- januára 2026 Kalifornia spustila DROP – platformu na podávanie žiadostí o výmaz a odhlásenie (Delete Request and Opt-Out Platform) – a 1. augusta 2026 sa jej používanie stáva povinným. Od tohto dátumu musí každý registrovaný sprostredkovateľ dát v Kalifornii pristupovať k DROP aspoň každých 45 dní, vyzdvihnúť centralizované žiadosti o výmaz, rozhodnúť, či je výmaz potrebný, do 90 dní, a nahlásiť výsledok. Do roku 2028 musí každý sprostredkovateľ absolvovať nezávislý audit podľa zákona Delete Act aspoň každé tri roky a predložiť správu Kalifornskému úradu na ochranu súkromia (CPPA).
Ak ste sprostredkovateľ dát, podnik, ktorý predáva osobné informácie, alebo malý podnik, ktorý nakupuje dáta od sprostredkovateľov, tento termín sa vás týka – nie preto, že by ste výmaz vykonávali sami, ale preto, že dodávky dát, na ktoré sa spoliehate, budú odteraz každých 45 dní trvalo filtrované žiadosťami spotrebiteľov.
Čo je DROP – a prečo mení pracovný postup
Pred zákonom Delete Act (SB 362, 2023) musel Kalifornčan, ktorý chcel vymazať osobné informácie u sprostredkovateľov dát, nájsť každého sprostredkovateľa a odhlásiť sa jednotlivo – zdĺhavý manuálny proces u viac ako 500 registrovaných sprostredkovateľov. DROP to centralizuje: Kalifornčan overí pobyt raz prostredníctvom platformy CPPA, podá jednu žiadosť o výmaz a tá sa odošle všetkým súčasným aj budúcim registrovaným sprostredkovateľom. Spotrebiteľ môže z žiadosti selektívne vylúčiť konkrétnych sprostredkovateľov a sledovať stav.
Pre sprostredkovateľov znamená posun od reaktívnych, jednorazových žiadostí k opakujúcemu sa frontu riadenému platformou:
- Prístup k DROP aspoň každých 45 dní. Sprostredkovateľ musí vyzdvihnúť všetky príslušné žiadosti o výmaz aspoň tak často – nie vtedy, keď má čas, ale v 45-dňovom cykle.
- Rozhodnutie do 90 dní. Pri každej žiadosti má sprostredkovateľ 90 dní na rozhodnutie, či je výmaz potrebný, na výmaz (vrátane pokynov poskytovateľom služieb a dodávateľom, aby dáta vymazali) a na nahlásenie rozhodnutia spotrebiteľovi prostredníctvom DROP.
- Priebežná povinnosť. Ak sa spotrebiteľ odhlásil, sprostredkovateľ musí vymazať všetky informácie, ktoré o tejto osobe neskôr získa, aspoň každých 45 dní – nie len raz, ale priebežne.
Sprostredkovatelia musia tiež pri registrácii uviesť, či zhromažďujú presné údaje o geolokácii alebo informácie o maloletých – rozšírené registračné údaje, ktoré pred SB 362 neexistovali – a od januára 2024 sa musia každoročne registrovať u CPPA.
Kto je sprostredkovateľ dát
Zákon Delete Act sa vzťahuje na podniky, ktoré vedome zhromažďujú a predávajú osobné informácie spotrebiteľov, s ktorými nemajú priamy vzťah. Ak váš príjem závisí od agregácie, kombinovania a obchodovania s osobnými informáciami – vyhľadávanie ľudí, marketingové dáta, riziká, zoznamy potenciálnych zákazníkov – spadáte do rozsahu. Malý podnik, ktorý príležitostne predá zákaznícky zoznam, nie je cieľom, ale podnik, ktorého modelom je sprostredkovanie dát, aj v miernom rozsahu, áno.
Ak nakupujete dáta od sprostredkovateľov na marketing, hodnotenie rizík alebo generovanie potenciálnych zákazníkov, nie ste priamo povinní podľa zákona Delete Act, ale pocítite to v dodávateľskom reťazci: zdroj sprostredkovateľov, od ktorých nakupujete, bude každých 45 dní rednúť o výmazy. Zoznam potenciálnych zákazníkov zakúpený v júli môže byť po augustovom DROP vyčistení o 10 – 15 % menší, s požiadavkami na aktualizáciu.
Operačný kontrolný zoznam pred 1. augustom
Ak ste sprostredkovateľ:
- Overte, že registrácia u CPPA je aktuálna a integrácia DROP je otestovaná – automatizované vyzdvihovanie, nie manuálne kontroly portálu
- Vytvorte 45-dňový kalendár vyzdvihovania s určenou zodpovednou osobou, aby dovolenka neprerušila rytmus
- Zaveďte 90-dňový postup rozhodovania a výmazu s notifikáciou dodávateľov a poskytovateľov služieb – vaša povinnosť voči dodávateľskému reťazcu nekončí lokálnym výmazom
- Zaznamenávajte každé rozhodnutie s ID tiketu DROP, dátumom výmazu a potvrdeniami od poskytovateľov služieb – tento záznam bude podkladom pre audit v roku 2028
- Naplánujte nezávislý audit na rok 2028 už teraz; audítori sa už rezervujú a prvý audit musí byť predložený aspoň každé tri roky
Ak ste malý podnik, ktorý nie je sprostredkovateľom dát, ale narába s osobnými informáciami, zákon Delete Act vám priamo neukladá povinnosti výmazu, ale signalizuje smer CPPA: centralizovaný výmaz na základe podnetu spotrebiteľa vo veľkom. Zosúladenie vlastného postupu pri žiadostiach o súkromie – notifikácia, overenie, 45-dňový cyklus výmazu – so štandardom sprostredkovateľov zníži medzeru, ktorú budete musieť uzavrieť, keď sa na vás vzťahnú širšie povinnosti podľa CCPA.
Zjednodušte si finančné riadenie
Dáta, ktoré nemôžete uchovávať, predávať ani opätovne použiť, nemajú žiadnu hodnotu aktíva – a náklady na dodržiavanie výmazu patria do účtovníctva. Beancount.io udržiava náklady na dodržiavanie predpisov, výdavky na narábanie s dátami a prípadné poplatky sprostredkovateľom v účtovníctve v čistom texte so správou verzií – takže váš ďalší cyklus DROP je rozpočtovaný a vysledovateľný, nie len aktualizáciou stránky o ochrane súkromia. Začnite zadarmo a udržujte narábanie s dátami rovnako auditovateľné ako vaše financie.