गोपनीयता विनंत्या अनेक कंपन्या ग्राहक डेटा किती खराब पद्धतीने हाताळतात हे उघड करत आहेत

ग्राहक डेटा हक्कांचा गोंधळलेल्या प्रत्यक्ष जगातील प्रणालींशी संघर्ष होत आहे

100 हून अधिक ग्राहक डेटा प्रवेश विनंत्यांच्या अलीकडील चाचणीत असे दिसते की कागदावर हमी दिलेला हक्क प्रत्यक्षात अजूनही मोठ्या प्रमाणावर मोडू शकतो. कॅलिफोर्निया कंझ्युमर प्रायव्हसी ॲक्ट, किंवा CCPA, अंतर्गत गोळा केलेल्या वैयक्तिक माहितिच्या प्रती देण्यास सांगितल्यावर कंपन्यांनी कशी वेगवेगळी प्रतिक्रिया दिली, याचा अहवालात उल्लेख होता. काही कंपन्यांनी वापरकर्त्यांच्या डेटाचे मोठे संच दिले. इतरांनी गोंधळ निर्माण केला, विलंब केला, किंवा प्रवेश विनंतीला जणू संपूर्ण नोंदी मिटवण्याच्या विनंतीप्रमाणे हाताळले.

त्यातून असा एक प्रायव्हसी व्यवस्थेचा चित्रपट उभा राहतो, जी अस्तित्वात आहे, पण सामान्य लोकांसाठी वापरणे अनेकदा कठीण ठरते. CCPA लोकांना अनेक महत्त्वाचे हक्क देते, ज्यात डेटा विक्रीतून बाहेर पडण्याचा पर्याय, डेटा हटवण्याची विनंती, आणि एखादी कंपनी त्यांच्याबद्दल कोणती माहिती ठेवते याची प्रत मागण्याचा हक्क समाविष्ट आहे. या प्रकरणात, अहवालाचा भर फक्त प्रवेश हक्कावर होता, जो सिद्धांतात तुलनेने सरळ मागणी आहे: एखाद्या व्यक्तीबद्दल कोणता डेटा गोळा केला आहे ते सांगा.

त्याऐवजी जे घडले, ते बहुतेक वेळा प्रशासकीय अडथळा होता. प्रक्रियेमध्ये मंजूर सादरीकरण चॅनेल शोधणे, प्रायव्हसी धोरणांमध्ये दिलेल्या वेब फॉर्म, ईमेल, आणि फोन नंबरमधून मार्ग काढणे, आणि वारंवार ओळख पडताळणीची पावले पूर्ण करणे समाविष्ट होते. कंपन्यांना या विनंत्या पूर्ण करण्यासाठी वेळ दिला जातो, पण अहवालात असे आढळले की प्रतीक्षा कालावधी संपण्याआधीच अनुपालनाचा मार्ग त्रासदायक ठरू शकतो.

जेव्हा प्रवेश विनंत्या हटवण्याच्या विनंत्यांसारख्या समजल्या जातात

अहवालात वर्णन केलेल्या सर्वात ठळक अपयशांपैकी एक फक्त विलंब नव्हता, तर वर्गीकरणाचा गोंधळ होता. काही कंपन्यांनी कथितपणे स्पष्ट सूचनांनंतरही प्रवेश विनंत्यांना माहिती हटवण्याबाबतचे संदेश पाठवले. हे महत्त्वाचे आहे, कारण प्रवेश आणि हटवणे हे एकमेकांच्या जागी वापरता येणारे हक्क नाहीत. ग्राहक जेव्हा कंपनीला त्यांच्याबद्दल काय माहिती आहे हे विचारतो, तेव्हा ती रेकॉर्ड काढून टाकण्याच्या विनंतीपेक्षा वेगळी कायदेशीर आणि व्यावहारिक मागणी असते.

