100 компаній перевірили, і з’ясувалося, що запити щодо конфіденційності часто призводили до плутанини та глухих кутів.
Я подав запит до McDonald’s на початку цього місяця, щоб отримати доступ до всіх особистих даних, які зібрала про мене компанія швидкого харчування. Через кілька днів я отримав вражаючий звіт на 515 сторінок, який детально описував мою взаємодію з додатком і прогнозував, що я ніколи не перестану там їсти.
Відповідно до Закону про конфіденційність споживачів Каліфорнії (CCPA), я маю законне право вимагати доступу до інформації від великих компаній, які збирають особисті дані. Тому мені було цікаво, що інші можуть мати про мене, і я провів наступний тиждень, подавши понад 100 запитів.
CCPA набув чинності у 2020 році, і три з його ключових положень – це право відмовитися від продажу особистої інформації, право видалити цю інформацію та право вимагати копію для себе.
Я зосередився виключно на останньому – запитах на доступ – щоб краще зрозуміти, які дані збираються. Більшість компаній повинні надати два способи подання такого запиту. Це часто через веб-форму, номер телефону або адресу електронної пошти, як зазначено в їхній політиці конфіденційності. Після подання запиту компанії мають 45 днів на його виконання.
Мій досвід подання цих запитів на доступ до даних був надзвичайно трудомістким: від пошуку правильних методів подання до багаторазової перевірки моєї особи. Найбільш роздражальними під час цього процесу були компанії, які або відповідали на мої запити на доступ повідомленнями про видалення інформації, чого я явно не просив, або відмовлялися обробляти запит за допомогою методу, зазначеного в їхній політиці конфіденційності.
Захисники прав споживачів, з якими я розмовляв, були обурені тим, як оброблялися ці запити. «Це божевілля», — сказав Бен Вінтерс, директор з питань ШІ та конфіденційності в Consumer Federation of America. «Це неприйнятний статус-кво». Вінтерс розглядає ці приклади як вияв слабкості політичних рамок, які покладаються на компанії, що діють відповідально та сумлінно.
Відповідно до політики WIRED, я розкриваю, що використовував генеративний ШІ для створення бюрократичних електронних листів та оновлення моєї відстежувальної електронної таблиці як частини цього звіту. Основний текст цієї статті я написав переважно вручну в своєму блокноті.
Одна з перших помилок сталася з Crunchbase, відомою своєю базою даних про технологічні стартапи. Я надіслав запит на доступ на їхню адресу електронної пошти для конфіденційності 17 серпня. У своєму повідомленні я виклав права, які хотів реалізувати, і включив прямий запит не видаляти нічого: «Наразі я не прошу видалення. Будь ласка, не розглядайте це як запит на видалення». Через два дні я отримав відповідь від представника служби підтримки Crunchbase.
«Дуже дякую за ваше терпіння. Ваш обліковий запис було назавжди видалено з Crunchbase. Будь ласка, повідомте мені, якщо вам потрібна допомога!» — повністю читалося повідомлення.
Я відразу ж відповів електронною поштою, повторивши, що мені потрібен доступ до даних, а не їх видалення. «Ваш обліковий запис користувача Crunchbase було видалено. Інші дані, розташовані на Crunchbase, не було видалено», — читалася подальша відповідь служби підтримки, що пояснювала, що сталося. Якщо б я хотів мати обліковий запис Crunchbase, мені довелося б зареєструватися знову.
Коли я звернувся до Crunchbase за коментарем, речник пояснив помилку «помилкою обробки» та заявив, що компанія виконає мій оригінальний запит на доступ. Речник також стверджував, що неправильно класифікована відповідь надійшла від «людини з нашої команди успіху клієнтів», а не від інструменту генеративного ШІ.
Моя взаємодія з BeenVerified, пошуковою базою даних, що збирає загальнодоступні записи, також ілюструє мій складний досвід подання цих запитів на доступ.
Я надіслав електронного листа на спеціальну адресу [email protected] для CCPA вранці 19 серпня. Я зазначив, що є резидентом Каліфорнії, який подає запит на доступ, а не на видалення. Ви ніколи не вгадаєте, що сталося далі.
Через два дні я отримав повідомлення від представника служби підтримки BeenVerified щодо видалення інформації. «Схоже, що ваш персональний звіт вже було видалено з результатів нашого пошуку осіб», — йшлося в їхній початковій відповіді. «Крім того, ми видалили запитаний номер телефону та адресу електронної пошти з наших результатів пошуку. Ця зміна повинна відобразитися протягом 24 годин». Зовсім не те, що я просив.
Коли я надіслав наступний електронний лист, пояснюючи, що я подав запит на доступ, а не на видалення, представник служби підтримки відповів через 15 хвилин, відхиливши мою заяву та заявивши, що компанія не змогла підтвердити мою особу. Це було спантеличуюче, оскільки раніше вони знайшли деякі мої дані в потоці повідомлень і навіть не намагалися пояснити, що мені потрібно надати для перевірки.
