作者：Kaveh Waddell
来源：CR
翻译：何渊，数据法盟主理人，上海交大数据法律研究中心执行主任
按照《加州消费者隐私法案（CCPA）》的规定，应该让加州居民更容易选择不让公司共享或出售他们的数据。
然而，通常情况下，公司的主页上并没有法律规定的退出链接。
在某些情况下，这些公司甚至要求人们在处理他们的退出请求之前提供更多额外的敏感数据。
当莎朗·厄普代克（Sharon Updike）6月份开始要求一家数据代理停止向其他公司出售她的个人数据时，她没想到会有一场迷宫之中的寻宝大战。
但是，这家位于德克萨斯州的名为EVS7的小企业，向广告商出售人们的电话号码，但它的主页上没有选择退出的链接。而这是加州一项具有里程碑意义的法律CCPA所要求的，该法律监管着州内居民个人信息的交易。
替换方案的是，只能深入了解公司的隐私政策，然后找到一个链接，链接到一个专门为加州居民设计的页面。在法律条文中，消费者被要求通过电话或电子邮件与公司联系。
住在洛杉矶附近的厄普代克是加州500多名志愿者之一，参与了一项为期一个月的消费者报告研究，该研究旨在了解《加州消费者隐私法》是如何形成的。该法律于2020年1月1日生效，被认为是美国最强有力的数据隐私保护方案，并可能成为联邦或其他州立法的典范。
厄普代克找不到隐藏的选择退出页面，所以她通过公司的联系方式发送了一条信息，要求公司停止出售她的个人信息。该公司总裁理查德·哈德格雷夫两天后作出回应。他写道：“为了核实你是哪一个莎朗·厄普代克，我们现在需要你寄给我们一份由你签字并经过公证的证明书，以证明你是你本身”。
厄普代克吓坏了。“我不能简单地告诉你我的地址吗？她通过电子邮件回复。“如果我把我的地址给你，你肯定能认出我是哪一个莎朗·厄普代克。”哈德格雷夫只能同意在没有进一步提供文件的情况下删除厄普代克的个人信息。这家公司从未向她证实此事，但哈德格雷夫后来告诉《消费者报告》，EVS7确实如他所承诺的那样，迅速删除了厄普代克的个人信息。
厄普代克感谢哈德格雷夫“是一个理性的人”，但是，这场旷日持久的交流并不完全是一种简单的法律权利的表现。“这非常困难，”这位退休的信用社首席执行官后来告诉CR。
退出过程缓慢，有时中断
厄普代克的经历并不罕见。当研究参与者试图行使他们选择不出售个人数据的权利时，他们发现公司在处理这些请求的方式上存在巨大差异。参与者接触的214家公司都是在加利福尼亚州注册的数据代理商（Data Brokers）。
对于一些公司来说，选择退出就像“到公园里走走”这么简单：研究参与者点击公司主页上显著的链接，上面写着“不要出售我的数据”，填写了一份简短的表格，然后很快收到一封电子邮件，确认公司会按要求做得很好。或者他们只要拨动开关，事情就完成了。
但对大多数人来说，这个过程是缓慢的、令人困惑的、令人沮丧的，或者根本无法驾驭的。
62%的消费者被置之不理。当时，研究参与者要么不知道他们的选择退出请求是否成功，要么说他们根本无法提出请求。只有18%的请求中，参与者报告说收到了经纪人的确认，表示他们的数据将来不会被出售。
一些研究参与者遇到了需要很长时间才能实现的复杂过程。有些参与者被要求接受网站cookies或下载一个特殊的应用程序来提交他们的请求。在CR研究的214家公司中，竟有24家公司的主页上根本没有法律规定的选择退出链接。
指导这项研究的CR政策分析师Maureen Mahoney说：“我们被一些选择退出的过程如此复杂而震惊，特别是因为消费者必须向收集有关他们的数据的每一家公司提交选择退出请求，以充分保护他们的隐私。”
