Em 1º de janeiro de 2026, a Califórnia lançou o DROP — a Plataforma de Solicitação de Exclusão e Opt-Out — e em 1º de agosto de 2026, ele se torna obrigatório. A partir dessa data, todo corretor de dados registrado na Califórnia deve acessar o DROP pelo menos a cada 45 dias, recuperar solicitações de exclusão centralizadas, determinar se a exclusão é necessária em até 90 dias e reportar. Até 2028, todo corretor deve passar por uma auditoria independente da Lei Delete pelo menos a cada três anos e enviar o relatório à Agência de Proteção à Privacidade da Califórnia (CPPA).
Se você é um corretor de dados, uma empresa que vende informações pessoais ou uma pequena empresa que compra dados de corretores, o prazo importa — não porque você fará a solicitação de exclusão, mas porque o fornecimento de dados do qual você depende está prestes a ser filtrado por solicitações de consumidores em escala, a cada 45 dias, para sempre.
O Que é o DROP — e Por Que Ele Muda o Fluxo de Trabalho
Antes da Lei Delete (SB 362, 2023), um californiano que quisesse excluir informações pessoais mantidas por corretores de dados tinha que encontrar cada corretor e fazer opt-out individualmente — um processo tedioso e manual em mais de 500 corretores registrados. O DROP centraliza isso: um californiano verifica residência uma vez através da plataforma da CPPA, envia uma única solicitação de exclusão, e a solicitação é transmitida a todo corretor registrado atual e futuro. O consumidor pode excluir seletivamente corretores específicos da solicitação e verificar o status.
Para os corretores, a mudança operacional é de solicitações reativas e pontuais para uma fila recorrente e impulsionada pela plataforma:
- Acesse o DROP pelo menos a cada 45 dias. O corretor deve recuperar todas as solicitações de exclusão aplicáveis com essa frequência — não quando tiver tempo, mas em um ciclo de 45 dias.
- Determine em até 90 dias. Para cada solicitação, o corretor tem 90 dias para determinar se a exclusão é necessária, excluir (incluindo instruir provedores de serviços e contratados a excluir) e reportar a determinação ao consumidor via DROP.
- Obrigação contínua. Se o consumidor fez opt-out, o corretor deve excluir qualquer informação que coletar posteriormente sobre esse indivíduo pelo menos a cada 45 dias — não apenas uma vez, mas de forma contínua.
Os corretores também devem divulgar no registro se coletam dados de geolocalização precisa ou informações sobre menores — detalhes de registro ampliados que não existiam antes da SB 362 — e devem ter se registrado anualmente na CPPA desde janeiro de 2024.
Quem é um Corretor de Dados
A Lei Delete se aplica a empresas que coletam e vendem conscientemente informações pessoais de consumidores com quem não têm um relacionamento direto. Se sua receita depende de agregar, combinar e negociar informações pessoais — busca de pessoas, marketing, risco, listas de leads — você está no escopo. Uma pequena empresa que vende ocasionalmente uma lista de clientes não é o alvo, mas uma empresa cujo modelo é a corretagem de dados, mesmo em escala modesta, é.
Se você compra dados de corretores para marketing, pontuação de risco ou geração de leads, você não está diretamente sujeito aos deveres de exclusão da Lei Delete, mas sentirá o efeito a jusante: o pool de corretores do qual você compra será reduzido a cada 45 dias por exclusões. Uma lista de leads comprada em julho pode ser de 10 a 15% menor após a varredura do DROP em agosto, com requisitos de atualização.
A Lista de Verificação Operacional Antes de 1º de Agosto
Se você é um corretor:
- Confirme se o registro na CPPA está atualizado e se a integração com o DROP está testada — recuperação automatizada, não verificação manual no portal
- Construa o calendário de recuperação de 45 dias com um responsável de plantão para que férias não quebrem o ritmo
- Implemente o fluxo de trabalho de determinação e exclusão em 90 dias com notificação a contratados/provedores de serviços — sua obrigação a jusante não termina quando você exclui localmente
- Registre cada determinação com o ID do tíquete do DROP, a data de exclusão e as confirmações dos provedores de serviços — esse registro é a prova para a auditoria de 2028
- Agende a auditoria independente para 2028 agora; auditores já estão com agenda cheia, e a primeira auditoria deve ser protocolada pelo menos a cada três anos
Se você é uma pequena empresa que não é corretora de dados, mas lida com informações pessoais, a Lei Delete não impõe deveres de exclusão diretamente a você, mas sinaliza a direção da CPPA: exclusão centralizada e iniciada pelo consumidor em escala. Alinhar seu próprio fluxo de trabalho de solicitações de privacidade — aviso, verificação, ritmo de exclusão em 45 dias — com o padrão dos corretores reduz a lacuna que você precisará fechar quando obrigações mais amplas da CCPA chegarem até você.
Simplifique Sua Gestão Financeira
Dados que você não pode manter, vender ou reutilizar não têm valor de ativo — e a conformidade com exclusão tem um custo que pertence ao razão contábil. O Beancount.io mantém custos de conformidade, despesas com tratamento de dados e quaisquer taxas de corretores em contabilidade de texto simples e versionada — para que seu próximo ciclo de DROP seja orçado e rastreável, não apenas uma atualização de página de privacidade. Comece grátis e mantenha seu tratamento de dados tão auditável quanto suas finanças.