Як дотримуватися Закону Каліфорнії про видалення даних та системи DROP

Операційний запуск Платформи запитів на видалення та відмови від даних брокерів даних Каліфорнії (DROP) перетворив конфіденційність даних із реактивного юридичного зобов’язання на обов’язковий технічний конвеєр. Станом на 1 серпня 2026 року Агентство із захисту конфіденційності Каліфорнії (CPPA) активувало централізований механізм, який дозволяє споживачам видаляти свою особисту інформацію у всіх зареєстрованих брокерів даних за одним запитом. Для організацій, класифікованих як брокери даних, пільговий період для ручної обробки закінчився.

Недотримання більше не є питанням простої адміністративної тяганини. Згідно із Законом про видалення даних Каліфорнії (SB 362), CPPA має право накладати штрафи в розмірі 200 доларів США за запит споживача, за день, за кожен день, коли видалення залишається необробленим (iapp.org). Для брокера, який обробляє тисячі запитів, ці наростаючі штрафи можуть математично досягти мільйонів доларів збитків протягом одного 45-денного циклу. Цей посібник окреслює конкретні кроки, необхідні для узгодження вашої інфраструктури даних із системою DROP.

1. Визначення вашого статусу згідно з SB 362

Першим кроком до дотримання вимог є підтвердження того, чи відповідає ваша організація статутному визначенню "брокера даних". Каліфорнія визначає брокера даних як бізнес, який усвідомлено збирає та продає третім сторонам особисту інформацію споживача, з яким бізнес не має прямого зв’язку. Це виключає суб’єкти, на які поширюються Закон про звітність про кредитну історію (FCRA) або Закон Гремма-Ліча-Блілі (GLBA) у конкретних контекстах.

Якщо ваша організація агрегує набори даних для навчання ШІ або ліцензування на вторинному ринку, ви, ймовірно, підпадаєте під цю сферу. Розуміння того, що ви можете легально продавати згідно з GDPR та CCPA, є критично важливим перед реєстрацією в CPPA, оскільки сам акт реєстрації запускає вимогу взаємодії із системою DROP.

2. 45-денний мандат на синхронізацію

Суть Закону про видалення полягає в вимозі до брокерів запитувати платформу DROP щонайменше раз на 45 днів. Це не пропозиція; це розкритий статутний термін (leginfo.legislature.ca.gov). Ваша технічна команда повинна впровадити автоматизований процес для:

• Підключення до API CPPA для отримання останньої партії запитів на видалення.
• Перехресне звіряння наданих ідентифікаторів (імена, електронні листи, хешовані ідентифікатори) з вашими внутрішніми виробничими та резервними базами даних.
• Виконання видалення всієї особистої інформації, пов’язаної з цими споживачами.
• Забезпечення того, щоб дані не були повторно зібрані або повторно пов’язані зі споживачем у майбутніх циклах введення даних.

Важливо, що якщо брокер не може перевірити особу споживача за допомогою даних, наданих DROP, він все одно повинен розглядати запит як відмову від продажу або передачі інформації цього споживача, згідно з рекомендаціями щодо виконання вимог CPPA.

3. Обробка парадоксу "без повторної ідентифікації"

Значною проблемою у дотриманні вимог DROP є заборона повторної ідентифікації споживачів. Закон вимагає, щоб брокери не використовували інформацію, надану в запиті на видалення, для будь-якої мети, крім полегшення видалення. Це вимагає підходу "чистої кімнати" до обробки запитів: дані, надіслані державою, повинні використовуватися для запуску видалення, а потім бути відкинуті або ізольовані, а не додані до "списку придушення", який ненавмисно створює новий профіль споживача.

4. Обов'язкові трирічні аудити

Окрім 45-денної синхронізації, брокери даних повинні проходити незалежний аудит кожні три роки. Цей аудит повинен підтверджувати дотримання вимог щодо видалення, а результати повинні бути надані CPPA за запитом. Орієнтовна вартість цих аудитів може варіюватися від 15 000 до понад 50 000 доларів США залежно від складності архітектури даних (iapp.org). Документація кожної події видалення, включаючи часову мітку запиту DROP та підтвердження видалення, є важливою для успішного аудиторського сліду.

5. Управління фінансовими та операційними ризиками

Фіскальний вплив Закону про видалення виходить за межі штрафів. CPPA нещодавно обговорювало підвищення плати за реєстрацію брокерів даних для фінансування підтримки системи DROP, з запропонованими щорічними зборами, що досягають значних розкритих сум для покриття адміністративних витрат (iapp.org).

Для покупців даних Закон про видалення запроваджує новий рівень належної обачності. При придбанні або ліцензуванні набору даних ви повинні переконатися, що продавець має перевірений конвеєр, сумісний з DROP. Якщо набір даних містить "зомбі-дані" — інформацію, яка мала бути видалена відповідно до запиту DROP — покупець може зіткнутися з вторинною відповідальністю або виявити, що його моделі ШІ скомпрометовані через необхідність перенавчання без незаконних даних.

Що це означає для вас

Для власників даних дотримання вимог є передумовою ліквідності. Набір даних, який не може бути перевірений на відповідність DROP, є токсичним активом на ринку 2026 року. Навпаки, організації, які можуть продемонструвати надійний, автоматизований конвеєр видалення, побачать вищу оцінку від інституційних покупців, які надають пріоритет регуляторній безпеці. Незалежно від того, чи прагнете ви монетизувати свої внутрішні активи, чи переглянути наш каталог наборів даних для високоякісних, сумісних навчальних даних, розуміння технічних нюансів Закону про видалення більше не є необов’язковим — це основна вимога економіки даних.