根据《加州消费者隐私法案》（CCPA），我有权向大型收集个人数据的公司请求访问我的信息。出于好奇，我花了一周时间向100多家公司提交了数据访问请求。
CCPA于2020年生效，主要包括三项权利：选择退出个人信息出售、删除个人信息以及请求获取个人数据副本。我专注于第三项——访问请求，目的是了解这些公司到底收集了哪些数据。大多数公司必须提供两种提交请求的方式，通常是通过网页表单、电话号码或电子邮件地址，这些都在其隐私政策中明确说明。提交请求后，公司有45天时间完成处理。
整个提交访问请求的过程非常耗时，从寻找正确的提交方式到多次身份验证，尤其令人沮丧的是，有些公司对我的访问请求回复却是关于删除信息的通知，而我明确表示不要求删除；还有些公司拒绝通过其隐私政策中列明的方式处理请求。
我咨询的消费者权益倡导者对此表示不满。美国消费者联合会AI与隐私主管本·温特斯表示：“这太疯狂了，这种现状是不可接受的。”他认为这些例子暴露了依赖公司诚信和责任心的政策框架的弱点。
根据WIRED的政策，我在报道中披露，使用生成式AI帮助起草了部分官僚邮件和更新跟踪表格，但本文主体主要由我手写完成。
最早出现错误的是知名科技创业数据库Crunchbase。我于8月17日向其隐私邮箱发送访问请求，明确表示不要求删除数据：“我目前不请求删除，请不要将此视为删除请求。”两天后，Crunchbase客服回复称：“感谢您的耐心，您的账户已被永久删除。如需其他帮助请告知！”
我立即回复重申我需要的是数据访问而非删除。客服随后解释：“您的Crunchbase用户账户已删除，其他数据未被删除。如需账户，需重新注册。”
Crunchbase发言人将此错误归咎于“处理失误”，并承诺会按原请求继续处理，且表示错误回复来自客户成功团队成员，而非生成式AI。
我与公共记录数据库BeenVerified的交互也反映了我提交访问请求时的种种阻碍。
8月19日上午，我向BeenVerified的CCPA合规邮箱发送邮件，说明我是加州居民，提出访问请求而非删除请求。结果两天后，客服回复称：“您的个人报告已从搜索结果中移除，电话号码和邮箱也已删除，24小时内生效。”这完全不是我请求的内容。
我再次邮件澄清请求类型，客服15分钟后回复否认，称无法验证我的身份。令人困惑的是，他们之前邮件中已找到部分我的信息，却未说明需要我提供何种验证材料。
我无奈再发邮件表达困惑，客服回复：“请放心，我们已处理您的选择退出请求并移除网站上的信息。”如果我不是秃头，恐怕那时就要抓狂了。
我与一位学术研究者交流后获得些许安慰。她曾根据同一法律向500多家数据经纪商提交访问请求，也遇到多次错误分类。“有时我提出访问请求，自动回复却是‘我们将帮您退出’或‘我们将删除您的数据’。”加州大学欧文分校博士、合著《消费者警惕！探索数据经纪商的CCPA合规性》的Elina van Kempen说。部分经纪商会纠正错误，但有时根本无回应。
BeenVerified母公司高级法律顾问Greg Hammond通过邮件回应称，客服每年接受隐私培训，包括如何处理CCPA请求。“但处理此事的客服误解了请求类型。”他表示公司计划加强培训并审计近期工作。
我向Block旗下的转账服务Cash App提交访问请求时也遭遇挫折，虽然没有删除错误。其隐私政策明确指出，加州居民可通过网站或免费电话提交访问请求。我选择了电话方式。
首次电话时，我说明身份和请求，客服多次将我置于等待状态，最终让我查看隐私政策并拨打政策中列出的号码，而我正是通过该号码联系的。我的请求实际上被拒绝了。
我表示会再打电话，语气中难掩愤怒。下一位客服同样让人疲惫，先是等待，然后要求稍后回电，以便他们有时间了解如何处理请求。
Cash App发言人通过邮件称：“客户可直接通过Cash App访问或删除个人信息，这样我们能更快验证身份，提供账户信息访问或删除服务。电话支持团队接受过培训，帮助客户了解如何提交请求，我们还提供在线帮助中心的指引。”
但发言人未回应为何电话明确列为行使数据权利的方式却难以使用。
专家质疑公司是否投入足够资源确保合规。电子隐私信息中心法律研究员Mayu Tobin-Miyaji说：“这反映出公司在合规方面可能投入很少资源，未能确保用户能方便访问自己的数据。”
温特斯和Tobin-Miyaji均提到加强“数据最小化”策略可能更有利消费者。即公司只收集处理业务所需的最少数据。例如，允许保存信用卡信息以便未来购买，但禁止收集个人人口统计信息出售给经纪商。
数据最小化是一种更全面的做法，将负担从消费者身上转移，避免他们必须经历繁琐的流程才能了解公司掌握了哪些信息。通过限制公司收集的数据量，消费者可以更安心，无需经历我所遭遇的繁琐过程。
