「一张退出表单要走社保号」：CalPrivacy 8月10日 LocateSmarter 决定（Case No. ENF26-05-D-LO）首次并用 CCPA 与《删除法》——11.6 万美元罚单、DROP 强制接入，与中资企业的隐形「数据经纪商」身份
2026年8月10日，加州隐私保护局（California Privacy Protection Agency，CalPrivacy）理事会通过和解决定，认定爱荷华州数据经纪商 LocateSmarter, LLC 既未按期在加州数据经纪商名册注册，又在消费者行使「退出个人信息出售/共享」权利时强制索取社会安全号码后四位，合计支付 116,490 美元并限期整改。这是 CalPrivacy 首次以 CCPA（《加州消费者隐私法》）对数据经纪商开罚，也是首例同时适用 CCPA 与《删除法》（Delete Act）的案件。两天后（8月13日），CalPrivacy 又对波士顿数据经纪商 Cybba, Inc. 作出 52,400 美元罚款决定。对于把美国消费者数据用于广告投放、风控、催收、选品或客户拓展的中资企业，本案划出了两条同时踩中即会叠加处罚的红线。
监管背景：DROP 让「不注册」从纸面违规变成可检测事实
加州 2023 年《删除法》要求数据经纪商每年一月向 CalPrivacy 注册并缴费，该费用用于支持数据经纪商名册与「删除与退出请求平台」（Delete Request and Opt-out Platform，DROP）。DROP 自 2026 年 1 月 1 日起向消费者开放，消费者提交一次请求即可要求全部已注册数据经纪商删除其个人信息；据加州州长办公室 8 月 13 日通报，已有超过 47.5 万名加州居民通过 DROP 提交删除请求。更关键的时点是 2026 年 8 月 1 日——自该日起，数据经纪商必须实际处理经 DROP 转来的删除请求（Cal. Civ. Code § 1798.99.86）。
DROP 的上线同时改变了执法的技术条件：监管机构只要把 DROP 的请求投递记录与注册名册比对，未注册者与「注册但不处理」者立刻显形。CalPrivacy 于 2025 年 11 月设立的「数据经纪商执法特别行动组」（Data Broker Enforcement Strike Force）正是本案与 Cybba 案的办案单位。
法律依据一：注册义务的触发点比企业以为的低
依 Cal. Civ. Code § 1798.99.82(a)，任何在某一日历年度内构成「数据经纪商」的主体，须在次年 1 月 31 日前完成注册。LocateSmarter 在 2025 年度以数据许可协议方式取得个人信息并对外销售，却未在 2026 年 1 月 31 日前注册。裁决书明确了两个易被忽略的判定要点：
其一，「数据经纪商」的核心特征是与消费者不存在直接关系而销售其个人信息——上游数据来自数据许可方、数据分析商或其他经纪商，均不影响该身份的成立。其二，所售「个人信息」不限于姓名、地址等标识符，还包括推断信息（inferences）。本案中 LocateSmarter 的 WebRecon Litigious Scrub 功能会输出消费者「是否好讼」（litigious）的判断，裁决书确认此类推断本身即属加州法下受保护的个人信息。其所售字段还包括社会安全号码、出生日期、驾照信息、破产与诉讼记录等。
法律依据二：「退出」不得要求身份核验——CCPA 的数据最小化硬约束
裁决书同时指出，数据经纪商本身即属 CCPA 项下的「业务经营者」（business，Cal. Civ. Code §§ 1798.140(d)、1798.99.80(c)），一旦年度买卖或共享 10 万名以上消费者或家庭的个人信息，即受 CCPA 全面约束。CCPA 实施细则（11 CCR）的规定层层收紧：
§ 7013(e)、(f)(2) 要求线上提供退出权告知并配置可交互的在线提交表单；§ 7026(d) 明确不得要求消费者为退出请求提交「可核验消费者请求」（verifiable consumer request，Cal. Civ. Code § 1798.140(ak)）——因为冒名提交退出请求对消费者的潜在损害极小，无需核验；且即便确需补充信息，「只要无须额外信息即可执行退出请求，业务经营者就必须径行执行」。
LocateSmarter 的退出表单要求填写姓名全称、社会安全号码后四位及邮寄地址。CalPrivacy 认定这既超出完成请求的必要限度，构成对 § 1798.100(c) 与 11 CCR § 7002(d) 数据最小化义务的违反，也实质上把「可核验请求」塞进了退出流程。裁决书特别强调：索取社保号会威慑消费者行权，而结果印证了这一点——在近 4000 万加州人口中，仅有「极少数」（a mere handful）向该公司提交过退出请求。CalPrivacy 执行董事 Tom Kemp 就此表示，理事会在仅有少量消费者提出请求的情况下仍课以实质性罚款，正是要凸显企业必须认真对待每一位加州居民的隐私权利。这一「行权人数少反而成为加重情节」的逻辑，是本案对企业最具威胁的部分。
