近日，两名美国消费者在加州北区联邦法院对谷歌提起集体诉讼，指控谷歌通过广告身份同步机制，把美国用户的持久标识符、IP地址和cookie数据实时传输给百度和Temu的服务器。百度6月刚被美国国防部列入所谓的在美国运营的中国军事公司清单（CMC清单），这一认定在诉状中竟然被反复用作指控谷歌的证据。
谷歌与广告合作方之间的这类数据传输已运行多年，诉状指控的事实并不新鲜。诉状点名的两个同步端点中，百度侧即其海外广告平台MediaGo的服务器。两名原告均访问过rxlist.com等医药网站，诉状主张，含药品名和病症名的页面网址进入了谷歌的广告竞价请求，标识符和IP地址则同步传给了百度和Temu。
原告能直接观察到的只有浏览器端发出的请求，谷歌服务器与百度、Temu服务器之间还传了什么，诉状自称是推测，须待诉讼进入证据调取阶段、原告拿到谷歌内部材料后才能查实。
针对标识符和IP地址的传输，美国司法部2025年4月施行了批量敏感数据规则（BSD规则），依据美国时任总统拜登2024年签署的第14117号行政令制定，禁止美国主体向中国等"受关注国家"的受管辖主体批量传输美国人个人数据。
该规则附带的示例中有这样一种情形，美国广告公司在12个月内向受关注国家的广告交易平台提供超过10万名美国人的IP地址和广告标识符，构成被禁止的数据经纪交易。本案诉状指控的，正是谷歌向百度、Temu的广告平台传输标识符和IP地址。该规则由美国司法部执行，不创设私人起诉权。
原告援引的是1986年的《电子通信隐私法》。该法附带私人诉权，法定赔偿为每日100美元累计与1万美元之间取高者，但设有当事方例外，通信的一方截取自己参与的通信原则上不违法，网站追踪类诉讼中不少被告以此抗辩。例外自带一条反例外，截取时怀有实施独立犯罪目的的，不受保护。
原告主张，谷歌的身份同步构成批量敏感数据规则禁止的数据经纪交易，谷歌截取通信时即怀有这一独立犯罪目的。该规则依托《国际紧急经济权力法》（IEEPA）制定，故意违反可被追究刑事责任，犯罪定性由此而来。
美国国防部6月8日将百度列入CMC清单，7月20日提交的这份诉状多处引用了这一认定。原告索赔须证明谷歌明知百度、Temu的性质仍向其传输数据，一家外国公司危险与否，原告本来要自己收集证据从头论证，如今美国国防部的认定在前，原告直接引用即可。
针对Temu，诉状引用了肯塔基、得克萨斯等六个州总检察长的起诉、美国议员致总统的信函和智库报告。美国政府各部门此前的表态，在这份诉状里成了指控谷歌的证据。
结语
依据2021财年国防授权法第1260H条，美国国防部每年更新CMC清单，列名认定本身不冻结资产，不禁止商业交易。条文规定的后果长期集中在国防采购领域，且分阶段生效。
近两年立法给清单接上了新的法定后果。《2025财年国防授权法案》禁止被列企业聘请游说者，游说禁令覆盖全部CMC清单企业，阿里巴巴起诉美国国防部的案件中，这一条被作为列名损害的一部分提出。搭上《2026财年国防授权法案》便车生效的《生物安全法案》把CMC清单列名设为"受关注生物技术公司"的认定途径之一，列名企业经美国行政管理和预算局认定涉及生物技术业务即触发联邦合同和资助限制，首批认定名单须于今年12月18日前公布，药明康德的处境与此直接相关。
本案是另一种情形，列名认定被写进了一份与国防采购无关的隐私诉状，用作证明谷歌主观明知的证据。百度6月8日列名，7月20日诉状即引用了这一认定。可以观察到的一个趋势是清单的法定后果在逐项加码，法律之外的影响也越来越出乎意料，本案提供了一个新的参照。
转载或者基于此文章进行AI重构，最好能写明出处。