Масштабный эксперимент: как компании обрабатывают запросы на доступ к личным данным
Ранее в этом месяце я направил в McDonald’s запрос на получение всей личной информации, которую компания собрала обо мне. Спустя несколько дней я получил 515-страничный отчет, содержащий детальное описание моих взаимодействий с приложением и прогноз о том, что я никогда не перестану питаться в этой сети.
Согласно Закону о защите конфиденциальности потребителей Калифорнии (CCPA), я имею законное право запрашивать доступ к данным, собираемым крупными компаниями. Желая выяснить, какой информацией располагают другие организации, я в течение недели подал более 100 подобных запросов.
Закон CCPA вступил в силу в 2020 году. Три его ключевых положения включают право на отказ от продажи персональной информации, право на удаление этих данных и право запросить копию информации для себя. Я сосредоточился исключительно на последнем пункте — запросах на доступ, чтобы лучше понять, какие именно сведения собираются.
Процедурные сложности и препятствия
Согласно правилам, компании обязаны указать как минимум два способа подачи запроса, чаще всего это веб-форма, номер телефона или адрес электронной почты, указанные в политике конфиденциальности. После отправки запроса у компаний есть 45 дней на его выполнение.
Мой опыт подачи этих запросов оказался крайне трудоемким: от поиска методов отправки до необходимости многократного подтверждения личности. Наибольшее раздражение вызвали компании, которые либо отвечали на мой запрос на доступ сообщениями об удалении информации (хотя я прямо просил этого не делать), либо отказывались обрабатывать запрос через метод, указанный в их же политике конфиденциальности.
Бен Уинтерс, директор по ИИ и вопросам конфиденциальности в Consumer Federation of America, назвал такую ситуацию неприемлемой. По его мнению, подобные примеры демонстрируют слабость политических рамок, которые полагаются на добросовестность компаний.
Стоит отметить, что в соответствии с политикой WIRED, я использовал генеративный ИИ для подготовки бюрократических писем и ведения таблицы отслеживания запросов, однако основной текст этой статьи написал от руки.
Ошибки при обработке запросов: кейсы Crunchbase и BeenVerified
Одной из первых компаний, допустивших ошибку, стала Crunchbase, известная своей базой данных о технологических стартапах. 17 августа я отправил запрос на свой адрес конфиденциальности, четко указав, что не запрашиваю удаление данных. Спустя два дня представитель поддержки ответил: «Благодарим за терпение. Ваш аккаунт был навсегда удален из Crunchbase». На мое повторное письмо с требованием предоставить доступ к данным, а не удалять их, пришел ответ, что аккаунт восстановлению не подлежит. Представитель Crunchbase назвал произошедшее «ошибкой обработки», настаивая, что это результат работы сотрудника службы поддержки, а не ИИ.
Взаимодействие с BeenVerified — базой данных публичных записей — оказалось не менее сложным. 19 августа я направил запрос на специализированный адрес CCPA, подтвердив статус резидента Калифорнии и цель — доступ к данным. Через два дня пришел ответ об удалении информации из результатов поиска, хотя я об этом не просил. Когда я объяснил ошибку, представитель поддержки через 15 минут ответил, что не может верифицировать мою личность, хотя ранее в переписке компания уже находила мои данные. После моего очередного уточняющего письма поддержка заявила, что обработала мой «запрос на отказ» и удалила информацию с сайта, что было крайне обескураживающим ответом.
Сложности при реализации прав на данные: от ошибок брокеров до проблем с Cash App
В процессе поиска путей решения проблем с доступом к данным я нашел поддержку в лице академического исследователя, которая ранее уже направляла более 500 запросов на доступ к информации различным брокерам данных в рамках того же закона Калифорнии и также неоднократно сталкивалась с неверной классификацией обращений. «Иногда я отправляла запрос на доступ, а автоматический ответ гласил: «Мы удалим вас из базы» или «Мы удалим ваши данные»», — рассказывает Элина ван Кемпен, аспирантка Калифорнийского университета в Ирвайне и соавтор работы «Покупатель, берегись! Исследование соблюдения CCPA брокерами данных».
Хотя некоторые брокеры данных вносили исправления после дополнительных обращений, в других случаях исследователю не удавалось добиться какого-либо решения проблемы.
Когда я обратился за комментариями в компанию BeenVerified, Грег Хэммонд, старший юрисконсульт и старший директор по комплаенсу ее материнской компании, сообщил по электронной почте, что сотрудники службы поддержки ежегодно проходят обучение по вопросам конфиденциальности, включая правила обработки запросов в рамках CCPA. «К сожалению, несмотря на обучение, агент, занимавшийся этим вопросом, допустил ошибку и неверно истолковал тип запроса», — написал он.
По словам Хэммонда, компания теперь планирует провести повторное обучение по правильной обработке запросов и аудит недавних обращений.
