加州 Delete Act 倒计时 76 天：DROP 平台 8·1 强制接入 + $1275 万通用汽车和解 + $200/日累进罚款——中资数据经纪、AdTech 与车联网企业的最后合规窗口
何事正在发生
距离 2026 年 8 月 1 日仅剩 76 天——这一天，所有在加州开展业务的"数据经纪人"(data broker) 必须开始接入加州隐私保护局 (California Privacy Protection Agency，简称 CPPA / CalPrivacy) 运行的 DROP 平台 (Delete Request and Opt-out Platform)，统一处理消费者的批量删除请求。仅仅 9 天前，2026 年 5 月 8 日，加州总检察长 Rob Bonta 联合多名郡检察官与 CPPA 公布了与通用汽车 (General Motors) 高达 1275 万美元的和解协议——指控 GM 将数十万加州车主的驾驶行为数据未经同意出售给数据经纪人。这一笔加州历史上最大笔的数据经纪相关执法，与 2026 年 1 月 8 日 CPPA 公布的针对 Datamasters（4.5 万美元）和 S&P Global（6.26 万美元）的注册违规处罚一起，宣告了 Delete Act 已从"注册清册阶段"进入"结构性执法阶段"。
法规背景
Delete Act (SB 362) 于 2023 年 10 月 10 日由加州州长 Newsom 签署，编纂入加州 Civil Code §§ 1798.99.80–1798.99.89。它在原有 2019 年加州数据经纪人登记制度之上，增设了三项核心义务：(1) 每年 1 月 31 日前向 CPPA 注册并支付 6,000 美元年费；(2) 8 月 1 日起每 45 天访问一次 DROP 平台，拉取并执行消费者删除请求；(3) 在收到删除请求 90 天内完成最终处理，并向 CPPA 报告状态。CPPA 已于 2025 年 11 月 13 日批准最终实施细则，DROP 已于 2026 年 1 月 1 日向加州消费者开放。
谁是"数据经纪人"——核心定义与边界
Civil Code § 1798.99.80(c) 将"数据经纪人"界定为："在与消费者无直接关系的前提下，故意收集并向第三方出售该消费者个人信息的企业"。与 CCPA / CPRA 中的"business"定义不同，Delete Act 不设营收或数据量门槛——这意味着即使企业不满足 CCPA 的 2,500 万美元年营收门槛，也可能落入数据经纪人范畴。法律明确豁免：受 FCRA（公平信用报告法，15 U.S.C. § 1681 et seq.）、GLBA（Gramm-Leach-Bliley 金融法案）以及加州保险信息与隐私保护法 (IIPIPA) 监管的实体。容易被忽视的高风险类别包括：广告技术 (AdTech / DSP / DMP) 的受众片段销售方、潜客挖掘 (lead-gen) 服务商、跨境电商的"相似客群" (lookalike audience) 转售方、车联网与远程信息处理 (telematics) 服务商、SaaS 数据扩充 (data enrichment) 服务商。GM 案件正是车联网企业因将"无直接订阅关系"的车主驾驶数据出售给保险评分经纪人 LexisNexis、Verisk 而被定性。
8·1 实施倒计时——核心义务详解
自 2026 年 8 月 1 日起，数据经纪人必须：（a）通过 DROP 平台一次性接收所有注册数据经纪人需要处理的删除请求（截至 2026 年 1 月平台开放时已有 500 余家在册）；（b）每 45 天至少访问一次 DROP，下载消费者删除清单；（c）在收到清单后的 45 天内在所有自有系统中完成删除，并在 90 天内完成最终状态确认；（d）将删除指令向下游数据接收方传导 (downstream propagation)，确保已售出的数据副本同步删除；（e）每三年完成一次独立第三方合规审计并提交 CPPA。首次接入需缴纳一次性技术接入费，金额由 CPPA 根据平台运维成本核定。