罚则拆解：116,490 美元的三段结构
罚款并非单一数字，而是三项叠加：30,600 美元为《删除法》§ 1798.99.82(c) 项下的未注册行政罚款（该条按逾期日计罚，每日 200 美元，30,600 美元对应约 153 天）；79,890 美元为 CCPA § 1798.199.55 项下的行政罚款；此外还须在决定生效后 14 日内补缴 11 CCR § 7600(a) 规定的 6,000 美元年度注册费并提交注册表。两笔罚款须在 30 日内付清。案号为 ENF26-05-D-LO。
非金钱义务同样沉重：60 日内改造退出流程（步骤最少化、不得索取任何部分社保号、不得要求可核验请求、收到请求须在 CCPA 法定期限内履行）并书面确认；60 日内对所有处理 CCPA 请求的人员完成培训并书面确认；按 § 1798.99.85 与 § 1798.130 在隐私政策中披露上一年度请求的收到/执行/拒绝数量及响应时长；接入 DROP 并按 § 1798.99.86 处理删除请求。公司还放弃了全部听证与上诉权利，并承认裁决书的事实认定。
对中资企业的合规启示
第一，先做「数据经纪商身份」自测，而不是等名册比对找上门。跨境电商的用户增长团队、广告技术与 DSP/SSP 服务商、跨境催收与背景核查服务商、以及向第三方回传「高意向客户名单」的 SaaS，都可能在无直接消费者关系的前提下构成数据经纪商。判断标准是「是否将非直接关系消费者的个人信息（含推断标签）出售或共享」，而非企业是否自称「数据公司」。若成立，注册窗口为每年 1 月 31 日，逾期按日计罚。
第二，逐字审查退出表单的字段。立即删除退出流程中的社保号（含后四位）、身份证件、护照、驾照号、出生日期等核验型字段；「Do Not Sell or Share My Personal Information」链接后的表单应做到仅收集执行退出所必需的最小字段（通常为可定位记录的邮箱或 Cookie/设备标识）。特别注意 § 7026(d) 对退出权与「删除权/知悉权/更正权」的差别待遇——后三项可要求核验，退出权不可。
第三，把推断标签纳入数据地图。Ford（375,703 美元）与本案均因「给退出流程增加不必要摩擦」被罚，本案则进一步确认「是否好讼」这类推断标签本身即受保护。中资企业的用户画像、评分模型输出与标签体系，应在数据映射（data mapping）中单列，并评估是否落入敏感个人信息或健康数据范畴——CalPrivacy 此前已就出售阿尔茨海默病等健康状况名单对数据经纪商 Datamasters 处罚。
第四，DROP 接入是技术项目，不是法务项目。8 月 1 日后未处理 DROP 删除请求即可被追责。需落实的事项包括：DROP 账号开通、请求批量拉取的自动化接口、跨系统（CRM／数仓／BI／备份／第三方共享方）的删除传导，以及向下游接收方的删除通知机制。相关义务应写入供应商数据处理协议（vendor DPA），明确下游在收到删除指令后的执行时限与回执要求。
第五，隐私政策的「指标披露」是最容易被自动化抓取的违规点。§ 1798.99.85 与 § 1798.130 要求的请求量与响应时长统计，监管机构无需启动调查即可从公开网页核实。建议将该披露纳入年度合规日历（与 1 月注册、DROP 处理并列），并留存 DSAR 流程的完整审计日志。
趋势展望
本案与 Cybba 案在四天内相继落地，CalPrivacy 执法负责人 Michael Macko 明确表示执法活动短期内不会放缓——这应被理解为一条已建成流水线的产出节奏，而非零星个案。三条趋势值得中资企业持续跟踪：一是多机关联合执法已成常态，通用汽车案（2026 年 5 月，1,275 万美元民事罚款）由 CalPrivacy 联合加州总检察长 Bonta 与四个县地检办公室共同办理，CalPrivacy 也已牵头组建跨州「隐私监管者联盟」并与韩国、法国、英国数据保护机构签署合作声明；二是「摩擦即违规」的认定标准正从汽车厂商（Honda 632,500 美元、Ford 375,703 美元）扩散至数据经纪商与一般零售业（Tractor Supply 135 万美元），请求流程中的每一个多余字段都可能构成独立的处罚事由；三是平台化执法工具（DROP，以及加州 2025 年通过的浏览器一键退出要求）把合规状态变成可持续监测的数据流，「未被发现」不再是可依赖的风险缓释手段。对已触达美国消费者数据的中资企业而言，把 1 月 31 日注册、退出表单字段审查、DROP 处理能力三项写入 2026 年第四季度整改计划，是成本最低的时点。