El 1 de enero de 2026, California lanzó DROP — la Plataforma de Solicitudes de Eliminación y Exclusión — y el 1 de agosto de 2026 se vuelve obligatoria. A partir de esa fecha, cada corredor de datos registrado en California debe acceder a DROP al menos cada 45 días, recuperar las solicitudes de eliminación centralizadas, determinar si la eliminación es necesaria dentro de los 90 días, y reportar los resultados. Para 2028, cada corredor debe someterse a una auditoría independiente de la Ley Delete al menos cada tres años y presentar el informe a la Agencia de Protección de Privacidad de California (CPPA).
Si usted es un corredor de datos, una empresa que vende información personal, o una pequeña empresa que compra datos de corredores, la fecha límite importa — no porque usted presentará la eliminación usted mismo, sino porque el suministro de datos del que depende está a punto de ser filtrado por solicitudes de consumidores a escala, cada 45 días, para siempre.
Qué es DROP — y por qué cambia el flujo de trabajo
Antes de la Ley Delete (SB 362, 2023), un californiano que quería eliminar información personal mantenida por corredores de datos tenía que encontrar a cada corredor y optar por excluirse individualmente — un proceso tedioso y manual a través de más de 500 corredores registrados. DROP centraliza eso: un californiano verifica su residencia una vez a través de la plataforma de la CPPA, envía una sola solicitud de eliminación, y la solicitud se transmite a todos los corredores registrados actuales y futuros. El consumidor puede excluir selectivamente corredores específicos de la solicitud y verificar el estado.
Para los corredores, el cambio operativo es pasar de solicitudes reactivas y únicas a una cola recurrente impulsada por la plataforma:
- Acceder a DROP al menos cada 45 días. El corredor debe recuperar todas las solicitudes de eliminación aplicables al menos con esa frecuencia — no cuando tenga tiempo, sino en un ciclo de 45 días.
- Determinar dentro de 90 días. Para cada solicitud, el corredor tiene 90 días para determinar si la eliminación es necesaria, para eliminar (incluyendo notificar a los proveedores de servicios y contratistas para que eliminen), y para reportar la determinación al consumidor a través de DROP.
- Obligación continua. Si el consumidor ha optado por la exclusión, el corredor debe eliminar cualquier información que recopile posteriormente sobre ese individuo al menos cada 45 días — no solo una vez, sino de forma continua.
Los corredores también deben revelar en el registro si recopilan datos de geolocalización precisos o información sobre menores — detalles de registro ampliados que no existían antes de la SB 362 — y deben haberse registrado anualmente con la CPPA desde enero de 2024.
Quién es un corredor de datos
La Ley Delete se aplica a empresas que recopilan y venden conscientemente la información personal de consumidores con quienes no tienen una relación directa. Si sus ingresos dependen de agregar, combinar y comerciar información personal — búsqueda de personas, datos de marketing, riesgo, listas de clientes potenciales — usted está dentro del alcance. Una pequeña empresa que ocasionalmente vende una lista de clientes no es el objetivo, pero una empresa cuyo modelo es la correduría de datos, incluso a escala modesta, sí lo es.
Si usted compra datos de corredores para marketing, evaluación de riesgos o generación de clientes potenciales, no está directamente sujeto a las obligaciones de eliminación de la Ley Delete, pero lo sentirá en la cadena: el grupo de corredores del que compra se reducirá cada 45 días debido a las eliminaciones. Una lista de clientes potenciales comprada en julio puede ser 10-15% más pequeña después del barrido de DROP en agosto, con requisitos de actualización.
La lista de verificación operativa antes del 1 de agosto
Si usted es un corredor:
- Confirme que el registro en la CPPA está actualizado y que la integración con DROP está probada — recuperación automatizada, no verificaciones manuales en el portal
- Construya el calendario de recuperación de 45 días con un responsable disponible para que unas vacaciones no rompan la cadencia
- Implemente el flujo de trabajo de determinación y eliminación de 90 días con notificación a contratistas/proveedores de servicios — su obligación descendente no termina cuando elimina localmente
- Registre cada determinación con el ID de ticket de DROP, la fecha de eliminación y las confirmaciones de los proveedores de servicios — ese registro es la evidencia de la auditoría de 2028
- Programe la auditoría independiente para 2028 ahora; los auditores ya están reservando, y la primera auditoría debe presentarse al menos cada tres años
Si usted es una pequeña empresa que no es corredora de datos pero maneja información personal, la Ley Delete no le impone directamente obligaciones de eliminación, pero señala la dirección de la CPPA: eliminación centralizada e iniciada por el consumidor a escala. Alinear su propio flujo de trabajo de solicitudes de privacidad — aviso, verificación, cadencia de eliminación de 45 días — con el estándar de los corredores reduce la brecha que necesitará cerrar cuando las obligaciones más amplias de la CCPA le alcancen.
Simplifique su gestión financiera
Los datos que no puede conservar, vender o reutilizar no tienen valor de activo — y el cumplimiento de la eliminación tiene un costo que pertenece al libro mayor. Beancount.io mantiene los costos de cumplimiento, los gastos de manejo de datos y cualquier tarifa de corredores en contabilidad de texto plano y controlada por versiones — para que su próximo ciclo de DROP esté presupuestado y sea rastreable, no solo una actualización de la página de privacidad. Comience gratis y mantenga su manejo de datos tan auditable como sus finanzas.