新泽西州5000至150万美元的数据经纪人法律：出售客户数据现在让小企业付出什么代价

如果你曾经出售过客户名单，向营销合作伙伴授权电子邮件地址，或将购物者数据交给分析公司，新泽西州刚刚为这类交易贴上了价签——起价每年5000美元。即使你只接触几千名新泽西州居民的记录。

2026年6月30日，新泽西州颁布了A5328（P.L.2026, c.25），这是全国最昂贵的数据经纪人注册法律。与加利福尼亚州和佛蒙特州针对传统第三方数据经纪人的旧法律不同，新泽西州的版本覆盖了任何出售或许可新泽西州居民个人数据的企业——包括与消费者有直接关系的零售商、出版商、应用程序和服务企业。如果你将自己收集的数据变现，你现在在新泽西州成为受监管的“数据收集者”，与传统经纪人一样需要缴纳相同的年费、进入公共登记册并遵守敏感数据禁令。

以下是变化的内容、成本、覆盖对象，以及如何在2027年年中注册窗口打开前准备好账目和运营。

为什么这部法律与其他州的截然不同​

大多数州的数据经纪人法律遵循加利福尼亚模式：如果你与消费者没有直接关系，并且出售从别处购买的数据，你注册并支付适度的固定费用。加利福尼亚州每年收取约6000美元。佛蒙特州、得克萨斯州和康涅狄格州收取几百美元。

新泽西州以三种方式重写了这一规则：

1. 它覆盖第一方卖家。 “数据经纪人”仍然指出售并非直接从消费者处收集的数据的实体。但新泽西州增加了一个平行类别“数据收集者”，适用于确实直接收集数据——来自自己的客户、订阅者或网站访客——然后向下游出售或许可的实体。如果你经营一家在线商店并将客户文件出售给合作数据库，你就是数据收集者。

2. 费用与数量挂钩，而非固定费率。 费用从每年5000美元到150万美元不等，取决于你处理的新泽西州消费者记录数量。加利福尼亚州的固定费用在以前看似昂贵，但这部法律让它看起来像一笔申请费。

3. 敏感数据销售被彻底禁止。 该法律修订了新泽西州数据隐私法（NJDPA），禁止几乎所有实体出售或许可敏感数据——不仅限于经纪人和收集者，不仅限于大公司，也不允许以同意作为逃生通道。该禁令于6月30日立即生效。

该法案还快速推进。6月28日提出，两天内通过两院，并于6月30日由州长米基·谢里尔签署，从构想到法律的时间比大多数企业更新隐私政策还要短。

起价5000美元的七级费用表​

受覆盖的经纪人和收集者必须每年向新泽西州消费者事务部注册，该部门将维护一个公共登记册。注册要求支付费用、列出法定名称、实体地址、网站、包括泄露和网络安全事件在内的数据经纪人历史，以及消费者如何选择退出的清晰说明。

根据该法律及该部门随后的指导，年费根据你出售或许可的新泽西州消费者个人数据数量递增：

• 5000美元 适用于10万或更少的新泽西州消费者
• 1万至1.5万美元 适用于10万零1至50万消费者
• 10万至20万美元 适用于50万零1至100万消费者
• 50万美元 适用于100万至200万消费者
• 75万至100万美元 适用于200万至450万消费者
• 150万美元 适用于超过450万消费者

最终等级门槛在律师事务所摘要中有轻微差异，但结构一致：七个等级，陡峭递增，最高两级达到七位数。作为背景，新泽西州约有950万居民——处理半个州数据的经纪人需支付最高费用。

未能注册或支付将面临每天2500美元的民事罚款。鉴于登记册预计要到2027年3月27日（颁布后九个月）才能运营，总检察长部门在2026年8月初的警报中表示，在2027年6月之前不会要求遵守注册和费用要求，你有一个窗口期来评估风险——但不是忽视它。

快速费用比较​

新泽西州不仅提高了上限；它创造了一个比大多数州整个费用高出10倍的新下限。

谁真正符合资格？比你想象的更多企业​

你不需要认为自己是“数据经纪人”才被覆盖。

你很可能成为数据经纪人，如果： 你购买、聚合或许可来自消费者以外的来源的个人数据，然后出售或许可这些数据。例子包括人肉搜索网站、风险评估提供商、营销合作运营商和潜在客户生成转售商。

你很可能成为数据收集者，如果： 你与消费者有直接关系——他们创建了账户、购买了产品、注册了通讯——然后你将其个人数据出售或许可给其他人。覆盖普通小企业的例子包括：

• 一家电子商务品牌通过将客户文件出售给数据合作社或与非关联广告商分享以获取报酬来变现。
• 一家本地媒体网站或应用程序在服务提供商语境之外，将其订阅者或访客数据许可给广告网络。
• 一家忠诚度计划运营商将购买历史出售给第三方分析公司。
• 一家B2B服务收集小企业联系数据并将其作为潜在客户名单许可。

