Як дотримуватися Закону Каліфорнії про видалення даних та системи DROP

Операційний запуск каліфорнійської платформи запитів на видалення та відмову для брокерів даних (DROP) перетворив конфіденційність даних із реактивного юридичного зобов'язання на обов'язковий технічний конвеєр. Станом на 1 серпня 2026 року California Privacy Protection Agency (CPPA) активувала централізований механізм, який дозволяє споживачам видаляти свою особисту інформацію у всіх зареєстрованих брокерів даних одним запитом. Для організацій, класифікованих як брокери даних, пільговий період для ручної обробки закінчився.

Недотримання вимог більше не є питанням простого адміністративного тертя. Згідно з California Delete Act (SB 362), CPPA уповноважена стягувати штрафи в розмірі $200 за запит споживача на день за кожен день, протягом якого видалення залишається необробленим (https://www.iapp.org/news/a/calprivacy-discusses-drop-enforcement-data-broker-fee-hike/). Для брокера, який обробляє тисячі запитів, ці сукупні штрафи математично можуть досягти мільйонів доларів ризику протягом одного 45-денного циклу. Цей посібник описує конкретні кроки, необхідні для узгодження вашої інфраструктури даних із системою DROP.

1. Визначення вашого статусу згідно з SB 362

Першим кроком у забезпеченні відповідності є підтвердження того, чи відповідає ваша організація статутному визначенню «брокера даних». California визначає брокера даних як бізнес, який свідомо збирає та продає третім особам особисту інформацію споживача, з яким бізнес не має прямих відносин. Це виключає організації, що підпадають під дію Fair Credit Reporting Act (FCRA) або Gramm-Leach-Bliley Act (GLBA) у конкретних контекстах.

Якщо ваша організація агрегує набори даних для навчання AI або ліцензування на вторинному ринку, ви, ймовірно, потрапляєте в цю категорію. Розуміння того, що ви можете законно продавати в межах структур GDPR та CCPA, є критично важливим перед реєстрацією в CPPA, оскільки сам факт реєстрації активує вимогу взаємодії з системою DROP.

2. Мандат на 45-денну синхронізацію

Суть Delete Act полягає у вимозі до брокерів звертатися до платформи DROP принаймні раз на 45 днів. Це не рекомендація; це встановлений законом термін (https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202320240SB362). Ваша технічна команда повинна впровадити автоматизований процес для:

• Підключення до API CPPA для отримання останньої партії запитів на видалення.
• Зіставлення наданих ідентифікаторів (імена, електронні адреси, хешовані ID) з вашими внутрішніми виробничими базами даних та базами резервного копіювання.
• Виконання видалення всієї особистої інформації, пов'язаної з цими споживачами.
• Забезпечення того, щоб дані не були повторно зібрані або повторно пов'язані зі споживачем у майбутніх циклах прийому даних.

Важливо, що якщо брокер не може перевірити особу споживача за допомогою даних, наданих DROP, він все одно повинен розглядати запит як відмову від продажу або поширення інформації цього споживача, згідно з інструкціями CPPA щодо правозастосування.

3. Вирішення парадоксу «відсутності повторної ідентифікації»

Значним викликом у дотриманні вимог DROP є заборона повторної ідентифікації споживачів. Закон вимагає, щоб брокери не використовували інформацію, надану в запиті на видалення, для будь-яких цілей, окрім як для сприяння видаленню. Це вимагає підходу «чистої кімнати» до обробки запитів: дані, надіслані штатом, повинні використовуватися для ініціювання очищення, а потім бути видалені або ізольовані, а не додаватися до «списку придушення», що ненавмисно створює новий профіль споживача.

4. Обов'язкові трирічні аудити

Окрім 45-денної синхронізації, брокери даних повинні проходити незалежний аудит кожні три роки. Цей аудит має підтвердити відповідність вимогам щодо видалення, а результати мають бути надані CPPA за запитом. Орієнтовна вартість цих аудитів може становити від $15,000 до понад $50,000 залежно від складності архітектури даних (https://www.iapp.org/news/a/calprivacy-discusses-drop-enforcement-data-broker-fee-hike/). Документування кожної події видалення, включаючи мітку часу запиту до DROP та підтвердження очищення, є необхідним для успішного аудиторського сліду.

5. Управління фінансовими та операційними ризиками

Фінансовий вплив Delete Act виходить за межі штрафів. CPPA нещодавно обговорювала підвищення зборів за реєстрацію брокерів даних для фінансування обслуговування системи DROP, причому запропоновані щорічні збори досягають значних оприлюднених сум для покриття адміністративних витрат (https://www.iapp.org/news/a/calprivacy-discusses-drop-enforcement-data-broker-fee-hike/).

Для покупців даних Delete Act вводить новий рівень належної обачності. Купуючи або ліцензуючи набір даних, ви повинні переконатися, що продавець має перевірений конвеєр, що відповідає вимогам DROP. Якщо набір даних містить «дані-зомбі» — інформацію, яка мала бути видалена за запитом DROP — покупець може зіткнутися з вторинною відповідальністю або виявити, що його моделі AI скомпрометовані через необхідність перенавчання без незаконних даних.

Що це означає для вас

Для власників даних відповідність вимогам є передумовою ліквідності. Набір даних, який неможливо перевірити на відповідність DROP, є токсичним активом на ринку 2026 року. І навпаки, організації, які можуть продемонструвати надійний автоматизований конвеєр видалення, побачать вищі оцінки від інституційних покупців, які пріоритезують регуляторну безпеку. Незалежно від того, чи хочете ви монетизувати свої внутрішні активи, чи переглянути наш каталог наборів даних для отримання високоякісних, відповідних вимогам даних для навчання, розуміння технічних нюансів Delete Act більше не є опціональним — це основна вимога економіки даних.