如何遵守《加州删除法案》和 DROP 系统

加利福尼亚州数据经纪商删除请求和选择退出平台 (DROP) 的正式上线，已将数据隐私从被动的法律义务转变为强制性的技术管道。自 2026 年 8 月 1 日起，加利福尼亚州隐私保护局 (CPPA) 已启动集中机制，允许消费者通过单一请求删除其在所有注册数据经纪商处存储的个人信息。对于被归类为数据经纪商的组织而言，手动处理的宽限期已经结束。

不合规不再是简单的行政摩擦问题。根据《加利福尼亚州删除法案》(SB 362)，CPPA 有权对每位消费者请求、每天未处理删除的每一天处以 200 美元的罚款（iapp.org）。对于管理数千个请求的经纪商而言，这些累积的罚款在数学上可能在短短 45 天的周期内达到数百万美元的风险敞口。本指南概述了使您的数据基础设施与 DROP 系统保持一致所需的具体步骤。

1. 确定您在 SB 362 下的身份

合规的第一步是确认您的实体是否符合“数据经纪商”的法定定义。加利福尼亚州将数据经纪商定义为知情收集个人信息并将其出售给第三方，而该业务与消费者没有直接关系的商业实体。在特定情况下，这不包括受《公平信用报告法》(FCRA) 或《格拉姆-李奇-布莱利法案》(GLBA) 管辖的实体。

如果您的组织为人工智能训练或二级市场许可聚合数据集，您很可能属于此范围。在向 CPPA 注册之前，了解您在 GDPR 和 CCPA 框架下合法可以销售的内容至关重要，因为注册行为本身就会触发与 DROP 系统对接的要求。

2. 45 天同步强制规定

《删除法案》的核心要求是经纪商至少每 45 天查询一次 DROP 平台。这不是一个建议；这是一个已披露的法定截止日期（leginfo.legislature.ca.gov）。您的技术团队必须实施自动化流程来：

• 连接到 CPPA 的 API 以检索最新的删除请求批次。
• 将提供的标识符（姓名、电子邮件、哈希 ID）与您的内部生产和备份数据库进行交叉引用。
• 执行删除与这些消费者相关的所有个人信息。
• 确保在未来的数据摄入周期中，数据不会被重新收集或重新关联到消费者。

至关重要的是，如果经纪商无法通过 DROP 提供的数据验证消费者的身份，根据 CPPA 的执法指南，他们仍必须将该请求视为选择退出出售或共享该消费者信息的行为。

3. 处理“禁止重新识别”的悖论

DROP 合规的一个重大挑战是禁止重新识别消费者。法律规定，经纪商不得将删除请求中提供的信息用于除促进删除以外的任何目的。这需要一种“隔离室”方法来处理请求：必须使用州提供的数据来触发数据清除，然后将其丢弃或隔离，而不是添加到“抑制列表”中，从而无意中创建了消费者的个人资料。

4. 强制性三年一次的审计

除了 45 天同步外，数据经纪商还必须每三年进行一次独立审计。此审计必须验证是否符合删除要求，并且必须根据要求将审计结果提交给 CPPA。这些审计的估计成本可能从 15,000 美元到 50,000 美元以上不等，具体取决于数据架构的复杂性（iapp.org）。记录每一次删除事件，包括 DROP 查询的时间戳和清除确认，对于成功的审计追踪至关重要。

5. 财务和运营风险管理

《删除法案》的财政影响超出了罚款。CPPA 最近讨论了提高数据经纪商注册费以资助 DROP 系统的维护，拟议的年费达到已披露的显著金额，以覆盖行政管理费用（iapp.org）。

对于数据购买者而言，《删除法案》引入了新的尽职调查层级。在收购或许可数据集时，您必须验证卖方是否拥有经过验证的符合 DROP 标准的管道。如果数据集包含“僵尸数据”（即本应根据 DROP 请求删除的信息），购买者可能会面临次要责任，或者在需要不包含非法数据的模型进行重新训练时，其人工智能模型可能会受到损害。

这对您意味着什么

对于数据所有者而言，合规是实现流动性的先决条件。无法审计以符合 DROP 标准的数据集在 2026 年的市场中将是“有毒资产”。相反，能够证明拥有强大、自动化的删除管道的组织，将从优先考虑监管安全性的机构买家那里获得更高的估值。无论您是希望将内部资产货币化，还是浏览我们的数据集目录以获取高质量、合规的训练数据，理解《删除法案》的技术细节已不再是可选项——它是数据经济的核心要求。