加州強制500家資料仲介商應請求刪除用戶個資

加州有21.5萬名居民早已透過州政府的DROP平台提交資料刪除請求，而從8月1日起，他們等到了新進展：握有他們資料的公司現在依法必須採取行動。從這天開始，加州所有註冊的資料經紀商都必須擷取待處理的刪除請求並予以執行——這是美國首次有州政府同時對整個產業發出這項集中式命令。

這個平台扮演消費者與一般人鮮少接觸的世界之間的清算中心角色。居民可造訪drop.privacy.ca.gov，透過加州州政府入口網站或login.gov驗證身分，並提供姓名、電子郵件地址、電話號碼及郵遞區號。他們也可以選擇附上自己的行動廣告識別碼——也就是與手機綁定的永久性識別碼——以及車輛識別碼。一次送出，就能將刪除要求同時傳送給所有註冊經紀商。過去，消費者必須逐一聯絡每家公司；有些經紀商甚至刻意讓退出選項表單在搜尋引擎上難以被找到，使得整個過程變得刻意困難。

這項法律涵蓋的公司並非家喻戶曉的名號。資料經紀商是那些匯集購物紀錄、為廣告主建立人口統計與心理圖像輪廓，並販售從手機、智慧電視及聯網車輛取得的位置模式的企業。Acxiom、LexisNexis、Spokeo和BeenVerified等公司都在這個領域運作。還有許多多數消費者從未聽過的廣告科技平台與受眾區隔銷售商——但它們很可能仍握有這些消費者的詳細資料。

罰則結構旨在為不遵守規定創造真實成本：每忽略一筆刪除請求，每天罰款200美元，直到經紀商採取行動為止。對於收到數百筆請求的公司來說，這個數字會迅速累積。加州的隱私執法機構已對基本的註冊違規行為開罰——對Datamasters罰款42,000美元，對S&P Global罰款62,000美元——並預計將加強對刪除命令的執法力度。不過，這些罰款僅適用於已註冊的經紀商：任何未經註冊就營運的公司根本不會出現在DROP系統中，在現行架構下也不會面臨自動刪除的義務。

合規時程比消費者預期的要慢。經紀商必須至少每45天存取DROP系統一次以擷取新請求，然後再有45天的時間處理每一筆請求——這意味著今天提交的刪除請求可能需要長達三個月才能完成。從第三方購買而重新進入經紀商資料庫的資料，也必須根據抑制規則予以刪除。受HIPAA管轄的醫療保健實體、受GLBA監管的金融機構，以及受《公平信用報告法》規範的公司，全都享有豁免，這排除了資料生態系統中影響醫療紀錄與信用檔案的部分。

加州的這項法律是美國同類機制中第一個集中式刪除系統。類似的州級立法正在其他十多個州醞釀中。加州本身的下一個里程碑將在2028年到來，屆時法律要求註冊資料經紀商接受獨立的隱私審計——結果須於2029年提交給州隱私機構。

標籤: 資料隱私, California Delete Act, CalPrivacy, 個人資料, 資料仲介商, 隱私法