我向100家公司请求数据，却收到了删除通知

# 我向100家公司索取我的数据，收到的却是删除通知 来源：https://www.wired.com/story/i-demanded-my-data-from-over-100-companies-deletion-notices-started-arriving-instead/ 本月初，我向麦当劳提交了一份请求，要求获取这家快餐公司收集的所有关于我的个人数据。几天后，我收到了一份惊人的515页报告（https://www.wired.com/story/mcdonalds-built-a-515-page-dossier-on-me-it-says-ill-never-leave/），详细记录了我的应用交互细节，并预测我永远不会停止在那里消费。 根据《加州消费者隐私法》（https://www.wired.com/story/ccpa-guide-california-privacy-law-takes-effect/），我有权要求收集个人数据的大公司提供信息访问。因此，我很好奇其他公司掌握了哪些关于我的信息，于是接下来的一周，我提交了超过100份请求。 CCPA于2020年生效，其三个关键条款包括：退出出售个人信息的权利、删除该信息的权利，以及请求获取个人数据副本的权利。 我只专注于后者——访问请求——以便更好地了解哪些数据正在被收集。大多数公司必须提供两种提交方式，通常通过网页表单、电话号码或电子邮件地址，这些在他们的隐私政策中有说明。提交请求后，公司最多有45天时间来完成处理。 我的数据访问请求体验极其耗时，从寻找正确的提交方式到多次验证身份，都是如此。最令人恼火的是，有些公司要么回复我的访问请求时发送了关于删除信息的消息（而我明确表示不要这样做），要么拒绝通过其隐私政策（https://www.wired.com/story/guide-protect-data-from-hackers-corporations/）中列出的方式处理请求。 我采访的消费者权益倡导者对这些请求的处理方式感到不满。“这太离谱了，”美国消费者联合会（https://consumerfed.org/）人工智能与隐私主任本·温特斯说，“这不是一个可接受的现状。”温特斯认为，这些例子暴露出依赖公司负责任和善意行事的政策框架的弱点。 根据《连线》（WIRED）的政策（https://www.wired.com/about/generative-ai-policy/），我在此披露，我在撰写本报道时使用了生成式AI来起草官僚式的邮件并更新我的跟踪电子表格。本文的正文主要是在我的草稿本上手写的。 最早的错误之一来自Crunchbase（https://about.crunchbase.com/），该公司以其科技初创企业数据库而闻名。我在8月17日向其隐私邮箱发送了访问请求。我的邮件阐述了我想要行使的权利，并明确要求不要删除任何东西：“我现在并未请求删除。请勿将其视为删除请求。”两天后，我收到了Crunchbase支持代表的回复。 “非常感谢您的耐心等待。您的账户已从Crunchbase永久删除。如果您需要其他任何帮助，请告诉我！”完整的回复内容如此。 我几乎立即通过邮件跟进，重申我需要的是数据访问，而不是数据删除。“您的Crunchbase用户账户已被删除。位于Crunchbase上的其他数据未被删除。”跟进的支持回复解释了发生的情况。如果我想拥有一个Crunchbase账户，我必须重新注册。 当我联系Crunchbase寻求置评时，一位发言人将错误归咎于“处理错误”，并表示公司将按照我最初提交的请求继续处理。该发言人还声称，错误分类的回复来自“我们客户成功团队的一名成员”，而非生成式AI（https://www.wired.com/tag/generative-ai/）工具。 我与BeenVerified（https://www.beenverified.com/）的互动也体现了我在提交这些访问请求时充满摩擦的经历。BeenVerified是一个可搜索的公共记录数据库。 8月19日上午，我向BeenVerified的专用CCPA合规邮箱发送了邮件，说明我是加州居民，正在提交访问请求，而非删除请求。你绝对猜不到接下来发生了什么。 两天后，我收到了BeenVerified支持代表关于移除信息的邮件。