加州未满 16 岁社交媒体法查的是你的手机，不是你的位置：AB 1709 与 AB 1856 对 VPN 用户意味着什么

9 月 10 日，州长 Gavin Newsom 一次性签署了十三项儿童安全法案。出现在每条头条里的是 AB 1709，它禁止社交媒体平台向加州任何未满 16 岁的用户提供“成瘾性功能”。几乎没人报道的是 AB 1856，而正是这项法案决定了平台究竟如何得知用户的年龄。

第二个问题正是这个故事与 VPN 用户相关的地方。过去三年，互联网已经习惯了一套固定的顺序：立法机构通过一项年龄核查法律，网站开始要求提供证件或扫描面部，VPN 需求在几小时内激增。2023 年在犹他州、2025 年 6 月在法国、同年 7 月在英国、12 月在澳大利亚，都是如此。所以周四晚上的条件反射可想而知：加州的禁令要来了，该去装个 VPN 了。

加州的制度不是这样运作的。它的年龄核查不要求任何证件，也不关心你身在何处。它问的是手机。下面讲清这两项法案做了什么、年龄信号是如何构建的、为什么 VPN 不会改变其中任何一项输入，以及这部法律对已经在使用 VPN 的人意味着什么。

2026 年 9 月 10 日加州签署了什么？

州长办公室列出了当天在马林县签署的十三项法案，从面向儿童的陪伴聊天机器人规则（SB 1119，即“Adam’s Law”，亚当法案）到禁止在玩具中使用聊天机器人（SB 867）。Newsom 在新闻稿中说：“我们孩子的安全理应处于每一场关于技术的讨论的中心。”

十三项中有两项与本文相关。

AB 1709由长滩的州众议员 Josh Lowenthal 提案，题为“受约束平台：年龄限制：电子安全咨询委员会”。它就是那条未满 16 岁规则，于 8 月 31 日在两院获得通过。

AB 1856由奥克兰的州众议员 Buffy Wicks 提案，题为“年龄验证信号：软件应用程序”。它修订了《数字年龄保障法》（Digital Age Assurance Act），即 Wicks 去年撰写的那部法律（AB 1043，2025 年 10 月 13 日签署），该法把手机操作系统变成了关于用户年龄的权威来源。AB 1709 明确点名依赖该法，这就是为什么两项法案必须放在一起解读。

AB 1709 禁止了什么？

已通过的正式文本中的核心条款很短：“受约束平台不得向未满 16 岁的用户提供成瘾性功能。”

成瘾性功能被定义为任何“旨在最大化用户参与度、可预见地导致强迫性使用的心理剥削性功能”，法案点名了两项：成瘾性信息流和自动播放。州总检察长可以通过规章增加更多。受约束平台是指任何“向用户提供成瘾性功能并以此作为服务重要组成部分”的网站、服务或应用，电商网站和云存储除外。

从表面上看，这并不是对账户的禁令。平台可以继续向未成年人提供不含成瘾性功能的版本。法案的威慑力体现在平台不这样做的时候：无法或不愿提供该版本的平台必须“删除未满 16 岁用户的账户以及与该用户相关的所有个人信息”。曾请求 Newsom 否决该法案的电子前哨基金会称其结果是“对未满 16 岁人群使用社交媒体的事实性禁令”。Newsom 在签署当天的说法不同，他对《洛杉矶时报》表示，“这关乎功能本身。这关乎真正解决问题，解决无休止的滚动和算法。”

处罚落在平台身上。明知违规每名受影响未成年人最高 50,000 美元；过失违规最高 25,000 美元。只有州总检察长或地方检察官可以提起诉讼，法院“应当考虑受约束平台的规模、违规的严重程度和持续时间”及其善意合规的努力。法案还在司法部内设立一个七人组成的电子安全咨询委员会，每年 1 月向立法机构报告。

