加州《删除法》DROP平台8月1日强制合规倒计时:数据经纪商须集中处理删除请求——CalPrivacy新罚单落地,中资数据企业如何应对
距离2026年8月1日仅剩三周多时间,加州《删除法》(Delete Act, SB 362)项下的核心机制——删除请求与退出平台(DROP, Delete Request and Opt-out Platform)即将进入强制合规阶段。自该日起,所有依法注册的数据经纪商(data broker)必须接入DROP,集中获取并处理加州消费者提交的删除请求,并在此后每45天登录平台处理新增请求。与此同时,加州隐私保护局(CalPrivacy/CPPA)的数据经纪商执法打击部队已连续开出罚单。对于从事数据变现、广告技术与用户画像业务的中资企业而言,这是一个刚性的合规时间节点。
监管背景:从年度注册到"一键删除"
2023年10月,加州通过《删除法》,将数据经纪商注册的管理与规则制定职权移交CalPrivacy,并责成其建设全美首个集中删除机制。所谓"数据经纪商",指与消费者没有直接关系、却收集并出售其个人信息的企业。值得特别注意的是,《删除法》不设适用门槛:不同于CCPA以年收入超过2500万美元等条件划定适用范围,规模再小的企业只要符合定义即须注册合规。2026年1月1日生效的《删除法》实施细则进一步明确了"直接关系"的判断标准——消费者须为获取、购买、使用企业产品或服务而主动与企业互动。
DROP平台于2026年1月1日正式上线,启动48小时内即收到约1.8万件删除请求;截至2026年2月底,已有超过24.2万名加州居民提交请求。注册数据经纪商数量亦从2025年6月的459家增至575家以上。
8月1日之后:数据经纪商的硬性义务清单
接入并处理:2026年8月1日前完成DROP对接,开始处理平台上已累积的数十万件删除请求;
45天周期:此后每45天须登录DROP处理新增请求,持续删除相关消费者的个人信息;
年度注册:每年1月31日前向CalPrivacy注册并缴纳年费(2026年为6,000美元),逾期按每日200美元累计罚款;
透明度报告:公开报告收到的删除请求数量及响应时长,并披露是否处理未成年人信息、生殖健康数据、精确地理位置等敏感类别;
第三方审计:自2028年起,每三年接受一次独立合规审计。
执法态势:打击部队与新一轮罚单
CalPrivacy于2025年11月成立数据经纪商执法打击部队(Data Broker Enforcement Strike Force)。2026年1月8日,CalPrivacy董事会公布两项执法决定:德州营销公司Datamasters因未注册即转售数百万患有阿尔茨海默病、药物成瘾等健康问题人群的名单,被处以45,000美元罚款,并被责令全面停止出售加州居民个人信息;S&P Global则因行政疏失未完成注册被罚62,600美元,并须建立注册与合规审计流程。此前,数据经纪商Background Alert已被责令关停业务至2028年,Growbots与UpLead亦分别支付约35,000美元和解金。CalPrivacy执法负责人Michael Macko警告,历史表明某些类型的名单本身就是危险的。该局还任命了首任首席隐私审计官,主动合规审查将成为常态化工具。
对中资企业的合规启示
先定性,再行动:出海App、跨境电商、广告技术(DSP/DMP)与数据分析企业应尽快评估自身是否构成"数据经纪商"——只要向第三方出售(包括以"共享"换取对价)与己方无直接关系的加州消费者数据,即可能落入定义。S&P Global案表明,即便数据销售并非主营业务,个别业务线亦可触发义务。
立即启动DROP技术对接:在8月1日前完成平台接入与测试,建立以45天为周期的删除请求处理流程,指定专责人员并留存处理记录。
补办注册止损:尚未注册的企业应立即补办——罚款按未注册天数每日200美元累计,Datamasters的45,000美元罚单即由此而来,拖延只会放大风险。
更新数据地图与隐私政策:开展数据梳理(data mapping)以识别涉加州居民的数据集,核查与上下游供应商的数据处理协议(DPA),并在网站显著位置提供CCPA权利链接。
高危业务专项评估:涉及健康状况、种族、政治倾向、老年人群等分类名单的业务是执法首要目标,且可能同时引来FTC与其他州监管机构的关注,应优先整改或剥离。
趋势展望
DROP是全美首个集中式删除机制,其"平台化执法"路径很可能被其他州复制——新泽西州新近通过的A5328法案(参见本博客7月7日文章)已显示数据经纪商监管正向多州扩散;而由加州牵头的跨州隐私监管联盟意味着,一次违规可能引发多州联合调查。对中资企业而言,数据变现业务在美国的合规成本正在结构性上升。8月1日不是缓冲期的开始,而是执法期的起点——建议企业以此为节点,完成从注册、平台接入到删除闭环的全流程合规。
参考来源:CalPrivacy 2026年1月8日执法公告(cppa.ca.gov);CalPrivacy 2026年2月27日董事会会议内容(IAPP报道);SB 362《删除法》及2026年1月1日生效之实施细则。