Un formulario en California borra tu historial de 500 empresas de datos

Los 215,000 residentes de California que ya habían presentado solicitudes de eliminación a través de la plataforma DROP del estado recibieron algo nuevo: las empresas que almacenan sus datos ahora están legalmente obligadas a actuar. A partir de ahora, cada corredor de datos registrado en California debe recuperar las solicitudes de eliminación pendientes y procesarlas — la primera vez que un estado de EE. UU. centraliza esa demanda en toda una industria simultáneamente.

La plataforma funciona como un centro de compensación entre los consumidores y un mundo que la mayoría de las personas nunca ve. Los residentes visitan drop.privacy.ca.gov, verifican su identidad a través de la puerta de enlace estatal de California o login.gov, y proporcionan su nombre, dirección de correo electrónico, número de teléfono y código postal. Opcionalmente, pueden incluir su ID de publicidad móvil — el identificador persistente vinculado a su teléfono — y su número de identificación del vehículo. Una sola solicitud envía una demanda de eliminación a todos los corredores registrados al mismo tiempo. Anteriormente, los consumidores tenían que contactar a cada empresa individualmente; algunos corredores ocultaban sus formularios de exclusión voluntaria de los motores de búsqueda, haciendo el proceso deliberadamente difícil.

Las empresas cubiertas por la ley no son nombres conocidos. Los corredores de datos son las empresas que agregan historiales de compras, construyen perfiles demográficos y psicográficos para anunciantes, y venden patrones de ubicación derivados de teléfonos móviles, televisores inteligentes y vehículos conectados. Empresas como Acxiom, LexisNexis, Spokeo y BeenVerified operan en este espacio. También lo hacen las plataformas de tecnología publicitaria y los vendedores de segmentos de audiencia que la mayoría de los consumidores nunca han oído mencionar — pero que probablemente tienen registros detallados sobre ellos de todos modos.

La estructura de sanciones está diseñada para crear un costo real por incumplimiento: 200 dólares por cada solicitud de eliminación ignorada, por día, hasta que el corredor actúe. Ese número puede acumularse rápidamente para una empresa que recibe cientos de solicitudes. La agencia de cumplimiento de privacidad de California ya ha impuesto multas por fallas básicas de registro — 42,000 dólares contra Datamasters, 62,000 dólares contra S&P Global — y espera intensificar la aplicación de la orden de eliminación. Las multas se aplican solo a los corredores registrados, sin embargo: cualquier empresa que opere sin registrarse nunca aparece en el sistema DROP y no tiene ninguna obligación automática de eliminación bajo el marco actual.

El cronograma de cumplimiento es más lento de lo que los consumidores podrían esperar. Los corredores deben acceder al sistema DROP al menos una vez cada 45 días para recuperar nuevas solicitudes, y luego tienen otros 45 días para procesar cada una — lo que significa que una solicitud de eliminación presentada hoy podría tardar hasta tres meses en completarse. Los datos que vuelven a entrar en la base de datos de un corredor después de la eliminación, comprados a un tercero, también deben eliminarse según las reglas de supresión. Las entidades de atención médica cubiertas por HIPAA, las instituciones financieras reguladas por GLBA y las empresas regidas por la Ley de Informe Crediticio Justo están todas exentas, excluyendo partes del ecosistema de datos que afectan los historiales médicos y los archivos crediticios.

La ley de California es el primer mecanismo centralizado de eliminación de su tipo en los Estados Unidos. Legislación estatal similar está pendiente en más de una docena de otros estados. El próximo hito para la propia California llega en 2028, cuando la ley exige que los corredores de datos registrados se sometan a auditorías de privacidad independientes — con resultados entregados a la agencia de privacidad del estado en 2029.

Etiquetas: California Delete Act, CalPrivacy, corredores de datos, datos personales, ley de privacidad, privacidad de datos