美国特拉华州签署HB 380修订《特拉华个人数据隐私法》：敏感数据扩至推断与神经数据，2027年1月生效

敏感数据定义显著扩张是本次修订最核心的变化。新增类别包括民族出身、身心治疗或状态（在诊断之外）、跨性别或非二元性别治疗、神经数据、金融账户信息（账号、登录凭据、支付卡信息）以及政府签发的身份识别号码。更具突破性的是，“敏感数据”明确包含基于个人数据作出的、可揭示上述敏感类别的推断结果，这将大量常规用户画像分析纳入 heightened 同意与限制框架。

适用门槛大幅下调。修订后法律适用于上一自然年内控制或处理不低于1万名特拉华消费者个人数据的主体（原为3.5万）；或处理不低于5000名消费者个人数据且超过20%总收入来自出售个人数据的主体（原为1万）。法律适用范围还扩张至“从控制者处取得个人数据的第三方”，且对第三方不设数量门槛，这在美国各州中属特拉华独有。

第三方风险管理要求明显加码。控制者向第三方披露个人数据时须签订书面合同，明确仅用于有限特定目的、第三方须遵守DPDPA、控制者有权采取合理适当措施确保合规、第三方无法履约时须通知控制者。控制者还须对第三方接收方开展“合理尽职调查”，至少包括问卷与相关文件审查，并随数据敏感程度采取相应附加措施。

出售敏感数据受到严格限制：除非披露对提供或维护消费者主动请求的产品或服务“严格必要”，且事前提供清晰显著通知、取得消费者同意并将同意记录保存5年。此外，法案收紧实体层面豁免——移除GLBA实体豁免改为针对银行、保险与投资业的定制豁免，“公开可得信息”定义排除未经同意收集的生物识别数据。这些变化将于2027年1月1日生效。