- januára 2026 Kalifornia spustila DROP – platformu na podávanie žiadostí o výmaz a odhlásenie (Delete Request and Opt-Out Platform) – a 1. augusta 2026 sa jej používanie stáva povinným. Od tohto dátumu musí každý registrovaný sprostredkovateľ dát v Kalifornii pristupovať k DROP aspoň každých 45 dní, vyzdvihnúť centralizované žiadosti o výmaz, rozhodnúť, či je výmaz potrebný, do 90 dní, a nahlásiť výsledok. Do roku 2028 musí každý sprostredkovateľ absolvovať nezávislý audit podľa zákona Delete Act aspoň každé tri roky a predložiť správu Kalifornskému úradu na ochranu súkromia (CPPA).
Ak ste sprostredkovateľ dát, podnik, ktorý predáva osobné informácie, alebo malý podnik, ktorý nakupuje dáta od sprostredkovateľov, tento termín sa vás týka – nie preto, že by ste výmaz vykonávali sami, ale preto, že dodávky dát, na ktoré sa spoliehate, budú odteraz každých 45 dní trvalo filtrované žiadosťami spotrebiteľov.
Čo je DROP – a prečo mení pracovný postup
Pred zákonom Delete Act (SB 362, 2023) musel Kalifornčan, ktorý chcel vymazať osobné informácie u sprostredkovateľov dát, nájsť každého sprostredkovateľa a odhlásiť sa jednotlivo – zdĺhavý manuálny proces u viac ako 500 registrovaných sprostredkovateľov. DROP to centralizuje: Kalifornčan overí pobyt raz prostredníctvom platformy CPPA, podá jednu žiadosť o výmaz a tá sa odošle všetkým súčasným aj budúcim registrovaným sprostredkovateľom. Spotrebiteľ môže z žiadosti selektívne vylúčiť konkrétnych sprostredkovateľov a sledovať stav.
Pre sprostredkovateľov znamená posun od reaktívnych, jednorazových žiadostí k opakujúcemu sa frontu riadenému platformou:
- Prístup k DROP aspoň každých 45 dní. Sprostredkovateľ musí vyzdvihnúť všetky príslušné žiadosti o výmaz aspoň tak často – nie vtedy, keď má čas, ale v 45-dňovom cykle.
- Rozhodnutie do 90 dní. Pri každej žiadosti má sprostredkovateľ 90 dní na rozhodnutie, či je výmaz potrebný, na výmaz (vrátane pokynov poskytovateľom služieb a dodávateľom, aby dáta vymazali) a na nahlásenie rozhodnutia spotrebiteľovi prostredníctvom DROP.
- Priebežná povinnosť. Ak sa spotrebiteľ odhlásil, sprostredkovateľ musí vymazať všetky informácie, ktoré o tejto osobe neskôr získa, aspoň každých 45 dní – nie len raz, ale priebežne.
Sprostredkovatelia musia tiež pri registrácii uviesť, či zhromažďujú presné údaje o geolokácii alebo informácie o maloletých – rozšírené registračné údaje, ktoré pred SB 362 neexistovali – a od januára 2024 sa musia každoročne registrovať u CPPA.
Kto je sprostredkovateľ dát
Zákon Delete Act sa vzťahuje na podniky, ktoré vedome zhromažďujú a predávajú osobné informácie spotrebiteľov, s ktorými nemajú priamy vzťah. Ak váš príjem závisí od agregácie, kombinovania a obchodovania s osobnými informáciami – vyhľadávanie ľudí, marketingové dáta, riziká, zoznamy potenciálnych zákazníkov – spadáte do rozsahu. Malý podnik, ktorý príležitostne predá zákaznícky zoznam, nie je cieľom, ale podnik, ktorého modelom je sprostredkovanie dát, aj v miernom rozsahu, áno.
Ak nakupujete dáta od sprostredkovateľov na marketing, hodnotenie rizík alebo generovanie potenciálnych zákazníkov, nie ste priamo povinní podľa zákona Delete Act, ale pocítite to v dodávateľskom reťazci: zdroj sprostredkovateľov, od ktorých nakupujete, bude každých 45 dní rednúť o výmazy. Zoznam potenciálnych zákazníkov zakúpený v júli môže byť po augustovom DROP vyčistení o 10 – 15 % menší, s požiadavkami na aktualizáciu.
Operačný kontrolný zoznam pred 1. augustom
Ak ste sprostredkovateľ:
- Overte, že registrácia u CPPA je aktuálna a integrácia DROP je otestovaná – automatizované vyzdvihovanie, nie manuálne kontroly portálu
- Vytvorte 45-dňový kalendár vyzdvihovania s určenou zodpovednou osobou, aby dovolenka neprerušila rytmus
- Zaveďte 90-dňový postup rozhodovania a výmazu s notifikáciou dodávateľov a poskytovateľov služieb – vaša povinnosť voči dodávateľskému reťazcu nekončí lokálnym výmazom
- Zaznamenávajte každé rozhodnutie s ID tiketu DROP, dátumom výmazu a potvrdeniami od poskytovateľov služieb – tento záznam bude podkladom pre audit v roku 2028
- Naplánujte nezávislý audit na rok 2028 už teraz; audítori sa už rezervujú a prvý audit musí byť predložený aspoň každé tri roky
Ak ste malý podnik, ktorý nie je sprostredkovateľom dát, ale narába s osobnými informáciami, zákon Delete Act vám priamo neukladá povinnosti výmazu, ale signalizuje smer CPPA: centralizovaný výmaz na základe podnetu spotrebiteľa vo veľkom. Zosúladenie vlastného postupu pri žiadostiach o súkromie – notifikácia, overenie, 45-dňový cyklus výmazu – so štandardom sprostredkovateľov zníži medzeru, ktorú budete musieť uzavrieť, keď sa na vás vzťahnú širšie povinnosti podľa CCPA.
