作者：汉坤律师事务所 段志超 | 王雨婷 | 左今 | 刘若愚
近期，我们注意到美国一类基于加州侵犯隐私法（CIPA, California Invasion of Privacy Act）与联邦电子通信隐私法（ECPA, Electronic Communications Privacy Act）等法律提起的“碰瓷式”隐私诉讼数量激增，并波及了一些出海中国企业。此类诉讼往往针对企业网站在未经授权的情况下，使用tracking pixels或cookies等追踪工具收集用户信息的行为。对方通过广撒网的方式向企业施压，借助法定赔偿与集体诉讼规模叠加后形成的理论高额索赔，谋求快速和解获利。而加州州长亦在近期签署法案，限制此类“碰瓷式”隐私诉讼。本文旨在介绍此类诉讼的表现形式及法律依据，提醒出海企业注意相关风险，并提出初步的应对策略。
一、“碰瓷式”隐私诉讼的表现形式
此类“碰瓷式”隐私诉讼主要由特定律所或“职业原告”发起，通过向大量企业发送相似律师函或草拟起诉书的方式进行批量化维权，并声称将起诉或提起集体诉讼。原告（或潜在原告）的诉由大致相同：原告往往声称其近期访问了企业官网，并对网站的网络数据传输进行了取证分析，发现网站在未经其授权或披露的情况下，通过tracking pixels等追踪工具，收集并向第三方传输原告的个人信息。律师函或草拟起诉书中通常指控此类行为违反CIPA与ECPA等隐私法律，并以此为由要求与企业进行和解谈判，否则将以个人名义起诉或发起集体诉讼。
此类诉讼大约在2021年至2022年间开始出现，并在近年来数量飙升。据Consent Pixel网站统计，仅在2026年前三个季度，加州各联邦及州级法院就受理了至少49起相关诉讼（且不包括未经诉讼就达成和解或诉讼过程中自行和解撤案的案件）[1]，涉及医疗健康、娱乐媒体、金融服务等各领域的企业；地域上则既包括美国本土企业，也波及一些出海中企。
考虑到后续诉讼成本与潜在的高额赔偿，此类案件通常不会走完完整的诉讼程序，企业一般会在诉前与原告达成和解。基于具体追踪行为、赔付能力等因素，不同企业面临的和解金额也存在较大差异：例如，大型医疗集团Sutter Health在2025年就相关诉讼支付了总额为2,150万美元的和解金[2]；而用户较少，规模较小的企业最终的和解金可能在数千至数万美元不等。
二、“碰瓷式”隐私诉讼的法律依据
具体而言，在此类诉讼中，原告往往基于下列法条对企业提出主张：
加州隐私侵权法（CIPA）第631条禁止未经同意拦截他人的通信[3]。原告一般指控企业官网的追踪技术在其不知情的情况下收集并向第三方传输数据，属于非法拦截或协助第三方拦截通信。同时，CIPA第638.51条禁止他人在未经同意的情况下安装“电话记录器/追踪器”（Pen Register / Track-and-trace Device）[4]。原告往往同时声称，tracking pixels等追踪工具构成未经同意安装的“电话记录器/追踪器”。CIPA项下的法定赔偿最高为每次违法5,000美元或实际损失三倍（取较高者）[5]。
联邦电子通信隐私法（ECPA）。美国法典第18章第2511条禁止在未经授权的情况下拦截电子或有线通信[6]。原告主张企业网站的追踪行为构成对用户网络通信的非法拦截。ECPA项下的法定赔偿为每次违法10,000美元，为此类法条中理论罚金最高的诉因[7]。
加州计算机数据访问与欺诈法（CDAFA）第502条禁止未经授权复制或使用他人计算机中的数据[8]。原告可能指控网站的追踪工具未经授权获取了用户设备中的信息。CDAFA允许原告方通过民事诉讼主张实际损失赔偿，并允许胜诉方主张律师费及诉讼费用。
普通法侵权主张：此外，原告方往往会同时提出一些普通法侵权主张，包括声称网站追踪工具侵犯了用户隐私，涉嫌构成普通法侵权中的侵入隐私（intrusion upon seclusion）。如果收集的信息被用于广告用途，原告还可能主张企业通过不当手段从用户数据中获取商业价值，构成不当得利（unjust enrichment）。普通法侵权的赔偿金额一般基于实际损失进行计算，具体金额需要基于事实进行认定。