एखादी कंपनी या दोन विनंत्यांमध्ये विश्वासार्हपणे फरक करू शकत नसेल, तर तिच्या प्रायव्हसी ऑपरेशन्स खरोखर किती परिपक्व आहेत याबद्दल व्यापक प्रश्न निर्माण होतात. कार्यक्षम अनुपालन प्रणालीने विनंतीचा प्रकार ओळखणे, ती योग्यरीत्या मार्गी लावणे, आणि ग्राहकाशी स्पष्ट संवाद साधणे शक्य असायला हवे. जेव्हा तसे होत नाही, तेव्हा भार पुन्हा व्यक्तीवर येतो, ज्याला कंपनीला दुरुस्त करावे लागते, प्रक्रिया पाहावी लागते, आणि अनपेक्षित कृती आधीच घडली नसेल अशी आशा ठेवावी लागते.

अहवालात Crunchbase संबंधित एक उदाहरण होते, जिथे ईमेलद्वारे केलेल्या प्रवेश विनंतीमध्ये कोणतीही हटवण्याची मागणी नसल्याचे स्पष्टपणे नमूद केले होते. तरीही, प्रक्रियेच्या सुरुवातीलाच गोंधळ निर्माण झाला. अशा प्रकारचा बिघाड प्रायव्हसी प्रशासनातील वारंवार दिसणाऱ्या कमकुवतपणाकडे निर्देश करतो: धोरणे कायदेशीर अचूकतेने लिहिली जाऊ शकतात, तर अंमलबजावणी तुकड्यांत विभागलेल्या वर्कफ्लो, आउटसोर्स केलेल्या सपोर्ट, किंवा नीट एकत्रित नसलेल्या अनुपालन साधनांवर अवलंबून असते.

काही कंपन्या सविस्तर नोंदी लवकर देऊ शकतात

अहवालात हेही दिसले की मजबूत प्रतिसाद प्रणाली शक्य आहेत. McDonald’s कडे सादर केलेल्या विनंतीला काही दिवसांत 515 पानांचा अहवाल मिळाला, ज्यामध्ये ॲप इंटरॅक्शनचे सूक्ष्म तपशीलवार वर्णन होते. हा प्रतिसाद आधुनिक डेटा अर्थव्यवस्थेच्या दोन समांतर वास्तवांना दाखवतो. पहिले, अनेक कंपन्या वापरकर्त्यांच्या वर्तनाबद्दल बहुतेक वापरकर्ते गृहित धरतात त्यापेक्षा खूप अधिक माहिती गोळा करतात आणि जतन करतात. दुसरे, किमान काही कंपन्यांनी अशी अंतर्गत पायाभूत रचना उभारली आहे की गरज पडल्यास ती माहिती पटकन मिळवून पॅकेज करता येते.

ही दोन्ही वास्तवं एकत्र महत्त्वाची आहेत. तपशीलवार प्रतिसाद देऊ शकणारी कंपनी हे दाखवते की अनुपालन कार्यरतरीत्या शक्य आहे. पण परत आलेल्या नोंदीचा प्रचंड आकार हेही अधोरेखित करतो की डिजिटल सेवा वापरकर्त्यांच्या हालचाली किती खोलवर पाहतात आणि साठवतात. त्यामुळे प्रवेश विनंत्या केवळ कायदेशीर अनुपालनाचीच कसोटी घेत नाहीत; त्या वैयक्तिक डेटा संकलनाचे अंतर्निहित प्रमाण आणि पोतही उघड करतात.

ग्राहकांसाठी, हे स्पष्ट करणारे ठरू शकते. प्रत्यक्ष नोंद पाहिल्यावर एखादे मोबाईल ॲप, लॉयल्टी प्लॅटफॉर्म, किंवा ऑनलाइन सेवा काळानुसार किती माहिती जमा करत आली आहे ते उघड होऊ शकते. नियामक आणि समर्थकांसाठी, हे खुलासे प्रायव्हसी संरक्षणांबद्दलच्या दाव्यांना कंपनीतील प्रत्यक्ष क्षमता आणि पद्धतींपासून वेगळे करण्यात मदत करू शकतात.

