如果你的企业曾出租过电子邮件列表、向营销合作伙伴出售聚合的客户分析数据、或运营过与零售连锁店共享购买数据的忠诚度计划，那么根据佛蒙特州法律，你可能已经是一名"数据经纪人"——而自今年夏天起，这个标签的代价变得高昂得多。
2026年6月16日，州长菲尔·斯科特签署了H.211法案（现为第138号法案），对佛蒙特州的数据经纪人注册法进行了全面修订——该法于2018年首次通过，是美国同类法律中的第一个。这些修正案要到2027年1月1日才生效，但一旦你理解新定义的范围有多广，就会发现合规的时间窗口比看起来要短。许多从未认为自己属于"数据经纪人"的小企业即将发现并非如此。
佛蒙特州数据经纪人法到底是什么
佛蒙特州是第一个要求从事消费者数据交易的企业向政府注册的州，这远早于加利福尼亚州、德克萨斯州、俄勒冈州和其他几个州效仿推出自己的版本。核心思想一直很简单：如果你有意识地收集与你有直接关系的个人信息，然后出售或许可这些信息，该州希望知道你是谁、你在卖什么、以及有多少数据易手。
自2018年以来，这意味着每年向佛蒙特州务卿提交注册，费用为100美元，并满足一些基本的披露要求。近八年来，这种注册对于少数明显符合"数据经纪人"标签的公司来说，主要是一种合规上的事后考虑——比如背景调查公司、营销数据聚合商和人物搜索网站。
H.211法案改变了对更广泛企业群体的这一算计。
实际发生了什么变化
"直接关系"的定义变得更严格——这是最让人措手不及的部分。 根据旧法，仅直接从消费者那里收集信息通常就足以建立"直接关系"，从而排除在数据经纪人的定义之外。修订后的法律要求消费者有意地与你的企业互动。这一区别特别拉入了那些在交易背后运作的企业——立法评论中明确举例说明了支付处理器、忠诚度计划供应商和白标平台提供商。如果消费者真正的关系是与他们认为正在使用的零售商、餐厅或应用程序——而你的企业是在后台悄悄捕获他们数据的基础设施——那么仅仅因为你在技术上自己收集了数据，你可能不再符合直接关系的例外情况。
"经纪个人信息"的范围也大大扩展了。 旧法列出了具体的数据类别。新法用一个通用标准取代了那个清单：任何与已识别或可识别的个人——或家庭设备——相关联或合理可关联的信息，包括衍生数据和唯一标识符。这是有意与综合性州隐私法中使用的广义定义保持一致，并且涵盖了设备ID、行为画像和推断属性等原始列举清单未明确触及的内容。
在你可以出售或许可数据之前，新的尽职调查义务开始生效。 数据经纪人现在必须识别谁在接收经纪个人信息，了解他们打算如何使用这些信息，并获得他们不会将其用于其他目的的证明。如果经纪人有合理理由相信数据将被滥用——或非法使用——他们必须拒绝交易。这是一项真正的运营义务，而不仅仅是文书工作：这意味着每个数据共享伙伴都需要一个记录在案的筛选和准入流程，而不是一次性的注册申报。
一个有用的例外：关联公司例外。 现在明确规定，与关联公司共享数据不属于"出售"的定义，这使佛蒙特州在内部数据共享方面与德克萨斯州的做法保持一致。如果你的数据流动仅限于共同拥有的实体之间，这项修正案很可能使该特定活动不受约束——不过在依赖它之前，值得确认你的公司结构是否确实符合条件。
金钱方面的惩罚变得严重
费用和处罚结构使得H.211法案不再只是一个合规麻烦，而开始成为真正的预算线：
| 要求 | 旧规 | 新规 |
|---|---|---|
| 年注册费 | 100美元 | 900美元 |
| 保证保证金 | 未指定 | 20,000美元 |
| 未注册 | — | 每天200美元 |
| 注册不完整（30天后） | — | 每天1,000美元 |
