中国企业出海：网数合规案例分析报告数据合规：儿童数据最贵，传回中国最易被点名
1TikTok被爱尔兰DPC罚3.45亿欧元，且须三个月内整改（p8）
2九类风险涵盖告知同意、cookie、欧盟代表、跨境、AI透明度（p2）
3NOYB 2025年1月16日投诉六家企业，尚无裁决（p9–20）
3.45亿欧元爱尔兰DPC对TikTok罚款2023年9月，须三个月内整改 p.8
1270万英镑英国ICO对TikTok罚款2023年4月4日 p.5
2000万美元FTC要求米哈游赔偿违反COPPA，2025年1月 p.29
140万ICO估计2020年使用TikTok的英国13岁以下儿童估计数 p.5
老板之问
- 出海产品在海外合规上最容易栽在哪？
- 九类：告知同意、数据范围、cookie、欧盟代表、传回中国、救济、未成年人、安全、AI透明度 p.2
- 儿童数据违规会罚多少？
- TikTok被爱尔兰DPC罚3.45亿欧元，被英国ICO罚1270万英镑 p.8
- 数据存在中国服务器，欧洲监管怎么看？
- NOYB投诉称无充分性认定、SCC不约束中国当局访问；意大利已限制DeepSeek p.10
- 没有在欧盟设主体或代表会怎样？
- 被投诉“信箱地址”式控制者；DeepSeek未指定代表，意大利紧急限制使用 p.23
- 美国那边主要风险是什么？
- 联邦机构禁用、FTC按COPPA追究儿童数据、州检察长调查 p.27
对德国、瑞士和欧洲的含义
欧洲部分占报告大半：英国ICO、Ofcom；法国CNIL（500万欧元）；意大利AGCM（1000万欧元）；爱尔兰DPC（3.45亿欧元）；荷兰AP（75万欧元）；NOYB 2025年1月16日对六家企业的投诉；多国对DeepSeek的行动，其中德国各州协调、莱茵兰-普法尔茨州确认调查但未正式展开（p26）。瑞士未涉及。核心含义：隐私政策本地语言、cookie拒绝、欧盟代表、未成年人保护、传回中国的评估，是进入欧盟前必须先补的五项。
出海数据合规：儿童数据罚得最重，传回中国最易被投诉
核心观点
截至2025年2月，处罚与投诉要分开看本报告梳理英国、欧盟、美国、澳大利亚、加拿大、韩国的案例（p2）。2025年1月16日NOYB对六家企业的投诉尚无裁决，不等于处罚（p9–20）。
罚得最重的是儿童数据爱尔兰DPC对TikTok罚3.45亿欧元并要求三个月内整改（p8）。英国ICO罚1270万英镑，估计2020年仍有多达140万13岁以下儿童使用（p5）。FTC要求米哈游赔偿2000万美元（p29）。
数据传回中国服务器是集中质疑点NOYB投诉称数据传至中国缺乏充分性认定，SCC只约束商业数据传输（p10）。意大利要求DeepSeek在20天内提供信息，随后紧急限制使用（p23）。
对中小企业：先查自己有没有收集个人数据判断只做实物出口、不收集海外用户个人数据的企业，直接适用较少；有独立站、App、客服系统或联网硬件的，先补本地语言隐私政策、cookie拒绝机制和欧盟代表（p37）。
1适用对象：向海外用户提供App、平台、AI或联网硬件的企业
- 案例覆盖的产品被处罚、禁用或投诉的有TikTok、Temu、小米、微信、速卖通、DeepSeek等，地区集中在英国、欧盟、美国、澳大利亚、加拿大、韩国（p2）。
- 游戏和硬件也在内FTC诉米哈游子公司，指其明知13岁以下儿童使用《原神》仍收集个人信息（p29）。美国商务部、国防部和司法部已对TP-Link展开调查（p31）。
- 纯出口不在案例内判断原文只涉及个人数据和联网产品，没有讨论纯实物出口的海关或产品合规，这部分不在本报告范围。
这意味着这意味着合规风险跟着数据走，而不是跟着行业走：只要收集海外用户个人数据，就可能被点名。
