La plateforme DROP de Californie oblige plus de 500 courtiers en données à traiter les demandes de suppression sous 45 jours

Pour la première fois, un consommateur américain peut envoyer une seule demande qui se propage légalement à chaque courtier en données enregistré dans un état. La plateforme de demande de suppression et d'exclusion de Californie, connue sous le nom de DROP, a été lancée le 1er janvier 2026, et depuis le 1er août, elle a de véritables pouvoirs d'application : les courtiers enregistrés doivent vérifier la plateforme au moins tous les 45 jours et traiter les demandes de suppression vérifiées dans ce délai.

C'est un modèle sensiblement différent du paysage d'exclusion précédent — des dizaines de demandes séparées à des dizaines d'entreprises séparées. La vraie question est de savoir si DROP affecte réellement une industrie estimée entre 200 et 300 milliards de dollars à l'échelle mondiale.

Comment DROP fonctionne réellement

La loi Delete Act, promulguée en Californie en octobre 2023, exigeait du régulateur de la vie privée de l'état (CPPA) de construire un mécanisme de suppression universel d'ici le 1er janvier 2026. DROP est ce mécanisme. Un consommateur californien soumet une demande vérifiée via la plateforme, qui ordonne à tous les courtiers en données actuellement enregistrés — plus de 500 depuis le déploiement de 2026 — de supprimer les informations personnelles du consommateur et de cesser de les vendre ou de les partager.

Le jalon d'application du 1er août est ce qui transforme DROP d'une interface agréable en quelque chose avec de véritables pouvoirs. À partir de cette date, les courtiers doivent : accéder à DROP au moins une fois tous les 45 jours, traiter chaque demande de suppression vérifiée dans ce délai de 45 jours, et traiter les demandes non vérifiées comme des exclusions générales de vente ou de partage.

Où subsistent les lacunes

• Seuls les courtiers enregistrés sont couverts.
• Elle ne protège que les résidents de Californie.
• La vérification et les demandes non vérifiées reçoivent un traitement différent.

Les sanctions sont réelles mais pas énormes par rapport à la taille de l'industrie : jusqu'à 7 988 dollars par violation intentionnelle du CCPA, et 200 dollars par jour pour chaque demande Delete Act non satisfaite.

Sources : documentation DROP de l'Agence de protection de la vie privée de Californie, texte statutaire du Delete Act de Californie, et barèmes de sanctions d'application du CCPA.