加州《删除法案》数据经纪人删除平台 DROP 进入100天倒计时:中资数据驱动型企业的三大合规关卡与CPPA执法风险

距离 2026 年 8 月 1 日加州隐私保护局(CPPA)正式上线全国首个数据经纪人统一删除平台 DROP(Data Broker Delete Request and Opt-Out Platform)仅剩约百日。该平台依据 2023 年加州《删除法案》(SB 362,加州民法典 §§1798.99.80–1798.99.89)建立,将赋予加州消费者一键向所有已注册数据经纪人同时发出删除请求的权利,重塑美国数据经纪行业的合规格局。在美开展广告投放、数据分析、电商画像、SaaS、SDK 嵌入等业务的中资企业,须在窗口期内完成合规体检。

一、立法背景:从 CCPA/CPRA 到《删除法案》的执法升级

加州 2018 年《消费者隐私法》(CCPA)及 2020 年《加州隐私权法》(CPRA)虽确立了删除权(Right to Delete),但要求消费者必须分别向每一家持有其数据的企业逐一行权。对于"未与消费者建立直接关系"的数据经纪人(data broker),消费者实际上根本不知道哪家企业掌握了自己的信息,删除权形同虚设。SB 362 正是为补足这一执行漏洞而制定,其核心创新有三:

统一登记——所有符合"数据经纪人"定义的实体须每年向 CPPA 注册并缴费,并在注册中披露所收集的敏感个人信息(SPI)类别、是否处理未成年人数据等。统一删除入口(DROP)——CPPA 须于 2026 年 8 月 1 日前建成消费者一站式删除请求平台。定期审计——自 2028 年 1 月 1 日起,所有数据经纪人每三年须接受一次独立第三方合规审计并向 CPPA 提交。

二、关键时点:DROP 上线倒计时

SB 362 的核心合规节点如下:

第一,2024 年 1 月 31 日起,每年 1 月 31 日为数据经纪人年度注册截止日;逾期注册每天罚款 200 美元。第二,2026 年 1 月 1 日起,注册披露内容扩展,须明确标注是否收集精准地理位置、生殖健康数据、未成年人数据等高敏类别。第三,2026 年 8 月 1 日,CPPA 正式上线 DROP 平台,加州消费者通过 CPPA 官网即可一次性向所有数据经纪人发起删除请求。第四,DROP 上线后,数据经纪人须至少每 45 天访问一次平台,并在收到请求后 45 天内完成删除及对其下游受让方的传达(加州民法典 §1798.99.86(c))。

三、数据经纪人定义与"豁免边界"

SB 362 对"数据经纪人"的定义为:"明知收集并出售消费者个人信息、且与该消费者无直接关系的商业实体"《公平信用报告法》(FCRA)下的消费者报告机构、《格雷姆–里奇–布赖利法》(GLBA)下的金融机构以及 HIPAA 覆盖实体在受到联邦法约束的部分活动可获豁免。但 CPPA 已多次强调:"仅一部分业务受联邦法监管不等于整个公司获得豁免"。中资企业最易被卷入的红线情形包括:通过 SDK、cookie、设备 ID 跨站收集的用户画像数据销售或"共享"(CPRA 项下"共享"等同销售)至第三方广告/分析平台;电商平台将注册用户行为数据外售;以及 B2B 数据增强、潜客挖掘服务。

四、CPPA 执法权与处罚机制

CPPA 对违反《删除法案》的数据经纪人享有独立行政处罚权。逾期注册按每日 200 美元累计;注册披露不实或不完整可处以行政罚款;未按 45 天周期处理 DROP 删除请求,每条违规均可独立计罚;三年期独立审计未提交则可触发额外行政罚款及合规令(compliance order)。2024–2025 年 CPPA 已对多家未注册或迟延注册数据经纪人开展执法并公开点名,可以预见,DROP 上线之日即为执法升级之时

五、对中资企业的五大合规启示

第一,合规体检:识别"是否构成数据经纪人"。重点审视面向美国用户的 DSP/SSP、CDP(客户数据平台)、归因分析、第三方 SDK 嵌入、跨境数据"分销"等业务模式;不要轻信"我们 B2B 不算"的内部判断,CPPA 多次确认 B2B 数据流亦可能落入定义。第二,建立 DROP 对接流程:如确需注册,应在 8 月 1 日前完成 CPPA 账户搭建、API 对接、内部 45 天删除工单流程及向下游传达机制(数据处理协议须新增"传达删除请求"条款)。第三,同步更新隐私政策与 DPA:明确披露 SPI 类别、未成年人数据处理、跨境传输路径,并将"加州删除请求"纳入既有的DSAR(数据主体访问请求)工单系统,避免合规孤岛。第四,评估"豁免依赖度":若拟主张 FCRA/GLBA/HIPAA 豁免,应留存内部法律意见书、数据流图与处理活动记录(ROPA),以备 CPPA 调查。第五,梳理跨境数据出口风险:DROP 删除请求一经发起,须层层穿透至中国境内总部及第三方处理者;建议提前与境内信息安全/法务团队及云服务基础设施方达成"45 天可执行"的删除 SLA,并与中国《个人信息保护法》(PIPL)下的删除权请求工单流程实现统一管理。

六、趋势展望

美国联邦层面虽多年未通过统一隐私立法,但加州正以《删除法案》+ DROP 模式向其他州输出范本。德州 TDPSA、康涅狄格 CTDPA、犹他 UCPA 等已在研究类似的"中央化"删除入口。对中资数据驱动型企业而言,DROP 不仅是加州合规节点,更是未来联邦/多州联动执法的演练战场。建议在 2026 年 Q2 内完成数据资产盘点、合规架构调整与 SDK 供应链审计,方能在 8 月 1 日 DROP 启动后游刃有余。

Previous
Previous

联邦巡回法院4月29日Federal Express v. Qualcomm(No. 2024-1236)裁决:PTAB"真实利益方"认定不可上诉、显而易见性裁决因"未考虑回应"被撤销——中国企业IPR攻防战略五大启示

Next
Next

苹果反败为胜:2026年4月29日德州东区联邦地区法院陪审团驳回Optis Wireless 4G LTE全部侵权指控——从$506M到$300M再到"零美元","判决书表格捆绑"程序缺陷如何改写SEP/FRAND诉讼游戏规则与中国手机出海企业五大警示