מה שחוק ה-Delete Act עושה בפועל

חוק ה-Delete Act הוא תוספת מבנית למשטר רישום סוחרי הנתונים הקיים של קליפורניה, הנמצא בתוקף מאז 2020. בעוד שהמסגרת המקורית פשוט חייבה סוחרים להירשם מדי שנה במדינה ולגלות את קטגוריות המידע האישי שלהם, חוק ה-Delete Act מוסיף מנגנון מחיקה מרוכז עם לוחות זמנים נוקשים, חובות ביקורת, ועונשים על אי-ציות.

רישום המחיקה המרוכז

הרישום הוא פלטפורמה המופעלת על ידי CPPA שבה צרכנים קליפורניים מגישים בקשת מחיקה אחת המתפשטת אוטומטית לכל סוחר נתונים רשום. על הסוחרים לבדוק את הרישום לפחות כל ארבעים וחמישה ימים, לזהות כל בקשה חדשה שתואמת אנשים בסטי הנתונים שלהם, ולמחוק את הרשומות התואמות בתוך לוח הזמנים שהתקנות מציינות. הצרכנים אינם צריכים לדעת אילו סוחרים מחזיקים בנתוניהם — הרישום מטפל בהפצה.

מי נחשב לסוחר נתונים

החוק מגדיר סוחר נתונים כעסק שאוסף ומוכר ביודעין מידע אישי על צרכן שאין לו איתו קשר ישיר. ההגדרה צרה יותר ממה שנשמע — מפרסמי צד ראשון המוכרים את הקהל שלהם אינם סוחרים; מעבדים המטפלים בנתונים מטעם בקר אינם סוחרים — אבל היא תופסת את ספקי גרף הזהות, פלטפורמות הפרסום הרב-הקשריות, שירותי חיפוש האנשים, וחלק גדול משכבת הרחבת הקהל שדרכה מפרסמים מנתבים נתונים פרוגרמטיים.

רישום ורשימה ציבורית

כל סוחר מכוסה חייב להירשם מדי שנה, לשלם אגרה, ולהופיע ברשימה ציבורית שה-CPPA מנהלת. עד 2026 הרשימה היא נקודת ההפניה המעשית עבור מפרסמים המבקרים את זרימות הנתונים הדאונסטרים שלהם: כל ספק ברשימה הוא סוחר נתונים לצרכי חוק ה-Delete Act, והתחייבויות החוזיות של המפרסם עם אותו ספק חייבות לשקף את מציאות הפצת המחיקה.

סבב הארבעים וחמישה ימים והשלכותיו התפעוליות

הכלל התפעולי המרכזי הוא קצב סבב המחיקה. כל ארבעים וחמישה ימים, כל סוחר רשום חייב לבדוק את הרישום ולמחוק כל רשומה תואמת. הקצב יוצר סוג חדש של שחיקת זהות שמפרסמים חייבים להנדס עבורה.

כיצד קהלים דועכים תחת הסבב

קהל שנבנה על העשרת סוחרי נתונים יצטמצם בשעון של כשש שבועות בערך כאשר צרכנים קליפורניים שהנפיקו בקשות מחיקה מתפשטים דרך רשת הסוחרים. מפרסמים המפעילים מדידה בארה"ב התלויה בפתרון זהות — מיקוד קהל פרוגרמטי, חלונות שיוך התלויים במזהים בין-אתריים, מודלינג lookalike המשתמש בזרעים שסופקו על ידי הסוחר — יראו את גדלי הקהל בקליפורניה נוטים כלפי מטה בדפוס ראשי-מסור: כל סבב מסיר חלק, ואז מבקרים מצטברים ממלאים שוב עד לסבב הבא.

זיהוי מחדש אסור

החוק אוסר במפורש על סוחרים לזהות מחדש צרכן שנמחק, גם אם הסוחר מקבל לאחר מכן את אותם הנתונים ממקור אחר. האיסור סוגר את הפרצה הברורה ומשמעו שמפרסמים אינם יכולים להסתמך על נתוני הצד הראשון שלהם כדי לתפור מחדש צרכנים שנמחקו לתוך קהלים הנתוּבים דרך סוחרים. המחיקה נועדה להיות בת-קיימא, ותוכנית הביקורת של הרגולטור בנויה לאיתור דפוסי זיהוי מחדש.

