倒计时 66 天:加州《删除法》DROP 平台 8·1 强制对接——CPPA "执法突击队" $200/日 + $45,000 单案罚款已落地,中资数据驱动企业五项立即合规动作
一、$200 / 日的倒计时已经开始
距离 2026 年 8 月 1 日仅剩 66 天。这一天起,所有在加州登记的"数据掮客"(data broker)必须每 45 日登录一次加州隐私保护局(California Privacy Protection Agency, "CPPA" / CalPrivacy)运营的 DROP 平台(Delete Request and Opt-out Platform,依据 SB 362, Chapter 709, Statutes of 2023——即《删除法》, Civ. Code §§ 1798.99.80–1798.99.89),下载所有指向自己的消费者删除请求,并在 45 日内逐条处理、90 日内完成永久删除。
更早一点的 2026 年 1 月 31 日,是"数据掮客"年度登记的最后一天;自此向后,凡未登记者每延误一日即累计 $200 罚款,外加调查成本——这一基数在加州过去的执法实践中常常带出五位数到六位数的总罚单。CPPA 已不再做"警告函"式宽限,而是直接祭出"Data Broker Enforcement Strike Force"(数据掮客执法突击队)连续启动罚款。
二、法规与监管者背景
《删除法》通过的初衷,是终结加州居民"逐一向数百家数据掮客提出删除请求"的不可能任务。在传统 CCPA / CPRA 框架下,消费者必须对每家持有自己个人信息的企业单独行使删除权。SB 362 把这一权利做成了"一键删除"——居民只需在 privacy.ca.gov/drop 注册一次,系统就会把验证后的删除请求"广播"至全部已登记数据掮客(截至 2026 年初已超过 500 家)。
整个体系由 CPPA 单一监管,并由 Enforcement Division 负责调查与处罚。监管路径不依赖加州总检察长,也不需要私人诉权——CPPA 可直接立案、和解或裁决。
三、三段式时间表与核心义务
第一阶段:2026 年 1 月 1 日,DROP 平台对消费者开放,加州居民可立即提交删除请求;第二阶段:2026 年 1 月 31 日,数据掮客必须完成年度登记、缴纳年费,并披露上一年度是否向四类敏感对象(外国主体、政府与执法机构、生成式 AI 模型开发者、数据用于精准定向广告等)出售或共享数据;第三阶段:2026 年 8 月 1 日,每 45 日强制访问 DROP,45 日内处理、90 日内完成删除并在系统内回填状态码;之后每 45 日重复一次。
被覆盖的"数据掮客"定义见 Civ. Code § 1798.99.80(d):"明知地收集并向第三方出售其与之没有直接关系的消费者个人信息的企业"。这一定义不设营收门槛,不设员工人数门槛——只要"知情 + 收集 + 出售 + 无直接关系"四要件齐备,即落入 DROP 强制范畴。SaaS 数据丰富服务、广告标识符(MAID)转售商、人群画像 API、跨境数据集成商、AI 训练数据供应商,均在监管雷达之内。
四、执法已经落地:Rickenbacher 与 ROR Partners 两单罚款
2026 年 1 月,CPPA 执法突击队第一批和解协议公开:Rickenbacher Data LLC(商号 Datamasters,得州转售商)未登记违反《删除法》,罚款 $45,000,并被勒令停止向加州居民出售任何个人信息;ROR Partners LLC(内华达营销公司,主攻健身与健康品牌)未登记并欠缴登记费,罚款及补缴 $56,600。CPPA 已公开声明,$200 / 日基数 + 调查成本回收 + 强制停售令将是 2026 年的标准执法配方。
五、跨境数据流:33 家被点名