文本本身没有设定生效日期。根据加州对常规会期通过的法规的默认规则，这意味着 2027 年 1 月 1 日，而这恰好是法案所依赖的年龄信号开始运行的那一天。

平台如何知道用户未满 16 岁？

有一句话把加州与目前生效的其他所有年龄核查法律区分开来：“在向用户提供成瘾性功能之前，受约束平台应当依照《数字年龄保障法》验证用户的年龄。”

不是扫描证件。不是根据自拍估算年龄。不是读取 IP 地址。而是询问操作系统。

州众议院隐私委员会对 AB 1856 的分析阐述了该法已经包含的机制。操作系统提供商（实际上就是 Apple、Google 或 Microsoft）必须在账户设置时提供一个界面，“要求账户持有人标明该设备使用者的出生日期、年龄或两者”。操作系统据此推导出“年龄区间数据”，其定义为“由用户出生日期或年龄推导得出的非个人可识别数据”，分为四档：13 岁以下、13 至 16 岁、16 至 18 岁、18 岁及以上。应用在下载并启动时必须请求该信号，信号“通过合理一致的实时应用程序编程接口”送达。收到信号的开发者“被视为实际知晓该用户的年龄范围”，并且必须将其作为年龄的首要指标，除非掌握了清楚且令人信服的相反信息。

委员会异常坦率地说明了加州为何走这条路。它写道，证件核查要求“用户向可能多达数十个平台传输敏感身份证件，造成严重的隐私和数据安全风险”，而生物识别和行为分析方法“需要大范围的数据收集”，并且“恰恰在最关键的年龄边界上表现不可靠”。设置时申报的年龄区间是折中方案：由设置手机的成年人一次性输入，以范围而非具体日期的形式共享。

AB 1856 收紧了这套管道。根据立法顾问摘要，它删除了把“用户”限定为设备主要使用者儿童的定义；仅在“操作系统运行于某设备且具有账户设置功能”时才适用界面义务；要求信号同时送达应用商店和开发者；并新增了一条此前不存在的禁令：“除非本编或其他适用法律有此要求，任何人不得就特定用户向操作系统提供商或受约束应用商店请求信号。”开源操作系统的分发者被排除在外，此前 GrapheneOS 等项目曾公开表示不会构建该界面。时间表未变：操作系统必须自 2027 年 1 月 1 日起提供信号，在该日期之前设置的设备须在 2027 年 7 月 1 日前获得界面，开发者也必须在同一个 7 月截止日期前开始请求信号。

Apple 和 Google 走在了法规前面。Apple 的 Declared Age Range API 随 iOS 26 于 2025 年 9 月推出，返回“年龄段或年龄类别，取决于所在地区的法律要求”，并附带该年龄的确定方式：自行申报、由监护人申报、经政府证件核对、经支付卡核对。Google 的 Play Age Signals API 返回 0-12、13-15、16-17 或 18+，并附带从“自行申报”到“政府证件加自拍”的来源等级，Google 已于 2026 年 7 月 29 日宣布，将向全球所有 Play 开发者开放该接口。

还有一条条款对后文很重要。如果平台“无法验证用户的年龄”，AB 1709 会把它引向 2024 年《保护我们的孩子免受社交媒体成瘾法》（SB 976）的年龄判定方法，该法的年龄保障条款同样于 2027 年 1 月 1 日施行，其方法由州总检察长通过规章制定。没有操作系统信号的桌面浏览器会话就是最明显的例子。这条兜底路径是证件或估算唯一可能进入画面的地方，而它究竟会要求什么，目前尚未写明。

犹他州问你在哪里。加州问你多大。

VPN 进入年龄验证话题，是因为另一种类型的法律。犹他州的 SB 73，我们在“9 月 3 日生效”的标题被证明有误时曾作报道，是建立在位置之上的。其“视为所在地”条款规定，如果个人“实际位于该州境内，则视为其从该州访问网站，无论该个人是否使用虚拟专用网络、代理服务器或其他手段来掩饰或谎报其地理位置……”。网站随后必须对该访问者进行年龄验证。整套规则都依赖于知道你身在何处。而这正是 VPN 唯一会改变的东西，这也是为什么犹他州的拟议规则现在有一节专门讨论“地理位置混淆”，以及为什么 Aylo 提起了诉讼。

