Il DROP Act della California inizia l'1 agosto: Automazione delle richieste di cancellazione

Immagina un residente della California frustrato perché i suoi dati personali circolano all'infinito tra i data broker — profili costruiti a partire dalle abitudini di acquisto online, dalla cronologia di navigazione e dagli interessi dedotti. Con una singola richiesta tramite la nuova Delete Request and Opt-Out Platform (DROP) dello Stato, può chiedere la cancellazione da centinaia di broker contemporaneamente. A partire dal 1 agosto 2026, i data broker devono automatizzare questo processo ogni 45 giorni o affrontare pesanti sanzioni, ridefinendo il modo in cui le aziende gestiscono i dati dei consumatori.¹ ²

Non si tratta solo di una questione californiana. Se il tuo sito web serve utenti della California e prevede la raccolta, la condivisione o la vendita di dati — anche in modo indiretto — potresti essere interessato. Il Delete Act (SB 362), firmato nell’ottobre 2023, impone questo sistema centralizzato per dare potere ai consumatori, imponendo al contempo requisiti operativi stringenti ai data broker.³ ² Con DROP attivo per le richieste dei consumatori dal 1 gennaio 2026 e gli obblighi di elaborazione in arrivo, è il momento di valutare la conformità.⁴ ⁵

Cos’è il Delete Act e DROP?

Il Delete Act si basa sul registro dei data broker del 2019 della California introducendo DROP, una piattaforma unica nel suo genere amministrata dalla California Privacy Protection Agency (CalPrivacy). Consente ai consumatori di inviare una singola richiesta verificabile per cancellare le proprie informazioni personali da tutti i data broker registrati, oltre a optare per il non‑vendere o non‑condividere i dati in futuro.¹ ⁶ ⁷

Scadenze principali

Gennaio 2024 in poi: Registrazione annuale dei data broker con CalPrivacy, comprese le tariffe per finanziare il registro e DROP.⁶ ³
1 gennaio 2026: DROP apre per le richieste dei consumatori; i data broker creano gli account e completano la registrazione entro il 31 gennaio.⁴ ⁵ ²
Primavera 2026: Disponibile l’integrazione API per l’accesso automatizzato.⁴
1 agosto 2026: I data broker devono recuperare e processare le richieste ogni 45 giorni.¹ ⁴ ⁵
Gennaio 2028: Inizio delle verifiche indipendenti triennali.³

DROP utilizza identificatori standardizzati e un algoritmo di hashing specificato per abbinare le richieste ai record, garantendo cancellazioni precise.¹ ⁴ Le normative finalizzate nel 2026 richiedono ai data broker di estendere la cancellazione anche a fornitori di servizi, appaltatori e affiliate.¹

Questo richiama le tendenze più ampie della privacy, come il diritto alla cancellazione previsto dal CCPA (Civil Code § 1798.105), ma lo scala tramite l’automazione per i data broker.¹

Chi è considerato un Data Broker?

La California definisce un data broker in modo ampio: qualsiasi entità che “raccolga consapevolmente e venda a terzi le informazioni personali di un consumatore con cui l’impresa non ha una relazione diretta.”⁴ ⁵ Ciò include aggregatori, arricchitori e rivenditori di dati raccolti al di fuori delle interazioni dirette con i consumatori, ad esempio da fonti pubbliche o acquisti da terze parti.⁴ ⁷

Siti web o app che vendono o condividono i dati degli utenti per profilazione, pubblicità o arricchimento — anche se non è la tua attività principale — possono rientrare nella definizione.⁴ ⁵
Sono previste esenzioni per dati governativi pubblici, informazioni creditizie coperte dal FCRA, dati sanitari soggetti a HIPAA e imprese già conformi a tali leggi.⁷
Se condividi dati a valle (ad es. con fornitori di analytics), verifica se ciò attiva lo status di broker.⁴

Proprietari di siti web: il traffico proveniente da utenti californiani non ti rende automaticamente un broker, ma se gestisci informazioni personali (es. email, IP, dati di comportamento) e le vendi o condividi, registrati subito. Le imprese non californiane rientrano nel campo di applicazione se mirano o elaborano dati della California.⁴ ⁵

Requisiti di Conformità Principali a partire dal 1 agosto 2026

Dal 1 agosto, i data broker devono controllare DROP almeno ogni 45 giorni tramite il sito web di CalPrivacy o l’API.¹ ⁴ ⁵ Ecco il processo passo‑passo:

Creazione dell’account: Registrare un account DROP sicuro, selezionare le liste di cancellazione dei consumatori pertinenti (evitando duplicati) e mantenere controlli di accesso. Notificare immediatamente a CalPrivacy eventuali violazioni.¹
Recupero delle richieste: Scaricare le liste corrispondenti ai propri identificatori di dati (es. email hashate, nomi).¹ ⁴
Abbinamento e cancellazione: Utilizzare l’hashing standardizzato per confermare le corrispondenze. Cancellare tutte le informazioni personali associate, incluse le inferenze, dai propri sistemi, fornitori di servizi e appaltatori. Richiedere loro di conformarsi.¹ ⁴ ⁵
Tempistica: Concludere entro 90 giorni dal recupero. Non contattare i consumatori per la verifica — è proibito dalla Sezione 7616.¹ ⁵
Conservazione dei registri: Documentare le decisioni, mantenere le liste di soppressione e conservare i record. Segnalare lo stato tramite DROP.⁴ ⁵
Continuità: Aggiornare i dettagli dell’account, cancellare i dati forniti da DROP se si esce dallo status di broker (entro 30 giorni dalla registrazione/verifica) e disattivare l’account.¹