对你的生意先列出你向海外用户收集的数据，包括订单、客服、App、摄像头和定位数据，再判断适用哪些要求。
2具体要求：报告归纳的九类风险
- 告知与同意隐私政策的语言版本不符、未说明合法性基础、内容有虚假描述，以及没有便捷拒绝机制、没有在获取权限前取得有效同意，都被列为问题（p37）。荷兰AP因隐私声明只有英文，对抖音罚75万欧元（p9）。
- cookie与追踪不得超出必要范围使用cookie，不得强制接受；URL等跟踪方式也要取得同意（p37）。法国CNIL因用户需几次单击才能拒绝所有cookie，罚TikTok 500万欧元（p7）。
- 控制者与代表隐私政策列明的控制者只是信箱地址，或未在欧盟书面指定代表，都被列为问题（p37）。意大利监管指出DeepSeek有义务遵守GDPR但未指定代表（p23）。
- 跨境传输到中国报告归纳：中国未被认定具有充分性保护水平，SCC只保护商业数据传输，不保护控制者与中国当局之间的传输（p37–38）。境外总部若业务由境内关联公司实质掌握，仍可能被认定为中国公司（p38）。
- 未成年人、安全与AI需年龄验证、父母同意和便捷的删除机制（p38–39）；定期检查内部数据管理流程，固件升级加密并验证（p39）；说明是否用个人数据训练模型或自动化决策（p39）。
这意味着这意味着监管看的是流程和证据：政策写没写、同意怎么取、数据去了哪、谁负责，而不是产品好坏。
对你的生意用这五点做一份自查表，每项留存截图或文件，监管问询时能当场拿出。
3流程、费用、时限：原文只给了执法时限，没有合规成本
- 整改期限爱尔兰DPC要求TikTok在三个月内整改（p8）。
- 信息请求期限意大利监管要求DeepSeek在20天内提供信息（p23）。美国21个州检察长要求Temu自函件发出之日起30日内提供说明（p31）。
- 和解可减罚Ofcom因TikTok主动报告错误、接受调查结果并同意和解，罚款较原计划削减25%（p6）。
- 费用原文未给出律师费、合规改造费用或平均处理周期。
这意味着这意味着监管给的窗口很短，二三十天就要交材料，平时没有文件，临时补来不及。
对你的生意把数据流向图、隐私政策版本记录和同意日志放在一个文件夹里，随时能交。
4罚则和执法情况：罚款、禁用、调查、投诉四种
- 罚款TikTok被罚：ICO 1270万英镑（p5）；Ofcom 187.5万英镑（p6）；CNIL 500万欧元（p7）；AGCM 1000万欧元（p7）；DPC 3.45亿欧元（p8）；荷兰AP 75万欧元（p9）。
- 其他罚款韩国PIPC因速卖通向境外卖家提供个人信息时未告知跨境传输场景，罚19亿7800万韩元（p35）。FTC与米哈游子公司和解，要求赔偿2000万美元（p29）。
- 禁用与限制欧盟委员会要求工作人员在2023年3月15日前删除TikTok（p8）；加拿大自2023年2月7日起禁止政府设备使用（p34）；澳大利亚2025年2月5日起要求政府系统删除DeepSeek，不适用于私人设备（p33）。
- 投诉不是处罚NOYB请求调查、暂停向中国传输并罚款（p10–11），报告没有裁决结果。TikTok在美国2025年1月19日停止服务，约12小时后重新上线（p28）。
这意味着这意味着已落地的处罚集中在儿童数据、cookie、语言版本三类具体违规；跨境传输至中国的争议还没有定论。
对你的生意先改已有处罚案例直接对应的项目，再为尚无定论的跨境问题做风险评估。
5企业该怎么做：按先后顺序的清单
- 第一步：盘点判断列出收集哪些个人数据、存在哪里、传给谁，包括中国关联公司和服务商。这是回答跨境传输和合法性基础的前提。
- 第二步：改文本隐私政策提供当地语言版本，写清数据类别、目的、存储期限和合法性基础（p37）。
