Cosa Fa Effettivamente il Delete Act

Il Delete Act è un'aggiunta strutturale al regime di registrazione dei data broker della California esistente dal 2020. Mentre il quadro originale richiedeva semplicemente ai broker di registrarsi annualmente presso lo stato e di divulgare le categorie di informazioni personali, il Delete Act aggiunge un meccanismo di cancellazione centralizzato con scadenze rigide, obblighi di audit e sanzioni per la non conformità.

Il Registro Centralizzato di Cancellazione

Il registro è una piattaforma gestita dal CPPA in cui i consumatori californiani presentano una singola richiesta di cancellazione che si propaga automaticamente a ogni data broker registrato. I broker devono controllare il registro almeno ogni quarantacinque giorni, identificare eventuali nuove richieste che corrispondono agli individui nei loro set di dati, e cancellare i record corrispondenti entro il termine specificato dalle normative. I consumatori non hanno bisogno di sapere quali broker detengono i loro dati — il registro gestisce la diffusione.

Chi Conta come Data Broker

La legge definisce un data broker come un'azienda che consapevolmente raccoglie e vende informazioni personali su un consumatore con cui l'azienda non ha un rapporto diretto. La definizione è più ristretta di quanto sembri — i publisher proprietari che vendono il proprio pubblico non sono broker, i processori che gestiscono dati per conto di un responsabile non sono broker — ma cattura i fornitori di grafi di identità, le piattaforme pubblicitarie a contesto incrociato, i servizi di ricerca di persone e gran parte del livello di estensione del pubblico attraverso cui i publisher instradano i dati programmatici.

Registrazione e l'Elenco Pubblico

Ogni broker coperto deve registrarsi annualmente, pagare una quota e comparire in un elenco pubblico gestito dal CPPA. Entro il 2026, l'elenco è il punto di riferimento pratico per i publisher che verificano i flussi di dati downstream: qualsiasi fornitore nell'elenco è un data broker ai fini del Delete Act, e gli obblighi contrattuali del publisher con quel fornitore devono riflettere la realtà della propagazione delle cancellazioni.

Il Ciclo di Quarantacinque Giorni e le Sue Conseguenze Operative

La regola operativa cruciale è la cadenza del ciclo di cancellazione. Ogni quarantacinque giorni, ogni broker registrato deve controllare il registro e cancellare ogni record corrispondente. La cadenza crea un nuovo tipo di attrito dell'identità per cui i publisher devono pianificare.

Come i Pubblici Si Riducono nel Ciclo

Un pubblico costruito sull'arricchimento dei data broker si ridurrà su un ritmo di circa sei settimane man mano che i consumatori californiani che hanno presentato richieste di cancellazione si propagano attraverso la rete di broker. I publisher che gestiscono misurazioni statunitensi che dipendono dalla risoluzione dell'identità — targeting del pubblico programmatico, finestre di attribuzione che dipendono da identificatori cross-site, modellazione lookalike che utilizza seed forniti dai broker — vedranno le dimensioni del pubblico californiano scendere in un pattern a dente di sega: ogni ciclo rimuove una tranche, poi i visitatori incrementali si riempiono fino al ciclo successivo.

La Ri-identificazione è Vietata

La legge vieta esplicitamente ai broker di re-identificare un consumatore che è stato cancellato, anche se il broker successivamente ottiene gli stessi dati da una fonte diversa. Il divieto chiude l'ovvia scappatoia e significa che i publisher non possono fare affidamento sui propri dati proprietari per ricollegate i consumatori cancellati ai pubblici instradati dai broker. La cancellazione è destinata a essere duratura, e il programma di audit del regolatore è costruito per rilevare i pattern di re-identificazione.

I Dati Proprietari del Publisher Sono Fuori dal Ciclo

I dati proprietari del publisher — utenti registrati, abbonati alla newsletter, soci del programma fedeltà — non sono soggetti al ciclo di cancellazione del Delete Act perché il publisher non è un data broker per quei record. Il publisher rimane soggetto ai diritti di cancellazione CCPA e CPRA, che sono separati. I due regimi possono interagire: una cancellazione del Delete Act a livello di broker può comunque lasciare intatto il record proprietario del publisher, e il publisher deve continuare a rispettare la richiesta di cancellazione CCPA separata del consumatore attraverso il proprio sistema di ricezione.

Il Segnale Global Privacy Control nel Nuovo Mondo

Il Delete Act si interseca con l'intestazione Global Privacy Control (GPC) che browser ed estensioni per la privacy inviano per indicare che l'utente ha impostato una preferenza di opt-out universale. Le normative del CPPA confermano che i publisher e i broker devono rispettare il GPC come opt-out CCPA valido, e il registro centralizzato del Delete Act aggiunge un percorso parallelo per lo stesso risultato.

Due Segnali, Un Risultato

Un consumatore californiano ha due modi per uscire dall'ecosistema dei dati commerciali: inviare l'intestazione GPC da ogni browser che utilizza, oppure presentare una singola richiesta al registro del Delete Act. I due percorsi producono risultati equivalenti per la maggior parte dei casi d'uso ma differiscono nell'ambito. Il GPC regola la vendita e la condivisione continuativa su ogni sito che il consumatore visita. Il registro cancella i record esistenti detenuti dai broker. I publisher dovrebbero trattare entrambi come segnali autorevoli, e il CMP dovrebbe essere configurato per riconoscere entrambi.

