يدخل Delete Act الخاص بـ California حيز التنفيذ، مُلزِمًا data brokers بالاستجابة لطلبات الحذف بنقرة واحدة

اعتباراً من الأول من أغسطس 2026، يبلغ قانون California Delete Act (SB 362) أهم محطاته وأكثرها أثراً؛ إذ باتت data brokers العاملة في الولاية ملزمةً قانونياً بالبدء في تلبية طلبات الحذف المقدَّمة عبر منصة DROP، وهي منصة طلب الحذف وإلغاء الاشتراك التي تديرها وكالة California لحماية الخصوصية (CPPA). وهذه هي المرة الأولى في تاريخ الولايات المتحدة التي يتمكن فيها المستهلكون من محو بياناتهم الشخصية من مئات data brokers بطلب واحد، بدلاً من ملاحقة كل شركة على حدة.

ما يجعل هذا القانون ذا أهمية بالغة هو آليته التشغيلية. فمنذ الأول من يناير 2026، أصبح بإمكان سكان California تقديم طلب حذف لمرة واحدة عبر منصة DROP. أما اعتباراً من اليوم، فقد انقلب الالتزام ليقع على عاتق الصناعة: إذ يتعين على كل data broker مسجَّل لدى CPPA الدخول إلى المنصة مرةً واحدة على الأقل كل 45 يوماً، واسترداد قائمة المستهلكين الذين طلبوا الحذف، وإزالة معلوماتهم الشخصية — ثم إلزام مزودي خدماتهم ومقاوليهم من الباطن باتباع الإجراء ذاته. وأي طلب يصل إلى DROP ينتشر فور وصوله إلى جميع data brokers المسجَّلين في آنٍ واحد.

تكتسب هذه التحولات أهميتها من كون صناعة data brokers قد عملت لعقود في شبه غموض تام، وهي تُجمِّع بصمت ملفات شخصية مفصَّلة — تشمل سجل المواقع، وسلوك الشراء، والاستنتاجات الصحية، والتوجهات السياسية — عن أشخاص لم يُسلِّموا هذه المعلومات طوعاً في أي وقت. وبموجب قانون California Consumer Privacy Act (CCPA) الأقدم، كان بإمكان المقيم المطالبة بالحذف، غير أن ذلك كان مشروطاً بالتواصل مع كل data broker على حدة، وهي مهمة غير عملية في ظل وجود مئات data brokers مسجَّلين في الولاية. ويمتد نطاق Delete Act ليكون أوسع من CCPA أيضاً: إذ يُلزم data brokers بحذف جميع المعلومات الشخصية المرتبطة بالمستهلك، لا تلك التي جمعوها منه مباشرةً فحسب.

تتمتع قواعد الامتثال بصلاحيات إنفاذ حقيقية. فإذا عجز أي data broker عن التحقق من طلب الحذف، فعليه مع ذلك معاملته بوصفه opt-out من بيع بيانات ذلك الشخص أو مشاركتها. ويُحظر على data brokers بيع أي معلومات مستحدثة أو مشاركتها بشأن أي شخص سبق له تقديم طلب. ويترتب على عدم الامتثال غرامة قدرها 200 دولار عن كل طلب حذف عن كل يوم يُخفق فيه data broker في اتخاذ الإجراء اللازم، يُضاف إليها 200 دولار يومياً جراء الإخفاق في التسجيل لدى CPPA — وهي أرقام ترتفع بسرعة مع تراكم آلاف الطلبات. وابتداءً من عام 2028، سيواجه data brokers أيضاً عمليات تدقيق مستقلة إلزامية كل ثلاث سنوات.

على صعيد مشهد الخصوصية الأشمل، يُمثِّل Delete Act حالةً اختبارية لبنية تحتية مركزية تديرها الحكومة لتنفيذ عمليات الحذف. فبدلاً من الاتكاء على كل شركة لبناء آليتها الخاصة في opt-out — وهو النموذج المتشظي الذي طبع ممارسات الخصوصية في الولايات المتحدة — أنشأت California منصة تقاصٍّ واحدة تشغلها الدولة وأجبرت الصناعة على الانضمام إليها. وإذا أدّت DROP مهمتها على الوجه المنشود، فستغدو نموذجاً تدرسه الولايات الأخرى وجهات تنظيم الخصوصية عن كثب. وتبقى الأسئلة المفتوحة مرتبطةً بالطاقة الإنفاذية لدى CPPA ومدى اكتمال عمليات حذف data brokers للبيانات التي أمضوا سنوات في تحقيق الأرباح منها. غير أن ما لم يعد موضع تساؤل هو أنه في California على الأقل، أصبح حذف بيانات المستهلك من اقتصاد data brokers مجرد نقرة واحدة لا وظيفة بدوام كامل.