נתוני הצד הראשון של המפרסם נמצאים מחוץ לסבב

נתוני הצד הראשון של המפרסם — משתמשים רשומים, מנויי ניוזלטר, חברי נאמנות — אינם כפופים לסבב חוק ה-Delete Act כיוון שהמפרסם אינו סוחר נתונים עבור רשומות אלו. המפרסם ממשיך להיות כפוף לזכויות המחיקה של CCPA ו-CPRA, שהן נפרדות. שני המשטרים יכולים לקיים אינטראקציה: מחיקה של חוק ה-Delete Act בשכבת הסוחר עדיין יכולה להשאיר את רשומת הצד הראשון של המפרסם שלמה, והמפרסם חייב להמשיך ולכבד את בקשת המחיקה הנפרדת של CCPA של הצרכן דרך הצנרת שלו עצמו.

אות ה-Global Privacy Control בעולם החדש

חוק ה-Delete Act מצטלב עם כותרת Global Privacy Control (GPC) שדפדפנים והרחבות פרטיות שולחים כדי לציין שהמשתמש הגדיר העדפת opt-out אוניברסלית. תקנות ה-CPPA מאשרות שמפרסמים וסוחרים חייבים לכבד את ה-GPC כ-opt-out תקף של CCPA, ורישום המרוכז של חוק ה-Delete Act מוסיף מסלול מקביל לאותה תוצאה.

שני אותות, תוצאה אחת

לצרכן קליפורני יש שתי דרכים לצאת ממערכת האקולוגיה של הנתונים המסחריים: לשלוח את כותרת ה-GPC מכל דפדפן שהוא משתמש בו, או להגיש בקשת רישום אחת של חוק ה-Delete Act. שני המסלולים מפיקים תוצאות שוות ערך לרוב מקרי השימוש אך שונות בהיקף. ה-GPC שולט במכירה ושיתוף מתמשכים בכל אתר שהצרכן מבקר בו. הרישום מוחק רשומות קיימות שבידי הסוחרים. על המפרסמים להתייחס לשניהם כאותות סמכותיים, וה-CMP צריך להיות מוגדר לזהות כל אחד מהם.

תפקיד ה-CMP בחשיפת שני המסלולים

ה-CMP התואם לקהלי קליפורניה ב-2026 מציג את סטטוס כיבוד ה-GPC (למבקר יש GPC מוגדר, ה-opt-out פעיל), את קישור ה-opt-out הייחודי של המפרסם (הצרכן יכול לסרב למכירה ולשיתוף באתר זה ספציפית), ומצביע ברור לרישום ה-CPPA עבור צרכנים הרוצים בתוצאת המחיקה מהסוחרים. הארכיטקטורה אינה תובענית מבחינה טכנית — שלושה פקדים בממשק המשתמש של ההסכמה במקום אחד — אבל הניסוח חשוב ואכיפת ה-CPPA הייתה פעילה על מסלולי opt-out מטעים או קבורים.

מה על המפרסמים לעשות

חוק ה-Delete Act הוא רגולציה שמכוונת לסוחרים, לא למפרסמים, אבל ההשלכות התפעוליות עבור המפרסמים הן אמיתיות ודורשות שינויים ספציפיים בארכיטקטורת ההסכמה והנתונים.

ביקורת מחסנית הספקים מול רישום הסוחרים

כל ספק במחסנית המודעות והניתוח של המפרסם צריך להיות מצולב עם רשימת הסוחרים הציבורית של CPPA. ספקים ברשימה כפופים למשטר חוק ה-Delete Act, וחוזי המפרסם עם אותם ספקים חייבים לשקף הפצת מחיקה, שמירת יומן ביקורת, וקצב סבב ארבעים וחמישה הימים. רוב ספקי פתרון הזהות הגדולים ומספר SSPs גדולים נמצאים כעת ברשימה; הביקורת אינה כואבת אך היא צריכה להתקיים לפחות אחת לשנה.

