来源说明：本文采集自网络公开数据，来源公众号「数据何规」，版权归原作者所有。

原文链接：https://mp.weixin.qq.com/s?src=11×tamp=1792368008&ver=7035&signature=RE7HhI-uVGrMKI*x32ktjY7DipPSWA0xvgr*NgQ3OR0RNqrrnF9N-4fH9bm3U-9jWohvcPaO7vBw9LrnGo0uIRAhmzKkfyaekIAuGgwnpiDYNwOf0T2MO2A9vZQO*ZBo&new=1

如有侵权，请联系删除（邮箱：bdduck@bdduck.com），我们将在 24 小时内核实并移除。

跳转原文阅读 →

2026年10月16日，美国得克萨斯州总检察长宣布，与拼多多控股（PDD Holdings）及Temu运营主体Whaleco达成和解。Temu同意支付300万美元，将得州消费者个人数据存储在美国境内、由美国公司拥有和控制的商业服务器上，并限制中国关联主体访问。比付款更值得关注的，是这些条件将怎样影响Temu今后的数据处理和业务运营。〔1〕〔2〕
Temu的和解不会自动使其他中国出海企业承担同样的美国数据本地存储义务。现有美国联邦数据安全规则和得州隐私法，也没有普遍要求所有中国企业以这种方式存储美国用户数据。问题恰恰在于，既然没有这样一项普遍要求，Temu为什么还是接受了？〔2〕〔8〕〔9〕

一、Temu为什么会被得州盯上？

事情要从八个月前说起。2026年2月17日至19日，得州连续起诉TP-Link、Anzu Robotics、Lorex和Temu，分别涉及网络设备、无人机、摄像头和电商平台。几案都将中国关联、潜在安全风险和对消费者的宣传联系起来，官方还以连续“反CCP诉讼”的措辞介绍这轮行动。Temu案因此既有具体的消费者保护争议，也处在一轮带有鲜明国家安全及政治表述的集中执法之中。〔3〕
2月19日，得州向科林县地区法院起诉PDD Holdings和美国运营主体Whaleco。起诉状开篇便将Temu形容为“伪装成购物App的间谍软件”，但其引用的安全历史，首先来自拼多多App：2023年，Google因安全问题暂停其在Google Play上架。Google当年处理的是拼多多App，并非Temu；得州还转述了有关技术人员转向Temu工作的报道，试图将集团内另一产品的争议与Temu联系起来。这个推论是否成立，仍需具体证据支持。〔4〕
针对Temu自身，得州多次援引Grizzly Research于2023年发布的报告，质疑其代码、权限及数据用途。Grizzly具有做空背景，报告也披露了相关人员的空头利益，因此它既不能直接当作司法鉴定，也不能仅因其利益立场就不看具体分析。真正要核实的，是被分析的App版本、相关功能是否实际执行、能获取什么数据，以及是否发生了所称传输。报告提出怀疑与法院确认事实之间，还有一段需要举证的距离。〔4〕〔6〕
得州还强调，PDD虽然将主要行政办公地点迁至爱尔兰，仍在中国开展重要业务，并援引《中华人民共和国国家情报法》提出中国政府可能访问数据的风险。该法第七条规定组织和公民“依法”支持、协助和配合国家情报工作，第八条也要求依法开展、尊重和保障人权、维护合法权益。得州对条文效果的解释属于其诉讼论证，不能概括成中国企业必须无条件交出全部境外用户数据，更不能证明Temu已经向中国政府提供数据。〔4〕〔7〕

