Le 1er janvier 2026, la Californie a lancé DROP — la plateforme de demandes de suppression et d’opposition — et le 1er août 2026, son usage devient obligatoire. À partir de cette date, chaque courtier en données enregistré en Californie doit accéder à DROP au moins tous les 45 jours, récupérer les demandes de suppression centralisées, déterminer si la suppression est requise sous 90 jours, et faire un rapport. D’ici 2028, chaque courtier devra subir un audit indépendant du Delete Act au moins tous les trois ans et soumettre le rapport à la California Privacy Protection Agency (CPPA).
Si vous êtes un courtier en données, une entreprise qui vend des informations personnelles, ou une petite entreprise qui achète des données auprès de courtiers, la deadline compte — non pas parce que vous effectuerez la suppression vous-même, mais parce que l’approvisionnement en données sur lequel vous comptez va être filtré par des demandes de consommateurs à grande échelle, tous les 45 jours, en permanence.
Ce qu’est DROP — et pourquoi cela change le flux de travail
Avant le Delete Act (SB 362, 2023), un Californien souhaitant supprimer des informations personnelles détenues par des courtiers devait trouver chaque courtier et se désinscrire individuellement — un processus manuel fastidieux auprès de plus de 500 courtiers enregistrés. DROP centralise cela : un Californien vérifie sa résidence une seule fois via la plateforme de la CPPA, soumet une demande de suppression unique, et la demande est transmise à tous les courtiers enregistrés, actuels et futurs. Le consommateur peut exclure sélectivement certains courtiers de la demande et vérifier le statut.
Pour les courtiers, le changement opérationnel passe de demandes réactives et ponctuelles à une file d’attente récurrente pilotée par la plateforme :
- Accéder à DROP au moins tous les 45 jours. Le courtier doit récupérer toutes les demandes de suppression applicables au moins à cette fréquence — pas quand il a le temps, mais selon un cycle de 45 jours.
- Décider sous 90 jours. Pour chaque demande, le courtier dispose de 90 jours pour déterminer si la suppression est requise, supprimer (y compris en demandant aux fournisseurs de services et aux sous-traitants de supprimer), et rapporter la décision au consommateur via DROP.
- Obligation continue. Si le consommateur s’est opposé, le courtier doit supprimer toute information collectée ultérieurement sur cet individu au moins tous les 45 jours — pas seulement une fois, mais de manière continue.
Les courtiers doivent également divulguer lors de l’enregistrement s’ils collectent des données de géolocalisation précises ou des informations sur des mineurs — des détails d’enregistrement élargis qui n’existaient pas avant SB 362 — et ils doivent s’enregistrer annuellement auprès de la CPPA depuis janvier 2024.
Qui est un courtier en données
Le Delete Act s’applique aux entreprises qui collectent et vendent sciemment les informations personnelles de consommateurs avec lesquels elles n’ont pas de relation directe. Si votre chiffre d’affaires dépend de l’agrégation, de la combinaison et de la vente d’informations personnelles — recherche de personnes, données marketing, risque, listes de prospects — vous êtes concerné. Une petite entreprise qui vend occasionnellement une liste de clients n’est pas la cible, mais une entreprise dont le modèle repose sur le courtage de données, même à une échelle modeste, l’est.
Si vous achetez des données auprès de courtiers pour le marketing, la notation de risque ou la génération de prospects, vous n’êtes pas directement soumis aux obligations de suppression du Delete Act, mais vous en ressentirez les effets en aval : le bassin de courtiers auprès duquel vous achetez sera réduit tous les 45 jours par les suppressions. Une liste de prospects achetée en juillet peut être réduite de 10 à 15 % après le passage de DROP en août, avec des exigences de rafraîchissement.
La liste de contrôle opérationnelle avant le 1er août
Si vous êtes un courtier :
- Vérifier que l’enregistrement auprès de la CPPA est à jour et que l’intégration DROP est testée — récupération automatisée, pas de vérification manuelle sur le portail
- Mettre en place le calendrier de récupération de 45 jours avec un responsable d’astreinte pour qu’un congé ne casse pas le rythme
- Mettre en œuvre le flux de décision et de suppression sous 90 jours avec notification aux sous-traitants et fournisseurs de services — votre obligation en aval ne s’arrête pas lorsque vous supprimez localement
- Journaliser chaque décision avec l’identifiant du ticket DROP, la date de suppression et les confirmations des fournisseurs de services — ce journal constitue la pièce justificative de l’audit de 2028
- Planifier l’audit indépendant pour 2028 dès maintenant ; les auditeurs réservent déjà, et le premier audit doit être déposé au moins tous les trois ans
Si vous êtes une petite entreprise qui n’est pas un courtier en données mais qui traite des informations personnelles, le Delete Act ne vous impose pas directement d’obligations de suppression, mais il indique la direction de la CPPA : une suppression centralisée et initiée par le consommateur à grande échelle. Aligner votre propre flux de travail de demandes de confidentialité — notification, vérification, cadence de suppression de 45 jours — sur la norme des courtiers réduit l’écart que vous devrez combler lorsque des obligations CCPA plus larges vous atteindront.
Simplifiez votre gestion financière
Les données que vous ne pouvez pas conserver, vendre ou réutiliser n’ont aucune valeur d’actif — et la conformité en matière de suppression a un coût qui doit figurer dans vos livres. Beancount.io garde les coûts de conformité, les dépenses de traitement des données et les éventuels frais de courtage dans une comptabilité en texte brut et versionnée — afin que votre prochain cycle DROP soit budgété et traçable, et pas seulement une mise à jour de page de confidentialité. Commencez gratuitement et gardez votre traitement des données aussi auditable que vos finances.