Il Ruolo del CMP nel Far Emergere Entrambi i Percorsi

Il CMP conforme per i pubblici californiani nel 2026 mostra lo stato di rispetto del GPC (il visitatore ha il GPC impostato, l'opt-out è attivo), il link di opt-out del publisher (il consumatore può rifiutare la vendita e la condivisione su questo sito specificamente), e un chiaro rimando al registro CPPA per i consumatori che vogliono il risultato di cancellazione dai broker. L'architettura non è tecnicamente impegnativa — tre controlli nell'interfaccia utente del consenso anziché uno — ma la formulazione è importante e l'applicazione del CPPA è stata attiva sui percorsi di opt-out fuorvianti o nascosti.

Cosa Devono Fare i Publisher

Il Delete Act è una normativa rivolta ai broker, non ai publisher, ma le conseguenze operative per i publisher sono reali e richiedono modifiche specifiche all'architettura del consenso e dei dati.

Verificare lo Stack dei Fornitori Rispetto al Registro dei Broker

Ogni fornitore nello stack pubblicitario e analitico del publisher dovrebbe essere incrociato con l'elenco pubblico dei broker del CPPA. I fornitori nell'elenco sono soggetti al regime del Delete Act, e i contratti del publisher con quei fornitori devono riflettere la propagazione delle cancellazioni, la conservazione dei log di audit e la cadenza del ciclo di quarantacinque giorni. La maggior parte dei principali fornitori di risoluzione dell'identità e diversi grandi SSP sono ora nell'elenco; l'audit non è complicato ma deve avvenire almeno annualmente.

Aggiornare l'Informativa sulla Privacy e l'Interfaccia del Consenso

L'informativa sulla privacy del publisher dovrebbe spiegare il percorso del registro del Delete Act accanto al diritto di cancellazione CCPA esistente, con un link diretto al registro del CPPA. L'interfaccia del consenso dovrebbe esporre lo stato di rispetto del GPC quando il visitatore ha l'intestazione impostata, e i controlli di opt-out dovrebbero avere la stessa prominenza dei controlli di accettazione — le decisioni di applicazione del Procuratore Generale durante il 2024 e il 2025 hanno reso esplicito il test del dark pattern.

Pianificare il Pattern a Dente di Sega del Pubblico

I team di misurazione e targeting del pubblico devono sapere che le metriche del pubblico californiano seguiranno un pattern a dente di sega di sei settimane guidato dalla cadenza del ciclo. I cruscotti e i modelli di bid-pacing dovrebbero essere calibrati sul pattern piuttosto che trattare ogni calo come un guasto. I publisher che gestiscono attribuzioni rigorose dovrebbero anche modellare il percorso di cancellazione del broker come una fonte di attrito separata in modo che i numeri post-ciclo possano essere riconciliati in modo chiaro.

Errori Comuni del Delete Act che Generano Accertamenti

La prima ondata di applicazione del CPPA ai sensi del Delete Act nel corso del 2025 ha prodotto un chiaro pattern di accertamenti lato publisher. L'informativa sulla privacy del publisher descrive il percorso di opt-out CCPA ma non menziona mai il registro del Delete Act. Il banner del consenso rispetta il GPC per la vendita e la condivisione ma non propaga il segnale all'intake di cancellazione proprietario del publisher. Il publisher stipula un contratto con un broker registrato e non aggiorna mai il contratto per riflettere gli obblighi di propagazione della cancellazione del Delete Act. Il CMP serve un pannello 'gestisci preferenze' che nasconde l'opt-out tre clic in profondità dietro un pulsante più scuro di quello accetta-tutto. Ognuno di questi è una correzione documentale o UX piuttosto che una modifica architettonica profonda — ma ognuno è anche esattamente il punto da cui il CPPA avvia un'indagine.

Il Punto Cruciale

Il Delete Act offre ai consumatori californiani un singolo pulsante che li fa uscire dall'ecosistema dei dati commerciali, e entro il 2026 il registro è operativo, l'elenco dei broker è pubblico e il programma di applicazione è attivo. Per i publisher, le implicazioni sono reali ma delimitate: il Delete Act non richiede al publisher di fare nulla di drammatico, ma richiede al publisher di sapere quali fornitori downstream sono broker, di aggiornare l'informativa sulla privacy e l'interfaccia del consenso per mostrare il nuovo percorso, di rispettare il GPC in modo coerente, e di pianificare il pattern a dente di sega del pubblico che il ciclo di quarantacinque giorni produce. Nessuno di questi è tecnicamente difficile. Tutto è operativamente specifico. I publisher che hanno condotto un audit accurato nel 2024 e nel 2025 stanno ora eseguendo su un'architettura consolidata; i publisher che hanno trattato il Delete Act come un problema dei data broker che non li riguardava stanno trascorrendo il 2026 a rispondere a lettere di richiesta e revisionando le informative sulla privacy sotto scadenza del regolatore.