第一部分：法案解读
一、法案概述
•法案名称：《年龄验证信号法案》（Age verification signals: software applications and online services）
•法案编号：AB 1043
•生效时间：将于 2027年1月1日 正式实施
•核心目标：建立一套系统化的数字年龄信号传递机制，帮助应用程序开发者更便捷、统一地识别用户年龄范围，从而更好地履行对未成年人的现有法律保护义务（例如《加州适龄设计规范法》）。
•基本逻辑：由操作系统提供商在设备账户设置时收集用户的年龄信息，然后通过标准化的技术接口（API）向应用程序开发者提供该用户的年龄范围“信号”。开发者必须将此信号作为判断用户年龄的主要依据。
二、责任方与具体要求
以下是法案中明确规定的各方责任与义务。
操作系统提供商
哪些属于“操作系统提供商”？
指开发、授权或控制计算机、移动设备及其他通用计算设备上操作系统的个人或实体，例如苹果 iOS、谷歌 Android、微软 Windows 等。
必须履行的义务：
1. 新设备账户设置（自2027年1月1日起）：
（1）在账户设置过程中，提供易于访问的界面；
（2）要求账户持有人（18岁以上成人或未成年人的父母/法定监护人）提供设备用户的出生日期、年龄或两者；
（3）目的是为应用程序提供用户的年龄范围信号。
2. 现有设备账户更新（2027年7月1日前）：
• 对于2027年1月1日前已完成设置的设备账户，需在2027年7月1日前提供相同界面，供账户持有人补充年龄信息。
3. 提供年龄信号：
（1）必须通过合理一致、实时的API，向提出请求的开发者提供年龄信号；
（2） 信号至少需指明用户属于以下哪个年龄段：
• 未满13岁；
• 年满13岁但未满16岁；
• 年满16岁但未满18岁
• 年满18岁
4. 数据最小化与使用限制：
（1）只能分享符合法案要求的最低必要信息；
（2）不得将信号分享给第三方用于非法案规定目的；
（3） 不得以反竞争方式使用在合规过程中收集的第三方数据（例如，用于与开发者竞争或优待自身服务）。
应用程序开发者
哪些属于“开发者”？
指拥有、维护或控制应用程序的个人或实体。
必须履行的义务：
1. 请求信号：
• 在应用被下载并首次启动时，必须向操作系统提供商或覆盖应用商店请求该用户的年龄信号。
2. 处理与使用信号：
（1）视为实际知情：一旦收到信号，开发者即被视为对用户年龄范围具有“实际知情”，即使其故意无视该信号。
（2）首要依据：必须将信号作为判断用户年龄的主要指标。
（3）处理内部信息冲突：如果开发者内部拥有清晰且有说服力的信息表明用户年龄与信号不符，应优先采用内部信息。
（4）禁止故意无视：不得故意无视内部已知的、与信号不符的年龄信息。
（5）合规使用：必须依据该信号遵守相关未成年人保护法律。
（6）数据最小化与使用限制：
a) 不得向操作系统或应用商店请求超出最低必要限度的信息。
b) 不得将信号分享给第三方用于非法案规定目的。
覆盖应用商店
哪些属于“覆盖应用商店”？
指向用户分发并提供第三方应用下载的公开平台，例如苹果 App Store、谷歌 Google Play Store。不包括仅在主应用内运行的插件或扩展平台。
必须履行的义务：
•法案主要约束操作系统提供商和开发者，但应用商店在特定情况下（如为2027年前下载的应用）需配合提供年龄信号。
•禁止行为： 不得以反竞争方式使用在合规过程中收集的第三方数据（与对操作系统提供商的要求一致）。
三、关键时间点
1. 2027年1月1日：法案生效。
• 新设备的操作系统需开始提供年龄设置界面。
• 开发者必须在新下载和启动的应用中请求年龄信号。
2. 2027年7月1日：合规过渡期结束。
• 操作系统提供商必须为所有在2027年1月1日前设置的设备账户提供年龄信息补录界面。
• 对于2027年1月1日前下载、且在2026年1月1日后更新过的应用，开发者必须在此日期前向应用商店请求年龄信号。
四、处罚与责任
1. 执行机构：加州总检察长
2. 处罚形式：民事诉讼，可寻求禁令和民事罚款
3. 罚款金额：
• 每名受影响的儿童，每次过失违规最高2,500美元
• 每名受影响的儿童，每次故意违规最高7,500美元
4. 免责情形：
• 操作系统提供商或应用商店若善意努力合规，并考虑到现有技术及合理限制或故障，则不对错误的年龄信号或开发者基于该信号的行为负责。
• 不对非设备指定“用户”使用设备或应用所产生的行为负责。
第二部分：一些思考
与传统上由应用开发者承担年龄验证义务的模式不同，AB 1043 法案构建了一个由三方协作的年龄验证框架。其中：
•操作系统提供商是信息的收集者和分发者，负责搭建年龄信息入口并通过API提供标准化信号；
•应用开发者是信息的使用者，负责在应用启动时请求该信号，并以此为主要依据履行对未成年用户的法定义务；
•覆盖应用商店是辅助渠道，并在反竞争行为方面受到约束。
