。本文主要从企业运营中涉及的用户数据--个人隐私数据出发，谈一谈数据出海美国的必须了解的数据合规基础。


ONE
联邦立法

在数据保护法律层面，美国是“联邦+州法”的二元法律体系。但是，美国联邦层面始终没有针对所有主体的统一的隐私保护立法。2022年《美国数据隐私保护法》（American Data Privacy and Protection Act，以下简称“ADPPA”）草案发布，美国似乎有意颁布联邦层面的统一立法，但是至今仍未出台生效版本，后众议员提出制定《在线隐私法案》（Online Privacy Act）但仍在立法程序中，至今仍不明朗。

因此，美国联邦仅有针对特定主体或者领域的专门立法，主要涉及医疗、金融、广告、教育及儿童等。比如联邦针对儿童个人信息保护制定的《儿童在线隐私保护法》（Children's Online Privacy Protection Act，COPPA）；联邦针对商业广告及推广制定的《反垃圾邮件法》（CAN-SPAM Act ）。

联邦《儿童在线隐私保护法》[1]（Children's Online Privacy Protection Act，COPPA）

（图片来源：网络）

《儿童在线隐私保护法》（“COPPA”）于1998年美国国会制定并由总统签署通过，2000年正式生效。这项法案目的是给父母（包括法定监护人）权利，让成年人针对网站和网络服务运营商向儿童收集个人信息的行为做决定。中国企业就在这项法案上遭过殃。2019年，美国联邦贸易委员会(Federal Trade Commission，简称FTC)就曾指控Musical.ly（抖音海外版TikTok的运营商）非法收集儿童个人信息[2]，罚款570万美元（约3810万人民币）。

互联网企业多数会涉及到处理儿童个人信息的情况，因此非常需要注意的就是，美国联邦法对儿童年龄的要求和我国存在差异：

COPPA适用于收集13岁以下儿童个人信息的网站和在线服务运营商，区别于我国《儿童个人信息网络保护规定》（“《规定》”）下所指的儿童为不满14周岁的未成年人。

当然，COPPA也有与我国《规定》相似的地方：

COPPA要求收集儿童个人信息必须事先征得父母的同意，与我国《规定》相似，但是要求遵循“父母可证实的同意”（verifiable parental consent）原则，并具体规定了六种可操作性的同意方式，包括:通过传真、邮递、电子扫描等方式向运营商提供父母签署的同意书等。

此外，COPPA明确，规制对象为商业网站，包括该类网站专门或部分内容针对13岁以下的未成年人以及知道未成年人可能会浏览该网站/可能在网站填写个人信息。

不仅如此，COPPA还对运营商收集儿童个人信息的公开原则、儿童个人信息范畴、例外情况（Safe Harbor Program）等予以进一步规定。

（图片来源：网络）

除此之外，每个州有自己的独立的立法权和执法权。

TWO
州立法

在州层面有，各个州有自己针对个人信息保护的独立立法。比如《加州消费者隐私保护法案》（California Consumer Protection Act，CCPA）、《弗吉尼亚州消费者数据保护法案》（The Virginia Consumer Data Protection Act，VCDPA）、《科罗拉多州隐私法》（Colorado Privacy Act）等等。各个州的法律规定各不一样。此外，针对不同州可能所涉之相关法律也不仅有一部，比如加州，除CCPA还有CPRA（《加州隐私权法案》）等。

《加州消费者隐私保护法案》[3]（California Consumer Protection Act，CCPA）

从时间上看，加利福尼亚州率先在2018年颁布了CCPA法案，适用于电子商务企业。该法主要加强了对消费者的隐私权利和数据安全的保护，具体定义了数据主体为消费者，并对企业遵循义务做出了规定。该法案被认为是美国第一部隐私保护领域的综合性州法律，开启了美国统一隐私立法的高潮，也成为其他州立法的重要参考。

那么CCPA适用于什么样的出海企业呢？如果该企业并未在加州成立或在加州设立分公司或办事机构，那是不是就不用考虑CCPA的影响了呢？

非也，总的来说，CCPA适用于“在加利福尼亚开展业务”，且满足如下条件之一的公司：
（1）年度总收入超过两千五百万美元（25,000,000美元）；
（2）每年购买、为业务目的获取、出售或为业务目的共享的个人信息至少涉及5万消费者、家庭或设备；
（3）年销售收入的50％以上来自出售消费者的个人信息。