עדכון הודעת הפרטיות וממשק המשתמש של ההסכמה

הודעת הפרטיות של המפרסם צריכה להסביר את מסלול רישום חוק ה-Delete Act לצד זכות המחיקה הקיימת של CCPA, עם קישור ישיר לרישום ה-CPPA. ממשק המשתמש של ההסכמה צריך לחשוף את סטטוס כיבוד ה-GPC כאשר למבקר יש הכותרת מוגדרת, ופקדי ה-opt-out צריכים להיות בעלי עוצמה שווה לפקדי הקבלה — החלטות האכיפה של היועץ המשפטי לממשלה לאורך 2024 ו-2025 הפכו את מבחן הדפוס האפל לפגוע.

תכנון לדפוס ראשי-המסור של הקהל

צוותי המדידה ומיקוד הקהל צריכים לדעת שמדדי הקהל בקליפורניה יעקבו אחר דפוס ראשי-מסור של שש שבועות המונע על ידי קצב הסבב. לוחות המחוונים ומודלי קצב הצעות המחיר צריכים להיות מכוּוָּנים לדפוס במקום להתייחס לכל ירידה כתקלה. מפרסמים המפעילים שיוך קפדני צריכים גם לדגם את מסלול מחיקת הסוחר כמקור שחיקה נפרד כדי שניתן יהיה לפייס את המספרים שלאחר הסבב בצורה נקייה.

שגיאות נפוצות בחוק ה-Delete Act המעוררות ממצאים

גל האכיפה הראשון של CPPA מכוח חוק ה-Delete Act לאורך 2025 הניב דפוס ברור של ממצאים בצד המפרסם. הודעת הפרטיות של המפרסם מתארת את מסלול ה-opt-out של CCPA אך לעולם אינה מזכירה את רישום חוק ה-Delete Act. באנר ההסכמה מכבד את ה-GPC למכירה ולשיתוף אך אינו מפיץ את האות לכניסת מחיקת הצד הראשון של המפרסם. המפרסם מתקשר עם סוחר רשום ולעולם אינו מעדכן את החוזה כדי לשקף את התחייבויות הפצת מחיקת חוק ה-Delete Act. ה-CMP מגיש לוח ניהול העדפות שקובר את ה-opt-out שלושה קליקים לעומק מאחורי כפתור כהה יותר מ'קבל הכל'. כל אחד מאלה הוא תיקון תיעוד או UX ולא שינוי ארכיטקטוני עמוק — אך כל אחד הוא גם בדיוק מה ש-CPPA פותחת בו חקירה.

השורה התחתונה

חוק ה-Delete Act נותן לצרכנים קליפורניים כפתור אחד שמוציא אותם ממערכת האקולוגיה של הנתונים המסחריים, ועד 2026 הרישום פעיל, רשימת הסוחרים ציבורית, ותוכנית האכיפה פעילה. עבור המפרסמים ההשלכות אמיתיות אך תחומות: חוק ה-Delete Act אינו מחייב את המפרסם לעשות דבר דרמטי, אך הוא מחייב את המפרסם לדעת אילו ספקים דאונסטרים הם סוחרים, לעדכן את הודעת הפרטיות וממשק המשתמש של ההסכמה כדי לחשוף את המסלול החדש, לכבד את ה-GPC באופן עקבי, ולתכנן לדפוס ראשי-המסור של הקהל שסבב ארבעים וחמישה הימים מייצר. אף לא אחד מאלה קשה מבחינה טכנית. כולם ספציפיים מבחינה תפעולית. המפרסמים שביצעו ביקורת נקייה ב-2024 וב-2025 מבצעים כעת ארכיטקטורה מסוּדרת; המפרסמים שהתייחסו לחוק ה-Delete Act כבעיה של סוחרי נתונים שאינה עניינם מבלים את 2026 בכתיבת מכתבי תגובה ובעדכון הודעות פרטיות תחת מועד אחרון של הרגולטור.