La plataforma de eliminación de datos de corredores de California por fin tiene dientes, y la mayoría de los corredores no están listos

La Plataforma de Solicitud de Eliminación y Exclusión de California, conocida como DROP, entró en funcionamiento en enero de 2026 como un portal único donde un consumidor puede solicitar que sus datos personales sean eliminados de todos los corredores de datos registrados en el estado a la vez. Sobre el papel, sonaba como una función de conveniencia. A partir del 1 de agosto de 2026, se convirtió en algo más parecido a un campo minado legal para la industria de corredores de datos: los corredores registrados ahora están obligados a procesar las solicitudes de eliminación de DROP, y no hacerlo desencadena una multa de $200 por solicitud, por día, que se acumula por cada solicitud mal gestionada o ignorada.

Cómo funciona realmente DROP

La mecánica importa porque explica por qué el cumplimiento es más difícil de lo que parece. Un consumidor se autentica a través de una puerta de enlace de identidad o Login.gov y envía una solicitud de eliminación. Los corredores de datos no reciben esa solicitud en tiempo real: están obligados a consultar y recuperar las solicitudes pendientes al menos cada 45 días usando identificadores de consumidor estandarizados, y luego completar el procesamiento dentro de los 90 días posteriores a la recuperación. La Agencia de Protección de la Privacidad de California (CalPrivacy) proporciona una API y un entorno de pruebas para que los corredores integren la recuperación de DROP en sus canalizaciones de datos existentes, junto con requisitos de lista de supresión para evitar que registros previamente eliminados sean readmitidos a través de nueva adquisición de datos.

Ese requisito de consulta cada 45 días es la parte que agarra desprevenidos a los corredores. Asume que la eliminación es una operación de canalización rutinaria y automatizable. Para los corredores cuyo backend nunca se construyó en torno a la eliminación a nivel individual —muchos negocios de corretaje de datos están arquitectados en torno a la adquisición y reventa masiva, no la eliminación granular por registro—, adaptar esa capacidad bajo presión de un plazo legal es un proyecto de ingeniería real, no una simple casilla de política.

La estructura de sanciones fue diseñada para doler

Los fallos de registro por sí solos han conllevado una multa de $200 por día desde 2024, además de los costos de investigación de CalPrivacy. La nueva multa por procesamiento de eliminación se suma a eso, y como se aplica por solicitud y por día, la exposición escala directamente con cuántos consumidores de California envían solicitudes DROP y con qué lentitud las procesa un corredor. Para un corredor de datos que posee registros de millones de californianos, un despliegue lento de infraestructura de eliminación no es un vacío menor de cumplimiento: es una responsabilidad que se acumula diaria y públicamente, ya que las acciones de aplicación de CalPrivacy son de registro público.

Esto ya no es solo cosa de California

California es la implementación más madura, pero no está sola. Texas y Oregón han añadido requisitos de registro de corredores de datos a nivel estatal, junto con Vermont, que llegó antes a este espacio. Global Privacy Control —una señal de exclusión a nivel de navegador— ahora debe honrarse legalmente en California y tiene un peso similar en los estatutos de privacidad integrales de Colorado, Connecticut, Montana y el propio Oregón. Para cualquier empresa que opere un negocio de corretaje de datos —o cualquier empresa que ocasionalmente venda o comparta datos de consumidores de maneras que cumplan con la definición de corredor de un estado, que es más amplia de lo que la mayoría de las empresas asumen—, este ya no es un problema de cumplimiento de un solo estado. Es un mosaico multiestatal que solo va a añadir jurisdicciones.

Se está formando una industria de cumplimiento en torno a esta brecha

Siempre que un plazo regulatorio crea una exposición financiera real y una complejidad de ingeniería real, sigue un mercado para cerrar esa brecha. Los proveedores de cumplimiento de privacidad están construyendo herramientas de integración con DROP específicamente para el ciclo de consulta de 45 días y el requisito de mantenimiento de la lista de supresión, posicionándose como la capa entre la canalización de datos heredada de un corredor y la API de CalPrivacy. Ese es un patrón predecible: los auditores de SOC 2, los consultores de GDPR y las plataformas de cumplimiento de CCPA surgieron todos de la misma manera después de que sus respectivos plazos crearan una responsabilidad que los equipos internos no tenían el personal para manejar solos.

Qué significa esto si la privacidad de datos afecta a tu negocio

Si operas algo que podría cumplir con la definición de corredor de datos de California, Texas, Oregón o Vermont —y las definiciones son más amplias que "vendemos datos de consumidores como nuestro negocio principal", a menudo incluyendo cualquier venta o licencia regular de información personal recopilada sobre personas con las que no tienes una relación directa—, audita tu estado de registro ahora, no después de una carta de aplicación. Si ya estás registrado, verifica que tu canalización de recuperación de DROP realmente esté consultando en un ciclo de menos de 45 días y que la finalización de la eliminación esté registrada y sea auditable; el manejo manual de eliminación basado en correo electrónico no sobrevivirá al escrutinio una vez que el reloj de la multa diaria esté corriendo. Y si eres un consumidor que quiere que se eliminen tus propios datos, DROP es genuinamente útil precisamente por esta presión de aplicación: envía una sola solicitud a través de la plataforma de CalPrivacy en lugar de perseguir exclusiones individuales entre docenas de corredores, y espera que realmente se procese ahora que ignorarla le cuesta dinero real a los corredores.