因此，即使该企业并非在加州成立或在加州设立分公司或办事机构，也可能受到CCPA的管辖。

例如，某电商企业在加州没有经营场所，但通过网络与加州消费者进行交易活动，收集了加州居民的个人信息，则可能受到CCPA的管辖。此外，除了公司这种商业主体，被公司委托代为处理消费者个人信息的服务提供商以及非上述提及主体的第三方，也有可能受到CCPA管辖，还需根据具体情况进一步考量。

此外，值得注意的是，2020年美国加州又通过了《加州隐私权法案》（California Privacy Rights Act, CPRA），旨在修改CCPA，有些人将其俗称为“CCPA 2.0”， 设立新的消费者个人信息处理要求，并创设了加州隐私保护局（California Privacy Protection Agency，简称CPPA）来实施和执行法律。

（图片来源：网络）

《弗吉尼亚州消费者数据保护法案》[4]（The Virginia Consumer Data Protection Act，VCDPA）

弗吉尼亚州消费者数据保护法案（下文简称：VCDPA）是美国第二部州隐私法，自2023年1月1日起生效，确立了消费者的权利和公司的责任。

弗吉尼亚州是第二个通过消费者隐私立法的州，紧随其后的是科罗拉多州。VCDPA于2021年3月签署成为法律，并于2023年1月1日生效，与CPRA同日生效。VCDPA适用于在弗吉尼亚州开展业务或生产针对弗吉尼亚州居民的产品或服务的公司，与CCPA相似，公司是否将总部设在弗吉尼亚州并不影响其对本法的适用。此外，公司的年总收入也不是判断其是否适用于VCDPA的标准，

VCDPA的适用标准包括在一年内控制或处理100,000以上消费者的个人资料，或控制、处理25,000以上消费者的个人数据，并从销售该个人数据中获得超过50%的总收入的情况。

总的来说，VDCPA受到加州CPRA和CCPA以及欧盟《通用数据保护条例》（GDPR）的一些影响，但是在内容上并非照搬，与我国《个人信息保护法》（“《个保法》”）比较，也有一些区别。比如，VCDPA将“儿童”定义为不超过13岁，敏感个人信息包括已知的儿童个人信息、不包括金融账户等财产信息（§59.1-575.），而我国《个保法》（第二十八条）将未成年人定义为不满十四周岁，且敏感个人信息包括金融账户等容易导致财产安全受到危害的个人信息。


美国的立法体系较为复杂，中企出海，无论打算把实体建立在哪个州，也不要忽视数据合规的重要性，特别是在当下数据强监管时代。此外，美国各个州也在不断完善立法体系，及时关注，及时更新，做好合规措施，方是破局之道。

---
[1]全文链接：
https://www.ftc.gov/legal-library/browse/rules/childrens-online-privacy-protection-rule-coppa
[2] FTC Hits TikTok With Record $5.7 Million Fine Over Children’s Privacyhttps
[3]全文链接：
https://leginfo.legislature.ca.gov/faces/codes_displayText.xhtml?division=3.&part=4.&lawCode=CIV&title=1.81.5
[4]全文链接：
https://law.lis.virginia.gov/vacodefull/title59.1/chapter53/

扫码关注我们
扫描二维码与律师直接对话
??还可加入影视娱乐法讨论群
联系方式：zhou_junwu@jtn.com
“周公观娱”由北京金诚同达律师事务所高级合伙人周俊武率领的精英律师团队倾力出品。
周俊武律师团队主要从事知识产权及民商事争议解决等法律业务，在文化娱乐、影视游戏、互联网等多领域有极为丰富的经验，系中国最早及领先的专业娱乐法团队之一。
周俊武律师所获荣誉包括：
钱伯斯（Chambers and Partners）《亚太法律指南》“传媒与娱乐”领域连续四年上榜Band 1律师（2020-2024）
汤森路透ALB中国十五佳诉讼律师（2019）
汤森路透ALB中国十五佳TMT律师（2019、2023）
《法律500强》（The Legal 500）中国TMT领域推荐律师（2023-2024）
LEGALBAND中国体育娱乐领域领先律师（2014-2023）
《亚洲法律概况》（Asialaw Profiles）亚洲法律领先律师榜单“传媒与娱乐”领域卓越律师（2022-2023）、精英律师（2024）
“中国优秀知识产权律师TOP50”上榜律师（2021）
首届文化娱乐法治评选“杰出娱乐法律师”（2020）
《商法》推荐的娱乐及体育领域卓越律师团队（2016）
北京市优秀知识产权律师（2013）
【免责】本文内容属于作者个人观点，不代表北京金诚同达律师事务所对有关问题的法律意见。如您需要法律意见或专家咨询，请向具有专业资质者寻求针对性解答
审核：刘彦伶 
编辑：刘珂