加州的两项法案没有任何类似条款。AB 1709 没有提及位置、IP 地址或 VPN。AB 1856 也没有。美国法律中现在有三种截然不同的模式，它们对待 VPN 的方式大不相同：

值得记住的一句话：年龄信号是关于谁设置了这部手机的陈述。VPN 是关于这部手机看起来身在何处的陈述。两者永远不会相交。

VPN 能绕过加州的未满 16 岁规则吗？

不能，而且它本来就不是为此而设计的。

VPN 做两件事。它把网站和应用看到的 IP 地址替换为 VPN 服务器的地址，因此对方看到的是巴黎或法兰克福，而不是你家里的连接。它还对你的设备与该服务器之间的所有数据进行加密，因此咖啡馆的路由器和你的互联网服务提供商看到的是一条加密隧道，而不是你的流量。两者都很有用。但它们都触及不到设备上 Apple 或 Google 账户所存储的年龄区间，也触及不到把该区间交给应用的设备端 API。一个由父母在设置时输入 2011 年出生日期的十五岁少年，无论是在洛杉矶的 Wi-Fi 网络上，还是在阿姆斯特丹的 VPN 服务器上，携带的都是 13 至 16 岁这个区间。

位置确实会在一个地方介入，值得说清楚是在哪里。AB 1709 保护的是加州的用户，其文本并未规定平台如何判定某位用户属于加州。实践中，厂商把各州专属的行为绑定到了账户上，而不是当下所用的网络：Apple 自 2026 年 1 月 1 日起把德克萨斯州的要求适用于“德克萨斯州的新 Apple 账户”，Google 则适用于 2026 年 5 月 28 日之后创建的德克萨斯州账户。一个在加州以未成年人出生日期设置的账户，无论手机从哪里联网，都会被当作加州未成年人的账户处理。

有两点需要说明，因为上面这个整齐的版本把它们藏起来了。兜底路径是存在的，在州总检察长写出 SB 976 的规章之前，没人能说清一个收不到信号的平台会要求什么。而且上表中的每一种模式，包括加州的模式，都取决于设置时输入内容的真实性：一台以成年人出生日期配置的设备携带的是成年人的年龄区间，委员会分析也承认，仅仅要求提供出生日期虽然不会给任何人带来负担，却也无法核实一个不愿如实回答的未成年人。加州押的是：在设置时输入日期的人是家长，而不是孩子。

上表中没有任何一种模式会处罚用户。AB 1709 和 AB 1856 中没有任何条款因为一个人出于任何目的使用 VPN 而对其罚款。犹他州的法律也是如此，尽管标题说得吓人，而在这里同样如此。我们的 2026 年 VPN 合法性指南介绍了答案与此不同的少数几个国家。

年龄核查落地时，英国、澳大利亚和法国发生了什么？

加州来得晚。先行的三个司法管辖区各自测试了不同的设计，而且各自都产生了数据。

英国选择了网站模式。自 2025 年 7 月 25 日起，《在线安全法》（Online Safety Act）要求托管成人内容及其他年龄受限内容的网站在站内执行“高效年龄保障”，即照片证件比对、面部年龄估算或类似手段。Top10VPN 的需求追踪器记录到，英国 VPN 需求在 7 月 25 日比此前 28 天的平均值高出 1,327%，7 月 26 日高出 1,712%，7 月 27 日高出 1,987%。一年后，Ofcom 首份关于年龄保障的法定报告于 2026 年 7 月中旬发布，统计到 2025 年下半年在 32 项服务的样本中进行了超过 6,900 万次年龄核查，是此前六个月的 23 倍，并称遇到高效核查的儿童比例在 2025 年 7 月至 2026 年 1 月间从 25% 上升到 43%。核查有效；核查也把人推向 VPN。两者都是事实，而英国的 VPN 市场自那以后已经不同。