“您的人员报告似乎已从我们的人员搜索结果中移除，”其初始回复称。“此外，我们还从搜索结果中移除了要求的电话号码和电子邮件地址。此更改应在24小时内反映出来。”这完全不是我要求的。 当我发送下一封邮件解释我提交的是访问请求而非删除请求时，支持代表在15分钟后回复，否认了我的说法，并表示公司无法验证我的身份。这令人费解，因为该代表在之前的邮件串中已定位了我的一些信息，甚至没有尝试解释我需要提供什么来进行验证。 我忍无可忍，又发了一封邮件，解释我对这些回复感到多么困惑。“请放心，我们已处理您的退出请求，并已从我们的网站中移除了您的信息，”支持代表回复道。如果我不是已经秃顶，那一刻我大概会把剩下的头发都抓光。 我在与一位学术研究人员聊天时找到了慰藉。她此前曾根据同一加州法律帮助提交了超过500份数据经纪商的访问请求，也遇到了多次错误分类。“有时我提交访问请求，自动回复却是‘我们将让你退出’或‘我们将删除你的数据’，”加州大学欧文分校的博士生、《消费者注意！探索数据经纪商的CCPA合规性》（https://ieeexplore.ieee.org/abstract/document/11573431）一书的合著者埃琳娜·范·肯彭说。虽然有些数据经纪商会跟进纠正，但有时研究人员却得不到任何解决。 当我联系BeenVerified寻求置评时，其母公司高级法律顾问兼合规高级总监格雷格·哈蒙德通过邮件声称，支持代理每年接受隐私培训，包括如何处理CCPA请求。“不幸的是，尽管经过培训，处理此事的代理还是犯了错误，误解了请求类型，”他写道。哈蒙德表示，公司现在计划就正确的处理流程提供再培训，并审计近期的工作。 我尝试向Cash App（https://cash.app/）提交访问请求的经历同样令人沮丧，即使没有出现删除错误。Cash App是Block（https://www.wired.com/story/jack-dorsey-explains-block-layoffs/）提供的资金转账服务。该公司的隐私政策用粗体字声明，加州居民可以通过Cash App网站或免费电话号码提交访问请求。我决定测试这个电话号码。 第一次打电话并解释我是加州居民、想提交访问请求时，我仿佛在说一种外星语言。我被多次转接，最后被告知要查看隐私政策并拨打那里列出的电话号码——而我正是这样才打到这里的。我试图通过电话处理访问请求的尝试被有效拒绝了。 “好的，没问题，我马上打这个号码，”挂断电话前我说道，尽管努力保持专业，声音里还是透出一丝怒气。我与下一位客服代表的互动同样费力。在被要求稍候后，我被告知稍后再打，以便客服团队有更多时间查阅资料，了解如何处理我的来电。 “客户可以直接通过Cash App访问或删除其个人信息，这让我们能在提供财务账户信息访问或删除账户之前更快地验证身份，”当我联系寻求置评时，一位Cash App发言人通过邮件写道。“我们的电话支持团队接受过培训，帮助客户理解如何提交这些请求，我们也为客户提供可通过我们的在线帮助中心获取的说明。” 该发言人没有回应后续问题：为何电话号码被明确列在Cash App隐私政策中作为消费者行使数据权利的一种方式。 我采访的专家质疑公司是否付出了足够努力以符合法律规定。“这显示出公司在合规以及确保人们能够访问其数据方面，投入的资源可能非常少，”电子隐私信息中心（https://epic.org/）法律研究员麻由·托宾-宫地表示。 温特斯和托宾-宫地都提到了加强“数据最小化（https://www.wired.com/story/how-to-protect-yourself-from-phone-searches-at-the-us-border/）”作为一种对消费者可能更好的前进道路。这本质上意味着公司只能收集处理标准业务运营所需的数据。例如，在应用程序中保存你的信用卡信息用于未来购买可能是允许的，但收集个人人口统计数据出售给经纪商可能会被阻止。 数据最小化是一种更全面的方法，它将负担从消费者身上移开。目前，消费者被迫穿过官僚主义的障碍赛道，仅仅是为了看看公司对他们了解多少。相反，通过限制公司最初可以收集关于你的信息（https://www.wired.com/story/what-is-gdpr-uk-eu-legislation-compliance-summary-fines-2018/），消费者可以更安心，而无需经历我所忍受的令人头痛的过程。