Delete Act da California entra em vigor, obrigando data brokers a respeitarem a exclusão com um clique

A partir de 1º de agosto de 2026, o California's Delete Act (SB 362) atinge seu marco mais importante: os data brokers que operam no estado são agora legalmente obrigados a começar a atender às solicitações de exclusão enviadas pelo DROP, a Delete Request and Opt-out Platform administrada pela California Privacy Protection Agency (CPPA). É a primeira vez nos Estados Unidos que consumidores podem apagar seus dados pessoais de centenas de data brokers com uma única solicitação, em vez de contatar cada empresa individualmente.

O mecanismo é o que torna a lei relevante. Desde 1º de janeiro de 2026, os californianos podem enviar uma solicitação de exclusão única pelo DROP. A partir de hoje, a obrigação recai sobre o setor: cada data broker registrado na CPPA deve acessar a plataforma pelo menos uma vez a cada 45 dias, recuperar a lista de consumidores que pediram a exclusão e remover suas informações pessoais — além de instruir seus próprios prestadores de serviço e contratados a fazerem o mesmo. Uma solicitação que chega ao DROP agora se propaga para todos os brokers registrados de uma só vez.

Isso importa porque o setor de data brokers opera há décadas em uma obscuridade quase total, montando silenciosamente perfis detalhados — histórico de localização, comportamento de compra, inferências de saúde, orientações políticas — sobre pessoas que nunca entregaram conscientemente essas informações. Pela antiga California Consumer Privacy Act (CCPA), um morador podia exigir a exclusão, mas somente contatando cada broker individualmente, uma tarefa impraticável dado que centenas de brokers estão registrados no estado. O escopo do Delete Act também é mais amplo que o da CCPA: ele exige que os brokers excluam todas as informações pessoais vinculadas a um consumidor, não apenas os dados coletados diretamente.

As regras de conformidade têm força. Se um broker não conseguir verificar uma solicitação de exclusão, ainda assim deve tratá-la como um opt-out da venda ou compartilhamento dos dados daquela pessoa. Os brokers estão proibidos de vender ou compartilhar informações recém-adquiridas sobre qualquer pessoa que tenha enviado uma solicitação. O descumprimento acarreta uma multa de US$ 200 por solicitação de exclusão para cada dia em que o broker deixar de agir, mais US$ 200 por dia pelo não registro na CPPA — valores que escalam rapidamente diante de milhares de solicitações. A partir de 2028, os brokers também estarão sujeitos a auditorias independentes obrigatórias a cada três anos.

Para o cenário mais amplo de privacidade, o Delete Act é um caso de teste para uma infraestrutura de exclusão centralizada e administrada pelo governo. Em vez de depender de cada empresa para construir seu próprio fluxo de opt-out — o modelo fragmentado que tem definido a prática de privacidade nos EUA — a California construiu uma central operada pelo estado e forçou o setor a se conectar a ela. Se o DROP funcionar como planejado, torna-se um modelo que outros estados e reguladores de privacidade estudarão com atenção. As questões em aberto são a capacidade de fiscalização da CPPA e até que ponto os brokers realmente eliminam dados que passaram anos monetizando. O que não está mais em questão é que, pelo menos na California, apagar a si mesmo da economia dos data brokers é finalmente uma questão de um único clique, e não um trabalho de tempo integral.