你的耳机注意到你分了神，提醒你休息一下。无害，直到同一个信号暴露出你焦虑、冲动，或正滑向抑郁——而这份读数归了别人。法律才刚刚开始追问，那个人能是谁。
几十年来，脑机接口研究待在医院里，健康隐私规则本就适用。消费级 EEG 头环、冥想手环、专注追踪耳机的爆发改变了等式：如今脑信号在医学之外被采集，往往伴着没人读的条款。一批拼凑起来的新法，是第一次认真的补课。
科罗拉多是美国第一个保护神经数据的州，2024 年 4 月签署 SB 24-159，2024 年 8 月 7 日生效。加州 2024 年 9 月修订消费者隐私法（州长 Newsom 签署、参议员 Becker 发起），把神经数据纳入保护。智利早在 2021 年就把神经权利写进宪法（第 21.383 号法），2023 年最高法院裁定一家神经科技公司删除用户脑数据。欧盟早已在 GDPR 下把神经信号列为特殊类别。美国联邦的「Mind」法案 2025 年提出——只是提案，尚未生效。
什么算「神经数据」？多数新法定义为：通过测量中枢或周边神经系统活动、可由设备处理的信息。这覆盖头环的原始 EEG，在更广的框架下也覆盖植入阵列的输出。更难的问题是原始信号之后发生了什么。一个专注分数、一个压力估计、一个「精神指令」标签——这些都是从脑迹推断出来的。科罗拉多 wording 触及「由设备处理或借助设备处理」的数据，很宽；加州定义明确排除「从非神经信息推断」的东西，收窄了范围。两者都还没完全定下保护延伸到多下游。
科罗拉多写的第一条规则，由州长 Polis 2024 年 4 月 17 日签署、8 月 7 日生效，修订科州隐私法，把「生物数据」和「神经数据」加入敏感数据定义。关键是企业用神经数据做识别前必须获 opt-in 同意，消费者获得访问、更正和删除权。科罗拉多的动作刻意务实：不新设机构，而是扩展既有隐私法，这使它成为美国第一个可执行、已生效、专门点名脑数据的规则。
加州跟进而笔触更窄。它对加州消费者隐私法的修订，把神经数据并入门禁级「敏感个人信息」，与指纹、DNA、面部图像并列，给消费者知情、删除和限制共享权，采用 opt-out 模式而非科州的识别前 opt-in。它的定义——「非由非神经信息推断」的神经数据——更紧，隐私学者已警示这可能给下游推断留漏洞。两州露出同一种本能：把心智的数据当生物特征，而非当生日。
智利在原则上最早到位。2021 年 10 月第 21.383 号法修宪，要求对「脑活动」及衍生信息给予特殊保护。2023 年最高法院案中，法院命令美国消费神经科技公司 Emotiv 删除其 Insight 头环采集的一名智利用户的脑活动数据，认定存储侵犯精神隐私与完整权。2024 年智利卫生当局另把同一款消费头环划在普通医疗器械监管之外，暴露出宪法雄心与日常执法间的缝隙。
这为什么超出美国？欧盟已在 GDPR 下把神经信号列为健康或生物数据，适用最严默认保护。美国联邦「Mind」法案 2025 年提出，要让联邦贸易委员会担起脑数据监督角色，仍只是提案、未生效。其他若干州也浮出类似法案，结果今天是一张碎片化地图：同一款头环，因买家邮编不同而受不同监管。
普通人现在能做什么
1. 读脑穿戴隐私政策：配对 EEG 头环或冥想手环前，查它是否把原始神经数据存在云端、你能否删除。
2. 优先选设备端处理，除非清楚取舍，否则关掉脑信号的云同步。
3. 留意你所在辖区：若你不住在科州或加州，去关注或推动待议的神经数据法案——在法律另有说法之前，默认你的脑波数据和任何 App 遥测一样对待。
诚实的局限
这些法律覆盖采集与同意，没覆盖更难的问题——企业能推断什么、推断得准不准。多数对「专注分数」算不算受保护神经数据保持沉默，也没有哪条强制原始脑信号留在设备端。执法稀薄：州总检察长是主要后盾，小型外国 App 开发者可能在美国管辖之外。这些法不阻止用户在晦涩条款里放弃权利——它们抬高了地板，没废除小字。