Pedi meus dados a 100 empresas. Em vez disso, recebi avisos de exclusão
Eu arquivei um Solicitei ao McDonald’s no início deste mês para acessar todos os dados pessoais que a empresa de fast food coletou sobre mim, e recebi um relatório impressionante de 515 páginas alguns dias depois que detalhava minhas interações com o aplicativo em detalhes granulares e previu que eu nunca pararia de comer lá.
De acordo com a Lei de Privacidade do Consumidor da Califórnia, tenho o direito legal de solicitar acesso a informações de grandes empresas que coletam dados pessoais. Fiquei curioso para saber o que os outros poderiam ter sobre mim e passei a semana seguinte preenchendo mais de 100 solicitações.
A CCPA entrou em vigor em 2020 e três de suas principais disposições são o direito de cancelar a venda de informações pessoais, o direito de excluir essas informações e o direito de solicitar uma cópia para você.
Concentrei-me exclusivamente neste último – solicitações de acesso – para entender melhor quais dados estão sendo coletados. A maioria das empresas deve listar duas maneiras de registrar. Geralmente, eles são feitos por meio de um formulário da web, número de telefone ou endereço de e-mail, conforme designado em sua política de privacidade. Depois de enviar uma solicitação, as empresas podem levar 45 dias para concluí-la.
Minha experiência em fazer essas solicitações de acesso a dados consumiu muito tempo, desde encontrar os métodos de arquivamento corretos até verificar minha identidade várias vezes. O mais exasperante durante este processo foram as empresas que responderam aos meus pedidos de acesso com mensagens relativas à eliminação de informações, o que eu disse explicitamente para não fazer, ou se recusaram a processar o pedido através de um método listado na sua política de privacidade.
Os defensores dos consumidores com quem conversei ficaram chateados com a forma como essas solicitações foram tratadas. “Isso é loucura”, disse Ben Winters, diretor de IA e privacidade da Consumer Federation of America. “Esse não é um status quo aceitável.” Winters vê estes exemplos como uma demonstração das fraquezas dos quadros políticos que dependem de as empresas agirem de forma responsável e de boa fé.
De acordo com as políticas da WIRED, divulgo que usei IA generativa para redigir e-mails burocráticos e atualizar minha planilha de rastreamento como parte deste relatório. Escrevi o corpo deste artigo principalmente à mão em meu caderno de rascunho.
Um dos primeiros erros veio do Crunchbase, conhecido por seu banco de dados sobre startups de tecnologia. Enviei por e-mail minha solicitação de acesso para seu endereço de privacidade em 17 de agosto. Minha mensagem expunha os direitos que eu queria exercer e incluía um pedido direto para não apagar nada: “Não estou solicitando a exclusão neste momento. Por favor, não trate isso como uma solicitação de exclusão”. Recebi uma resposta dois dias depois de um representante de suporte da Crunchbase.
“Muito obrigado pela sua paciência. Sua conta foi excluída permanentemente do Crunchbase. Avise-me se precisar de mais alguma coisa!” a mensagem lida na íntegra.
Entrei em contato por e-mail quase imediatamente, reiterando que queria acesso aos dados, não exclusão de dados. “Sua conta de usuário do Crunchbase foi excluída. Outros dados localizados no Crunchbase não foram excluídos”, leia a resposta de suporte de acompanhamento explicando o que aconteceu. Se eu quisesse ter uma conta Crunchbase, teria que me registrar novamente.
Quando entrei em contato com a Crunchbase para comentar, um porta-voz atribuiu o erro a um “erro de processamento” e disse que a empresa prosseguiria com minha solicitação de acesso original conforme arquivada. O porta-voz também afirmou que a resposta classificada incorretamente veio de “uma pessoa de nossa equipe de sucesso do cliente” e não de uma ferramenta generativa de IA.
Minhas interações com o BeenVerified, um banco de dados pesquisável que reúne registros públicos, também resumem minha experiência repleta de atritos ao fazer essas solicitações de acesso.
Enviei um e-mail para o endereço de conformidade CCPA dedicado do BeenVerified na manhã de 19 de agosto. Ele explicava que eu era um residente da Califórnia e estava fazendo uma solicitação de acesso, não uma solicitação de exclusão. Você nunca vai adivinhar o que aconteceu a seguir.