- 第三步：改界面cookie拒绝与接受一样容易，在获取权限前取得同意（p37）。
- 第四步：定主体在欧盟设真实运营的控制者，或书面指定欧盟代表，并明确DPO（p37）。
- 第五步：保护未成年人和安全年龄验证、父母同意、删除机制（p38）；固件升级加密验证（p39）；AI处理个人数据时说明训练和自动化决策（p39）。
这意味着这五步是把监管已经处罚或质疑的点倒过来做，按先易后难排序。
对你的生意先做前四步，通常不需要改产品；第五步涉及产品功能，需要研发配合。
6分企业类型的建议
- 有独立站、App或客服系统的中小跨境电商先做数据盘点，再改隐私政策语言版本和cookie弹窗，使拒绝与接受同样容易（p37）；若向欧盟用户销售但无欧盟主体，书面指定欧盟代表（p37）。
- 投入与周期
- 原文未给出
- 做成的信号
- 能在被问询时提供隐私政策各语言版本和同意日志
- 该止损的信号
- 已收到监管或消费者组织问询，应暂停相关数据处理并寻求律师意见
- 做联网硬件、智能设备出口的企业固件升级设加密和验证机制，不使用硬编码公共IP；定期检查内部数据管理流程（p39）；监管点名前先做一次安全自查（p31）。
- 投入与周期
- 原文未给出
- 做成的信号
- 自查报告中无硬编码地址和未验证升级
- 该止损的信号
- CISA、FDA等发布本产品警告，或出现多部门调查
- 做平台、社交、游戏或AI应用的企业设年龄验证、父母同意和删除机制（p38）；ICO的案例涉及13岁以下儿童（p5）；儿童账户不要默认公开（p8）；说明AI是否使用个人数据训练（p39）。
- 投入与周期
- 原文未给出
- 做成的信号
- 儿童账户默认私密，家长可一键删除
- 该止损的信号
- 监管指出推荐系统传播有害内容或安全指南与实际不符（p7）
7风险与应对
| 风险 | 触发条件 | 影响 | 应对 | 提前能看到的信号 |
|---|---|---|---|---|
| 未成年人数据处罚 | 默认公开、无父母同意、无年龄验证、推荐有害内容（p8，p7） | 高 | 年龄验证、默认私密、家长删除机制（p38） | 监管发出信息请求或消费者组织投诉 |
| 跨境传输到中国被投诉或限制 | 隐私政策写明数据可能传至中国，或存储在中国（p10，p23） | 高 | 说明保障措施和传输目的地；评估欧盟境内存储方案 | NOYB等组织投诉，或监管要求20天内提交材料（p23） |
| 控制者不真实或无欧盟代表 | 隐私政策列明的控制者只是信箱地址，或域外适用时未书面指定代表（p37） | 中 | 设真实运营主体或书面指定代表 | 监管来函询问数据控制者身份 |
| 政府设备禁用或封禁 | 国家安全理由（p8，p27） | 高 | 评估是否依赖政府客户；准备替代主体 | 立法议案、政府采购指引变化 |
| 联网硬件被点名存在漏洞 | 固件升级无加密验证、使用公共IP（p31–32） | 中 | 安全自查和漏洞披露流程 | CISA、FDA或国会议员公开信 |
8哪里存疑
数据传至中国“存在极大概率被默认为”会被中国当局无限制访问（p38）
为什么存疑 这是NOYB投诉的主张，本报告没有引用监管裁决；投诉对多家企业使用同一份小米透明度报告作证据（p13–17）。
不成立的条件 若企业将欧盟用户数据存于欧盟境内，或采用标准合同条款加补充措施，监管未必认定违规。
案例反映境外对中国企业的系统性审查（p2）
为什么存疑 全部案例来自中国企业，没有非中国企业的对照，无法判断是针对中国还是对大型平台一视同仁。
不成立的条件 GDPR等对所有企业适用，儿童数据处罚可能对任何大平台都是如此。
Contec CMS8000存在“隐藏后门”（p31）
