California's Delete Act entra en vigor, obligando a los data brokers a respetar la eliminación con un solo clic

A partir del 1 de agosto de 2026, la Delete Act de California (SB 362) alcanza su hito más trascendental: los data brokers que operan en el estado están ahora legalmente obligados a comenzar a atender las solicitudes de eliminación enviadas a través de DROP, la Plataforma de Solicitud de Eliminación y opt-out administrada por la Agencia de Protección de la Privacidad de California (CPPA). Es la primera vez en toda la historia de Estados Unidos que los consumidores pueden borrar sus datos personales de cientos de data brokers con una sola solicitud, en lugar de tener que perseguir a cada empresa por separado.

El mecanismo es lo que otorga verdadero peso a la ley. Desde el 1 de enero de 2026, los californianos han podido enviar una solicitud de eliminación única a través de DROP. A partir de hoy, la obligación recae sobre la industria: cada data broker registrado ante la CPPA debe acceder a la plataforma al menos una vez cada 45 días, obtener la lista de consumidores que han solicitado su eliminación y suprimir su información personal — y luego instruir a sus propios proveedores de servicios y contratistas para que hagan lo mismo. Una solicitud que llega a DROP se propaga ahora a todos los brokers registrados de forma simultánea.

Esto importa porque la industria de los data brokers ha operado durante décadas en una oscuridad casi absoluta, confeccionando en silencio perfiles detallados — historial de ubicación, comportamiento de compra, inferencias sobre la salud, tendencias políticas — de personas que jamás entregaron esa información de manera consciente. Bajo la antigua Ley de Privacidad del Consumidor de California (CCPA), un residente podía exigir la eliminación de sus datos, pero solo contactando a cada broker de forma individual, una tarea poco práctica dado que cientos de ellos están registrados en el estado. El alcance de la Delete Act es también más amplio que el de la CCPA: obliga a los brokers a eliminar toda la información personal vinculada a un consumidor, no solo los datos que recopilaron directamente.

Las normas de cumplimiento tienen consecuencias reales. Si un broker no puede verificar una solicitud de eliminación, de igual modo debe tratarla como un opt-out de la venta o el intercambio de los datos de esa persona. Se prohíbe a los brokers vender o compartir información recién adquirida sobre cualquier persona que haya presentado una solicitud. El incumplimiento conlleva una sanción de 200 dólares por solicitud de eliminación por cada día que el broker no actúe, más 200 dólares diarios por no registrarse ante la CPPA — cifras que escalan rápidamente cuando se trata de miles de solicitudes. A partir de 2028, los brokers también estarán sujetos a auditorías independientes obligatorias cada tres años.

En el panorama más amplio de la privacidad, la Delete Act es un caso de prueba para una infraestructura de eliminación centralizada gestionada por el Estado. En lugar de depender de que cada empresa construya su propio flujo de opt-out — el modelo fragmentado que ha definido la práctica de la privacidad en Estados Unidos —, California ha creado una cámara de compensación única operada por el Estado y ha obligado a la industria a conectarse a ella. Si DROP funciona según lo previsto, se convierte en un modelo que otros estados y reguladores de privacidad estudiarán con detenimiento. Las preguntas abiertas son la capacidad de la CPPA para hacer cumplir la ley y en qué medida los brokers realmente eliminan los datos que han pasado años monetizando. Lo que ya no está en duda es que, al menos en California, borrarse de la economía de los data brokers es por fin cuestión de un solo clic y no de un trabajo a tiempo completo.