如何遵守《加州删除法案》和 DROP 系统

California 的 Data Broker Deletion Request and Opt-Out Platform (DROP) 的正式启动已将数据隐私从一种被动的法律义务转变为强制性的技术流程。截至 August 1, 2026，California Privacy Protection Agency (CPPA) 已启动集中机制，允许消费者通过单次请求删除所有已注册数据经纪人持有的个人信息。对于被归类为数据经纪人的组织，手动处理的宽限期已经结束。

不合规已不再仅仅是简单的行政摩擦问题。根据 California Delete Act (SB 362)，对于每一条未处理的删除请求，CPPA 有权处以每天每条请求 $200 的罚款 (https://www.iapp.org/news/a/calprivacy-discusses-drop-enforcement-data-broker-fee-hike/)。对于处理数千条请求的经纪人来说，这些复利处罚在单个 45-day 周期内，从数学计算上可能达到数百万美元的风险敞口。本指南概述了使您的数据基础设施与 DROP 系统保持一致所需的具体步骤。

1. 确定您在 SB 362 下的身份

合规的第一步是确认您的实体是否符合“数据经纪人”的法定定义。California 将数据经纪人定义为：在与消费者没有直接关系的情况下，知情地收集该消费者的个人信息并将其出售给第三方的企业。这不包括在特定语境下受 Fair Credit Reporting Act (FCRA) 或 Gramm-Leach-Bliley Act (GLBA) 约束的实体。

如果您的组织为 AI 训练或二级市场许可聚合数据集，您很可能属于此范围。在向 CPPA 注册之前，了解在 GDPR 和 CCPA 框架下您可以合法出售的内容至关重要，因为注册行为本身就会触发与 DROP 系统对接的要求。

2. 45-Day 同步强制要求

Delete Act 的核心是要求经纪人至少每 45 days 查询一次 DROP 平台。这不是建议；这是一个已公布的法定截止日期 (https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202320240SB362)。您的技术团队必须实施自动化流程以：

• 连接到 CPPA 的 API 以检索最新的一批删除请求。
• 将提供的标识符（姓名、电子邮件、哈希 ID）与您的内部生产和备份数据库进行交叉比对。
• 执行删除与这些消费者相关的所有个人信息。
• 确保在未来的摄取周期中不会重新收集该数据或将其与消费者重新关联。

至关重要的是，如果经纪人无法通过 DROP 提供的数据验证消费者身份，根据 CPPA 执行指南，他们仍必须将该请求视为选择退出（opt-out）该消费者信息的销售或共享。

3. 处理“禁止重新识别”的悖论

DROP 合规中的一个重大挑战是禁止重新识别消费者。法律规定，经纪人不得将删除请求中提供的信息用于除促进删除之外的任何目的。这需要一种“洁净室”处理方法：州政府发送的数据必须用于触发清除，然后被丢弃或隔离，而不是被添加到“抑制列表”中，从而无意中创建了消费者的新画像。

4. 强制性的每三年一次审计

除了 45-day 同步外，数据经纪人必须每三年接受一次独立审计。该审计必须验证是否符合删除要求，并且必须根据要求将结果提交给 CPPA。根据数据架构的复杂性，这些审计的估计成本可能在 $15,000 到超过 $50,000 之间 (https://www.iapp.org/news/a/calprivacy-discusses-drop-enforcement-data-broker-fee-hike/)。记录每一次删除事件（包括 DROP 查询的时间戳和清除确认）对于成功的审计追踪至关重要。

5. 财务和运营风险管理

Delete Act 的财政影响不仅限于罚款。CPPA 最近讨论了提高数据经纪人注册费以资助 DROP 系统的维护，提议的年费达到了可观的披露金额，以覆盖行政开支 (https://www.iapp.org/news/a/calprivacy-discusses-drop-enforcement-data-broker-fee-hike/)。

对于数据买家，Delete Act 引入了新的一层尽职调查。在购买或许可数据集时，您必须验证卖家是否拥有经过验证的符合 DROP 标准的流程。如果数据集包含“僵尸数据”——即根据 DROP 请求本应删除的信息——买家可能会面临次要责任，或者发现由于需要移除违规数据进行重新训练而导致其 AI 模型受损。

这对您意味着什么

对于数据所有者来说，合规是流动性的前提。在 2026 市场中，无法进行 DROP 合规审计的数据集是毒性资产。相反，能够证明拥有稳健、自动化删除流程的组织将获得优先考虑监管安全性的机构买家更高的估值。无论您是希望将内部资产变现，还是浏览我们的数据集目录以获取高质量、合规的训练数据，了解 Delete Act 的技术细节已不再是可选项，而是数据经济的核心要求。