处罚结构——为何 $200/日是"加速器"
Delete Act 的处罚机制呈"叠加加速"特征：（1）未按期注册：$200/日；（2）未处理每一笔 DROP 删除请求：每位消费者每日 $200——对于面向数十万消费者的数据经纪人，一周即可累计百万美元级敞口；（3）加上 CPPA 的执法成本追偿；（4）故意违规可同步触发 CCPA / CPRA 的 7,500 美元/人故意违规民事罚款。已落地的执法包括：2025 年的 Accurate Append、Key Marketing Advantage、Growbots、UpLead、ROR Partners 五家企业各被处 3.4 万至 5.6 万美元罚款；2025 年 12 月 3 日某营销公司因售卖"自定义受众包"未注册被罚；2026 年 1 月 8 日 Datamasters 被罚 4.5 万、S&P Global 被罚 6.26 万；以及 2026 年 5 月 8 日 GM 1,275 万美元和解。CPPA 已于 2026 年初公开成立"数据经纪执法专项组" (Data Broker Strike Force)。
对中资企业的合规要点
第一，"数据经纪人"定性自查。务必对照 § 1798.99.80(c) 重新审查所有涉及"无直接关系消费者数据销售"的业务线——尤其是中资 AdTech、跨境电商的客群转售、车联网与智能硬件后台数据合作、SaaS 数据扩充、潜客挖掘等业务；不要依赖 CCPA 营收门槛作为豁免依据。
第二，立即补做 1·31 注册。若上一年度任何时点曾构成数据经纪人但未在 2026 年 1 月 31 日前注册，应立即补登并主动与 CPPA 沟通和解，避免 $200/日的累进罚款持续滚动。
第三，8·1 前完成 DROP 技术接入。包括：与 CPPA 完成 API 凭证申请、构建每 45 天自动化拉取流程、在内部数据湖中建立"DROP 删除标识"字段、设计 90 天审计追踪 (audit trail)。
第四，下游合同 (Vendor DPA) 重构。所有数据接收方（包括广告平台、数据合作伙伴、跨境关联公司）的合同须新增"删除指令传导条款" (deletion propagation clause)，明确删除清单的转发义务与时间表，并配套违约金机制。
第五，PIPL 与 Delete Act 协同。涉及"加州个人信息出境至中国"的处理者，需将 Delete Act 删除指令纳入 PIPL 第 47 条删除权与第 38 条出境合同 (CN SCC) 的执行流程，避免出现"美国一端已删，境内副本未删"的合规盲区。
格知律所如何协助
格知律所在 CCPA / CPRA 与 Delete Act 合规领域提供端到端服务方案：（a）数据经纪人定性法律意见书，结合企业业务模型出具是否落入 § 1798.99.80(c) 的书面分析；（b）DROP 接入合规框架搭建，从 API 接入、内部数据流程改造、45 / 90 天计时机制设计到第三方审计准备；（c）下游 Vendor DPA 与跨境数据传输协议起草，包括删除指令传导条款、PIPL CN SCC 与 Delete Act 的协同模板；（d）CPPA 执法应对与和解谈判，包括注册补救、行政调查回应、罚款减免谈判；（e）CCPA / Delete Act 与 PIPL / 数据出境安全评估的跨境合规协同。针对车联网、跨境电商、AdTech 与 SaaS 行业，格知律所可提供合规快诊与 8·1 前 76 天倒计时项目管理。
结语 / Outlook
Delete Act 标志着美国数据隐私执法从"opt-out 通知"向"delete-by-default"的结构性转向——加州率先建立了与 PIPL 第 47 条"删除权"等价的统一执行管道。1,275 万美元的 GM 和解释放出明确信号：数据经纪不再是隐形角色，"消费者—数据经纪人—下游买方"链条上的任何一环都可能被穿透追责。对中资企业而言，8 月 1 日不是建议线，而是强制接入线——在 76 天的窗口期内完成定性、注册、技术接入、下游合同改造与跨境协同，是规避七位数美元罚款的最低标准。