美国没有统一的联邦数据隐私法；数十个州已各自立法并陆续生效。《得克萨斯州数据隐私与安全法》（TDPSA）自2024年7月1日起生效，是适用范围最广的州法之一——特别之处在于不设营收门槛。向得州用户销售商品、提供数字服务或处理其数据的越南企业，都可能落入该法规制范围。
TDPSA适用于谁
该法适用于在得州开展业务或向得州居民提供商品/服务的控制者与处理者，且上一年度处理了至少10万名消费者的个人信息，或2.5万名（如存在出售个人信息行为）。与多数州不同，TDPSA不设营收门槛——用户量大但规模小的企业同样受规制。雇佣关系中的数据以及已受联邦法律（如HIPAA、GLBA）规制的数据除外。
消费者权利与企业义务
- 数据主体权利：知情/确认、访问、更正、删除与携带个人信息的权利；拒绝定向广告、拒绝出售个人信息、拒绝用于产生法律效力之决定的画像分析。
- 控制者义务：最小必要收集、合理安全保障、不得因用户行使权利而歧视、高风险处理须作数据保护影响评估（DPIA），并以合同约束处理者。
- 同意：敏感数据（健康、生物识别、宗教、政治、精确地理位置等）须获得明示同意（opt-in）。
- 执法：仅得州总检察长有权执法——无私人诉权；处罚适用《得克萨斯州欺诈性贸易行为法》。
与越南框架的对比
越南适用《个人信息保护法》91/2025/QH15（2026年1月1日生效）及第356/2025号议定（2026年1月1日生效，取代第13/2023号议定）：以数据主体的同意为基础，数据出境须作影响评估，由公安部执法。而TDPSA建立在拒绝（opt-out）机制之上（敏感数据除外），无需向政府登记。同时服务两个市场的越南企业，须设计同时满足两种逻辑的隐私政策：对越南用户以同意为先，对得州用户提供完整的拒绝选项。
越南企业应做什么
- 测算：企业每年是否处理超过10万名得州居民的数据（或2.5万名且存在数据出售）——如是，TDPSA即适用。
- 在网站/App上增设定向广告、数据出售与画像分析的拒绝机制（如”Your Privacy Choices”链接）。
- 审查该法对”出售数据”的宽泛定义——与广告合作伙伴共享数据可能被认定为出售。
- 准备在45天内受理并答复权利请求的流程。
- 分流合规：一份全美通用的隐私政策不够，须为有专门立法的州（得州、加州等）增设州别附录。
常见问题
公司仅设在越南，但在线向得州客户销售，是否受TDPSA约束？
可能受约束。TDPSA不要求在得州有实体存在；只要企业”在得州开展业务或向得州居民提供商品/服务”并超过消费者数量门槛即可。有意面向得州市场的在线销售通常符合该标准。
TDPSA是否允许消费者起诉企业？
不允许。TDPSA未规定私人诉权，执法权属于得州总检察长。这与某些其他州不同，也与越南的行政投诉机制不同。
TDPSA下的”出售数据”是否包括与广告合作伙伴共享？
可能包括。”出售”定义非常宽泛：以金钱或其他有价对价交换个人信息。与广告网络、监测平台共享数据以换取服务，通常被视为出售——此时适用门槛降至2.5万名消费者。
已合规GDPR是否自动合规TDPSA？
并非自动，但GDPR基础大有帮助。TDPSA在适用门槛、拒绝范围、敏感数据定义和执法机制上均有差异。需要补充审查，而不能默认”GDPR合规即足够”。
联系 FLAT Law Firm
FLAT Law Firm协助越南企业评估美国各州隐私法的适用性，起草多市场隐私政策，设计越美并行的合规流程。欢迎联系我们获取针对性评估。
本文已通过 FLAW AI Legal Council 质量审核