当国家对支付的监管失去牵引力

您的隐私权不应取决于您的邮政编码。但目前，它们确实如此。

在缺乏联邦消费者隐私框架的情况下，消费者和企业都在为此付出代价。

消费者因居住地不同而获得不同的隐私保护，而在全国运营的组织必须应对日益碎片化的规则网络，这些规则管辖支付数据的收集、共享、存储和使用方式。

迄今为止，已有超过20个州颁布了全面的消费者隐私法，全国范围内还有其他立法正在审议中。这些法律代表了有意义的进步，让消费者对其个人信息有了更大的可见性和控制权。

但它们是有代价的。

支付并非按州运作。商户、支付处理商、金融机构和技术提供商通常为全国各地的客户提供支持。随着各州隐私法持续分化，组织必须在旨在全国运营的支付系统上叠加日益复杂的合规义务。

这里有一个令人不安的事实：合规不等于保护。商户可以满足每部州隐私法中的每项要求，但仍然可能因一次泄露而暴露数百万个卡号。

与此同时，真正降低风险的做法，如数据最小化、令牌化和加密，在每个司法管辖区都是相同的。没有州界能改变什么使支付数据安全。然而，组织却在花费安全预算来证明合规，而不是消除风险。

国家隐私框架应建立一致的消费者权利，同时对支付安全采取基于结果的方法。它不应通过组织满足的要求数量来衡量合规性，而应鼓励可证明的消费者风险降低。

这已有先例：许多州的泄露通知法对泄露时已加密的数据提供安全港。这些法律认识到，当暴露的数据已被贬值并变得不可读或不可用时，泄露的后果根本不同。联邦框架应将这一逻辑广泛扩展到支付数据。

这意味着为组织创造监管激励，使其贬值敏感支付数据，即使数据被泄露，对攻击者来说也远不那么有用。这种方法能更好地使监管与其最终目标——保护消费者——保持一致。

随着人工智能嵌入支付生态系统的各个方面，风险只会越来越大。隐私法一直关注数据如何被收集、共享和存储；AI将问题扩展到数据如何被分析、组合和采取行动。

各州各自为政的拼凑式做法已经不适合国家支付系统。它更不可能跟上AI的步伐。

支付行业已经建立了能够跨州安全转移资金的国家网络。现在，我们需要一个隐私保护随数据流动的国家框架。