La ley de California ya obliga a 500 firmas de datos a borrar tu historial

Los 215.000 residentes de California que ya habían presentado solicitudes de eliminación a través de la plataforma DROP del estado recibieron algo nuevo el 1 de agosto: las empresas que poseen sus datos ahora están legalmente obligadas a actuar. A partir de esa fecha, cada corredor de datos registrado en California debe recuperar las solicitudes de eliminación pendientes y procesarlas, la primera vez que un estado de EE. UU. centraliza esa exigencia en toda una industria simultáneamente.

La plataforma funciona como un centro de intermediación entre los consumidores y un mundo que la mayoría de la gente nunca ve. Los residentes visitan drop.privacy.ca.gov, verifican su identidad a través de la pasarela estatal de California o login.gov, y proporcionan su nombre, dirección de correo electrónico, número de teléfono y código postal. Opcionalmente, pueden incluir su identificador de publicidad móvil —el identificador persistente vinculado a su teléfono— y su número de identificación del vehículo. Una sola presentación envía una demanda de eliminación a cada corredor registrado al mismo tiempo. Anteriormente, los consumidores tenían que contactar a cada empresa individualmente; algunos corredores habían ocultado sus formularios de exclusión voluntaria de los motores de búsqueda, haciendo que el proceso fuera deliberadamente difícil.

Las empresas cubiertas por la ley no son nombres conocidos. Los corredores de datos son los negocios que agregan historiales de compras, crean perfiles demográficos y psicográficos para anunciantes, y venden patrones de ubicación derivados de teléfonos móviles, televisores inteligentes y vehículos conectados. Empresas como Acxiom, LexisNexis, Spokeo y BeenVerified operan en este espacio. También lo hacen las plataformas de tecnología publicitaria y los vendedores de segmentos de audiencia que la mayoría de los consumidores nunca han oído mencionar, pero que probablemente poseen registros detallados sobre ellos de todos modos.

La estructura de sanciones está diseñada para crear un costo real por incumplimiento: 200 dólares por cada solicitud de eliminación ignorada, por día, hasta que el corredor actúe. Esa cifra puede acumularse rápidamente para una empresa que recibe cientos de solicitudes. La agencia de cumplimiento de privacidad de California ya ha impuesto multas por fallos básicos de registro —42.000 dólares contra Datamasters, 62.000 dólares contra S&P Global— y espera intensificar la aplicación de la orden de eliminación. Las multas se aplican solo a los corredores registrados, sin embargo: cualquier empresa que opere sin registrarse nunca aparece en el sistema DROP y no enfrenta ninguna obligación automática de eliminación bajo el marco actual.

El cronograma de cumplimiento es más lento de lo que los consumidores podrían esperar. Los corredores deben acceder al sistema DROP al menos una vez cada 45 días para recuperar nuevas solicitudes, y luego tienen otros 45 días para procesar cada una, lo que significa que una solicitud de eliminación presentada hoy podría tardar hasta tres meses en completarse. Los datos que vuelven a entrar en la base de datos de un corredor después de la eliminación, comprados a un tercero, también deben eliminarse bajo reglas de supresión. Las entidades sanitarias cubiertas por HIPAA, las instituciones financieras reguladas por GLBA y las empresas regidas por la Ley de Informes Crediticios Justos están exentas, recortando partes del ecosistema de datos que afectan a los historiales médicos y archivos de crédito.

La ley de California es el primer mecanismo centralizado de eliminación de su tipo en los Estados Unidos. Una legislación estatal similar está pendiente en más de una docena de otros estados. El próximo hito para California misma llegará en 2028, cuando la ley exige que los corredores de datos registrados se sometan a auditorías de privacidad independientes, con resultados que deben entregarse a la agencia de privacidad del estado en 2029.

Etiquetas: California Delete Act, CalPrivacy, corredores de datos, datos personales, ley de privacidad, privacidad de datos