Мои попытки направить запрос на доступ к данным в Cash App, сервис для денежных переводов от компании Block, оказались столь же безрезультатными, даже без ошибок с удалением информации.
В политике конфиденциальности компании жирным шрифтом указано, что жители Калифорнии могут направлять запросы на доступ через сайт Cash App или по бесплатному номеру телефона.
Я решил воспользоваться телефонным номером.
Когда я позвонил впервые и объяснил, что являюсь жителем Калифорнии и хочу направить запрос на доступ к своим данным, реакция была такой, будто я заговорил на инопланетном языке.
Меня несколько раз переключали на удержание линии, после чего посоветовали изучить политику конфиденциальности и позвонить по указанному там номеру, по которому я только что и позвонил, чтобы дойти до этого этапа.
Моя попытка подать запрос на доступ по телефону была фактически отклонена. «Хорошо, конечно, я перезвоню по этому номеру», — сказал я, прежде чем повесить трубку, чувствуя, как вопреки всем стараниям сохранять профессионализм, во мне закипает раздражение.
Взаимодействие со следующим агентом службы поддержки оказалось столь же обременительным.
После длительного удержания на линии меня попросили перезвонить позже, чтобы у команды поддержки было больше времени изучить свои ресурсы и понять, как обрабатывать подобный звонок. «Клиенты могут получить доступ к своей личной информации или удалить ее напрямую через Cash App, что позволяет нам быстрее проверять личность перед предоставлением доступа к информации о финансовых счетах или удалением аккаунта», — ответил представитель Cash App в электронном письме, когда я обратился за комментариями. «Наши команды телефонной поддержки обучены помогать клиентам понимать, как подавать такие запросы, и мы также предоставляем клиентам инструкции, доступные в нашем онлайн-центре поддержки». Представитель компании не ответил на уточняющие вопросы о том, почему номер телефона был прямо указан в политике конфиденциальности Cash App как способ реализации прав потребителей на данные.
Взгляд экспертов и перспективы минимизации данных
Эксперты, с которыми я общался, ставят под сомнение, прилагают ли компании достаточные усилия для соблюдения закона. «Это показывает, как мало ресурсов компании потенциально выделяют на обеспечение комплаенса и гарантию того, что люди могут получить доступ к своим данным», — считает Маю Тобин-Миядзи, научный сотрудник Центра электронной информации о конфиденциальности (EPIC).
И Уинтерс, и Тобин-Миядзи упомянули расширенный подход к «минимизации данных» как потенциально более эффективный путь для потребителей.
По сути, это означало бы, что компании могут собирать только те данные, которые необходимы им для выполнения стандартных бизнес-операций.
Например, сохранение информации о вашей кредитной карте в приложении для будущих покупок может быть разрешено, а сбор личных демографических данных для последующей продажи брокерам — заблокирован.
Минимизация данных — это более целостный подход, который снимает нагрузку с потребителей, вынужденных в настоящее время преодолевать бюрократическую полосу препятствий, только чтобы узнать, что компании знают о них.
Вместо этого, ограничив объем собираемой о пользователе информации на начальном этапе, компании могли бы дать людям уверенность, избавив их от мучительного процесса, через который пришлось пройти мне.
Дополнительные детали и контекст эксперимента
В ходе общения с Crunchbase выяснилось, что первоначальное недопонимание имело конкретные последствия: если пользователь все же хочет восстановить наличие аккаунта после ошибочного удаления, ему необходимо проходить процедуру повторной регистрации с нуля. В свою очередь, представитель BeenVerified, комментируя инцидент с путаницей запросов, подчеркнул, что они планируют провести аудит недавних обращений, чтобы убедиться в отсутствии подобных ошибок в других случаях.
Особый интерес представляет позиция исследователей относительно практики работы компаний. Элина ван Кемпен отмечает, что даже когда брокеры данных понимали суть запроса, результат не всегда был гарантирован — иногда исследователя просто оставляли без ответа или решения, что превращало процесс в «бюрократическую полосу препятствий».
В случае с Cash App ситуация оказалась характерна тем, что поддержка даже не попыталась объяснить, какие именно документы или сведения требуются для верификации личности, несмотря на прямое указание этого способа связи в политике конфиденциальности компании. Отказ сотрудников телефонной линии принять запрос и их попытки отправить пользователя обратно к изучению текста политики на сайте фактически блокируют право потребителя на получение доступа к информации, гарантированное законом.
Эксперты, такие как Маю Тобин-Миядзи из Центра электронной информации о конфиденциальности (EPIC), подчеркивают, что существующая система защиты данных вынуждает обычных пользователей самостоятельно бороться с непрозрачностью корпоративных процессов. Идея «минимизации данных» рассматривается ими как фундаментальное решение: если компания не собирает избыточную информацию (например, демографические данные, предназначенные исключительно для продажи брокерам), у потребителя попросту не возникает необходимости проходить через изматывающие процедуры запросов для выяснения того, чем именно владеет корпорация.