| 信息实质性错误 | — | 一次性25,000美元，加上更正截止日期后每天1,000美元 |
每年900美元的注册费和20,000美元的保证保证金，不是小企业可以忽视的金额。而每日罚款结构意味着，未纠正的注册错误不会悄无声息地存在——它会累积，就像未缴税款累积利息一样，只要问题未被解决就会持续增加。
佛蒙特州务卿还被要求研究建立集中式消费者删除请求平台的可行性，并需在2028年12月前提交报告——这表明这很可能是几轮收紧措施中的第一轮，而非最后一轮。
哪些企业应该真正担忧
大型人物搜索和营销数据公司已经知道自己是数据经纪人。应该更加密切关注的是那些从未认为这个标签适用于自己的企业：
- 电子商务和订阅制企业，它们为了金钱或互惠数据，与广告网络、影响者平台或联合营销伙伴共享客户购买历史或互动数据。
- SaaS平台和应用程序开发者，他们将聚合或"匿名化"的使用数据变现——记住，新标准涵盖了任何与个人或家庭设备"合理可关联"的信息，这比大多数工程团队在称数据为"匿名化"时所假设的门槛要低得多。
- 忠诚度计划运营商和支付服务商，他们位于消费者和他们以为自己在打交道的零售商之间——这正是严格的"直接关系"定义所针对的场景。
- 联盟营销人员和潜在客户生成企业，其整个模式就是获取消费者的信息，然后出售或许可给其他公司获取。
- 推荐和奖励计划，作为交叉促销交易的一部分，与零售或酒店合作伙伴共享会员数据。
这些企业都不会在平常聊天中称自己为"数据经纪人"。根据修订后的佛蒙特州法律，其中一些企业在法律上可能仍然是——而对分类的无知并不能让每天200美元的罚款消失。
2027年1月1日前该做什么
- 绘制出所有客户数据离开你企业的途径。 不仅仅是明显的数据销售——还有供应商集成、联合营销安排、广告网络像素，以及不涉及现金易手但确实涉及互惠获取消费者信息的"数据共享"合作伙伴关系。
- 根据新的"直接关系"标准，测试每一条数据流。 诚实地问：消费者是故意与你的企业互动，还是你是别人店铺背后的基础设施？
- 检查关联公司例外是否真的适用于你的结构。 它仅适用于真正公司关联关系内分享的数据——不适用于你经常打交道的保持距离的合作伙伴。
- 为数据接收者建立一个尽职调查流程，包括一种方法，在2027年1月截止日期之前记录他们告诉你数据将用于什么目的，届时这将成为法律要求而非最佳实践。
- 现在就为新的费用结构做预算。 每年900美元的注册费和20,000美元的保证保证金是实实在在的成本，应该属于明年的运营预算，而不是在合规截止日期已经迫在眉睫时才发现。
为什么这应该记在你的账簿里，而不仅仅是法律文件里
诸如此类的合规成本往往会在部门之间丢失——法务部门负责注册，但财务部门最终承担了费用、保证金溢价和任何罚款风险，却没有一个清晰的条目来跟踪它们。将佛蒙特州的注册费、保证保证金成本以及任何潜在的每日罚款风险视为独立的跟踪账户——而不是将它们埋在一个通用的"法律和专业费用"桶里——可以更容易地看到合规失误的真实成本，并逐年准确预算。如果你的企业最终确实注册为数据经纪人，那么这笔900美元的费用和保证金溢价是经常性成本，应该以管理软件订阅或保险费的同样纪律来跟踪——而不是当作一次性的申报，然后忘到明年一月。
让你的合规成本一目了然
随着像佛蒙特州H.211这样的新州法律将普通的数据共享伙伴关系转变为受监管的活动，清晰的财务记录使得跟踪合规成本、罚款风险和供应商义务变得容易得多，同时不会忽视它们的实际代价。Beancount.io 提供纯文本记账，透明、版本可控且易于审计——没有黑箱，没有供应商锁定。免费开始使用，看看为什么开发者和懂财务的企业主正在转向纯文本记账。