为什么存疑 CISA和FDA称后门，Claroty称为不安全设计缺陷，且硬编码IP在手册中公开（p32），报告并列两种说法，无定论。
不成立的条件 若监管最终认定为设计缺陷，则风险在产品安全而非恶意后门，应对方式不同。
律所归纳的九类风险可直接作为合规清单（p2）
为什么存疑 律所在p41介绍自身数据合规业务，且案例多为头部平台，对中小企业的适用强度原文没有说明。
不成立的条件 监管对小企业的执法频率和罚款可能明显低于头部平台。
9这份报告回答不了的
原文没有合规费用、周期、各项要求的法条编号，也没有德国、瑞士要求（德国仅在p26提到DeepSeek调查）。NOYB投诉、DeepSeek调查、TikTok美国处置的最新结果，到各国监管官网和欧洲数据保护委员会查；具体做法找有GDPR经验的律师。
逻辑链：为什么 → 怎么传导 → 所以怎么做
监管抓什么
儿童数据 p.8默认公开、无父母同意、无年龄验证
同意与cookie p.7拒绝需多次单击即视为非自愿
传回中国 p.10无充分性认定，SCC范围有限
后果怎么来
罚款 p.83.45亿欧元、1270万英镑等
限制或禁用 p.23意大利限制DeepSeek，多国政府设备禁用
投诉与调查 p.9NOYB六项投诉，无裁决
企业动作
本地语言隐私政策 p.37写清合法性基础和自动决策
欧盟代表 p.37真实主体或书面指定代表
年龄验证 p.38父母同意与便捷删除机制
关键数据图
TikTok在欧洲各国被处罚的罚款金额（万欧元）（万欧元）
核心观点
- 出海数据合规风险集中在九类：告知同意、数据范围、cookie、欧盟代表、跨境传输、数据主体权利、未成年人、安全措施、AI透明度。 p.2依据摘要列九项；第二部分p37–39逐项归纳，每项对应前面的案例推理把TikTok、Temu、小米、微信、速卖通、DeepSeek等案例的违规点归类前提案例集中于平台、App和AI产品，不覆盖纯实物出口
- 未成年人数据保护是目前已落地的最重处罚来源。 p.8依据爱尔兰DPC对TikTok罚3.45亿欧元，ICO罚1270万英镑，AGCM罚1000万欧元，FTC诉米哈游要求赔偿2000万美元推理这些处罚都涉及儿童账户默认公开、无父母同意、无年龄验证或有害内容推荐前提罚款金额受公司规模和违法持续时间影响，不能直接推到中小企业
- cookie拒绝机制不便捷会被认定为同意无效。 p.7依据法国CNIL认定抖音用户需几次单击才能拒绝所有cookie，罚款500万欧元推理设计上鼓励接受、阻止拒绝，使同意非自愿前提案例为2022年12月，不涉及移动应用
- 数据传输和存储到中国，被欧盟监管视为缺乏GDPR第五章要求的保护水平。 p.10依据NOYB对TikTok、小米、SHEIN、速卖通、微信、Temu的投诉：无充分性认定，SCC只约束商业数据传输，中国当局可能无限制访问，缺少独立数据保护机构推理监管认为中国的法律与司法制度不能保证“基本等同”的保护前提这些是投诉主张，报告时点没有监管裁决；中国法律描述为投诉人观点
- 数据控制者只是“信箱地址”或未在欧盟指定代表，本身就是合规缺陷。 p.23依据NOYB投诉指隐私政策列明的控制者只是信箱地址；DeepSeek被意大利指出未在欧盟书面指定代表推理GDPR要求能实际决定数据处理目的和方式的主体，或域外适用时书面指定代表前提DeepSeek曾称自己不在意大利运营、欧洲立法不适用，监管不接受
- 公司股权架构和高管身份可能被推测为中国政府当局可访问数据的风险。 p.38依据第二部分称境外总部业务若由境内关联公司实质掌握，仍可能被认定为中国公司；母公司高管的政治身份会引发境外监管怀疑推理监管以实质控制而非注册地判断数据可访问性前提这是律所归纳，美国21州检察长信函与阿肯色诉讼中有相应表述，但无裁决
