Žurnālists pieprasīja datus no 100 uzņēmumiem — daži tā vietā tos izdzēsa

Wired žurnālists veica eksperimentu, iesniedzot vairāk nekā 100 datu piekļuves pieprasījumus dažādiem uzņēmumiem saskaņā ar Kalifornijas Patērētāju privātuma likumu (CCPA), kas kopš 2020. gada dod iedzīvotājiem tiesības pieprasīt, dzēst vai aizliegt pārdot savus personas datus. Šoreiz viņš vēlējās tikai piekļūt saviem datiem, nevis tos dzēst.

Process izrādījās neparasti sarežģīts un laikietilpīgs. Piemēram, McDonald's atsūtīja 515 lappušu garu ziņojumu ar detalizētu lietotnes lietošanas vēsturi. Taču vairāki citi uzņēmumi rīkojās pretēji pieprasītajam — datu bāzes uzņēmums Crunchbase divas dienas pēc pieprasījuma paziņoja, ka lietotāja konts ir neatgriezeniski dzēsts, lai gan žurnālists skaidri norādīja, ka nevēlas dzēšanu. Uzņēmums vēlāk atzina, ka tā bijusi "apstrādes kļūda".

Līdzīga situācija izveidojās ar personas datu meklētājsistēmu BeenVerified, kas vairākkārt kļūdaini interpretēja piekļuves pieprasījumu kā dzēšanas vai atteikšanās pieprasījumu, un tikai pēc vairākiem precizējošiem e-pastiem lieta tika atrisināta. Savukārt maksājumu lietotne Cash App, kuras privātuma politika norāda tālruņa numuru kā vienu no pieprasījumu iesniegšanas veidiem, faktiski nespēja apstrādāt zvanu — klientu apkalpošanas darbinieki nezināja, kā rīkoties.

Patērētāju tiesību aizstāvji, tostarp Patērētāju federācijas pārstāvis Bens Vinterss un Elektroniskā privātuma informācijas centra pārstāve Majū Tobina-Mijadži, situāciju vērtē kā nepieņemamu un norāda uz nepietiekamiem uzņēmumu resursiem atbilstības nodrošināšanai. Pētniece Elīna van Kempena no Kalifornijas Universitātes Irvinē, kas iepriekš pētījusi vairāk nekā 500 datu brokeru atbilstību CCPA, apstiprina, ka līdzīgas kļūdainas atbildes ir izplatīta parādība.

Eksperti kā risinājumu min stingrāku "datu minimizācijas" pieeju — uzņēmumiem būtu jāvāc tikai tie dati, kas nepieciešami pamatdarbībai, tādējādi mazinot nepieciešamību patērētājiem vispār iesniegt šādus pieprasījumus.