Просьба показать данные обернулась их удалением: как компании игнорируют закон о приватности

Калифорнийский закон о защите прав потребителей (CCPA), вступивший в силу в 2020 году, даёт жителям штата три ключевых права: отказаться от продажи их персональных данных, потребовать их удаления и запросить копию собранной о себе информации. Автор материала сосредоточился на последнем — праве на доступ — и за неделю подал более сотни таких запросов, чтобы понять, что именно бизнес о нём знает.

Показательным стал ответ McDonald's: сеть прислала отчёт на 515 страниц с подробной историей взаимодействий в приложении и прогнозом, что клиент "никогда не перестанет здесь есть".

Просил показать — получил удаление

Дальше начались абсурдные истории. Автор специально указывал в каждом обращении: "Я не запрашиваю удаление. Не расценивайте это как запрос на удаление". Тем не менее сервис Crunchbase ответил бодрым письмом: "Ваш аккаунт навсегда удалён. Если нужно что-то ещё — дайте знать!" На повторное обращение компания уточнила, что стёрт лишь пользовательский аккаунт, а прочие данные остались; чтобы вернуться, придётся регистрироваться заново. В комментарии Crunchbase назвала это "технической ошибкой" сотрудника, а не работой ИИ.

База BeenVerified, торгующая публичными записями, повела себя похоже: сообщила, что убрала данные из поиска, затем — уже отказав в идентификации — заявила, что не может подтвердить личность заявителя, хотя сама минутами ранее нашла его сведения. Финальным аккордом стало письмо о том, что "запрос на отказ обработан". Материнская компания позже признала, что агент "неверно понял тип запроса", и пообещала дополнительное обучение и аудит.

Cash App от Block отказала иначе: хотя политика конфиденциальности прямо называет телефон способом подать запрос, операторы несколько раз отправляли звонившего перечитывать ту самую политику и перезванивать позже, фактически блокируя обращение.

Система, полагающаяся на добросовестность

Эксперты по защите потребителей называют такое положение дел неприемлемым. По словам представителей Consumer Federation of America и Electronic Privacy Information Center, происходящее показывает слабость подхода, который целиком полагается на добросовестность компаний, и то, как мало ресурсов бизнес выделяет на соблюдение закона. Аспирантка UC Irvine Элина ван Кемпен, ранее подававшая запросы более чем 500 брокерам данных, подтверждает: автоматический ответ вроде "мы вас удалим" вместо предоставления данных — обычное дело.

В качестве более здравой альтернативы специалисты предлагают принцип "минимизации данных": компаниям следует собирать лишь то, что действительно нужно для работы, вместо того чтобы перекладывать на человека прохождение бюрократического квеста ради одной лишь возможности увидеть, что о нём известно.

Автор, по правилам издания, раскрыл, что использовал генеративный ИИ для черновиков канцелярских писем и ведения таблицы, но сам текст статьи писал вручную.

Источник: Ars Technica