प्रायव्हसी कायदा त्यामागील प्रक्रियेइतकाच प्रभावी असतो

अहवालात उद्धृत केलेल्या ग्राहक समर्थकांनी काही विनंत्यांच्या चुकीच्या हाताळणीवर तीव्र प्रतिक्रिया दिली. त्यांची टीका एका परिचित धोरण समस्येवर केंद्रित होती: कंपन्या जबाबदारीने आणि सद्भावनेने वागतील अशा चौकटी कागदावर मजबूत दिसू शकतात, पण प्रत्यक्षात विसंगत परिणाम देऊ शकतात. अनुभव संथ, गोंधळात टाकणारा, किंवा त्रुटीपूर्ण असेल तर अनेक लोक तो हक्क वापरण्यापूर्वीच सोडून देतील.

ही व्यावहारिक अडचण कोणत्याही औपचारिक नकाराइतकीच महत्त्वाची ठरू शकते. ज्या हक्कांसाठी चिकाटी, तांत्रिक समज, आणि वारंवार फॉलो-अपची गरज असते, ते अंदाज करता येणाऱ्या, नीट रचलेल्या प्रक्रियेद्वारे वापरता येणाऱ्या हक्कांपेक्षा कमी सुलभ असतात. कायदा काय घडले पाहिजे ते ठरवू शकतो, पण ग्राहकाला दिसते ते फक्त इंटरफेस, सपोर्ट सिस्टम, आणि निकाल.

या घटनांखाली एक प्रशासकीय प्रश्नही आहे. जर कंपन्यांना त्यांच्या प्रायव्हसी धोरणांमध्ये सादरीकरणाच्या पद्धती नमूद कराव्या लागतात, पण नंतर त्याच पद्धतींनी विनंत्या प्रक्रिया करण्यास विरोध करतात, तर प्रश्न केवळ गैरसोयीपुरता राहत नाही. तो खुलासा, अनुपालन ऑपरेशन्स, आणि ग्राहकांसमोरचे वर्तन हे एकमेकांशी जुळतात का याबद्दल होतो.

• अहवालात प्रवेश विनंत्यांवर लक्ष केंद्रित केले गेले, हटवणे किंवा ऑप्ट-आउट विनंत्यांवर नाही.
• कंपन्यांना विनंत्या पूर्ण करण्यासाठी 45 दिवसांपर्यंत वेळ मिळू शकतो.
• काही प्रतिसादांमध्ये कथितपणे प्रवेश हक्क आणि हटवण्याच्या वर्कफ्लोमध्ये गोंधळ झाला.
• किमान एका कंपनीने काही दिवसांत अत्यंत सविस्तर वैयक्तिक डेटा फाइल परत दिली.

मोठा धडा असा की डेटा हक्कांची अंमलबजावणी आता मोठ्या प्रमाणावर ऑपरेशनल कौशल्यावर अवलंबून आहे. ग्राहक थेट कायद्यांशी संवाद साधत नाहीत; ते पोर्टल, ईमेल, कॉल सेंटर, आणि पडताळणी प्रणालींशी संवाद साधतात. ती प्रणाली खराब रचलेली असेल, तर कायदा स्पष्ट असूनही हक्क कमकुवत होतो.

प्रायव्हसी चर्चेसाठी हा एक अर्थपूर्ण संकेत आहे. ग्राहक डेटा संरक्षणाचा पुढील टप्पा कदाचित नवीन हक्कांची श्रेणी तयार करण्यापेक्षा, आधीपासून असलेले हक्क वापरण्यायोग्य, विश्वासार्ह, आणि चुकीच्या पद्धतीने हाताळणे कठीण बनवण्यावर अधिक अवलंबून असेल. प्रवेश हक्कांचा उद्देश डेटा संकलन सर्वसामान्यांसाठी समजण्याजोगे करणे हा आहे. कंपन्या ते व्यवस्थित प्रक्रिया करू शकत नसतील, तर त्या केवळ अनुपालनातील उणिवाच नाही, तर अजून अपूर्ण असलेली डिजिटल जबाबदारीची अवस्था देखील उघड करतात.

हा लेख Ars Technica च्या रिपोर्टिंगवर आधारित आहे. मूळ लेख वाचा.