二、得州到底指控了什么，为什么最终选择和解？

本案主要依据得州《欺骗性贸易行为与消费者保护法》（DTPA），并非直接依据第14117号行政令（EO 14117）起诉。起诉状提出四组指控：App性质和数据收集披露、促销折扣、商品质量，以及未披露其所主张的中国政府访问风险。把整案理解为“数据存放在中国，所以违法”，会漏掉得州真正采用的法律逻辑：平台对消费者说了什么、隐瞒了什么，以及这些信息如何影响交易。〔4〕〔5〕
关于App，得州指控Temu具备超出普通购物需要的软件功能，可能绕过设备限制，访问文件、位置及其他应用相关信息，并将数据传往中国。起诉状将这些指称与隐私政策对设备数据、近似位置和用户上传内容的描述作比较，主张实际权限及收集能力没有被充分披露。它还援引数据出售、身份盗用风险及一宗遭Temu否认的泄露报道，质疑安全保护和泄露通知。这些涉及收集、传输、使用及安全事件的不同主张，均不能仅凭存在某项代码或权限就一并视为成立。〔4〕
促销部分则更接近消费者日常遇到的问题。得州称，免费礼品、返现和邀请奖励存在不易理解或达成的条件，划线原价也可能制造并不存在的折扣。商品质量部分涉及宣传与实物不符、评论和评分可能误导消费者，以及消费者收到不符商品后难以退款等问题。由此可见，即使不讨论中国政府访问，促销、价格和商品宣传本身也构成了州方起诉的内容。〔4〕
政府访问风险的论证，则集中在第94—95段援引的DTPA第17.46(b)(24)条。该条针对经营者在交易时已知、却为诱导消费者进行原本不会进行的交易而不披露的信息，得州据此主张Temu隐瞒了中国法可能带来的数据提供风险。这一主张需要把法律及实际业务联系、信息遗漏和诱导交易联系起来，不能只凭企业具有中国背景就完成证明。对技术能力、数据流向和中国法效果的争议，也使本案的判断远比“用户有没有同意隐私政策”复杂。〔4〕〔5〕
得州原本请求法院认定违法、判令民事罚款并颁布禁令，其中包括每次DTPA违反最高1万美元的罚款，以及涉及老年消费者时的额外金额。第122段还具体要求限制超出特定交易必要范围收集数据，纠正权限、价格和商品质量宣传，并披露其所主张的中国政府访问风险。列明的请求没有单列美国境内存储要求，但起诉状保留了其他法律及衡平救济。因此，美国存储是在和解中被具体确立的安排，不能据此反推法院原本无权要求相关整改。〔4〕
如果Temu不接受和解，法院会不会直接判输？拒绝和解本身不会导致败诉，案件仍需依程序处理，可能在审前裁判，也可能经过实体审理，双方可以提出证据和抗辩。协议第6条给出的和解理由，是避免继续诉讼的费用、拖延和不确定性；它没有说任何一方已经证明不了自己的主张。和解可能包含妥协，但仅凭公开文件，无法判断双方都证据不足，或者谁已经预见会败诉。〔2〕〔11〕

