【删除法案】加州州长签署《删除法案》成为法律

周二，加利福尼亚州民主党州长加文·纽森宣布。，签署了参议院第362号法案，通俗地称为《删除法案》，使其成为法律。就在10月14日纽森签署该法案的最后期限前几天，纽森采取了这一行动。

《删除法案》紧随《加州消费者隐私法》和《加州隐私权法案》对里程碑式立法的修正之后。新法律要求数据代理向加州隐私保护局注册，该局将执行该法律。

值得注意的是，CPPA还将负责在2026年1月1日前为经过安全验证的消费者开发一站式机制，以请求删除和跟踪他们的个人数据。从2026年8月1日开始，经纪人还将被要求在收到经验证的请求后45天内处理新的删除请求。

根据目前的规定，消费者可以选择让数据代理删除他们的数据，并向每家公司提出个人请求。大约有500个所谓的数据代理在该州开展业务。

加利福尼亚州民主党州参议员Josh Becker。，SB 362的作者表示，Newsom的签名“将加州视为消费者隐私领域的领导者”。他补充道，“数据代理拥有我们每个人的数千个数据点，目前他们将生殖健康、地理定位和购买数据出售给出价最高的人。《删除法案》保护我们最敏感的信息。”

在Newsom签署该法案之前，CPPA执行董事Ashkan Soltani在IAPP隐私会议上表示。危险安全2023年在圣地亚哥，该机构“非常高兴”州议会通过了SB 362，并将全球删除机制描述为创新。

索尔塔尼表示，单一删除请求机制“贯彻了这样一个事实，即如果消费者有兴趣行使他们的权利，那么这样做应该很容易。”

新法律将该州的数据代理注册从加州司法部转移到CPPA。根据《删除法案》的定义，被视为数据代理的公司本质上是在消费者不知情的情况下收集、使用和销售个人数据的公司。该法令还创建了一个“不跟踪”列表，禁止数据代理收集用户的数据。

法律还包括对数据代理的一些透明度要求，包括公司是否收集准确的地理位置数据、生殖健康护理数据和未成年人的个人数据。在美国最高法院对多布斯案的裁决推翻了罗诉韦德案之后，生殖健康护理数据及其由数据代理收集的数据成为了一个重要问题。

Au Kemp Ventures的作者兼董事Tom Kemp为立法者起草《删除法案》提供了建议，他对该法案表示赞赏，称其“将有意义地减少（消费者的）个人数据足迹”，同时补充道，“其他州也希望这样做。”

《消费者报告》将SB 362描述为“历史性的、支持消费者的法案”。隐私和技术政策政策分析师Matt Schwartz表示，“数据代理通过收集和出售个人信息，建立了一个价值数十亿美元的行业，通常是在我们不知情或不同意的情况下。这项法律将授权个人收回对其数据和个人信息的控制权。”

对数据代理的担忧

Gravy Analytics首席隐私官兼法律副总裁Jason Sarfati在P.S.R.关于《删除法案》的小组会议上，以及最近由CIPP/US的IAPP副总裁兼首席知识官Caitlin Fennessy主持的领英直播中，表达了对该法案的担忧。

Greenberg Traurig股东Darren Abernethy、CIPP/A、CIPP/C、CIPP/E、CIPP/G、CIPP/US、CIPM、CIPT、FIP、PLS在研究加州法律中的定义时表示，“商业”是有定义的，但《删除法案》将收集消费者数据而没有直接关系的企业纳入了范围。“‘直接关系’在法律中没有定义，”他说。“因此，这应该会引发一些内部对话，讨论你与你收集的消费者个人信息的关系性质。你是如何发现的？我认为这些都是相关的。”

关于透明度要求，Abernathy表示，这一要求“可能需要审查或更新数据清单、隐私政策或其他面向公众的材料。”他还表示，“需要注意的是，未在CPPA注册的范围内经纪人可能会因经纪人未注册而每天被罚款200美元，这是目前罚款的两倍。”

正如IAPP特约撰稿人Alex LaCasse上个月报道的那样，国家广告商协会负责法律、道德和政府关系的执行副总裁Chris Oswald表示，《删除法案》“将鼓励大规模删除作为加州数字经济命脉的数据”。他说，删除请求机制的成本将使CPPA的成本大约是其预计预算的20倍。

奥斯瓦尔德说：“如果没有一个强大的数据市场，加州人将成为更多欺诈和身份盗窃的受害者，因为他们的身份无法验证。如果没有数据驱动的广告，小企业将很难找到客户。”。“非营利组织将无法获得这些工具来寻找新的捐赠者和志愿者。政府机构将无法利用数据有效分配资源和减少浪费。”

Sarfati说：“我将非常诚实地告诉你：首先，一些数据代理将倒闭，因为他们中的许多都是六到七位数的小型公司，并不是为了履行合规义务而设计的。事实上，在未来几年，数据代理行业将进行大规模整合。”

Abernethy强调了经纪人必须删除数据的45天条款，并表示这对公司来说将很难进行运营管理。消费者可以提出删除请求，这可能需要几天的时间来处理，“但如果你在这期间收集数据呢？”Abernethy说，“我认为你需要维护消费者确实提出请求的某种哑炮条目。”

尽管《删除法案》是一项州法律，但加利福尼亚州有4500万居民，这促使萨尔法蒂说，“实际上，这是一项联邦法律。我不明白它是怎么回事。”

删除机制的复杂性

建立一个单一的表格删除机制对CPPA来说并非易事。

隐私未来论坛政策研究员Felicity Slater指出CPPA“将需要解决一些棘手的操作问题，包括在删除请求阶段需要收集哪些个人数据的细节，以使各种公司能够验证请求并将其与特定的消费者档案相关联，以及如何安全地收集和存储这些信息。”

Sarfati说，他不清楚谁将进行删除验证，如果对手正在进行社会工程攻击，这一点尤为重要。“到底是谁在做验证？”

我们将有时间了解细节，但对于那些在范围内的人来说，有一项新的法律需要关注。