《加州删除法案》生效，建立了一站式删除机制

2023 年 10 月 10 日，加州州长 Newsom签署了 SB 362 号法律，即《加州删除法案》（California Delete Act），该法案正式生效。《加州删除法案》修订了加利福尼亚州现有的数据经纪人注册法（《加州民法典》第1798.99.80 条等）。除其他事项外，该法律在现有要求的基础上对数据经纪人施加了额外的注册要求，同时对未注册的行为施以更严重的行政处罚，要求加州隐私保护局 （ the California Privacy Protection Agency，CPPA） 建立一站式删除机制，允许消费者向所有注册的数据经纪人提出请求，并要求数据经纪人每 45 天访问一次该机制。
《加州删除法案》对现有的加州数据经纪人注册法进行了重大修改，其中一些修改于 2024 年 1 月开始生效。当然，这项修订也将影响从数据经纪人那里获取数据或以其他方式开展业务或从数据经纪人那里获得服务的企业。
01 2024.1.31
符合数据经纪人资格的企业的注册截止日期。
02 2024.7.1
数据经纪人必须“在其互联网网站上发布的数据经纪人隐私政策中”添加上一年度的特定消费者请求项，并可通过数据经纪人隐私政策中所包含的链接直接访问。
03 2026.1.1
CPPA 必须建立“可访问删除机制”。
04 2026.8.1
数据经纪人必须处理通过可访问删除机制发出的删除请求。
05 2028.1.1
数据经纪人必须接受独立的第三方审计（此后每三年一次），以确定是否合规。
06 2029.1.1
数据经纪人提交注册时，应当说明其是否经过了所需的审计，如果是，则需向 CPPA 提交最近一年的审计报告。
问 哪些组织有资格成为数据经纪人？
“数据经纪人”的定义与CCPA完全相同，即“故意收集与该企业没有直接关系的消费者的个人信息，并出售给第三方的企业。
问 《加州删除法案》如何改变现有的注册要求？
在现行的数据经纪人法中，注册时唯一需要的信息是 （A） 数据经纪人的名称及其电子邮件和互联网网站地址；以及 （B） 数据经纪人选择提供的有关其数据收集实践的任何其他信息或解释。
而《加州删除法案》大大增加了注册期间需要提供的信息，包括但不限于：
收到的消费者请求数量以及有关请求处理的统计信息；
数据经纪人是否收集未成年人的个人数据；
数据经纪人是否收集消费者的精确地理位置；
数据经纪人是否收集消费者的健康数据。
指向数据经纪人互联网网站上页面的链接，该页面 （1） 详细说明消费者如何行使其隐私权，以及 （2） 不使用任何暗黑模式。
数据经纪人或其任何子公司是否以及在多大程度上受到 GLBA、FCRA、HIPAA 或其他法律的监管（上述法律是《加州删除法案》豁免的情形）。
问 CPPA的职责是什么？
CPPA 必须在 2026 年 1 月 1 日之前建立一个可访问的删除机制。该机制必须允许消费者请求数据经纪人删除与消费者相关的任何个人信息（这显然比 CCPA 删除请求的范围更广）。可访问的删除机制将对消费者免费。
问 对于通过删除机制提出的请求，数据经纪人的义务是什么？
从 2026 年 8 月 1 日开始，数据经纪人必须至少每 45 天访问一次可访问的删除机制，并执行以下所有操作：
在收到根据[删除法案]提出的请求后45天内，处理根据[删除法案]提出的所有删除请求，并删除与根据[删除法案]要求提出请求的消费者有关的所有个人信息。
当请求因无法验证而被拒绝时，将请求作为选择退出销售或共享的方式处理。
指示与数据经纪人相关的所有服务提供商或承包商删除他们所拥有的与提出所述请求的消费者有关的所有个人信息。
除了删除预先存在的数据外，《删除法》还对未来收集的个人数据提出了广泛而全面的“请勿出售/共享”要求。特别是，数据经纪人还必须避免出售或共享任何通过删除机制提出删除请求的消费者的新个人数据，“除非消费者另有要求或CCPA允许出售或共享”。
问 不遵守该法案的后果是什么？
数据经纪人未注册/未能处理删除请求：CPPA 可对未注册的数据经纪人处以每天 200 美元的行政罚款，以及 CPPA针对数据经纪人的诉讼产生的所有费用。