三、和解具体约定了什么，本地存储义务从哪里来？

先区分文件的性质。得州公开的是双方请求法院批准的《合意最终判决及永久禁令》，其中第5、6、56条明确保留Temu否认违法的立场，并说明没有对争议事实和法律问题进行实体裁判。截至2026年10月18日，官方虽已公告和解，公开副本的法院签署栏仍为空白，不能仅凭它确认法院实际签署日期。因此，以下讨论的是双方接受的和解内容，不能理解为法院已经查明Temu实施了全部被指控行为。〔1〕〔2〕
付款只是其中一部分。协议要求两被告连带支付300万美元，涵盖民事罚款、律师费、调查费用等，期限为法院签署生效后30天。与之对应，第54条规定，在判决登记并完成付款后，得州解除对协议所覆盖既往行为的广泛索赔；未来行为、刑事责任、反垄断等特定领域责任及其他机关或私人索赔仍被保留。Temu因此获得了结束得州相关既往争议的条件。促销、划线价和评论等指控，在文本中没有逐一对应专项整改条款，相关既往行为则纳入约定的索赔解除范围，最终处理并非逐项照搬原先诉求。〔2〕
数据存储的核心是第29(a)条：得州消费者个人数据须存储于美国境内、由美国公司拥有和控制的商业服务器，范围包括两类敏感数据：
一类是得州法规定的种族、宗教、健康诊断、性、国籍或移民身份信息、用于唯一识别个人的基因或生物识别数据、已知儿童数据及精确位置；
另一类是联邦规则规定的受涵盖个人标识符、精确位置、生物识别标识符、人体组学、健康及财务数据，两者有重叠，并非互不相交的两组。
这里直接涉及的是得州消费者，服务器无需位于得州，并非Temu全部全球数据均须迁往美国。第9(q)条以个人或家庭场景下的得州居民为对象，排除商业及雇佣场景；执行时，交易或交互当时已有的IP定位、账户默认收货地址任一指向得州，即按得州消费者处理。Temu无须为识别居住地额外收集、推断信息或进行核验。〔2〕
存储之外，第29(b)条另行限制访问。依据中国法设立或主要营业地在中国的实体，以及主要居住在中国的个人，原则上不得访问可识别或可合理关联到个人的未加密或可解密数据，判断标准并非中国国籍。
协议保留两条路径：
一是，消费者可以为商业上合理的目的，明确同意一次具体访问；
二是，对不属于两类敏感数据的普通个人数据，则可在合理必要且相称的范围内，为订单处理、履行和售后、反欺诈、平台维护改进，以及指定美国法律或强制程序进行访问。
两类敏感数据不能直接套用后一组业务例外；符合协议例外的访问，仍须遵守存储要求和其他适用法律。〔2〕“两类敏感数据”来自得州隐私法和联邦规则，定义并不相同，需要分别核对。订单需要履行，欺诈需要处理，平台故障也需要排查，业务例外给中国团队继续支持美国业务保留了空间。我更愿意把这一安排理解为同时处理数据风险和经营需要，中国团队仍能在明确条件下参与业务。〔2〕
第23条及第29(c)—(f)条还规定了披露、负责人、留存和删除要求。Temu须在隐私声明明确引用适用得州法，披露可能与美国境外第三方共享的数据类别，并指定驻美国的合规负责人。连续24个月没有登录、订单或其他主动互动的账户，须至少每季度识别并删除相关个人数据，必要业务、法定义务和诉讼保全等留存理由仍被保留。隐私政策须为登录用户提供通往注销说明或等效功能的“一键链接”，不等于点击后无条件即时删除全部数据。负责人等事项为30天，删除入口等事项为90天，存储、访问、境外共享类别披露及留存管理为180天，均以法院签署日为起点。〔2〕
监督机制包括对现行上架版本的年度App安全测试，以及针对两类敏感数据的存储、访问审计，后者范围窄于第29条的一般存储和访问义务。App方面的“重大不合规”指发现协议定义的恶意软件、间谍软件，或收集个人数据、联邦敏感个人数据的未授权收集代码；数据方面则针对违反第29(a)、(b)条向禁止主体开放、传输或披露相关数据的情况。具体定义决定罚款条件，并非发现任意权限或一般技术瑕疵就自动处罚。两被告还须每年分别由知悉实际情况的公司高管签署合规认证，说明遵守情况、问题及整改。〔2〕
第22条及第29(h)条分别规定，最终报告认定重大不合规时，每次未通过的相应年度审计触发800万美元罚款，并须在60天内整改。非重大问题原则上先整改，未改才触发相应条款罚责；其他禁令违反另有最高每次1万美元及通知、整改规则。因此，800万美元不是全部违规统一适用的年度罚款，也不能把60天整改理解成重大违规改好即免罚。审计由Temu自费聘请符合独立性要求的机构完成，无须州方事先批准机构选任。报告还有异议、复核及司法审查程序，材料也有商业秘密和保密保护安排。〔2〕
商品安全同样有具体义务。Temu须监测召回及安全警示，开展独立年度抽样检测；最终报告认定产品中有害物质含量超过适用联邦安全标准后，须在两个工作日内下架、五个工作日内终止相关店铺及同一商家的关联店铺销售权限，并通知得州购买者、全额退款。未按要求清退店铺另有60万美元罚款，协议界定、受强制安全规则约束的商品上架前，还需提交相应认证和测试资料。协议另要求发布和解通知，保留面向得州知识产权权利人的专门人员及投诉邮箱，这说明它解决的是一组平台经营争议，而非单一数据事件。〔2〕
义务也不会因为公司重组就自然消失。第15—19条约束被告、相关人员及收到实际通知的协同行为人，禁止为规避协议而调整架构，相关业务转让须由受让方事先书面承接义务，并在交割前将文件交给州方。第47条另设三年的最惠保护：如果Temu就实质相同行为达成对其他州更有利的可比和解，按定义计算的净付款比得州高出超过5%，须补足差额；整体上对其他州更有利的禁令、报告等条件也可能适用于得州。该机制有明确排除项，并非所有其他程序的处理结果都会自动适用。协议一般期限为四年，部分条款继续存续，这些都会影响企业对长期成本的估算。〔2〕
为什么能够在没有普遍本地化规定的情况下达成这些安排？DTPA第17.47条提供禁令救济路径，第29条又援引得州《数据隐私和安全法》（TDPSA）及美国司法部数据安全计划（DSP，实施规则为28 CFR Part 202），但两套规则各有其适用范围。TDPSA规定数据最小化、安全、敏感数据同意等义务；DSP对特定美国政府相关数据及达到批量门槛的敏感个人数据交易设置禁止、限制和豁免，部分电商附随传输也有条件性豁免。EO 14117第2(g)(iii)条更明确排除其实施规则建立普遍本地化要求，因此不能从这些引用推导出所有中国企业都有同样存储义务。〔5〕〔8〕〔9〕
在我看来，本案展示的是消费者保护诉讼通过和解，形成了具体的数据控制承诺。得州取得付款和未来可检查、审计的措施，Temu获得结束相关既往争议、不承认违法及保留必要业务访问的安排。企业可能愿意接受可估算的整改成本，以避免长期承担结果不明的诉讼，但Temu实际怎样比较这些成本、由谁先提出本地存储，公开材料不足以回答。第56条也明确，除执行本协议外，不得在其他诉讼或程序中将其作为证据或先例；其他企业仍须依据自身适用的法律和事实判断义务。〔2〕