2026 年 4 月,电子隐私信息中心(EPIC)依据 CPPA 强制披露资料更新报告:在最近一个年度内,33 家加州登记数据掮客主动报告曾向位于中国、俄罗斯、伊朗或朝鲜的主体出售或共享数据。结合行政命令 EO 14117("涵盖人"数据安全计划 / DSP)与 28 CFR Part 202,同一数据流极有可能同步触发美国司法部国家安全司(DOJ NSD)的"涵盖数据交易"刑民双轨执法——$36.8 万/笔民事罚款 + 最高 20 年监禁。也就是说:CPPA 罚款只是入门级;只要交易对手涉中,$200 / 日会与 DSP 的"国家安全数据交易"叠加触发。
六、对中资企业的合规要点:五项立即动作
第一,判定身份。中资在美设立的电商联盟、出海广告网络、跨境数据丰富 API、合规科技子公司、AI 训练数据中介,必须用 § 1798.99.80(d) 四要件自评是否为"数据掮客"。一旦命中,6 月底前完成 CPPA 登记,避免 7、8 月被叠加追溯。
第二,搭建 DROP 对接管道。技术上需要:(1)DROP 验证账户与 API 凭据;(2)每 45 日自动下载请求;(3)反向匹配引擎(哈希邮箱、手机号、设备 ID);(4)跨数据库联动删除流水线;(5)状态码回填与审计日志保留至少 5 年。
第三,清理跨境出售关系。立即冻结向中国、俄罗斯、伊朗、朝鲜任何主体的"涵盖个人信息"出售或转让,对历史合同启动 EO 14117 / 28 CFR Part 202 合规审查;若必须继续,需走 DOJ NSD "特定豁免"路径。
第四,重写"消费者直接关系"红线。CCPA 与《删除法》之间存在一道隐形门——只要客户首次接触在自家域名/App/线下门店之外发生,CCPA 下"商业目的"豁免就不再保护,企业自动滑入数据掮客身份。立即对营销引流、第三方数据合作、广告再营销链条做"接触起点"测绘。
第五,披露文件全面升级。隐私政策、数据掮客登记表、年度报告、CPPA 自动化决策影响评估(ADM IA)、向 CPPA 强制提交的"敏感对象披露表"必须同步重写,统一术语,避免 CPPA 在年度公开报告中以"披露不一致"为由立案。
七、格知律所如何协助
格知律所长期为中资跨境企业、SaaS 与广告科技、AI 模型与数据基础设施服务商提供加州 CCPA/CPRA 与《删除法》合规一站式法律服务。围绕 8 月 1 日 DROP 强制对接节点,本所可提供以下专项支持:(1)数据掮客身份判定与登记代办——出具 § 1798.99.80(d) 四要件法律意见书,代办 CPPA 年度登记、年费缴纳、敏感对象披露表填报;(2)DROP 对接技术与法律双轨方案——与企业工程团队共同设计 45/45/90 日处理流水线、状态码回填规范、审计留痕模板;(3)CPPA 执法突击队应对——调查函(CID)回复、和解谈判、罚款额抗辩;(4)跨境数据隔离方案——与 EO 14117 / DSP / 28 CFR Part 202 合规体系对接,搭建中-美、中-第三国数据物理与法律分流;(5)隐私政策、DPA、数据合作合同体系翻修——与 CCPA/CPRA、CTDPA、MHMDA、Colorado AI Act 等已生效的州法并行升级;(6)美国-中国双轨员工培训——加州+总部团队中英文同步合规培训与案例演练。
八、结语 / Outlook
加州正在用 DROP 把"个人信息删除"从"消费者权利宣示"推向"产业级强制对接"。8 月 1 日之后,CPPA 的执法逻辑将从"看你有没有登记"升级为"看你有没有按时处理"——后者将通过 DROP 系统自动留痕,几乎不可抗辩。叠加 EO 14117 / DSP 对涉华数据流的国家安全审查,2026 下半年中资在美数据驱动企业将首次同时面对州级行政机关 + 联邦刑事执法双层穿透。66 天之内完成身份判定、登记、技术对接与跨境关系清理,是把单一罚款风险与"数据—国家安全"复合风险都压在可控区间的唯一路径。