Lei DROP da Califórnia começa em 1º de agosto: Automação de solicitações de exclusão

Imagine um residente da Califórnia frustrado com seus dados pessoais circulando incessantemente entre corretores de dados — perfis construídos a partir de hábitos de compras online, histórico de navegação e interesses inferidos. Com um único pedido através da nova Plataforma de Solicitação de Exclusão e Opt‑Out (DROP) do estado, ele pode exigir a exclusão em centenas de corretores de uma só vez. A partir de 1º de agosto de 2026, os corretores de dados devem automatizar esse processo a cada 45 dias ou enfrentar multas pesadas, redefinindo a forma como as empresas tratam os dados dos consumidores.¹ ²

Isso não é apenas um problema da Califórnia. Se o seu site atende usuários californianos e envolve coleta, compartilhamento ou venda de dados — mesmo que indiretamente — você pode ser afetado. O Delete Act (SB 362), assinado em outubro de 2023, estabelece esse sistema centralizado para capacitar os consumidores, ao mesmo tempo em que impõe requisitos operacionais rigorosos aos corretores de dados.³ ² Com a DROP em funcionamento para solicitações de consumidores desde 1º de janeiro de 2026, e as obrigações de processamento entrando em vigor em breve, este é o momento de avaliar a conformidade.⁴ ⁵

O que é o Delete Act e a DROP?

O Delete Act amplia o registro de corretores de dados da Califórnia de 2019 ao introduzir a DROP, uma plataforma pioneira administrada pela California Privacy Protection Agency (CalPrivacy). Ela permite que os consumidores enviem um único pedido verificável para excluir suas informações pessoais de todos os corretores registrados, além de optar por não ter seus dados vendidos ou compartilhados no futuro.¹ ⁶ ⁷

Principais marcos temporais:

Janeiro de 2024 em diante: Registro anual de corretores de dados na CalPrivacy, incluindo taxas para financiar o registro e a DROP.⁶ ³
1º de janeiro de 2026: A DROP abre para submissões de consumidores; os corretores criam contas e completam o registro até 31 de janeiro.⁴ ⁵ ²
Primavera de 2026: Integração de API disponível para acesso automatizado.⁴
1º de agosto de 2026: Corretores devem recuperar e processar solicitações a cada 45 dias.¹ ⁴ ⁵
Janeiro de 2028: Início das auditorias independentes trienais.³

A DROP usa identificadores padronizados e um algoritmo de hash especificado para combinar solicitações com registros, garantindo exclusões precisas.¹ ⁴ As regulamentações finalizadas em 2026 exigem que os corretores de dados instruam prestadores de serviços, contratados e afiliados a excluir os dados também.¹

Isso ecoa tendências mais amplas de privacidade, como o direito à exclusão do CCPA (Civil Code § 1798.105), mas amplia o alcance por meio da automação para corretores de dados.¹

Quem é considerado um corretor de dados?

A Califórnia define corretor de dados de forma ampla: qualquer entidade que “coleta conscientemente e vende a terceiros as informações pessoais de um consumidor com quem a empresa não tem relação direta”.⁴ ⁵ Isso inclui agregadores, enriquecedores e revendedores de dados obtidos fora de interações diretas com o consumidor, como de fontes públicas ou compras de terceiros.⁴ ⁷

Sites ou aplicativos que vendem ou compartilham dados de usuários para criação de perfis, publicidade ou enriquecimento — mesmo que não seja o negócio principal — podem se enquadrar.⁴ ⁵
Isenções aplicam‑se a dados governamentais públicos, relatórios de crédito cobertos pela FCRA, dados de saúde sob HIPAA e empresas já em conformidade com essas leis.⁷
Se você compartilha dados a jusante (por exemplo, com fornecedores de analytics), verifique se isso gera o status de corretor.⁴

Proprietários de sites: tráfego de usuários da Califórnia não faz de você um corretor automaticamente, mas se você manipula informações pessoais (e‑mails, IPs, dados de comportamento) e as vende ou compartilha, registre‑se agora. Empresas fora da Califórnia estão no escopo se direcionarem ou processarem dados de residentes californianos.⁴ ⁵

Principais requisitos de conformidade a partir de 1º de agosto de 2026

A partir de 1º de agosto, os corretores devem consultar a DROP pelo menos a cada 45 dias via site da CalPrivacy ou API.¹ ⁴ ⁵ Veja o passo a passo:

Configuração da conta: Registre uma conta DROP segura, selecione as listas de exclusão de consumidores relevantes (evitando duplicatas) e mantenha controles de acesso. Notifique a CalPrivacy imediatamente sobre violações.¹
Recuperar solicitações: Baixe listas que correspondam aos seus identificadores de dados (por exemplo, e‑mails hash, nomes).¹ ⁴
Correspondência e exclusão: Use o hash padronizado para confirmar correspondências. Exclua todos os dados pessoais associados, incluindo inferências, dos seus sistemas, prestadores de serviço e contratados. Instrua‑os a cumprir a obrigação.¹ ⁴ ⁵
Prazo: Conclua dentro de 90 dias após a recuperação. Não entre em contato com o consumidor para verificação — isso é proibido pela Seção 7616.¹ ⁵
Registro: Documente as determinações, mantenha listas de supressão e retenha registros. Reporte o status de volta via DROP.⁴ ⁵
Continuidade: Atualize detalhes da conta, exclua dados fornecidos pela DROP se deixar de ser corretor (dentro de 30 dias pós‑registro/auditoria) e desative a conta.¹