- 多国对DeepSeek采取的措施，说明AI产品的透明度、存储地点和代表缺位会被立即审查。 p.22依据意大利要求20天内提供信息后紧急限制；爱尔兰、比利时、法国、卢森堡、荷兰、葡萄牙、希腊、德国、美国部分机构、澳大利亚、韩国均有行动推理AI产品未说明数据处理的合法性基础、训练用途、自动化决策和存储地点前提多数为信息请求、调查或政府设备禁用，不是处罚
- 美国风险偏向国家安全与儿童隐私：联邦设备禁用、FTC的COPPA执法、州检察长调查和国会议员推动调查。 p.27依据TikTok被联邦设备禁用并被FTC起诉；米哈游子公司与FTC和解；21州检察长向Temu发调查函；TP-Link被多部门调查推理以国家安全和儿童保护为理由，监管工具包括立法、诉讼、调查函前提TikTok封禁、关停和复开的情节仍在变化，原文截至2025年1月
可落地的做法
- 隐私政策提供当地语言版本，写明数据类别、目的、方式、存储期限、合法性基础和是否用于自动化决策 p.37条件：报告把语言版本不符、未说明合法性基础列为违规点；原文未给翻译和审核成本
- 提供便捷的拒绝机制，并在实际获取权限或数据前取得有效同意 p.37条件：拒绝要和接受一样容易；cookie和URL追踪都要覆盖
- 在欧盟设立真实运营的数据控制者，或书面指定欧盟代表，并在隐私政策中明确DPO p.37条件：适用于向欧盟用户提供服务但无欧盟营业场所的企业
- 对向中国的跨境传输做评估，说明保障措施和传输目的地，避免只写“可能传输” p.38条件：报告认为SCC不保护中国当局访问场景；需要律师判断补充措施
- 为未成年人设置年龄验证、父母同意和便捷的账户删除机制，不向儿童推送成人广告和有害内容 p.38条件：产品有可能被13岁以下或16岁以下儿童使用时
- 定期检查内部数据管理流程；固件升级加密并验证，不使用硬编码公共IP p.39条件：适用于联网硬件和设备厂商
- 使用AI处理个人数据的，向用户说明是否用于模型训练和自动化决策 p.39条件：产品含AI功能或模型接口时
论证成立
- 九类风险的归纳有案例对应，可作为自查清单。 p.2摘要的九项与p37–39各项一一对应，每项下的违规点都能回到p5–35的案例找到来源
- 儿童数据是最重处罚来源。 p.8DPC 3.45亿欧元、ICO 1270万英镑、AGCM 1000万欧元、FTC诉米哈游，涉及不同监管机构和国家，结论一致
存疑之处
- 数据传至中国“存在极大概率被默认为”会被中国政府访问（p38） p.38来自NOYB投诉的主张，本报告未引用任何监管裁决，且投诉对多家企业使用同一份小米透明度报告作证据（p13–17）
- 股权架构和高管政治身份会引发境外监管怀疑 p.38依据是美国州检察长信函和诉状的提问，没有显示监管据此作出处罚
- 案例反映对中国企业的系统性审查 p.2全部案例来自中国企业，没有非中国企业的对照，无法判断是针对中国还是对所有大型平台一视同仁
- Contec CMS8000存在“隐藏后门” p.31CISA和FDA称后门，Claroty称为不安全设计缺陷，硬编码IP在手册中公开；报告并列两种说法，无定论
反方意见
- 数据传回中国一定违反GDPR第五章若企业采用标准合同条款加补充措施，或将欧盟用户数据留在欧盟境内，监管未必认定违规；报告时点无监管裁决
- 监管处罚主要针对大型平台p28–29的米哈游、p35的速卖通韩国罚款说明游戏和电商也被处罚；但中小企业是否同样被追究，原文没有案例
需要用官方数据核实
| 关键数字或判断 | 核实来源 |
|---|---|
| 各项罚款金额、日期与是否已被上诉或撤销 | 英国ICO、Ofcom；法国CNIL；意大利AGCM；爱尔兰DPC；欧洲数据保护委员会（EDPB）；美国FTC；韩国PIPC官网 |