L’automazione è fondamentale: i controlli manuali rischiano di perdere il ciclo di 45 giorni. L’integrazione API, disponibile dalla primavera 2026, consente estrazioni programmatiche, abbinamenti e propagazione.⁴

Le sanzioni sono severe: $200 per ogni richiesta mancata al giorno. Una singola richiesta trascurata può rapidamente trasformarsi in una multa ingente.¹

Propagazione ai Fornitori: La Sfida Nascosta per i Siti Web

I data broker spesso si affidano a fornitori per archiviazione, analytics o marketing. DROP richiede di propagare le cancellazioni a tutti i fornitori di servizi e appaltatori che detengono i dati.¹ ⁴ Questo richiama gli obblighi dei processor previsti dal GDPR (Articolo 28) e le regole sui fornitori di servizio del CCPA (Civil Code § 1798.140(v)).¹

Suggerimenti pratici per la conformità

Mappa il tuo ecosistema: Inventaria tutti i fornitori che trattano dati personali della California. Classificali come fornitori di servizio (uso limitato) o come soggetti che abilitano vendite/condivisioni.⁴
Aggiornamento dei contratti: Modifica gli accordi per imporre la conformità a DROP, API di cancellazione automatica e diritti di audit. Includi indennizzi per le sanzioni.¹
Implementazione tecnica:
- Integra l’API DROP per l’ingestione delle richieste.
- Costruisci workflow interni di cancellazione: hashing → scansione dati → propagazione tramite API dei fornitori.
- Usa le liste di soppressione per bloccare la riacquisizione.
Test: Sfrutta il sandbox di CalPrivacy per provare le API prima del 1 agosto.⁵
Eccezioni: Non cancellare se i dati sono informazioni pubbliche governative o esenti secondo altre leggi (es. registri finanziari).⁷

Per i siti web: se non sei un broker ma utilizzi data broker (es. per targeting pubblicitario), assicurati che i tuoi contratti richiedano la conformità a DROP per evitare responsabilità indirette.

Passi Operativi per Proprietari di Siti Web e Aziende

Con sei mesi prima dell’applicazione (febbraio 2026), dai priorità a questi punti:

Auto‑valutazione (Ora): Rivedi i flussi di dati rispetto alle definizioni del Delete Act. Usa il registro di CalPrivacy per controllare i pari.⁵ ²
Registrazione se necessaria (Gennaio 2026): Processo annuale a pagamento; includi le divulgazioni potenziate secondo le modifiche SB 361.⁶ ²
Costruisci l’automazione:

Passo	Azione	Tempistica
1. Creazione account	Via sito CalPrivacy	1‑31 gen 2026⁴
2. Configurazione API	Integra sandbox	Primavera 2026⁴ ⁵
3. Pipeline di cancellazione	Hash, scansione, propagazione	Test entro luglio 2026
4. Primo controllo	Recupera/elabora	1 agosto 2026¹

Preparazione audit: Pianifica gli audit del 2028; documenta tutto.³
Formazione del team: Educa legale, ingegneria e operazioni sulle proibizioni (es. nessun contatto con il consumatore).¹
Monitoraggio aggiornamenti: Le normative sono evolute dalle proposte del 2024; segui CalPrivacy per chiarimenti.³ ²

Confronto con altre leggi

Legge	Meccanismo di cancellazione	Frequenza/Automazione
CCPA §1798.105	Richieste individuali	45‑90 giorni, manuale¹
GDPR Art. 17	Diritto alla cancellazione	Tempestivo, propagazione del processor
DROP (Delete Act)	Centralizzato, automatizzato	Ogni 45 giorni¹ ⁴

Questa automazione riduce l’attrito per il consumatore ma richiede stack tecnologici solidi.

Sfide Potenziali e Rischi

Scala: I broker ad alto volume gestiscono migliaia di richieste; i processi manuali non sono sostenibili.⁴
Precisione dell’abbinamento: Errori di hashing possono provocare sovra‑ o sotto‑cancellazioni, invitando a multe o cause legali.¹
Resistenza dei fornitori: Partner non conformi ti espongono a responsabilità.¹
Applicazione: Le recenti azioni della CPPA indicano una supervisione aggressiva; gli audit iniziano nel 2028.⁶ ³

Le imprese che abbandonano lo status di broker devono notificare entro 45 giorni e cancellare i dati.¹

Punti Chiave da Ricordare

1 agosto 2026 è il go‑live: Automatizza i controlli DROP ogni 45 giorni o rischia multe di $200 al giorno per richiesta.¹ ⁵
Ambito ampio: Qualsiasi venditore/condivisore di dati della California può qualificarsi come broker — valuta subito.⁴ ⁵
L’automazione vince: L’integrazione API e la propagazione ai fornitori sono imprescindibili per l’efficienza.⁴
Pianifica in anticipo: Auto‑audit, aggiornamento contratti, test dei pipeline e documentazione per gli audit.⁵
Potere del consumatore: DROP semplifica le cancellazioni, allineandosi a CCPA/GDPR ma in modo centralizzato e unico.⁷ ²

La conformità non è opzionale — è un vantaggio competitivo in una California orientata alla privacy. Rimani vigile mentre CalPrivacy affina l’implementazione.¹ ²

Il DROP Act della California inizia l'1 agosto: Automazione delle richieste di cancellazione