A automação é essencial: verificações manuais correm risco de perder o ciclo de 45 dias. A integração de API, disponível desde a primavera de 2026, permite extrações programáticas, correspondência e propagação.⁴

As multas são severas: US$200 por solicitação não atendida por dia. Uma única solicitação ignorada pode se transformar rapidamente em um custo significativo.¹

Propagação para fornecedores: o desafio oculto para sites

Corretores de dados frequentemente dependem de fornecedores para armazenamento, analytics ou marketing. A DROP exige a propagação das exclusões para todos os prestadores de serviço e contratados que possuam os dados.¹ ⁴ Isso reflete as obrigações de processadores do GDPR (Artigo 28) e as regras de prestadores de serviço do CCPA (Civil Code § 1798.140(v)).¹

Dicas práticas para conformidade:

Mapeie seu ecossistema: Inventarie todos os fornecedores que manipulam dados pessoais de residentes da Califórnia. Classifique‑os como prestadores de serviço (uso limitado) versus aqueles que permitem vendas/compartilhamento.⁴
Atualize contratos: Modifique acordos para exigir conformidade com a DROP, APIs de exclusão automatizadas e direitos de auditoria. Inclua indenização por multas.¹
Implementação técnica:
- Integre a API da DROP para ingestão de solicitações.
- Construa fluxos internos de exclusão: hash → varredura de dados → propagação via APIs de fornecedores.
- Use listas de supressão para impedir nova aquisição.
Testes: Utilize o sandbox da CalPrivacy para testes de API antes de 1º de agosto.⁵
Exceções: Não exclua dados que sejam informações públicas do governo ou estejam isentos por outras leis (por exemplo, registros financeiros).⁷

Para sites: se você não for corretor, mas utiliza corretores (por exemplo, para segmentação de anúncios), assegure‑se de que seus contratos exijam conformidade com a DROP para evitar responsabilidade indireta.

Passos acionáveis para proprietários de sites e empresas

Com seis meses até a aplicação (a partir de fevereiro de 2026), priorize o seguinte:

Auto‑avaliação (agora): Revise fluxos de dados à luz das definições do Delete Act. Use o registro da CalPrivacy para verificar pares.⁵ ²
Registre‑se se necessário (janeiro de 2026): Processo anual com taxa; inclua divulgações aprimoradas conforme as emendas do SB 361.⁶ ²
Construa automação:

Etapa	Ação	Prazo
1. Criação de conta	Via site da CalPrivacy	1‑31 jan 2026⁴
2. Configuração de API	Integração no sandbox	Primavera 2026⁴ ⁵
3. Pipeline de exclusão	Hash, varredura, propagação	Testar até julho 2026
4. Primeira verificação	Recuperar/processar	1º ago 2026¹

Preparação para auditoria: Planeje auditorias de 2028; documente tudo.³
Treine equipes: Eduque jurídico, engenharia e operações sobre as proibições (ex.: nenhum contato com o consumidor).¹
Monitore atualizações: As regulamentações evoluíram desde as propostas de 2024; acompanhe a CalPrivacy para esclarecimentos.³ ²

Comparação com outras leis

Lei	Mecanismo de exclusão	Frequência/Automação
CCPA § 1798.105	Solicitações individuais	45‑90 dias, manual¹
GDPR Art. 17	Direito ao esquecimento	Imediato, propagação do processador
DROP (Delete Act)	Centralizado, automatizado	A cada 45 dias¹ ⁴

Essa automação reduz o atrito para o consumidor, mas exige stacks tecnológicos robustos.

Desafios potenciais e riscos

Escala: Corretores de grande volume enfrentam milhares de solicitações; processos manuais não escalam.⁴
Precisão de correspondência: Erros de hash podem gerar exclusões excessivas ou insuficientes, gerando multas ou processos.¹
Resistência de fornecedores: Parceiros não conformes expõem você à responsabilidade.¹
Fiscalização: As recentes ações da CPPA sinalizam supervisão agressiva; auditorias iniciam em 2028.⁶ ³

Empresas que deixarem de ser corretores devem notificar dentro de 45 dias e eliminar os dados.¹

Principais conclusões

1º de agosto de 2026 é a data de início: Automatize verificações da DROP a cada 45 dias ou arrisque multas de US$200/dia por solicitação.¹ ⁵
Escopo amplo: Qualquer vendedor/compartilhador de dados da Califórnia pode ser considerado corretor — avalie agora.⁴ ⁵
Automação é essencial: Integração de API e propagação para fornecedores são indispensáveis para eficiência.⁴
Planeje com antecedência: Auto‑audite, atualize contratos, teste pipelines e documente para auditorias.⁵
Poder do consumidor: A DROP simplifica as exclusões, alinhando‑se ao CCPA/GDPR, mas de forma centralizada e única.⁷ ²

Conformidade não é opcional — é uma vantagem competitiva em uma Califórnia cada vez mais focada na privacidade. Mantenha‑se vigilante enquanto a CalPrivacy refina a implementação.¹ ²

Lei DROP da Califórnia começa em 1º de agosto: Automação de solicitações de exclusão