在此类案件中，原告往往会将上述法条中的法定赔偿、实际损失、惩罚性赔偿[9]、律师费及诉讼费用、利润返还等所有金额汇总起来，借由集体诉讼中的赔偿计算方式[10]，提出一个高额的赔偿金额，从而在和解谈判中占据优势，争取较高的和解金额。虽然理论金额看似惊人，但在实践中，此类网站追踪案件的实际和解金额往往远低于理论值。企业的实际风险敞口则仍需结合网站访问量、追踪技术部署范围等具体情况评估。
另外值得注意的是，ECPA作为联邦法律，在全美范围内适用。CIPA和CDAFA作为加州消费者保护法律，其保护对象为所有加州居民。换言之，只要企业网站面向加州消费者提供服务并收集其数据，这些法律就有可能适用于企业的行为。企业不能仅因其未在加州注册或未直接向消费者提供产品，就直接认为其不受上述法律管辖。
三、滥诉的成因与现有制衡
（一）此类隐私诉讼激增的成因
此类诉讼近年来数量激增的根源在于“旧法新用”。具体而言，CIPA与ECPA等法律最初的立法目的，是规制电话窃听、电话追踪器等传统通信中的监听行为，相关法条中的关键术语（如“拦截通信”“电话记录器/追踪器”）均是围绕电话通信场景设计的，当时的立法者也显然无法预见到Cookie等现代数据收集技术。因此，这些旧法律的文字表述是否能够适用，以及应当如何适用于网站数据收集这一新场景，便成为近年来诉讼中反复出现的核心争议。例如，网站后台服务器之间的数据传输是否构成对“通信”的“拦截”，tracking pixels等工具是否属于“电话记录器/追踪器”等。由于相关法条本身未对这些新技术做出规定，不同法院在近年来的判例中对上述问题存在明显分歧，缺乏统一具体的裁判标准。其中部分法院对原告方的扩张性解释采取了较为宽容的态度，相关判决因此成为此类诉讼中原告的判例依据。
也正因如此，即使企业的数据收集行为已符合近年来通过的《加州消费者隐私法》（CCPA, California Consumer Privacy Act）的规定，仍可能面临CIPA索赔。原因在于，CCPA不要求企业在收集数据前取得用户事先授权，而是允许用户事后选择退出（opt-out）即可；而CIPA第631条、第638.51条等条款则要求其开展追踪前取得用户的同意（opt-in）。因此，若追踪工具在用户完成选择前就已开始收集或传输数据，网站即便依据CCPA提供了退出渠道，该次收集仍可能被认定违反CIPA等法律中关于授权和同意的要求。
（二）针对此类诉讼的现有制衡
与此同时，面对此类诉讼的激增，加州政府及法院系统并非毫无作为。一方面，加州州长于2026年9月30日正式签署了SB690法案[11]。该法案对CIPA第638.51条进行了修订，不再允许私人原告基于该条文向企业提起诉讼，而仅允许由州总检察长办公室进行调查并提起检控。SB690法案将于2027年1月1日正式生效，且将对于生效日期前两年内的所有相关案件具备回溯性效力。考虑到CIPA第638.51条是目前此类诉讼中原告主要依赖的法条，该法的生效预计将使此类案件数量显著减少，对于企业而言无疑是一大利好。尽管如此，原告仍将试图基于CIPA第631条等上文中提到的其他法条继续进行此类诉讼。
此外，除立法限制外，法院亦对某些“职业原告”的滥诉行为有所节制。例如，2026年7月，加州中区联邦地区法院将一位名为Vivek Shah的“职业原告”列为“骚扰性诉讼人”（vexatious litigant），禁止其未来在未经法院批准的情况下发起相关诉讼。根据法院决定，自2021年起，Vivek Shah已经提起了至少29起高度类似的“碰瓷式”诉讼（且不包括未经诉讼便达成和解的案件）。这一判决为类似的“职业原告”敲响了警钟，表明法院虽然在法律层面对此类诉讼采取较为宽容的态度，但并不会无底线地纵容滥诉行为。
四、企业可采取的措施
基于上述分析，此类案件的理论索赔金额虽然较高，但实践中企业和原告仍更倾向于通过谈判达成和解，而非投入高昂成本走完完整的诉讼程序。与此同时，加州层面的立法与司法实践也正在逐步收紧对此类滥诉行为的容忍度。在此背景下，我们建议出海企业将应对重点前移至前期的合规工作落实环节，及时审查并完善网站收集数据的合规机制，并在必要时同步建立针对此类诉讼的谈判应对方案。
综上，我们建议出海美国的企业从合规预防与争议应对两个维度入手，结合自身业务情况采取以下措施：