这一机制有望显著减轻应用开发者的合规负担，并提高年龄验证的执行效率，不失为一个值得肯定的尝试方向。但在研读法案的过程中，我也对其落地执行可能面临的挑战产生了一些思考。这些挑战不仅涉及技术实现，更触及法律管辖权、商业模式和用户习惯等深层次问题。
以下是我的一些初步思考，欢迎大家共同探讨：
问题一：安卓系统的开放生态是否会成为监管漏洞？
安卓系统的开放性是否会给法案的监管效果带来挑战？与iOS的封闭环境不同，安卓允许用户通过多种渠道获取应用，例如直接在浏览器中下载APK文件。这种“侧载”行为可能完全绕开官方应用商店的年龄验证机制。
尽管法案试图通过以下方式弥补这一漏洞：
1.间接约束开发者：法案规定，开发者一旦收到信号即被视为“实际知晓”用户年龄。因此，即使应用通过侧载分发，开发者仍有义务在所有访问点实施相同的年龄保护措施。但如果他们从未收到信号，追责将变得困难。
2.依赖其他法律：加州可能借助《加州适龄设计规范法》等其他法律，要求开发者无论通过何种渠道分发应用，都必须采取合理的年龄评估措施。
3.操作系统层面强制执行：理论上，谷歌可以在安卓系统层面建立全局年龄信号API，要求所有应用（无论来自哪个商店）在请求时都必须通过它。但这在技术和隐私层面较为复杂，且法案未作强制要求。
问题二：跨境执法是否存在模糊地带？
像苹果、谷歌这类在加州有实体业务的公司，显然受该法案管辖。但如果一部在中国购买的华为手机被带到加州使用，华为是否也应遵守该法律？
从法理角度看，加州或许可以基于“最低联系原则”主张管辖权：只要企业的产品在加州被使用，就可能构成管辖连接点。华为若想进入加州市场，可能需要为此修改系统。
然而现实是，加州司法部长很难对在加州无实质业务的外国公司进行有效执法。如果用户从中国带入华为手机，加州政府很难直接强制执行。但该手机上的应用商店和应用程序（如Google Play、Instagram、TikTok）若受加州管辖，则仍需遵守法律。它们需向华为系统请求信号，如果华为不提供，这些应用的开发者就可能面临“未能获取年龄信号”的风险。
商业现实可能是：大型科技公司为进入加州市场，通常会选择遵守其法律规定并相应调整全球产品。但对于一些外国公司，这可能意味着选择退出加州市场。管辖权虽模糊，但市场力量很可能迫使主要科技厂商遵守；对于纯粹的外国本土厂商，实际执行仍十分困难。
问题三：法案是否考虑到共享设备的现实？
法案似乎基于“一设备一用户”的理想假设，忽略了家庭设备共享的普遍情况。例如，家里的iPad可能在设置时登记为成人信息，但实际使用时却常在父母与孩子之间流转。
移动设备上的多用户配置功能至今体验不佳：快速切换用户涉及复杂的数据隔离和安全问题，且需要应用开发者重新设计权限管理系统。将识别设备“主要用户”的责任完全推给“账户持有人”，更像是回避问题的本质：大多数家长既缺乏技术知识正确配置多用户环境，也没有耐心处理共享设备带来的麻烦。
问题四：是否兼顾了用户体验与安全？
精准的年龄验证需要频繁操作，这与用户对便捷性的期望直接冲突。
设想中的“儿童模式”切换，在技术上需要较高的系统资源支持，在操作上可能因流程复杂而被家长弃用，在教育上更需要大规模用户教育才能培养新习惯。
集中化的年龄验证系统可能创造新的安全风险：年龄信息数据库成为黑客目标，统一API接口可能被恶意应用滥用，年龄信息与其他个人数据的关联风险也随之增加。
问题五：执行机制是否完善？
目前法案仅授权州检察长提起诉讼，可能导致执法资源不足。缺乏私人诉讼权，也削弱了社会监督的作用。
在合规成本分摊方面，大型科技公司可将成本分摊至全球业务，而中小开发者却可能因合规成本丧失竞争力。尤其值得警惕的是，法案中“善意努力”条款虽为企业提供责任庇护，但因缺乏明确界定，可能成为规避责任的漏洞。
结语
以上是我对《加州年龄验证信号法案》的初步解读与思考。我对将年龄验证机制从应用开发者上移至操作系统/应用商店的做法总体还是持支持态度的，这是一个值得尝试的方向。当然，这仅是一部州法，其实际执行效果和具体影响，还需待2027年正式实施后才能看得更清。
END
欢迎关注本公众号并点赞 + 收藏 + 转发此文发给同行～ 你们的支持就是我挖更多合规干货的动力，笔芯！
【往期好文】：
（1）GDPR 101系列：
GDPR 101 系列｜第六讲：企业需要设置数据保护官（DPO）吗？
GDPR 101系列｜第四讲：数据处理角色判断指南（基于 EDPB 指南的合规实操解析）
GDPR 101 系列｜第一讲：地域适用性指南——你的业务到底要不要遵守 GDPR？
（2）TikTok系列：
TikTok欧盟困境：DPC问倒TikTok的究竟是什么？（附决定书原文核心争议学习视频）
194页TikTok判决书太厚？看完这3个视频就能掌握核心内容！01: TIA评估了啥？
TIA、SCC 都做了，欧盟仍拒认？TikTok 案的核心启示
（3）AI系列：
护童之盾还是敛财利刃？——对Youtube刚上新的AI年龄验证机制的反思
（4）科普系列：