Di recente è stato reso noto, a cura della California Privacy Protection Agency (CalPrivacy), un intervento attuativo di regolamentazione predisposto in materia di privacy, volto all’implementazione della disciplina introdotta dal Delete Act: le novità sono entrate ufficialmente in vigore a partire dal 1° gennaio 2026.
Indice degli argomenti
Delete Act in California: cosa entra in vigore dal 1° gennaio 2026
Nell’ottica di assicurare l’effettivo esercizio del diritto alla protezione dei dati personali, la nuova regolamentazione attuativa prevede l’attivazione di una nuova piattaforma telematica, denominata “DROP” (Delete Request and Opt-out Platform), per consentire agli utenti di inviare, gratuitamente e senza l’addebito di alcun costo, una richiesta di cancellazione simultanea di tutte le informazioni personali detenute dai cd. “broker di dati” nei propri database, e altresì di richiedere l’interruzione di un’eventuale vendita online delle medesime informazioni, al fine di salvaguardare la privacy individuale contro il rischio di qualsivoglia trattamento non autorizzato che sfugga al costante controllo effettuato dall’interessato.
L’integrale introduzione della normativa non è istantanea, ma risulta applicabile a tappe intermedie mediante un regime dilatorio di graduale postergazione regolatoria.
Rispetto all’immediata operatività di alcune disposizioni e funzionalità della piattaforma telematica “DROP” introdotta dalla menzionata disciplina generale, a partire – come detto, appunto da gennaio 2026 – la previsione delle restanti specifiche prescrizioni risulta, invece, posticipata, con particolare riferimento alla positivizzazione di una serie di stringenti vincoli posti a carico dei “broker di dati”, in un periodo successivo all’iniziale entrata in vigore del nuovo sistema di regolamentazione.
Cos’è DROP e quali richieste consente di inviare agli utenti
Con decorrenza, infatti, dal 1° agosto 2026, i “broker di dati” saranno tenuti ad accedere al sito “DROP” almeno ogni 45 giorni per recuperare ed elaborare le richieste di cancellazione degli utenti da definire entro 45 giorni a pena di sanzioni, con un ulteriore obbligo di segnalare lo stato di ciascuna istanza pervenuta.
Richiesta di cancellazione “simultanea” e interruzione della vendita dei dati
La normativa impone, altresì, ai “broker di dati” di conservare un elenco di tutte le richieste di cancellazione, con l’intento di tracciare il flusso documentale delle attività espletate, soggette pertanto a costante monitoraggio in grado di garantire l’effettivo rispetto delle prescrizioni stabilite.
Costo zero e logica di semplificazione del diritto alla protezione dei dati
I controlli di conformità a pieno regime saranno previsti dal 2028 anche mediante il ricorso a periodici audit effettuati da organismi terzi e indipendenti.
Delete Act in California: attuazione graduale e tappe della postergazione
Per comprendere la portata del prospettato intervento regolatorio di implementazione, è opportuno ricostruire l’ambito applicativo della disciplina di riferimento, alla luce delle principali norme emanate nel corso del tempo, tenuto conto del quadro legislativo generale costituito dal California Consumer Privacy Act (CCPA), integrato dalle riforme realizzate nel 2019 e nel 2020, sino alla vigente legge sulla privacy risalente al 2023 (Delete Act) – a sua volta novellata nel 2025 – da cui si evince la “ratio” sottesa alla realizzazione degli specifici strumenti di tutela realizzati a presidio della privacy.
Dal 1° agosto 2026: obblighi operativi per i data broker e tempi di risposta
Al riguardo, il cd. Delete Act (SB-362 – “Data broker registration: accessible deletion mechanism”), realizza una duplice azione riformatrice, che modifica svariate sezioni del Codice Civile e contestualmente introduce nuove disposizioni (segnatamente, nell’ambito della Divisione 3 – Parte 4 “Obblighi derivanti da particolari operazioni”).
Gestione entro 45 giorni e aggiornamento dello stato delle richieste
La legge introduce un meccanismo di cancellazione accessibile, finalizzato a rendere effettivo l’esercizio dei diritti tutelati dal California Consumer Privacy Act del 2018 (CCPA), “in relazione alle informazioni personali raccolte o vendute da un’azienda, tra cui il diritto di richiedere a un’azienda di divulgare informazioni specifiche raccolte sul consumatore, di richiedere a un’azienda di cancellare le informazioni personali sul consumatore che l’azienda ha raccolto e di ordinare a un’azienda di non vendere o condividere le informazioni personali del consumatore” (cfr. Preambolo riassuntivo della legge, Delete Act, cit.).
