I chiesi dati a 100 aziende. Alcune li cancellarono senza chiedere.

Un cittadino ha chiesto i propri dati a 100 aziende, ma ha scoperto che alcune di esse hanno cancellato le informazioni senza chiedere il suo consenso, violando le normative sulla privacy. L’esperienza, documentata da un articolo pubblicato su Wired, ha messo in luce le difficoltà e le confusioni che si verificano quando i consumatori tentano di esercitare i loro diritti sotto il California Consumer Privacy Act (CCPA). L’obiettivo era semplice: accedere ai dati personali raccolti, ma il processo è risultato estremamente complesso e spesso incompreso da parte delle aziende.

Conformità al CCPA e errori di interpretazione

Il CCPA, entrato in vigore nel 2020, conferisce ai consumatori diritti chiave, tra cui l’accesso ai dati, la possibilità di cancellarli e l’opt-out dal loro utilizzo commerciale. Tuttavia, durante le richieste di accesso, molte aziende hanno interpretato male le istruzioni del cittadino, optando per la cancellazione anziché per la fornitura dei dati richiesti. Questo è accaduto, ad esempio, con Crunchbase, un database di startup tecnologiche, che ha erroneamente cancellato l’account del cittadino senza alcuna richiesta formale.

La confusione ha reso il processo estremamente frustrante.

Il cittadino ha seguito un’esperienza simile con BeenVerified, un database di informazioni pubbliche, che ha rimosso alcuni dettagli senza alcuna spiegazione. Anche se il cittadino ha chiarito che si trattava di una richiesta di accesso e non di cancellazione, il supporto ha rifiutato di rivedere la situazione, nonostante alcuni dettagli fossero già presenti nella conversazione precedente.

Difficoltà con i servizi di supporto

Le interazioni con i team di supporto delle aziende hanno rivelato un’incapacità di comprendere le richieste dei consumatori. In alcuni casi, i rappresentanti hanno risposto automaticamente con messaggi come “opt out” o “cancellazione dei dati”, ignorando esplicitamente le istruzioni del cittadino. Questo è accaduto anche con Cash App, un servizio di trasferimento di fondi, dove il cittadino ha tentato di chiamare il numero indicato nel privacy policy, ma è stato posto in attesa e inviato a rivedere le istruzioni, pur avendole già seguite.

Le aziende non sembrano addestrate a gestire correttamente le richieste di accesso.

Un esperto ha commentato che il problema non è solo una questione di mancanza di addestramento, ma anche di una mancanza di risorse dedicate alla conformità. Mayu Tobin-Miyaji, un law fellow presso l’Electronic Privacy Information Center, ha sottolineato che le aziende non investono abbastanza in processi che permettano ai consumatori di accedere ai propri dati in modo semplice e sicuro.

Una strada alternativa: data minimization

Per risolvere il problema, alcuni esperti hanno proposto un approccio diverso: il “data minimization”, che implica che le aziende possano raccogliere solo i dati necessari per le loro operazioni. Questo metodo sposterebbe il carico dal consumatore all’azienda, riducendo la complessità del processo di accesso ai dati. Secondo Ben Winters, direttore dell’AI e della privacy presso la Consumer Federation of America, il sistema attuale non è sufficiente e richiede un cambiamento radicale. La storia, originariamente pubblicata su Wired, ha suscitato un dibattito su come le aziende possano migliorare la loro conformità e garantire ai consumatori un accesso più semplice e trasparente ai propri dati. Il caso del cittadino che ha chiesto dati a 100 aziende rappresenta un esempio concreto di come le normative siano ancora inadeguate per proteggere i diritti dei consumatori.