小结
英国哲学家杰里米·边沁于1791年提出“圆形监狱”概念，监视者只需要站在位于圆形监狱中心的瞭望塔中就可以监视整个监狱。数字时代的到来，AI、人脸识别、Cookies追踪软件等技术的广泛应用使得侵犯个人隐私及信息权的风险骤增，“数字圆形监狱”正在逐渐形成，而数据控制者就如同站在中心的制高点监视每一位用户。因此，赋予民众以删除权对于个体而言至关重要。
这里的“删除”，对于信息处理者（企业）而言，即在其实现日常业务功能所涉及的系统中去除个人信息的行为，使其保持不可被检索、访问的状态。对于用户来说，就是从物理及网络世界消除其个人痕迹。虽然我国《民法典》和《个人信息保护法》都规定了删除权，保护了个人对其自身信息的自主控制，但在实践层面想要行使删除权仍存在不小的障碍，即便行使了该请求，消费者也无法验证信息处理者是否真正删除了其个人信息。《加州删除法案》拟构建的“一站式删除机制”赋予消费者更加快捷、便利的删除路径，并对数据经纪人施以强制性外部审计要求，切实保障了消费者删除权。
法条链接
《个人信息保护法》
第四十七条有下列情形之一的，个人信息处理者应当主动删除个人信息；个人信息处理者未删除的，个人有权请求删除：
（一）处理目的已实现、无法实现或者为实现处理目的不再必要；
（二）个人信息处理者停止提供产品或者服务，或者保存期限已届满；
（三）个人撤回同意；
（四）个人信息处理者违反法律、行政法规或者违反约定处理个人信息；
（五）法律、行政法规规定的其他情形。
法律、行政法规规定的保存期限未届满，或者删除个人信息从技术上难以实现的，个人信息处理者应当停止除存储和采取必要的安全保护措施之外的处理。
《民法典》
第一千零三十七条自然人可以依法向信息处理者查阅或者复制其个人信息；发现信息有错误的，有权提出异议并请求及时采取更正等必要措施。
自然人发现信息处理者违反法律、行政法规的规定或者双方的约定处理其个人信息的，有权请求信息处理者及时删除。
《汽车数据安全管理若干规定（试行）》
第九条汽车数据处理者处理敏感个人信息，应当符合以下要求或者符合法律、行政法规和强制性国家标准等其他要求：（一）具有直接服务于个人的目的，包括增强行车安全、智能驾驶、导航等；（二）通过用户手册、车载显示面板、语音以及汽车使用相关应用程序等显著方式告知必要性以及对个人的影响；（三）应当取得个人单独同意，个人可以自主设定同意期限；（四）在保证行车安全的前提下，以适当方式提示收集状态，为个人终止收集提供便利；（五）个人要求删除的，汽车数据处理者应当在十个工作日内删除。
案例链接
2015年任甲玉与北京百度网讯科技有限公司名誉权纠纷案
原告曾经与无锡陶氏生物科技有限公司有过合作，网上存在不少关于该合作关系的信息。原告认为，其与陶氏公司的合作已经结束，且因该公司在业界口碑不好，经常有学生退钱，故如果有学生及合作伙伴搜索其名字，从百度页面看到搜索结果会误以为其与该公司还有合作，该不良搜索结果会影响其就业、工作交流及日常生活，这样的搜索信息应当“被遗忘”，所以原告要求百度公司删除这些信息。法院终审判决认为，我国现行法中并无法定称谓为“被遗忘权”的权利类型，同时，由于“涉诉工作经历信息是任甲玉最近发生的情况，其目前仍在企业管理教育行业工作，该信息正是其行业经历的组成部分，与其目前的个人行业资信具有直接的相关性及时效性；任甲玉希望通过自己良好的业界声誉在今后吸引客户或招收学生，但是包括任甲玉工作经历在内的个人资历信息正是客户或学生藉以判断的重要信息依据，也是作为教师诚实信用的体现，这些信息的保留对于包括任甲玉所谓潜在客户或学生在内的公众知悉任甲玉的相关情况具有客观的必要性。任甲玉在与陶氏相关企业从事教育业务合作时并非未成年人或限制行为能力人、无行为能力人，其并不存在法律上对特殊人群予以特殊保护的法理基础。故此，任甲玉在本案中主张的应“被遗忘”（删除） 信息的利益也不具有正当性和受法律保护的必要性，不应成为侵权保护的正当法益，其主张该利益受到一般人格权中所谓“被遗忘权”保护的诉讼主张，法院不予支持。
（案例来源：北京市第一中级人民法院（2015）一中民终字第09558号民事判决书）