La Californie met en vigueur le Delete Act, obligeant les data brokers à respecter la suppression en un seul clic

Depuis le 1er août 2026, le Delete Act californien (SB 362) franchit son étape la plus décisive : les data brokers opérant dans l'État sont désormais légalement tenus de commencer à honorer les demandes de suppression soumises via DROP, la plateforme de demandes de suppression et d'opt-out (Delete Request and Opt-out Platform) gérée par l'Agence californienne de protection de la vie privée (CPPA). C'est la première fois aux États-Unis que les consommateurs peuvent effacer leurs données personnelles auprès de centaines de data brokers en une seule demande, sans avoir à contacter chaque entreprise individuellement.

C'est le mécanisme lui-même qui confère toute son importance à cette loi. Depuis le 1er janvier 2026, les Californiens peuvent soumettre une demande de suppression unique via DROP. À compter d'aujourd'hui, l'obligation se retourne vers le secteur : chaque data broker enregistré auprès de la CPPA doit accéder à la plateforme au moins une fois tous les 45 jours, récupérer la liste des consommateurs ayant demandé leur suppression, effacer leurs informations personnelles — puis donner les mêmes instructions à ses propres prestataires de services et sous-traitants. Une demande soumise à DROP se propage désormais simultanément à l'ensemble des brokers enregistrés.

Cela est d'autant plus significatif que le secteur des data brokers opère depuis des décennies dans une obscurité quasi totale, constituant discrètement des profils détaillés — historique de localisation, comportements d'achat, déductions sur l'état de santé, orientations politiques — sur des personnes qui n'ont jamais consciemment transmis ces informations. En vertu de l'ancienne loi californienne sur la protection de la vie privée des consommateurs (CCPA), un résident pouvait exiger la suppression de ses données, mais uniquement en contactant chaque broker un par un, une démarche peu praticable compte tenu des centaines de brokers enregistrés dans l'État. Le champ d'application du Delete Act est également plus large que celui de la CCPA : il oblige les brokers à supprimer l'intégralité des informations personnelles liées à un consommateur, et pas seulement les données collectées directement.

Les règles de conformité sont dotées de véritables moyens de coercition. Si un broker n'est pas en mesure de vérifier une demande de suppression, il doit néanmoins la traiter comme un opt-out de la vente ou du partage des données de cette personne. Les brokers ne peuvent pas vendre ni partager les informations nouvellement acquises concernant quiconque a déposé une demande. Le non-respect de ces obligations est sanctionné par une pénalité de 200 dollars par demande de suppression pour chaque jour où le broker n'agit pas, auxquels s'ajoutent 200 dollars par jour pour défaut d'enregistrement auprès de la CPPA — des montants qui s'accumulent rapidement face à des milliers de demandes. À partir de 2028, les brokers seront également soumis à des audits indépendants obligatoires tous les trois ans.

Pour le paysage plus large de la protection de la vie privée, le Delete Act constitue un banc d'essai pour une infrastructure de suppression centralisée gérée par l'État. Plutôt que de s'en remettre à chaque entreprise pour concevoir son propre processus d'opt-out — le modèle fragmenté qui a défini les pratiques américaines en matière de vie privée —, California a mis en place une chambre de compensation unique opérée par l'État et contraint le secteur à s'y connecter. Si DROP fonctionne comme prévu, il deviendra un modèle que d'autres États et régulateurs de la vie privée étudieront attentivement. Les questions en suspens portent sur les capacités de mise en application de la CPPA et sur la réalité de la suppression des données par des brokers qui les ont monétisées pendant des années. Ce qui n'est plus en question, c'est qu'en California du moins, se retirer de l'économie des data brokers est enfin l'affaire d'un seul clic plutôt que d'un travail à temps plein.