Esta sección de la ley define ciertos términos utilizados en este título. Específicamente, describe qué es un 'corredor de datos', refiriéndose a ellos como empresas que recopilan y venden información personal sin tener una relación directa con el consumidor. También especifica que varias entidades, como aquellas cubiertas por ciertas leyes federales como la Ley de Informes Crediticios Justos, no se consideran 'corredores de datos'. Además, los términos de otra sección de la ley se aplicarán a menos que se indique lo contrario aquí, y 'agente autorizado' hace referencia a una definición regulatoria específica.

Esta sección de la ley crea un fondo especial llamado “Fondo de Registro de Corredores de Datos” para administrar el dinero recaudado por la Agencia de Protección de la Privacidad de California y el Departamento de Justicia. Este dinero se usará para cubrir los gastos de crear y mantener un sitio web sobre los corredores de datos, hacer cumplir las normas y gestionar un sistema que permite a las personas eliminar sus datos, todo ello con la aprobación de la legislatura estatal.

Esta sección describe los requisitos para que las empresas que califican como corredores de datos se registren anualmente ante la Agencia de Protección de la Privacidad de California. Deben proporcionar información específica, como su nombre, datos de contacto y si recopilan ciertos tipos de información personal. Los corredores de datos también deben revelar si se someten a auditorías, ofrecer una forma para que los consumidores ejerzan sus derechos de privacidad y evitar el uso de 'patrones oscuros' —trucos que engañan a los usuarios. No registrarse conlleva multas diarias y otras sanciones. La ley garantiza que las tarifas de registro y las sanciones cubran los costos de regulación.

La Agencia de Protección de la Privacidad de California debe establecer una página web pública donde las personas puedan acceder a los detalles de registro de los corredores de datos y encontrar una forma de solicitar la eliminación de su información.

Esta ley exige que las empresas que se consideran corredores de datos elaboren informes sobre cuántas solicitudes de datos recibieron, cómo respondieron a ellas y con qué rapidez lo hicieron. Deben incluir estos detalles en su política de privacidad en línea. Los informes deben desglosar las solicitudes que denegaron y explicar los motivos, por ejemplo, si una solicitud no pudo verificarse o si implicaba información exenta de eliminación. También deben especificar, para ciertas exenciones legales, cuándo no eliminaron datos en respuesta a una solicitud.

A partir del 1 de enero de 2026, la Agencia de Protección de la Privacidad de California debe establecer un sistema que facilite a las personas solicitar la eliminación de sus datos personales de los corredores de datos. Este sistema debe mantener los datos seguros, permitir a los consumidores solicitar eliminaciones de múltiples corredores con una sola petición, y permitirles rastrear y modificar sus solicitudes. Debe ser accesible para todos, incluyendo en diferentes idiomas y para personas con discapacidades.

Los corredores de datos deben revisar este sistema cada 45 días a partir del 1 de agosto de 2026 para procesar las solicitudes de eliminación y dejar de vender cualquier nueva información personal, a menos que el consumidor acuerde lo contrario. No están obligados a eliminar datos si los necesitan por razones legales específicas. Además, a partir de 2028, los corredores deberán someterse a auditorías cada tres años para verificar el cumplimiento, y es posible que tengan que pagar una tarifa para acceder a este sistema de eliminación.

Esta ley permite a la Agencia de Protección de la Privacidad de California crear normas para implementar las leyes de privacidad, siguiendo un proceso específico llamado Ley de Procedimiento Administrativo. Sin embargo, si la agencia desea establecer tarifas bajo estas leyes de privacidad, puede hacerlo sin seguir ese proceso habitual.

Esta ley establece que si alguien desea iniciar una acción administrativa (como una demanda o una queja) alegando una violación de las normas bajo este título, debe comenzar el proceso dentro de los cinco años siguientes a la fecha en que ocurrió la violación.