四、对其他中国出海企业，影响在哪里？

法律义务不会自动复制，监管关注却可能沿着集团关系扩展。
得州在Temu案中引用拼多多App的历史事件，并将集团联系、人员流动报道与Temu自身的技术指控放在一起，就是一个具体例子。〔4〕中国背景又可能使这种质疑更容易与国家安全联系。得州对四案的官方表述，已经清楚显示出这种执法叙事。
远程访问则是另一项更直接的治理重点。爱尔兰数据保护委员会（DPC）在2025年对TikTok作出5.3亿欧元处罚，涉及中国人员远程访问境外服务器数据的保护水平及透明度；TikTok案适用欧盟《通用数据保护条例》（GDPR），有已发生的员工远程访问及后续司法程序，Temu案则仍是争议指控与和解安排。两案共同提出的问题是：服务器在境外之后，总部究竟还能看什么、为什么要看，以及当地用户是否获得了相应保护。〔10〕
也不是说，所有出海企业都要在美国数据本地化。

值得提前做的，是清理总部不必要的远程访问权限，明确谁能看哪些数据、为何查看、何时收回权限，并保留日志；确保未来可以自证，不该看的确实没看。

同时核查集团其他App的安全争议是否涉及共用代码、人员或系统，及时整改。

参考资料
〔1〕得州总检察长，2026年10月16日和解公告。
https://www.texasattorneygeneral.gov/news/releases/attorney-general-paxton-secures-first-its-kind-settlement-temu-protect-texans-data-ccp-and-protect
〔2〕Agreed Final Judgment and Permanent Injunction，案号471-01114-2026，共27页。
https://www.texasattorneygeneral.gov/sites/default/files/images/press/Temu%20AFJ.pdf
〔3〕得州四案公告：TP-Link（2月17日）、Anzu（2月18日）、Lorex与Temu（2月19日）。
https://www.texasattorneygeneral.gov/news/releases/attorney-general-paxton-sues-tp-link-allowing-ccp-access-americans-devices-first-several-lawsuits
https://www.texasattorneygeneral.gov/news/releases/attorney-general-paxton-files-second-major-lawsuit-against-ccp-aligned-company-week-new-action
https://www.texasattorneygeneral.gov/news/releases/attorney-general-paxton-files-third-anti-ccp-lawsuit-three-days-suing-baby-monitor-company-lorex
https://www.texasattorneygeneral.gov/news/releases/attorney-general-ken-paxton-files-fourth-anti-ccp-lawsuit-three-days-suing-temu-deceptive-marketing
〔4〕Temu原始起诉状，共35页；指控见第24—27页，具体救济请求见第32—34页。
https://www.texasattorneygeneral.gov/sites/default/files/images/press/Petition_12.pdf
〔5〕Texas Business & Commerce Code, Chapter 17，特别是§§17.46、17.47。
https://tcss.legis.texas.gov/resources/BC/htm/BC.17.htm
〔6〕Grizzly Research，2023年9月6日Temu/PDD报告及免责声明。
https://grizzlyreports.com/we-believe-pdd-is-a-dying-fraudulent-company-and-its-shopping-app-temu-is-cleverly-hidden-spyware-that-poses-an-urgent-security-threat-to-u-s-national-interests/
〔7〕《中华人民共和国国家情报法》（2018年修正），第七、八条。
https://qhca.miit.gov.cn/zwgk/zcwj/flfg/art/2022/art_a97c92189dea4940bf0ec7739d89026c.html
〔8〕Texas Business & Commerce Code, Chapter 541，特别是§§541.001、541.101—.105及Subchapter E。
https://tcss.legis.texas.gov/resources/BC/htm/BC.541.htm
〔9〕EO 14117，§2(g)(iii)；28 CFR Part 202。
https://www.govinfo.gov/content/pkg/CFR-2025-title3-vol1/pdf/CFR-2025-title3-vol1-eo14117.pdf
https://www.ecfr.gov/current/title-28/chapter-I/part-202
〔10〕爱尔兰DPC，2025年5月2日处罚公告、7月10日另行调查公告及后续判决索引。
https://www.dataprotection.ie/en/news-media/latest-news/irish-data-protection-commission-fines-tiktok-eu530-million-and-orders-corrective-measures-following
https://www.dataprotection.ie/en/news-media/press-releases/dpc-announces-inquiry-tiktok-technology-limiteds-transfers-eea-users-personal-data-servers-located
https://www.dataprotection.ie/en/dpc-guidance/law/judgments
〔11〕Texas Rules of Civil Procedure，特别是Rule 166a关于审前简易判决及证据、抗辩程序的规定。
https://www.txcourts.gov/media/1463426/texas-rules-of-civil-procedure.pdf