加州首例《删除法》执法落地：LocateSmarter 领 11.65 万美元罚单，DROP 平台满负荷运转倒逼中资「数据经纪商」自查
2026 年 8 月，加州隐私保护局（California Privacy Protection Agency，CPPA）对数据经纪商 LocateSmarter 作出该局对《删除法》（Delete Act，SB 362，编入《民法典》第 1798.99.80 条及以下）的首例正式执法处分：因未按期登记为数据经纪商，且在消费者提交删除请求时要求提供姓名、社会安全号后四位及邮寄地址等超出必要限度的验证信息，该公司被责令支付 11.65 万美元罚金并补办登记。同一批次中，Cybba 因错过 2025 年 1 月 31 日的年度登记截止日期被处以 5.24 万美元罚款，并须在隐私政策中披露其收到及处理 CCPA 请求的具体数量。这是 CPPA 设立「数据经纪商执法专班」（Data Broker Enforcement Strike Force）后首次对外公布的处分结果，标志着这部酝酿三年的加州数据经纪商监管体系，从登记义务正式走向实体执法。
法规背景：从登记制到「一键删除」
《删除法》由加州州长纽森于 2023 年 10 月签署，核心制度是建立「删除请求与退出平台」（Delete Request and Opt-Out Platform，简称 DROP）：消费者只需在该平台提交一次身份信息，即可向登记在册的全部数据经纪商同时发出删除与限制出售个人信息的请求，无需逐一联系每一家公司。DROP 已于 2026 年 1 月 1 日起向消费者开放。自 2026 年 8 月 1 日起，法律对数据经纪商设定了对应的强制义务：每隔 45 天登录 DROP 至少一次，抓取新提交的删除请求并作出响应；对于无法核实身份的请求，须将其转为退出销售或共享个人信息处理，且需确保下游服务提供商与承包商同步执行删除。CPPA 同时将数据经纪商年度登记费从 6,000 美元上调至 9,500 美元，以覆盖 DROP 平台的建设与维护成本。
《删除法》对「数据经纪商」的定义相当宽泛：只要业务模式包含收集消费者个人信息并出售给第三方，而该业务与消费者本人并无直接关系，即落入监管范围。这意味着传统认知中的「数据中介」之外，广告技术平台、用户行为分析服务商、受众画像与营销名单出售方，往往在自身未曾意识到的情况下已经构成数据经纪商。CPPA 在 2025 年底发布的执法提示中即明确提醒，相当一部分企业系「一觉醒来才发现自己是数据经纪商」。
核心合规要点
违反登记义务，每日罚款 200 美元；违反删除处理义务，同样按每日 200 美元计算，且执法费用可另行追偿。此次专班行动中，Growbots 与 UpLead 两家企业各自因登记逾期缴纳约 3.5 万美元和解金，此前还有一家加州本地数据经纪商因严重违规被责令停业三年，Background Alert 公司则与监管方达成和解，须停业至 2028 年，否则将面临 5 万美元的额外罚款。综合来看，CPPA 在解释登记与验证义务时采取从严立场：一是不存在事实上的宽限期，登记与响应时限均按自然日计算；二是核实消费者身份的手段必须与所处理风险相称，索取社会安全号等高敏感信息本身即可能构成违规。
对中资企业的合规要点
第一，重新评估自身业务是否落入「数据经纪商」定义，尤其是跨境电商的用户画像与广告归因业务、面向美国市场的营销数据服务，以及为品牌方提供受众细分名单的数据分析平台，均应逐项比对《民法典》第 1798.99.80 条的构成要件，而非仅凭行业惯常认知作出判断。第二，尚未登记的企业应尽快完成登记并预留 9,500 美元的年度费用，登记义务每年 1 月 31 日到期，逾期即按日计罚。第三，已登记企业需在 8 月 1 日后建立每 45 天登录 DROP 一次的常态化流程，并明确内部负责团队与响应记录留存机制。第四，重新审视消费者验证流程，避免仿照 LocateSmarter 的做法要求提交社会安全号后四位等超出比例原则的身份材料，验证手段应以能够合理识别请求人身份为限。第五，梳理与下游服务提供商、承包商之间的数据处理协议，确保删除指令能够同步传导至全部数据链条末端，而不仅停留在企业自身系统内。
格知律所如何协助
格知律师事务所长期为中资企业提供加州数据经纪商合规评估：结合企业实际数据处理与货币化模式，判断是否触发登记义务，并据此出具书面法律意见；协助完成 CPPA 登记文件的准备与提交，规划年度续展与费用安排；搭建面向 DROP 平台的删除请求响应流程，包括请求核验标准、45 天响应节奏与内部留痕机制的落地文件；审查并更新隐私政策中关于 CCPA/Delete Act 请求处理数量的披露条款，避免出现 Cybba 式的披露缺失；对已收到 CPPA 问询或执法通知的企业，提供应对策略与后续谈判、和解方案的法律支持。
结语
DROP 平台自 8 月起满线运行，加之首批执法处分已经落地，释放的信号相当清晰：加州监管机构不打算给数据经纪商留出观望期。对于在美国开展数据业务的中资企业而言，与其等待被纳入下一轮执法专班的核查名单，不如主动完成一次身份自查与流程梳理。2028 年 1 月 1 日起，《删除法》还将引入强制审计要求，届时合规基础是否扎实，将直接决定审计结果的走向。