澳大利亚选择了不规定具体方法的平台义务。其未满 16 岁的最低年龄规定于 2025 年 12 月 10 日生效，要求平台采取“合理措施”把未满 16 岁者挡在门外，罚款最高 4,950 万澳元，对儿童或家长没有处罚。2026 年 1 月 16 日，eSafety 报告称平台已移除 470 万个未满 16 岁账户的访问权限，统计截至 12 月中旬；Meta 表示，仅其自身就已移除超过 750,000 个 Facebook 和 Instagram 账户的访问权限，统计截至 2026 年 6 月 30 日。Top10VPN 记录到 12 月 7 日需求激增 103%。据《洛杉矶时报》报道，Newsom 对澳大利亚做法的评价是，年轻人“都在想办法钻那套系统的空子”，这正是针对功能而非账户的理由。

法国选择了未满 15 岁禁令，而其最高法院将其推翻。2026 年 8 月 14 日，宪法委员会的第 2026-911 DC 号裁决否决了该法第 1 条，该条原本将自 9 月 1 日起禁止未满 15 岁者使用社交网络。法院认定，该禁令是对表达自由的不成比例限制，并且侵犯隐私，因为该法“本身就意味着，任何人，即使是成年人，都必须证明自己的年龄”，而立法机构却未设定这样做的条件和限制。政府现在的目标是在 2027 年春季之前重写文本。法国此前已经见识过网站层面的核查对 VPN 需求的影响：Top10VPN 测得 2025 年 6 月 5 日需求比正常水平激增 570%，当时成人网站开始实施年龄验证。EFF 在加州签署当天发布的声明中提到了法国的这一裁决。

这一模式在三者身上都成立。VPN 激增紧随那些让网站核查证件的法律而来。加州的设计避开了证件，这正是法国法院提出的同一反对理由；它也避开了位置，而位置正是让 VPN 在犹他州变得相关的因素。这是否也能避开激增，是 2027 年 1 月才能回答的问题，而不是 2026 年 9 月。

这一切何时开始？

• 2026 年 9 月 10 日：AB 1709 和 AB 1856 签署。
• 2026 年 10 月 22 日：犹他州对 Aylo 的不执行期结束，除非法官先就初步禁令作出裁决。
• 2027 年 1 月 1 日：AB 1709 生效。操作系统提供商必须依照《数字年龄保障法》开始提供年龄信号。SB 976 的年龄保障条款开始施行。
• 2027 年 7 月 1 日：2027 年之前设置的设备须具备年龄界面的截止日，也是自 2026 年 1 月以来更新过的应用的开发者必须开始请求信号的截止日。
• 2027 年春季：法国政府重写未满 15 岁法律的目标时间。
• 开庭日期：尚无。NetChoice 对签署的回应，“州政府不能仅仅把言论描述为成瘾性的，然后就声称有权监管对其的访问”，读起来像一份诉状草稿。第九巡回上诉法院于 2025 年 9 月让 SB 976 的大部分条款得以保留；德克萨斯州的应用商店法一路挺到了最高法院拒绝介入。可以预期会有诉讼，也可以预期上述生效日期会是诉讼首先瞄准的目标。

如果你在加州使用 VPN，这意味着什么

对成年人来说，什么都不会改变。你的账户携带的是成年人的年龄区间；应用从 1 月起会读取它，并像今天一样对待你。你的 VPN 会继续做你购买它的目的：让你的 IP 地址不出现在每个网站的日志里，在酒店和机场网络上加密你的流量，并让你在旅行时能访问家里的服务。如果你对这些还不熟悉，我们的美国 VPN 使用指南是合适的起点；Le VPN 的套餐可同时覆盖 10 台设备，并提供 30 天退款保证。

如果你是家长，法律对你孩子的保护现在取决于一项输入：你在设置他们的手机时键入的出生日期。输入你自己的，设备就会告诉每个应用它属于一名成年人。输入他们的，年龄区间就会跟着手机走。这一个字段，而不是任何应用的设置页面，才是加州规则的起点。值得在 1 月之前更全面地了解一下儿童设备应该如何设置。