加州强制500家数据经纪商按请求删除用户数据

加利福尼亚州21.5万名居民此前通过该州DROP平台提交了删除个人数据的请求，而自8月1日起，这些居民迎来了一个关键转变：掌握其数据的公司现在依法必须采取行动。从这一天开始，加州所有注册数据经纪人必须检索并处理积压的删除请求——这是美国首次有州级政府在一个行业范围内同时强制推行集中式数据删除要求。

该平台充当了消费者与一个大多数人从未见过的幕后世界之间的清算所。居民访问drop.privacy.ca.gov站点，通过加州州门户或login.gov验证身份，并提供姓名、电子邮箱、电话号码和邮政编码。可选地，他们还可以提交自己手机的移动广告标识符（即与设备绑定的持久性识别码）以及车辆识别号码。一次提交便能将删除需求同时发送给所有注册在册的数据经纪人。此前，消费者必须逐一联系每家公司；部分数据经纪人甚至故意将退选表格对搜索引擎隐藏，使得这一过程变得异常困难。

受该法律约束的公司并非家喻户晓的大牌。数据经纪人是那些聚合购物记录、为广告主构建人口统计和心理画像档案、并销售从手机、智能电视和联网汽车获取的位置信息的企业。Acxiom、LexisNexis、Spokeo以及BeenVerified等公司均在此领域运作。同时，这个圈子里还活跃着大多数消费者从未听说过的广告技术平台和受众细分销售商——但恰恰是这些机构，很可能仍持有关于这些消费者的详细记录。

惩罚机制旨在让违规行为付出真实代价：每条被忽视的删除请求，每延迟一天，数据经纪人将被处以200美元罚款。对于一家收到数百条请求的公司而言，这一数字会迅速累积。加州隐私执法机构已因基本注册违规行为开出了罚单——对Datamasters罚款42,000美元，对S&P Global罚款62,000美元——并预计将加大对删除指令的执行力度。不过，罚款仅适用于已注册的数据经纪人：任何未进行注册而运营的公司根本不会出现在DROP系统中，在现行框架下也无需面对任何自动化的删除义务。

合规时间线比消费者预期的要慢。数据经纪人必须至少每45天登录一次DROP系统以接收新请求，随后另有45天来处理每一条请求——这意味着今天提交的删除请求可能需要长达三个月才能最终完成。如果被删除的数据因从第三方购进而重新进入数据经纪人的数据库，则必须依据屏蔽规则再次删除。受HIPAA管辖的医疗实体、受GLBA约束的金融机构，以及遵守《公平信用报告法》的公司均享有豁免权，这使得涉及医疗记录和信贷档案的数据生态的某些部分被划出了监管范围。

加州的这项法律是美国首部集中式数据删除机制的法案。类似的州级立法已在其他十几个州酝酿中。对于加州自身而言，下一个里程碑出现在2028年：届时法律将要求已注册数据经纪人接受独立的隐私审计——审计结果须于2029年提交给州隐私监管机构。

标签: 数据隐私, California Delete Act, CalPrivacy, 个人数据, 数据经纪商, 隐私法