Il 1° gennaio 2026, la California ha lanciato DROP — la piattaforma per le richieste di cancellazione e l'opt-out (Delete Request and Opt-Out Platform) — e il 1° agosto 2026 diventa obbligatoria. Da quella data, ogni data broker registrato in California deve accedere a DROP almeno ogni 45 giorni, recuperare le richieste di cancellazione centralizzate, determinare entro 90 giorni se la cancellazione è richiesta e riferire. Entro il 2028, ogni broker deve sottoporsi a un audit indipendente ai sensi del Delete Act almeno ogni tre anni e presentare il rapporto alla California Privacy Protection Agency (CPPA).
Se sei un data broker, un'azienda che vende informazioni personali o una piccola impresa che acquista dati dai broker, la scadenza è importante — non perché dovrai effettuare tu la cancellazione, ma perché la fornitura di dati su cui fai affidamento sta per essere filtrata dalle richieste dei consumatori su larga scala, ogni 45 giorni, per sempre.
Cos'è DROP — e perché cambia il flusso di lavoro
Prima del Delete Act (SB 362, 2023), un californiano che voleva eliminare le informazioni personali detenute dai data broker doveva trovare ogni broker e fare opt-out individualmente — un processo manuale e laborioso tra oltre 500 broker registrati. DROP centralizza tutto: un californiano verifica la residenza una sola volta tramite la piattaforma della CPPA, presenta un'unica richiesta di cancellazione e la richiesta viene trasmessa a ogni broker registrato, attuale e futuro. Il consumatore può escludere selettivamente broker specifici dalla richiesta e verificare lo stato.
Per i broker, il cambiamento operativo è da richieste reattive e isolate a una coda ricorrente guidata dalla piattaforma:
- Accedi a DROP almeno ogni 45 giorni. Il broker deve recuperare tutte le richieste di cancellazione applicabili almeno con questa frequenza — non quando ha tempo, ma con un ciclo di 45 giorni.
- Determina entro 90 giorni. Per ogni richiesta, il broker ha 90 giorni per determinare se la cancellazione è richiesta, per cancellare (incluso comunicare ai fornitori di servizi e agli appaltatori di cancellare) e per riferire la determinazione al consumatore tramite DROP.
- Obbligo continuativo. Se il consumatore ha fatto opt-out, il broker deve cancellare qualsiasi informazione raccolta successivamente su quell'individuo almeno ogni 45 giorni — non solo una volta, ma in modo continuativo.
I broker devono inoltre dichiarare al momento della registrazione se raccolgono dati precisi di geolocalizzazione o informazioni su minori — dettagli di registrazione ampliati che non esistevano prima della SB 362 — e devono essersi registrati annualmente presso la CPPA dal gennaio 2024.
Chi è un data broker
Il Delete Act si applica alle aziende che raccolgono e vendono consapevolmente informazioni personali di consumatori con cui non hanno una relazione diretta. Se il tuo fatturato dipende dall'aggregazione, combinazione e commercio di informazioni personali — ricerche di persone, dati di marketing, rischio, elenchi di lead — sei nel campo di applicazione. Una piccola impresa che occasionalmente vende una lista di clienti non è il bersaglio, ma un'azienda il cui modello è l'intermediazione di dati, anche su scala modesta, lo è.
Se acquisti dati dai broker per marketing, scoring del rischio o generazione di lead, non sei direttamente soggetto agli obblighi di cancellazione del Delete Act, ma ne sentirai gli effetti a valle: il bacino di broker da cui acquisti sarà ridotto ogni 45 giorni dalle cancellazioni. Una lista di lead acquistata a luglio potrebbe essere del 10–15% più piccola dopo lo sweep di DROP di agosto, con requisiti di aggiornamento.
La checklist operativa prima del 1° agosto
Se sei un broker:
- Verifica che la registrazione presso la CPPA sia aggiornata e che l'integrazione con DROP sia testata — recupero automatizzato, non controlli manuali sul portale
- Crea il calendario di recupero di 45 giorni con un responsabile reperibile, così una vacanza non interrompe la cadenza
- Implementa il flusso di lavoro di determinazione e cancellazione di 90 giorni con notifica a appaltatori/fornitori di servizi — il tuo obbligo a valle non termina quando cancelli localmente
- Registra ogni determinazione con l'ID del ticket DROP, la data di cancellazione e le conferme dei fornitori di servizi — quel registro è l'evidenza per l'audit del 2028
- Prenota ora l'audit indipendente per il 2028; i revisori si stanno già organizzando e il primo audit deve essere presentato almeno ogni tre anni
Se sei una piccola impresa che non è un data broker ma gestisce informazioni personali, il Delete Act non ti impone direttamente obblighi di cancellazione, ma segnala la direzione della CPPA: cancellazione centralizzata e avviata dal consumatore su larga scala. Allineare il tuo flusso di lavoro per le richieste di privacy — notifica, verifica, cadenza di cancellazione di 45 giorni — allo standard dei broker riduce il divario che dovrai colmare quando ti raggiungeranno obblighi CCPA più ampi.
Semplifica la tua gestione finanziaria
I dati che non puoi conservare, vendere o riutilizzare non hanno valore patrimoniale — e la conformità alla cancellazione ha un costo che appartiene alla contabilità. Beancount.io mantiene i costi di conformità, le spese di gestione dei dati e eventuali commissioni dei broker in contabilità plain-text e versionata — così il tuo prossimo ciclo DROP è budgetizzato e tracciabile, non solo un aggiornamento della pagina privacy. Inizia gratuitamente e mantieni la tua gestione dei dati auditabile quanto le tue finanze.