プライバシー開示請求で、多くの企業が消費者データをいかにずさんに扱っているかが明らかになった

消費者のデータ権利は、乱雑な現実のシステムと衝突している

最近実施された100件超の消費者データ開示請求の検証は、紙の上では保障された権利でも、実務では大きく機能不全に陥りうることを示している。報道では、カリフォルニア州消費者プライバシー法（CCPA）に基づいて収集された個人情報のコピーを求めた際、各社の対応が大きくばらついた様子が伝えられた。大量のユーザーデータを含む資料一式を提供した企業もあれば、混乱を招いたり、遅延を生じさせたり、開示請求を記録の完全削除要求のように扱った企業もあったという。

その結果として浮かび上がるのは、プライバシー制度は存在するものの、一般の人々にとっては依然として使いにくいという現実だ。CCPAは、データ販売の拒否、削除請求、そして企業が保有する自分に関する情報のコピー請求など、いくつかの重要な権利を認めている。今回の報道は、その中でも開示権だけに焦点を当てた。原則としては比較的単純な要求であり、企業がその人についてどのようなデータを収集したのかを示せ、というものだ。

しかし実際には、多くの場合、行政上の摩擦が生じていた。手続きでは、承認された提出窓口を探し、プライバシーポリシーに記載されたウェブフォーム、メール、電話番号をたどり、本人確認の手順を何度も完了する必要があった。企業には請求に応じるための猶予が認められているが、報道によれば、待機期間が終わる前から、その道筋自体が負担になりうることが分かった。

開示請求が削除請求と取り違えられる場合

報道で指摘された中でも特に目立った失敗は、単なる遅延ではなく、請求類型の混同だった。明確に削除を求めていないにもかかわらず、一部企業は開示請求に対して情報削除に関するメッセージで返答したとされる。これは、開示と削除が代替可能な権利ではないから重要だ。企業が自分について何を知っているのかを尋ねる消費者と、記録の削除を求める消費者とでは、法的にも実務的にも異なる請求をしている。

企業がこの2種類の請求を確実に区別できないなら、そのプライバシー運用が本当にどれほど成熟しているのか、というより広い疑問が生じる。機能しているコンプライアンス体制であれば、請求の種類を判別し、適切に振り分け、消費者と明確にやり取りできるはずだ。そうでない場合、負担は個人に戻り、消費者は企業を修正し、手続きを追跡し、望まない処理がすでに起きていないことを祈るしかなくなる。

報道にはCrunchbaseに関する例も含まれていた。メールで送られた開示請求には、削除は求めていないと明記されていたという。それでも、手続きの初期段階で混乱が生じた。この種の破綻は、プライバシー管理の反復的な弱点を示している。ポリシーは法的に精密に書かれていても、実行は分断されたワークフロー、外部委託のサポート、あるいは統合の不十分なコンプライアンスツールに依存しているのだ。

一部企業は詳細な記録を迅速に提供できる

報道はまた、堅牢な対応システムが可能であることも示した。マクドナルドに提出された請求では、数日以内に515ページに及ぶ報告書が返され、アプリとのやり取りが細部まで記録されていた。この対応は、現代のデータ経済にある2つの並行する現実を示している。第一に、多くの企業は大半のユーザーが想像している以上に多くの行動データを収集・保持している。第二に、少なくとも一部の企業は、必要なときにその情報を迅速に取り出して整理できる社内インフラを構築している。

この2つの現実は、併せて見ることが重要だ。詳細に応答できる企業は、コンプライアンスが業務上実現可能であることを示している。ただし、返された記録の膨大さは、デジタルサービスがユーザーの活動をいかに深く監視し保存しているかも浮き彫りにする。したがって開示請求は、単に法令順守を試すだけでなく、個人データ収集の実態そのものの量と質を明らかにする。

消費者にとって、それは理解を深める手がかりになりうる。実際の記録を見れば、モバイルアプリ、ロイヤルティプラットフォーム、オンラインサービスが時間をかけてどれだけの情報を蓄積してきたかが分かるかもしれない。規制当局や支援団体にとっては、こうした開示が、プライバシー保護に関する主張と、企業内部の実際の能力や慣行とを切り分ける助けになる。

プライバシー法は、それを支える手続き次第でしか機能しない

報道で引用された消費者擁護者は、いくつかの請求の不適切な扱いに強く反応した。彼らの批判は、よくある政策上の問題に向けられていた。企業が責任ある善意の行動を取ることに依存する枠組みは、紙の上では強固に見えても、実務では結果が不安定になりうる。対応が遅く、分かりにくく、誤りやすければ、多くの人は権利を行使する前に諦めてしまう。

その実務上の障壁は、正式な却下と同じくらい重大になりうる。継続的な対応、技術的理解、繰り返しのフォローアップを必要とする権利は、予測可能でよく設計されたプロセスで行使できる権利よりもアクセスしにくい。法律が何をすべきかを定めても、消費者が触れるのは画面、サポート体制、そして結果だけだ。

これらの事例の背後には、ガバナンス上の問題もある。企業がプライバシーポリシーで申請方法を示しながら、その同じ方法での請求処理を拒むのであれば、問題は単なる不便さではない。情報開示、コンプライアンス運用、顧客向けの व्यवहारが整合しているか、という問題になる。

• 報道が焦点を当てたのは開示請求であり、削除やオプトアウト請求ではない。
• 企業は請求の完了まで最大45日かかる場合がある。
• 一部の対応は、開示権と削除のワークフローを混同していたとされる。
• 少なくとも1社は、非常に詳細な個人データファイルを数日以内に返した。

より大きな教訓は、データ権利の執行が今や業務能力に大きく依存しているということだ。消費者は法令そのものと直接やり取りするのではなく、ポータル、メール、コールセンター、確認システムとやり取りする。これらの仕組みが不十分に設計されていれば、法律が明確でも権利は脆弱になる。

プライバシー論争にとって、これは重要な संकेतだ。消費者データ保護の次の段階は、新たな権利カテゴリを増やすことよりも、既存の権利を使いやすく、信頼でき、誤処理しにくいものにすることにかかっているのかもしれない。開示権は、本来データ収集を一般に分かりやすくするためのものだ。企業がそれを適切に処理できないとき、明らかになるのはコンプライアンスの欠落だけではなく、デジタル責任の仕組みがまだ完成していないという事実でもある。

この記事は Ars Technica の報道に基づいています。元の記事を読む。