Журналист запросил свои данные у 100 компаний — некоторые вместо этого их удалили
Журналист издания Wired подал запросы на доступ к личным данным более чем в 100 компаний согласно калифорнийскому закону о конфиденциальности, но некоторые компании вместо этого ошибочно удалили его аккаунты или отказались выполнять запрос. Эксперты считают это свидетельством слабого контроля за соблюдением прав на конфиденциальность.
Журналист издания Wired решил проверить, насколько компании соблюдают калифорнийский закон о защите прав потребителей (CCPA), подав запросы на доступ к личным данным — не на их удаление — более чем в 100 компаний. Закон, действующий с 2020 года, даёт жителям Калифорнии право просматривать, удалять свои данные или запрещать их продажу; в этом эксперименте речь шла исключительно о праве на доступ.
Процесс оказался неожиданно сложным. Например, McDonald's прислал отчёт на 515 страниц с подробностями об использовании приложения. Однако несколько других компаний поступили ровно наоборот. Сервис базы данных стартапов Crunchbase через два дня после запроса сообщил, что аккаунт журналиста был "безвозвратно удалён", хотя в письме прямо указывалось, что речь не идёт об удалении. Позже в Crunchbase назвали это "ошибкой обработки".
Похожая ситуация произошла с сервисом поиска по публичным записям BeenVerified, который несколько раз ошибочно интерпретировал запрос на доступ как запрос на удаление или отказ от сбора данных — потребовалось несколько уточняющих писем, чтобы решить вопрос. Платёжный сервис Cash App, в политике конфиденциальности которого телефонный номер указан как способ подачи таких запросов, на деле не смог обработать звонок — сотрудники поддержки, похоже, не были знакомы с процедурой и попросили перезвонить позже.
Защитники прав потребителей, включая Бена Уинтерса из Consumer Federation of America и Маю Тобин-Мияджи из Electronic Privacy Information Center, назвали ситуацию неприемлемой и связали её с недостаточными ресурсами компаний на соблюдение закона. Исследовательница из Калифорнийского университета в Ирвайне Элина ван Кемпен, изучавшая соблюдение CCPA более чем 500 брокерами данных, подтвердила, что подобные ошибки — распространённое явление.
Эксперты предложили в качестве более эффективного решения принцип "минимизации данных" — ограничение сбора информации только необходимым минимумом, чтобы потребителям вообще не приходилось проходить через такие бюрократические процедуры.
