【要約】I asked 100 companies for my data. Some deleted it instead. [Ars_Technica] | Summary by TechDistill
> Source: Ars_Technica
Execute Primary Source
// Problem
著者がCCPA（カリフォルニア州消費者プライバシー法）に基づき、自身の個人データの開示を求めた際に直面した運用上の問題。企業側の対応プロセスにおいて、以下の課題が確認された。
- ・開示請求が「データ削除」や「オプトアウト」と誤認され、意図しないデータ消失を招いた。
- ・プライバシーポリシーに明記された連絡手段（電話窓口など）が、実際には機能していなかった。
- ・本人確認プロセスが不透明であり、不必要な認証作業を繰り返す必要があった。
// Approach
著者が企業のプライバシー対応の実態を明らかにするために行った検証プロセス。法的な権利行使がどのように処理されるかを、以下の手法で調査した。
- ・CCPAの権利のうち、収集データの把握を目的とした「開示請求」に焦点を当てた。
- ・Webフォーム、電話、メールなど、各社が指定する複数の手段を用いて100件以上の請求を実施した。
- ・生成AIを活用し、事務的なメール作成や進捗管理の効率化を図った。
// Result
調査の結果、企業のコンプライアンス運用における深刻な脆弱性が判明した。具体的な事例と今後の展望は以下の通りである。
- ・CrunchbaseやBeenVerified等の企業で、開示請求が誤ってアカウント削除として処理された。
- ・Cash Appでは、ポリシーに記載された電話窓口での対応が拒否される事態が発生した。
- ・専門家は、根本的な解決策として、収集データを制限する「データ最小化」の重要性を提唱している。
Senior Engineer Insight
> コンプライアンス対応を「サポート部門の個別対応」に依存させる設計は極めて危険だ。DSAR（データ主体アクセス請求）のような定型的な法的要求は、データパイプラインと統合された自動化ワークフローとして実装すべきである。人的ミスによるデータの誤削除は、法的リスクだけでなく、データの整合性破壊という技術的負債にも直結する。スケーラビリティを確保するには、ポリシーと実行プロセスをコードで管理する「Compliance as Code」の視点が不可欠である。