什么不触发注册？ 如果你只使用服务提供商或处理者代表你处理数据——例如，发送你自己活动的电子邮件平台，或仅为完成销售而接触交易数据的支付处理者——并且你不为供应商自身利益出售或许可底层数据，你就不是在出售数据。在内部使用数据向自己的客户营销也不是销售。

在你的账目中重要的区别是：报酬。在新泽西州，“出售”意味着以金钱或其他有价对价交换个人数据。如果数据流是提供合同服务的一部分，且接收方不能将其用于自身商业目的，这更像是服务提供商安排而非销售。

适用于所有人的敏感数据禁令​

与经纪人/收集者注册分开，新泽西州现在禁止任何实体出售或许可敏感数据，无论你是经纪人、收集者，还是只是曾经与合作伙伴分享过敏感名单的小企业：

• 揭示种族或民族起源的个人数据
• 健康相关数据和基因数据
• 财务信息（超出处理支付所需）
• 性取向、跨性别/间性状态及相关数据
• 公民身份和移民身份
• 宗教信仰
• 生物识别和基因标识符
• 精确地理定位
• 关于儿童的数据

与康涅狄格州较窄的地理定位禁令或其他允许以选择加入同意出售敏感数据的州不同，新泽西州即使有同意也禁止出售。违规行为每条出售、提供出售或许可的记录罚款5万美元。这不是每次泄露或每个消费者文件——而是每条记录。一条1000行带有地理定位标签的客户记录列表以500美元出售，理论上可能触发5000万美元的罚款风险。

这部分法律立即生效。如果你目前有任何涉及新泽西州居民这些类别的数据共享安排，你应该已经暂停并咨询律师重新审查。

公共登记册将展示你企业的哪些信息​

一旦运营，该部门将发布一个可搜索的登记册，列出每个经纪人和收集者：

• 法定名称、主要实体和邮寄地址、网站
• 实体是否允许消费者选择退出个人数据销售以及如何操作
• 收到并完成的选择退出请求指标
• 数据泄露和网络安全事件历史
• 消费者查询的联系方式

这比加利福尼亚州要求的披露更多。对小企业来说，声誉问题与费用同样重要：如果你最终出现在公共数据经纪人名单上，客户和合作伙伴会在那里找到你。

2027年6月前的六步清单​

从颁布到预期合规截止日期，你大约有10个月。利用这段时间对你是否在范围内做出可辩护的判断，并清理你的数据流。

1. 绘制个人数据以价值离开你公司的地图​

拉取过去12个月的供应商和收入记录。寻找任何你收到付款（现金、信用、折扣服务、收入分成）并共享个人数据作为回报的行。常见罪魁祸首：

• “数据许可”或“受众扩展”收入
• 合作社数据库参与费
• 名单租赁收入
• 与共享联系数据相关的推荐付款
• 超出服务范围提供原始客户数据的分析合作伙伴关系

如果付款与数据本身相关——而非发送电子邮件或处理付款的服务——将其标记。

2. 单独计算新泽西州记录​

费用是按新泽西州消费者计算的，而非总记录。按州细分你的数据。即使你出售一个200万条记录的全美文件，只有新泽西州居民的子集计入等级。对于典型的全国名单，这可能占2-3%，但如果你是新泽西州重度用户，可能更高。

如果你目前无法按州细分，这是你的第一项工程任务。没有它，你无法计算等级或声称低于阈值。

3. 立即停止任何敏感数据销售​

针对上述敏感类别检查每个传出数据流。记住推断也算：揭示健康状况的购买历史或邮政编码加种族文件即使你没有这样标记，也可能被视为敏感数据。

如果你在销售管道中发现敏感数据，停止销售，记录停止日期，不要依赖旧同意书来证明继续的合理性。新泽西州的禁令对这种使用没有同意例外。

4. 重新起草真正属于服务提供商关系的供应商协议​

如果供应商是真正的处理者，确保你的合同明确说明：数据只能用于向你提供服务，合同结束时必须删除或归还，不能出售、保留或用于构建供应商自己的产品。如果没有这些措辞，监管者可能将交接视为出售。

5. 预算费用并决定收入是否值得​

对每个数据销售线进行严格的损益分析：

• 数据销售的毛收入
• 你的等级对应的年度新泽西州注册费
• 维持合规的法律和审计成本（隐私顾问、数据清单、选择退出基础设施）
• 如果分类错误的风险准备金

许多小企业会发现，一个将他们推入5000美元等级的3000美元年度名单租赁，在计入合规开销之前就已经无利可图。有些人正在完全退出副业。其他人正在重组以保持服务提供商身份——例如，让广告商只能通过你的平台定位受众，而从不转移底层记录。