Tracciabilità e controlli: registro delle richieste e audit dal 2028
In particolare, la legislazione vigente impone a ogni “data broker” di perfezionare un’apposita procedura di registrazione, a pena di sanzioni pecuniarie irrogate in caso di mancato assolvimento del prescritto obbligo, istituendo, a tal fine, il “Data Brokers’ Registry Fund”, amministrato dalla California Privacy Protection Agency, per sostenere tutti i costi di funzionamento del sistema e il ristoro dei pregiudizi cagionati in violazione delle prescrizioni legislative stabilite.
Delete Act nel quadro CCPA: evoluzione normativa 2018–2025
Nell’ambito della Sezione 1, il Delete Act ridefinisce, mediante apposita modifica della corrispondente disposizione del Codice Civile (art. 1798.99.80) la nozione di “Data broker” (lett. c.) per indicare “un’azienda che raccoglie e vende consapevolmente a terzi le informazioni personali di un consumatore con il quale l’azienda non ha un rapporto diretto”.
L’art. 6 del Delete Act, aggiungendo il nuovo art. 1798.99.86 al Codice Civile, ha previsto il descritto intervento di implementazione – recentemente attuato in linea con l’orizzonte temporale del 1° gennaio 2026 – ponendo a carico della California Privacy Protection Agency, entro il predetto termine, il compito di istituire un meccanismo di cancellazione accessibile per l’espletamento di una serie di attività e procedure in grado di garantire la protezione delle informazioni personali dei consumatori, contro il rischio di abusi, accessi e divulgazioni non autorizzate. A tal fine, l’interessato diviene titolare di una serie di diritti volti a richiedere a ogni “broker di dati” l’eliminazione delle proprie informazioni detenute, nonché di escludere determinate finalità di trattamento e modificare eventuali precedenti istanze già formulate.
Definizione di “data broker” e obbligo di registrazione: cosa prevede la legge
Pertanto, alla luce della disciplina introdotta dal Delete Act, i “broker di dati” sono tenuti a registrarsi presso la California Privacy Protection Agency (CalPrivacy), conformandosi gradualmente alle prescrizioni stabilite dalla normativa richiamata, con particolare riferimento al meccanismo di cancellazione accessibile mediante la piattaforma di richiesta di cancellazione e disattivazione “DROP”.
In caso di omessa registrazione, è prevista l’irrogazione di sanzioni amministrative pecuniarie, unitamente all’apertura di apposite indagini avviate dalla California Privacy Protection Agency.
Chi può usare DROP: requisiti, identità digitale e richieste per conto terzi
In conformità con il Delete Act, la piattaforma “DROP” tutela la privacy individuale degli utenti contro il rischio di possibili abusi causati dalla raccolta e dalla vendita di informazioni personali ricavate da registri pubblici e navigazioni web che, acquisite senza il consenso degli interessati, risultano disponibili anche per eventuali finalità di marketing personalizzato e di tracciamento profilato.
Per inviare una richiesta di cancellazione tramite il sito “DROP”, è necessario essere residenti o domiciliati in California e fornire una serie di informazioni da compilare tramite il sistema California Identity Gateway, L’istanza può essere presentata anche per contro di altri soggetti interessati legittimati (ad esempio, un genitore che agisce a tutela del proprio figlio).
Dopo aver creato il proprio profilo all’interno della piattaforma “DROP”, è, dunque, possibile inviare la richiesta di cancellazione che si estende simultaneamente alla generalità dei dati detenuti da tutti i “data broker” con conseguente integrale eliminazione dei medesimi e divieto di vendita delle informazioni rimosse.
Perché la piattaforma punta a ridurre rischi e abusi nei trattamenti dei dati
L’approccio realizzato dal legislatore mira a semplificare le procedure di identificazione dei dati personali disponibili online, rendendo più agevole, effettiva e accessibile la richiesta di cancellazione formulata dagli utenti, in grado di esercitare un effettivo controllo sulle proprie informazioni, anche nell’ottica di minimizzare i rischi connessi ai furti di identità, frodi e divulgazioni abusive, costituenti insidie sempre più diffuse nell’attuale ambiente digitale e oltremodo amplificate dal pervasivo uso dei sistemi di intelligenza artificiale.
Le opinioni espresse nel presente articolo hanno carattere personale e non sono, direttamente o indirettamente collegate, in alcun modo, alle attività e funzioni lavorative svolte dall’Autore, senza, quindi, impegnare, in alcun modo, l’Amministrazione di appartenenza del medesimo.