未雨绸缪，针对性完善合规：无论企业是否收到相关起诉书或律师函，均应考虑采取下列措施：
（1）尽早对自身网站数据收集与追踪情况进行盘点评估，并视情况完善知情同意机制，停用不必要的追踪工具，并确保数据收集符合用户合理的隐私期待。
（2）网站使用追踪工具收集用户数据前，建议主动提供明确的隐私告知或弹窗（cookie banner），由用户主动点选或勾选同意，并确保用户作出同意前不收集相关数据。
（3）同时，可以考虑在网站服务协议中增加仲裁条款和集体诉讼弃权条款，以在法律允许范围内尽可能降低未来集体诉讼风险。
及时回应，策略性争取和解：如企业已收到相关起诉书或律师函，建议结合自身情况，按照下列优先级采取应对措施：
（1）核实事实。及时排查网站追踪技术的应用现状，包括已部署的追踪工具类型，以及收集和传输数据的场景和范围，并核实函件指控与实际情况是否相符。同时注意留存网站及追踪工具当前配置情况的相关记录，避免后续整改引发证据灭失方面的争议。
（2）评估并回应。评估潜在风险敞口，必要时聘请外部律师，在合理期限内书面回复。通常而言，初次回函仅确认收悉对方函件，不承认任何责任，并明确保留企业在程序和实体上的全部抗辩权利。
（3）策略性争取和解。梳理对企业有利的谈判依据，并评估合理的和解金额区间。例如，可借助SB690法案的通过以及法院对“职业原告”的审慎甚至否定态度等有利于企业的因素，将和解金额控制在较低水平。
（4）签署和解协议。如确认和解，可通过和解协议锁定和解条件。重点审查保密、权利放弃与免责、和解金支付等核心条款，确保协议能够彻底终结争议，防止后续纠纷。
（5）落实整改措施。完善网站隐私合规设计，包括规范追踪工具的授权同意机制，以持续降低合规风险，防止同类索赔再次发生。
注释
[1] https://consentpixel.com/blogs/cipa-lawsuit-tracker/
[2] https://www.hipaajournal.com/sutter-health-lemonaid-health-redeemer-health-pixel-data-breach-settlements/
[3] Cal. Penal Code § 631(a).
[4] Cal. Penal Code § 638.51.
[5] Cal. Penal Code § 637.2. 法定赔偿（statutory damage），指被告因违法行为所需承担的赔偿，原告无需证明自身蒙受了实际损失。
[6] 18 U.S.C. § 2511.
[7] 18 U.S.C. § 2520.
[8] Cal. Penal Code § 502(c)(2).
[9] 加州法律（Cal Civ. Code § 3294）允许原告在明确证明被告方行为存在“压制、恶意、欺诈”（oppression, malice, fraud）时获取惩罚性赔偿。ECPA（18 U.S.C. § 2520）亦允许原告在部分案件中获取惩罚性赔偿，在大体上与加州标准类似，须至少证明被告的违法行为存在相当程度的主观故意。
[10] 在美国的集体诉讼中，原告可作为相同或类似处境的消费者代表开展诉讼，因此往往具有较高的理论赔偿金额。在此类案件中，“每次违法行为”通常以每位受影响用户的每次网站访问或数据传输为一个计算单位。因此，理论赔偿总额可能等于“集体成员人数 × 违法次数 × 单笔赔偿金额”的总和。举例来说，假设原告预估有1万名集体成员各访问网站一次，仅ECPA一项的最高理论赔偿总额即达1亿美元（1万人 × 10,000美元）。
[11] S.B. 690, 2025-2026 S. Reg. Sess. (Cal. 2026) (amending Cal. Penal Code § 637.2).
本文作者
段志超
+86 10 8516 4123
kevin.duan@hankunlaw.com
业务领域
合规与调查、数据保护、知识产权
王雨婷 | 汉坤律师事务所
左今 | 汉坤律师事务所
刘若愚 | 汉坤律师事务所
声明：本文来自汉坤律师事务所，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