6. 提前准备登记册输入​

如果你得出结论你在范围内，你将需要：

• 往回追溯几年的书面数据泄露和安全事件历史
• 选择退出机制文档和已履行请求数量
• 替代费用计算支持（你的新泽西州消费者计数方法）
• 证明费用已支付且每年续订注册的簿记

将这些作为合规包保存，而非分散的电子邮件。审查员希望看到方法，而非只是一个数字。

簿记和税务处理：不要埋没费用​

如果你是经纪人或收集者，新泽西州费用是每年重复的经营成本，而非一次性申请费。你如何记账会影响内部决策和外部报告。

创建单独的合规成本中心。 不要将注册费与当地营业执照或有限责任公司年报告费混在一起归入“许可证和许可”。创建一个独特的通用分类账账户，如合规：数据经纪人注册 – 新泽西州，每年在该账户中记录全额等级金额。这使得上述第5步的盈利能力测试诚实：你可以在一条线上看到数据销售收入是否覆盖其自身监管成本。

将其视为普通和必要的业务费用，但跟踪可扣除性假设。 对于联邦所得税，在司法管辖区运营所需的年度注册费通常可作为业务费用在支付或累积的当年扣除。这不是税务建议；州费用如果与15年无形资产相关，可能与资本化规则相互作用，或者如果技术上属于罚款，则与第162(f)条相互作用。保留发票和法规引用附在条目中，并在申报前让注册会计师确认处理方式。如果任何部分是延迟注册的罚款（每天2500美元），该部分不可扣除。

不要将费用与数据销售收入净额计算。 将数据销售的毛收入记录为收入：数据许可，费用作为运营费用。将它们净额计算会低估两者，并破坏1099相关记录（如果适用）与银行存款之间的对账。如果新泽西州数量增长，它还会隐藏你离下一个费用等级有多近。

每月对数据销售日志进行对账。 维护一个简单表格：月份、交易对手、共享记录、该共享中的新泽西州记录、收到的报酬、合同类型（销售与服务提供商）。将该日志与收入账户和现金收款对账。如果你接受检查，问题将是“你是如何得出87,000名新泽西州消费者的？”你需要源查询，而非估计。

如果你停止出售数据以退出该制度： 如果在你活跃的年度有要求，记入最终年费，给档案写一份注明日期的备忘录说明业务决策和销售停止日期，并保留底层数据流图。低于阈值不会追溯消除你超过阈值年度产生的费用责任。

如果你什么都不做会发生什么​

三个风险汇聚：

• 敏感数据销售的即时责任 —— 该禁令没有宽限期，每条记录的罚款旨在即使小额销售也令人痛苦。
• 错过注册的每日罚款 —— 一旦登记册上线且2027年6月执行延迟解除，每天未注册即为单独的2500美元罚款，无论当天出售了多少数据。
• 合同和付款后果 —— 发现其新泽西州供应商未注册的数据买家可能终止合同或要求赔偿。一些主数据许可协议已经要求卖方声明其遵守适用的数据经纪人法律。

这些风险都不需要新泽西州证明意图。它们是严格的合规义务，新泽西州总检察长有明确权力执行。

你应该退出数据销售业务吗？​

对许多小企业来说，答案将是肯定的——不是因为该法律禁止你的核心产品，而是因为它将副业收入线变成具有六位数审计尾部的受监管活动。

问问自己：

• 数据销售收入是实质性的——比如，超过毛利润的5%——还是机会性的？
• 你是否可以通过将数据保留在内部并出售访问权限而非原始记录来实现相同的营销结果？例如，让合作伙伴在你的环境中向你受众做广告，而不导出底层个人数据。
• 你是否有工程能力按州细分、尊重选择退出，并为公共登记册维护泄露历史披露？

如果第一个答案是“否”，后两个是“不容易”，退出是更低成本的合规姿态。该退出本身应记录：终止或修改数据销售合同，更新隐私通知以删除新泽西州的“我们出售数据”披露，并保留修订后的协议作为你状态变化的证明。

如果数据销售是你的核心模式——名单业务、营销合作社、受众数据平台——将新泽西州视为最高水位，并准备其他州效仿。加利福尼亚州的6000美元费用看起来像十年的上限；新泽西州在一项法案中将其提高到150万美元。

简化你的财务管理​

无论你留在数据业务还是退出，新泽西州法律提醒你，如果你看不到真实利润率，一个小收入线可能产生巨大的合规成本。将数据许可收入、注册费、法律成本和罚款准备金保存在分离的、版本控制的账本中，使该利润率在续订通知或审查员出现之前可见。

Beancount.io为你提供完全透明、支持AI的纯文本复式记账——没有黑匣子，没有供应商锁定。按司法管辖区跟踪合规费用，对账数据销售收入与现金，并在git中保留每次重新分类的完整历史。免费开始使用，看看为什么开发者和财务专业人士正在转向纯文本会计。