La California obbliga 500 broker di dati a cancellare le tue informazioni

I 215.000 residenti californiani che avevano già presentato richieste di cancellazione tramite la piattaforma DROP dello stato hanno ottenuto qualcosa di nuovo il 1° agosto: le aziende che conservano i loro dati sono ora legalmente obbligate ad agire. A partire da quella data, ogni data broker registrato in California deve recuperare le richieste di cancellazione in sospeso e processarle — la prima volta che uno stato degli Stati Uniti ha centralizzato tale richiesta su un intero settore contemporaneamente.

La piattaforma funge da camera di compensazione tra i consumatori e un mondo che la maggior parte delle persone non vede mai. I residenti visitano drop.privacy.ca.gov, verificano la propria identità tramite il gateway statale della California o login.gov, e forniscono nome, indirizzo email, numero di telefono e codice postale. Opzionalmente, possono includere il loro ID pubblicitario mobile — l’identificatore persistente legato al loro telefono — e il numero di identificazione del veicolo. Un singolo invio instrada una richiesta di cancellazione a ogni broker registrato contemporaneamente. In precedenza, i consumatori dovevano contattare ogni singola azienda; alcuni broker avevano oscurato i loro moduli di opt-out dai motori di ricerca, rendendo il processo deliberatamente difficile.

Le aziende coperte dalla legge non sono nomi familiari. I data broker sono le imprese che aggregano cronologie di acquisto, costruiscono profili demografici e psicografici per gli inserzionisti, e vendono modelli di localizzazione derivati da telefoni cellulari, smart TV e veicoli connessi. Aziende come Acxiom, LexisNexis, Spokeo e BeenVerified operano in questo spazio. Lo stesso vale per le piattaforme adtech e i venditori di segmenti di pubblico che la maggior parte dei consumatori non ha mai sentito nominare — ma che probabilmente conservano comunque registrazioni dettagliate su di loro.

La struttura delle sanzioni è pensata per creare un costo reale per la non conformità: 200 dollari per ogni richiesta di cancellazione ignorata, per giorno, fino a quando il broker non agisce. Tale cifra può aumentare rapidamente per un’azienda che riceve centinaia di richieste. L’agenzia di enforcement della privacy della California ha già inflitto multe per violazioni di base della registrazione — 42.000 dollari contro Datamasters, 62.000 dollari contro S&P Global — e prevede di intensificare l’applicazione del mandato di cancellazione. Le multe si applicano solo ai broker registrati, però: qualsiasi azienda che opera senza registrarsi non appare mai nel sistema DROP e non ha alcun obbligo automatico di cancellazione ai sensi dell’attuale quadro normativo.

La tempistica di conformità è più lenta di quanto i consumatori possano aspettarsi. I broker devono accedere al sistema DROP almeno una volta ogni 45 giorni per recuperare nuove richieste, quindi hanno altri 45 giorni per processare ciascuna — il che significa che una richiesta di cancellazione presentata oggi potrebbe richiedere fino a tre mesi per essere completata. I dati che rientrano nel database di un broker dopo la cancellazione, acquistati da una terza parte, devono anch’essi essere cancellati secondo le regole di soppressione. Le entità sanitarie coperte da HIPAA, le istituzioni finanziarie regolate da GLBA e le aziende soggette al Fair Credit Reporting Act sono tutte esenti, ritagliando porzioni dell’ecosistema dei dati che riguardano cartelle cliniche e file creditizi.

La legge californiana è il primo meccanismo centralizzato di cancellazione del suo genere negli Stati Uniti. Leggi statali simili sono in sospeso in più di una dozzina di altri stati. La prossima tappa per la California stessa arriva nel 2028, quando la legge richiede che i data broker registrati si sottopongano a audit indipendenti sulla privacy — con risultati da consegnare all’agenzia per la privacy dello stato nel 2029.

Tag: broker di dati, California Delete Act, CalPrivacy, dati personali, legge sulla privacy, privacy dei dati