California Delete Act: Entra en vigor el sistema DROP para borrar datos

El 1 de agosto de 2026 marca un punto de inflexión histórico para el derecho a la privacidad digital a nivel global. Con la entrada en vigor de la fase de cumplimiento operativo obligatorio de la California Delete Act (Ley SB 362), más de 600 corredores de datos (data brokers), plataformas de tecnología publicitaria (ad-tech) y agencias de perfilamiento de comportamiento registrados en el estado de California enfrentan un ultimátum legal: procesar de manera sistemática la eliminación de la huella digital de los consumidores o afrontar sanciones administrativas devastadoras. Esta regulación, administrada por la Agencia de Protección de la Privacidad de California (CalPrivacy o CPPA por sus siglas en inglés), transforma la gestión de datos personales al pasar de la simple recolección de solicitudes de ciudadanos a la obligación operativa de purgado en las bases de datos corporativas.

Desde el 1 de enero de 2026, fecha en que se habilitó el portal público centralizado conocido como DROP (Delete Request and Opt-Out Platform) en la dirección privacy.ca.gov/drop, más de 300,000 residentes de California han pre-registrado sus peticiones. A partir del despliegue del 1 de agosto de 2026, los intermediarios de datos no solo deben procesar este volumen acumulado, sino ajustar su arquitectura de TI para ejecutar de manera perpetua borrados periódicos cada 45 días, desmantelando la infraestructura de monetización de metadatos no consentidos desarrollada por los gigantes tecnológicos y sus socios de la industria de datos.

El hito operativo de la California Delete Act y la plataforma DROP

Hasta la promulgación y posterior activación operativa de la California Delete Act, ejercitar el derecho al olvido o a la eliminación de información en el ecosistema estadounidense representaba una tarea titánica e ineficiente. Un consumidor debía localizar manualmente a cientos de empresas de rastreo, completar formularios individuales de verificación y dar seguimiento a cada proceso por separado. La plataforma centralizada DROP soluciona este cuello de botella sistémico al actuar como un pivote estatal único que transmite una sola solicitud verificada a todos los intermediarios de datos registrados en California.

A través de un mecanismo de validación de identidad integrado con el California Identity Gateway y servicios seguros como Login.gov, los usuarios confirman su residencia en el estado sin que el portal almacene de forma permanente sus identificadores personales sensibles. Una vez autenticada la solicitud, la plataforma coordina la purga de una amplia gama de categorías de información almacenada en registros opacos de sombras (shadow registries):

• Historiales de navegación y consultas de búsqueda: Registros detallados de actividad web capturados a través de galletas (cookies) de terceros, píxeles de seguimiento y scripts de huella digital del navegador.
• Patrones de ubicación geográfica precisa: Coordenadas GPS y trayectorias de movilidad recopiladas por aplicaciones móviles y SDKs comercializados.
• Identificadores publicitarios móviles (MAIDs): Códigos únicos como IDFA (Apple) y GAID (Google) utilizados para vincular dispositivos con perfiles psicográficos.
• Metadatos de comportamiento y perfiles inferidos: Inferencias sobre hábitos de compra, salud, afiliaciones políticas, estado civil y nivel socioeconómico.

Arquitectura técnica y flujo de cumplimiento de 45 días

Para los data brokers y plataformas ad-tech cubiertas por la norma —definidas legalmente como empresas que generan más de $25 millones de dólares anuales y compran, venden o comparten la información personal de más de 100,000 consumidores con los que no tienen una relación directa de primera parte— la exigencia técnica impuesta por CalPrivacy requiere redefinir sus canalizaciones de datos (data pipelines) y esquemas de gobernanza.

El ciclo de sincronización y el emparejamiento por hashes criptográficos

El estándar técnico establecido por la reglamentación del portal DROP impone un protocolo estricto de ejecución en bucle continuo de 45 días. Las organizaciones deben implementar los siguientes pasos operativos:

1. Acceso e ingesta de listas de eliminación: Al menos una vez cada 45 días, el intermediario de datos debe conectarse a la API segura de DROP y descargar las listas actualizadas de consumidores que han presentado solicitudes de purga. Cabe destacar que la ley pro