| NOYB 2025年1月16日六项投诉的处理结果 | 希腊HDPA、意大利Garante、比利时GBA、荷兰AP、奥地利DSB官网及NOYB官网 |
| 意大利对DeepSeek的限制及各国DeepSeek调查的现状 | 意大利Garante、爱尔兰DPC、欧洲数据保护委员会（EDPB） |
| TikTok在美国封禁法案的最终处置 | 美国最高法院、美国司法部、白宫公告 |
关键数据
1270万英镑英国ICO对TikTok的罚款 p.5 官方或公告违反UK GDPR，涉及13岁以下儿童数据 · 2023-04-04 · 英国信息专员办公室（ICO）
处以1270万英镑罚款
多达140万 人ICO估计2020年仍使用TikTok的13岁以下英国儿童 p.5 第三方机构估计 · 2020年 · 英国信息专员办公室（ICO）
仍有多达140万13岁以下儿童使用了该平台
187.5万英镑英国Ofcom对TikTok的罚款 p.6 官方或公告提供不准确的家长控制数据，较原计划削减25% · 2024-07-24 · 英国通信管理局（Ofcom）
Ofcom决定对TikTok处以187.5万英镑的罚款
500万欧元法国CNIL对TikTok的罚款 p.7 官方或公告cookie拒绝机制不便捷 · 2022-12 · 法国国家信息与自由委员会（CNIL）
罚款500万欧元
1000万欧元意大利AGCM对TikTok的罚款 p.7 官方或公告有害内容推荐，影响未成年人 · 2024-03-14 · 意大利竞争管理局（AGCM）
罚款为1000万欧元（1100万美元）
3.45亿欧元爱尔兰DPC对TikTok的罚款 p.8 官方或公告儿童账户默认公开等，并在三个月内整改 · 2023-09 · 爱尔兰数据保护委员会（DPC）
处以3.45亿欧元（3.7亿美元）的罚款，并在三个月内整改
75万欧元荷兰AP对抖音的罚款 p.9 官方或公告隐私声明仅有英文 · 2021-07-22 · 荷兰数据保护局（AP）
处以75万欧元的罚款
17个团体17个欧洲消费者团体对Temu的联合投诉 p.22 第三方机构要求指定为DSA下超大在线平台 · 2024-05-16 · 欧洲消费者组织BEUC
收到17个欧洲消费者利益团体的联合投诉
20天意大利要求DeepSeek提供信息的期限 p.23 官方或公告2025-01-28 · 意大利数据保护局
并要求DeepSeek在20天内提供信息
2000万美元FTC要求米哈游（《原神》）赔偿 p.29 官方或公告违反COPPA，后与米哈游子公司和解 · 2025-01-17 · 美国联邦贸易委员会（FTC）
要求米哈游赔偿2000万美元
约12小时TikTok在美国停止服务后重新上线 p.28 作者测算2025年1月19日关停 · 2025-01 · 报道（原文脚注）
TikTok在关停约12小时后重新上线
30日美国21个州检察长要求Temu提供说明的期限 p.31 官方或公告自函件发出之日起 · 2024-08-15 · 蒙大拿州检察长牵头
函件发出之日起30日内
19亿7,800万韩元韩国PIPC对速卖通的罚款 p.35 官方或公告向境外卖家提供个人信息未告知跨境传输场景 · 2024-07-25 · 韩国个人信息保护委员会（PIPC）
处以19亿7,800万韩元的罚款
企业案例
| 企业 | 市场 · 模式 | 做了什么 | 结果 |
|---|---|---|---|
| TikTok / 抖音 p.5 | 英国 · 其他 | 儿童数据：ICO认定约140万13岁以下儿童使用，罚1270万英镑；Ofcom因数据不准确罚187.5万英镑 | 2023年4月、2024年7月分别罚款 |