她说：“公司应该让消费者更容易行使自己的权利，而不是更难”，“政策制定者需要实施常识性转变，默认情况应当是禁止数据的收集、使用和共享，而不是让消费者要求数百家不同的公司停止销售他们的数据。”
CCPA六个月的宽限期于7月截止，加州总检察长泽维尔·贝塞拉（Xavier Becerra）开始对CCPA相关的违法违规行为行为进行处理。总检察长办公室告诉CR，他们已经向不同行业的数十家违规公司发出了警告信。目前还没有公开与CPPA有关的调查或诉讼。
今年11月，加州人将投票通过一项新的投票提案，该提案将更新隐私法。马奥尼说，这一举措将弥补CR研究发现的一些漏洞，但也会带来一些含糊不清的问题，使一些公司不愿意向消费者保障隐私权。
EVS7主席哈德格雷夫表示，CCPA过于复杂，难以遵守。“我们认为我们做的每件事都是对的，”他说。根据哈德格雷夫的说法，他的公司到目前为止只收到十几个选择退出的请求。他说：“我们将立即使之更容易。”（该公司现在已经添加了一个指向主页的链接。）
为了保护你的数据，给我们更多的数据
参与者遇到的最常见的障碍是公司要求他们在处理退出请求之前提供更多敏感的个人信息。为了让他们停止销售他们的数据，参与者必须提供更多的数据。除了电话号码、电子邮件地址和家庭住址外，一些公司还要求提供政府身份证号码或身份证照片、信用报告中的详细身份验证问题，甚至还有自拍。
许多CR的研究参与者决定不再请求选择退出，因为他们不想提供这些敏感数据。
住在瓦卡维尔的前教师凯伦·麦考尔说：“他们想要的信息比他们现有的要多”。当公司要求她持驾照自拍时，她放弃了选择退出的请求。
一位住在圣何塞的退休人员杜先生要求我们只使用他的姓来保护他的隐私，他说，一家数据代理公司TransUnion要求他输入他的出生日期、他母亲的婚前姓和他的社会保险号码，以便提交他选择退出的请求。
“我不可能仅仅为了保护我的数据而泄露这些信息，”他告诉CR，“如果这将是一个负担，特别是如果你必须提供敏感信息，那么谁会费心去做呢？”
CR的马奥尼说，这些类型的请求是不合适的。马奥尼称，CCPA要求企业核实消费者访问或删除数据的请求，但它没有说明核实选择退出的请求。她说，公司应该剔除明显的欺诈性申请，但要求政府提供身份证是“没有必要的，而且会吓坏人们”。
仍然有14%遇到其他障碍。有时，研究参与者要么因为面临的障碍而放弃了选择退出的请求，要么根本就不知道如何提出请求。
马奥尼说，加州居民也面临其他障碍。当她向位置数据代理X-Mode提出自己的退出请求时，马奥尼不久就收到了一封邀请她注册公司的电子邮件。她说，CCPA要求公司不要将从这些请求中收集的数据用于营销或任何其他目的，因为如果消费者认为这可能会带来不必要的电子邮件，那么公司就不能行使自己的权利。
X-Mode说他们正在调查马奥尼的遭遇。一位发言人说：“为了确保消费者选择退出的明确性，我们已经暂停了任何向外发送的电子邮件，直到我们完成内部审查。”。该公司还承诺提供“更精简和更全面的选择退出选项”。
提交选择退出请求的CR研究参与者经常被搁置。仅对18%的请求得到公司回应，表明他们将停止共享消费者数据。在几乎一半的情况下，参与者没有任何明确的方式证明他们的请求是否得到了响应。甚至在14%的情况下，志愿者直接放弃了请求，或者根本无法完成请求。
与CR交谈的几位加州志愿者说，他们对数据隐私法赋予的新权利感到鼓舞，他们渴望充分利用这些权利来保护自己的隐私。
但许多人表示，由于公司设置了障碍，这一体系似乎遭到破坏。
住在帕萨迪纳的政治顾问亚迪·尤恩塞说：“这个过程非常繁琐，给消费者带来了很大的负担。”。“我不认为它应该花这么长的时间，或者要求消费者跳出那么多的圈套，才能完成这个任务。”（文章来源：数据法盟）