Вичерпавши терпіння, я надіслав ще один електронний лист, пояснюючи, наскільки я розгублений цими відповідями. «Будьте впевнені, що ми можемо обробити ваш запит на відмову та видалили вашу інформацію з нашого веб-сайту», — читалася відповідь представника служби підтримки. Якби я ще не був лисим, я б висмикнув решту волосся в цей момент.
Я знайшов розраду в розмові з академічною дослідницею, яка раніше допомагала подавати запити на доступ до понад 500 брокерів даних відповідно до того самого каліфорнійського закону і також стикалася з численними помилками класифікації. «Іноді я робив запит на доступ, і автоматичною відповіддю було «Ми відмовимо вас» або «Ми видалимо ваші дані», — каже Еліна ван Кемпен, аспірантка Каліфорнійського університету в Ірвайні та співавторка Consumer Beware! Exploring Data Brokers’ CCPA Compliance. Хоча деякі брокери даних надсилали виправлення, в інших випадках дослідниця залишалася без будь-якого вирішення.
Коли я звернувся до BeenVerified за коментарем, Грег Хаммонд, старший юрисконсульт і старший директор з питань відповідності в її материнській компанії, стверджував електронною поштою, що агенти служби підтримки проходять щорічне навчання з питань конфіденційності, зокрема щодо обробки запитів CCPA. «На жаль, незважаючи на навчання, агент, який займався цією справою, помилився і неправильно зрозумів тип запиту», — написав він. Хаммонд каже, що компанія тепер планує провести повторне навчання щодо правильної обробки та аудит нещодавньої роботи.
Мої спроби подати запит на доступ до Cash App, сервісу надсилання грошей від Block, були однаково розчаровуючими, навіть без помилок видалення. Політика конфіденційності компанії жирним шрифтом стверджує, що резиденти Каліфорнії можуть подавати запити на доступ через веб-сайт Cash App або за безкоштовним телефонним дзвінком. Я обрав протестувати номер телефону.
Коли я вперше зателефонував і пояснив, що я є резидентом Каліфорнії, який хоче подати запит на доступ, це було так, ніби я почав говорити іноземною мовою. Мене кілька разів ставили на утримання, перш ніж порадили перевірити політику конфіденційності та зателефонувати за вказаним там номером, що я щойно зробив, щоб дістатися до цього пункту. Моя спроба обробити запит на доступ по телефону фактично відхилялася.
«Добре, звісно, я передзвоню за цим номером», — сказав я, перш ніж покласти слухавку, відчуваючи, як у моєму голосі з’являється гнів, незважаючи на мої найкращі зусилля залишатися професійним. Моя взаємодія з наступним агентом служби підтримки була так само обтяжливою. Після того, як мене поставили на утримання, мене попросили передзвонити пізніше, щоб команда підтримки мала більше часу для перегляду своїх ресурсів і розуміння, як обробити мій дзвінок.
«Клієнти можуть отримати доступ або видалити свою особисту інформацію безпосередньо через Cash App, що дозволяє нам швидше перевіряти особу перед наданням доступу до фінансової інформації облікового запису або видаленням облікового запису», — написав речник Cash App електронною поштою, коли я звернувся за коментарем. «Наші служби підтримки навчені допомагати клієнтам зрозуміти, як подавати ці запити, а також ми надаємо клієнтам інструкції, доступні через наш онлайн-центр допомоги».
Речник не відповів на додаткові запитання, чому номер телефону був явно вказаний у політиці конфіденційності Cash App як спосіб для споживачів реалізувати свої права щодо даних.
Експерти, з якими я розмовляв, ставили під сумнів, чи компанії докладають достатніх зусиль для дотримання законодавства. «Це показує, як потенційно мало ресурсів компанії виділяють на відповідність і забезпечення того, щоб люди мали доступ до своїх даних», — каже Маю Собін-Міядзі, науковий співробітник Electronic Privacy Information Center.
І Вінтерс, і Собін-Міядзі згадали покращений підхід до «мінімізації даних» як потенційно кращий шлях вперед для споживачів. Це, по суті, означало б, що компанії могли б збирати лише ті дані, які їм потрібні для обробки стандартних бізнес-операцій. Наприклад, збереження інформації про вашу кредитну картку в додатку для майбутніх покупок могло б бути дозволено, але збір особистої демографічної інформації для продажу брокерам міг би бути заблокований.
Мінімізація даних є більш цілісним підходом, який перекладає тягар з споживачів, які наразі змушені долати бюрократичну смугу перешкод, щоб побачити, що компанії про них знають. Натомість, обмежуючи те, що компанії можуть збирати про вас спочатку, споживачі можуть мати більше спокою, не проходячи через той виснажливий процес, який я пережив.
Ця історія спочатку з’явилася на wired.com.
За матеріалами: arstechnica.com