| TikTok / 抖音 p.8 | 欧盟/欧洲其他 · 其他 | 法国CNIL罚500万欧元（cookie）；意大利AGCM罚1000万欧元（有害内容）；爱尔兰DPC罚3.45亿欧元（儿童账户默认公开、暗黑模式）；荷兰AP罚75万欧元（隐私声明只有英文） | 四项罚款，欧盟委员会另禁止在官方设备使用TikTok |
| 小米、SHEIN、速卖通、微信、Temu、TikTok p.9 | 欧盟/欧洲其他 · 平台电商 | 2025年1月16日，NOYB向希腊、意大利、比利时、荷兰、奥地利等数据保护机构投诉：数据传至中国违反GDPR第五章 | 请求调查、暂停传输、罚款；报告时点无裁决 |
| Temu p.22 | 欧盟/欧洲其他 · 平台电商 | BEUC联合17个团体要求将Temu指定为超大在线平台；投诉隐私政策缺陷、广泛共享数据、cookie分类和URL追踪 | 2024年5月投诉，无裁决 |
| DeepSeek p.23 | 意大利 · 其他 | 意大利监管索取处理信息；DeepSeek称不在意大利运营，监管随后紧急限制使用；指出隐私政策只有英文、数据存储在中国、未指定欧盟代表 | 2025年1月30日起限制；其他国家陆续调查或禁用 |
| DeepSeek p.26 | 德国 · 其他 | 德国数据保护机构各州协调行动，莱茵兰-普法尔茨州确认开展调查但未正式展开 | 调查阶段 |
| TikTok、Temu、DeepSeek、米哈游 p.28 | 美国 · 其他 | 联邦设备禁用；FTC诉TikTok违反COPPA；封禁法案2025年1月17日被最高法院认定不违宪；阿肯色州诉Temu；21州检察长向Temu发调查函；FTC与米哈游子公司和解 | TikTok关停约12小时后重新上线；米哈游被要求赔偿2000万美元并改进抽卡机制与未成年人保护 |
| 速卖通 p.35 | 韩国 · 平台电商 | 向境外卖家提供个人信息，未告知跨境场景和保障措施 | PIPC罚19亿7,800万韩元并要求整改，2024年7月 |
| TP-Link；Contec CMS8000患者监护仪 p.31 | 美国 · 其他 | CISA称TP-Link路由器漏洞可被控制，多部门调查；CISA和FDA警告监护仪存在隐藏后门，Claroty称为不安全设计缺陷并否认后门 | 调查中；监护仪建议隔离或替换 |
风险与门槛
- 未成年人数据：默认公开、无父母同意、无年龄验证、推送有害内容 p.8
- 数据跨境至中国：无充分性认定、SCC范围有限、被推定中国当局可无限制访问 p.10
- 数据控制者非真实主体或缺欧盟代表 p.23
- 政府设备禁用或封禁，影响品牌和B2G业务（欧盟委员会、加拿大、澳大利亚、美国） p.8
- 联网硬件被点名存在漏洞或后门，引发多部门调查 p.31
预测
原文没有量化预测。
时效提醒
案例截至2025年2月，距今已过一年多。NOYB投诉、DeepSeek调查、TikTok在美国的处置和Temu的DSA地位在2025–2026年都可能有新进展；欧盟AI法案和数据法规也在落地。需回监管官网核对。
读书笔记
这是一份案例清单，价值在于“监管实际抓什么”，而不是法条解读。需要分清三类：已落地处罚（ICO、Ofcom、CNIL、AGCM、DPC、AP、PIPC、FTC与米哈游）、行政措施（禁用、限制使用）、尚无裁决的投诉和调查（NOYB、BEUC、DeepSeek、21州）。p13–17中SHEIN、速卖通、微信、Temu的事实要点都重复引用小米透明度报告的内容，阅读时应理解为NOYB投诉文本的共同模板。目录页码为乱码，正文用第N页计。