同機関は2026年1月1日に DROP を開始し、2026年8月1日以降、登録データブローカーに少なくとも45日に1回の DROP アクセスを求めています。Paul Weiss のメモ（2026年9月9日付）は、同機関が2026年にデータブローカーへの執行姿勢を大きく強めたと述べます。CCPA の適用対象は、年間総収入2,500万ドル超など3条件のいずれかに該当する営利事業者で、該当する事業者は同機関と司法長官の双方の執行対象になりえます。
2026年の動向と、事業者が確認すべき適用条件
データブローカー向けの DROP と執行強化が2026年の動きの中心で、CCPA の適用条件は収入・データ量・収入源の3基準。