加利福尼亚州的新隐私法起步艰难

 
隐私初创企业正在努力提供帮助。一个人弄错了。
加利福尼亚的新隐私法正在制定中。
这项法律(加利福尼亚州的《消费者隐私法》或CCPA)于1月1日成为法律，允许各州居民收回其访问和控制其个人数据的权利。受欧洲GDPR的启发，CCPA是一代人以来最大的州范围内隐私法变更。这项新法律允许用户请求技术公司拥有的数据的副本，在不再希望公司拥有该数据时删除该数据，并要求其数据不出售给第三方。所有这些都令科技巨头感到不快，其中一些巨头已经花费了数百万美元来遵守法律，并拨出了数百万美元来应对预期涌入的消费者数据访问请求。
但是说事情进展顺利只是一小步。
为抵制新法律而大声疾呼的许多科技巨头已经默许并接受了自己的命运-至少直到发生了一些不同的事情。加利福尼亚的技术行业有一年以上的准备时间，但是有些使它变得非常困难，并且具有讽刺意味的是，在某些情况下，用户行使权利的侵略性很大，主要是因为每个公司对合规性的表述都有不同的解释。
亚历克斯·戴维斯(Alex Davis)只是加利福尼亚的一位居民，他试图利用法律规定的新权利提出删除其数据的请求。他在Twitter上发泄了烦恼，他说公司已经对CCPA做出了回应，提出了“以新的和更糟的方式尽可能使人感到困惑和困难”的请求。
他告诉TechCrunch：“我从未见过如此刻意将设计与设计混淆的尝试。”他提到了他所说的“暗模式”，这是一种用户界面设计，试图诱使用户做出某些选择，通常是违背他们的最佳利益。
他说：“我试图提出一个删除请求，但它使我不停地选择菜单，这些菜单一直在重定向……需要打开和关闭的东西。”
尽管感到沮丧，戴维斯却比其他人走得更远。就像有些公司通过在其网站上添加法律上要求的“请勿出售我的信息”链接，使用户选择退出出售其数据一样容易，许多公司却没有。一些公司几乎不可能找到这些“数据门户”，公司已经建立了这些门户，以便用户可以请求其数据副本或将其完全删除。目前，加利福尼亚州的公司仍处于宽限期，但直到7月CCPA的执行条款开始生效为止。在此之前，用户正在寻找解决方法–通过整理和共享指向数据门户的链接来帮助其他人访问其数据。
咨询巨头普华永道(PwC)的数据隐私业务负责人杰伊·克莱恩(Jay Cline)表示：“我们现在确实看到了CCPA响应水平的好坏参半。”
普华永道自己的数据发现，美国最大的600家公司中只有40%拥有数据门户。克莱恩说，尽管其他州正加紧努力将类似法律推向CCPA，但只有一小部分将其门户网站扩展到加利福尼亚州以外的用户。
但是，并非所有数据门户都是平等创建的。鉴于公司存储了多少数据(无论是个人还是其他方式)，弄错事情的风险比以往任何时候都要大。科技公司仍在努力寻找最佳方法，以验证每个访问或删除用户数据的数据请求，而不会无意间将其泄露给错误的人。
去年，安全研究员詹姆斯·帕沃(James Pavur)冒充了未婚妻，并诱使科技公司上交了有关她的大量数据，包括信用卡信息，帐户登录名和密码，在某些情况下还包括犯罪背景调查。只有少数公司要求进行验证。两年前，秋田的创始人让·杨(Jean Yang)描述某人侵入她的Spotify帐户并要求其帐户数据是GDPR的“不幸后果”，该法律要求在大陆运营的公司允许用户访问其数据。
CCPA表示，公司应该以“合理的确定性”来验证一个人的身份。对于某些人来说，这仅仅是发送数据的电子邮件地址。
其他人则需要发送更敏感的信息以证明它们是真实的。
的确，直到最近，i360还是一家鲜为人知的广告和数据公司，但一直要求加利福尼亚居民提供一个人的完整社会保险号。最近更改为仅最后四位数字。 Verizon(拥有TechCrunch的公司)希望其客户和用户上传其驾驶执照或州ID以验证其身份。康卡斯特(Comcast)要求提供相同的内容，但在移交客户任何数据之前要求自拍照。
康卡斯特需要与争议性面部识别初创公司Clearview AI相同的信息量来验证数据请求，该公司最近成为头条新闻，以创建一个监视系统，该监视系统由从Facebook，Twitter和YouTube抓取的数十亿张图像组成，以帮助执法部门追踪一个人的动作。
尽管CCPA造成了很多麻烦，但它已经帮助打造了全新的合规性初创公司，这些公司可以帮助大型和小型公司处理其所承受的监管负担。该领域的多家初创公司正在利用明年用于CCPA合规性的550亿美元的期望，例如Segment，它为客户提供了存储数据的综合视图; Osano帮助公司遵守CCPA; Securiti刚刚筹集了5,000万美元以帮助扩展其CCPA产品。在CCPA和GDPR的支持下，他们的服务旨在进行扩展以适应新的州或联邦法律的出现。
另一家创业公司Mine首次亮相有些麻烦，该公司通过充当经纪人让用户“获取所有权”数据，从而使用户可以轻松地根据CCPA和GDPR提出请求。
该服务要求用户授予他们对用户收件箱的访问权限，扫描包含公司名称的电子邮件主题行，并使用该数据来确定用户可以从哪些公司请求其数据或删除其数据。 (该服务请求访问用户的Gmail，但该公司声称将“从不读取”用户的电子邮件。)上个月，在进行宣传时，Mine无意中将几封电子邮件数据请求复制到TechCrunch，从而使我们能够看到名称和两个请求者的电子邮件地址，他们希望Crunch(一个具有类似名称的受欢迎的健身连锁店)删除其数据。
TechCrunch向Mine和两个请求者发出安全漏洞警报。
Mine的联合创始人兼首席执行官Gal Ringel说：“这是我们的混乱，在寻找公司数据保护办公室地址的引擎识别了错误的电子邮件地址。” “在测试阶段未报告此问题，我们已立即修复。”
目前，许多创业公司已经休息了。
规模较小，尚处于初期阶段的初创公司尚未实现年收入2500万美元或将个人数据存储在50,000多个用户或设备上，则在很大程度上不必立即遵守CCPA。但这并不意味着初创公司可以沾沾自喜。随着早期公司的成长，其法律责任也将随之增长。
克莱恩说：“对于那些确实启动了这些门户网站并向所有美国人提供权利的人来说，他们处于为这些其他州做好准备的最佳位置。”他说：“较小的公司如果其产品或服务是商品，则在某些方面具有合规优势，因为它们可以从一开始就内置这些控制措施。”
CCPA可能起步很坎,，但是时间会证明事情是否会变得容易。就在本周，加利福尼亚州检察长贝塞拉(Xavier Becerra)发布了最新更新的指南，旨在根据其发言人的意见“微调”规则。它表明，即使是加利福尼亚州的立法者也仍在努力达到平衡。
但是由于迫在眉睫的高额罚款威胁即将到来，数月之内，不合规的时间就用光了。