कैलिफोर्निया कंज्यूमर प्राइवेसी एक्ट (CCPA) के तहत अपने कानूनी अधिकारों का परीक्षण करने के उद्देश्य से एक व्यापक अध्ययन किया गया, जिसमें 100 से अधिक प्रमुख टेक कंपनियों, डेटा ब्रोकरों और कॉर्पोरेट संस्थानों को पर्सनल डेटा एक्सेस अनुरोध भेजे गए। इस प्रक्रिया की शुरुआत फास्ट-फूड कंपनी मैक्डोनाल्ड्स को भेजे गए एक अनुरोध से हुई, जिसके जवाब में कुछ ही दिनों के भीतर 515 पन्नों की एक विस्तृत रिपोर्ट प्राप्त हुई। उस रिपोर्ट में ऐप पर की गई हर गतिविधि का सूक्ष्म ब्योरा दर्ज था और यहाँ तक कि यह पूर्वानुमान भी लगाया गया था कि यूजर वहाँ खाना कभी बंद नहीं करेगा। हालांकि, जब अन्य 100 से अधिक कंपनियों के सामने इसी तरह के डेटा एक्सेस अनुरोध रखे गए, तो प्राइवेसी अनुपालन से जुड़ी एक निराशाजनक और चिंताजनक तस्वीर सामने आई।
प्राइवेसी कानून के प्रावधान और कॉर्पोरेट अनुपालन की हकीकत
वर्ष 2020 में लागू हुए कैलिफोर्निया कंज्यूमर प्राइवेसी एक्ट (CCPA) के तहत उपभोक्ताओं को तीन मुख्य अधिकार दिए गए हैं: कंपनियों द्वारा व्यक्तिगत जानकारी बेचे जाने से रोकने (ऑप्ट-आउट) का अधिकार, एकत्र किए गए डेटा को डिलीट कराने का अधिकार, और अपने डेटा की पूरी कॉपी मांगने (एक्सेस) का अधिकार। इस प्राइवेसी टेस्ट के दौरान पूरी तरह से डेटा एक्सेस अनुरोधों पर ध्यान केंद्रित किया गया था ताकि यह समझा जा सके कि कंपनियाँ वास्तव में यूजर का कौन सा डेटा एकत्र करती हैं। नियमानुसार कंपनियों को अपनी प्राइवेसी नीतियों में डेटा अनुरोध दाखिल करने के कम से कम दो तरीके (जैसे वेब फॉर्म, फोन नंबर या ईमेल पता) सूचीबद्ध करने होते हैं और अनुरोध प्रस्तुत करने के बाद उसे पूरा करने के लिए 45 दिनों का समय दिया जाता है।
हालांकि, व्यावहारिक स्तर पर यह अनुभव बेहद समय लेने वाला और बाधाओं से भरा रहा। सबसे ज्यादा परेशानी उन कंपनियों से हुई जिन्होंने स्पष्ट रूप से मना करने के बावजूद डेटा एक्सेस अनुरोध के जवाब में अकाउंट या जानकारी डिलीट करने का नोटिस भेज दिया। इसके अलावा कई कंपनियों ने अपनी ही प्राइवेसी पॉलिसी में बताए गए आधिकारिक माध्यमों से अनुरोध स्वीकार करने से साफ इनकार कर दिया। कंज्यूमर फेडरेशन ऑफ अमेरिका में AI और प्राइवेसी के डायरेक्टर बेन विंटर्स ने इस स्थिति को पूरी तरह से अस्वीकार्य बताते हुए कहा कि यह मौजूदा कॉर्पोरेट व्यवस्था और कंपनियों के स्वतः जिम्मेदार बनने वाले मॉडल की गंभीर कमजोरियों को उजागर करता है। उल्लेखनीय है कि इस प्रक्रिया के दौरान नियमित प्रशासनिक ईमेल तैयार करने और ट्रैकिंग स्प्रेडशीट को अपडेट करने के लिए जनरेटिव AI टूल का सहारा लिया गया था, जबकि मुख्य रिपोर्टिंग हस्तलिखित नोट्स के आधार पर तैयार की गई।
क्रंचबेस ने डेटा देने के बजाय डिलीट किया यूजर अकाउंट
प्राइवेसी अनुरोधों में सबसे पहली और गंभीर गलती टेक स्टार्टअप्स के डेटाबेस के लिए मशहूर प्लेटफॉर्म क्रंचबेस की ओर से देखने को मिली। 17 अगस्त को क्रंचबेस के आधिकारिक प्राइवेसी ईमेल पते पर एक डेटा एक्सेस अनुरोध भेजा गया था। उस ईमेल में साफ शब्दों में लिखा गया था कि यह केवल डेटा देखने का अनुरोध है और इसे किसी भी स्थिति में डेटा डिलीट करने का अनुरोध न माना जाए। इसके बावजूद, दो दिनों बाद 19 अगस्त को क्रंचबेस सपोर्ट प्रतिनिधि की ओर से एक ईमेल प्राप्त हुआ जिसमें लिखा था कि यूजर अकाउंट को क्रंचबेस से स्थायी रूप से डिलीट कर दिया गया है।
इसके तुरंत बाद जब दोबारा ईमेल भेजकर स्पष्ट किया गया कि मांग डेटा एक्सेस की थी न कि डिलीशन की, तो सपोर्ट टीम ने जवाब दिया कि यूजर अकाउंट डिलीट कर दिया गया है और यदि दोबारा सेवा का इस्तेमाल करना है तो नया अकाउंट रजिस्टर करना होगा। बाद में जब क्रंचबेस से आधिकारिक प्रतिक्रिया मांगी गई, तो कंपनी के प्रवक्ता ने इसे एक 'प्रोसेसिंग एरर' करार दिया और कहा कि वे मूल एक्सेस अनुरोध पर आगे काम करेंगे। प्रवक्ता ने यह भी दावा किया कि यह गलती कस्टमर सक्सेस टीम के एक मानव प्रतिनिधि की थी, न कि किसी AI टूल की।
बीनवेरिफाइड ने लगातार गलत समझकर डेटा हटाया
सार्वजनिक रिकॉर्ड्स एकत्र करने वाले डेटा सर्च प्लेटफॉर्म बीनवेरिफाइड के साथ हुआ अनुभव भी कॉर्पोरेट लापरवाही का बड़ा उदाहरण बना। 19 अगस्त की सुबह बीनवेरिफाइड के समर्पित CCPA अनुपालन पते पर एक ईमेल भेजा गया, जिसमें कैलिफोर्निया निवासी होने के नाते केवल डेटा एक्सेस की मांग की गई थी। इसके दो दिन बाद 21 अगस्त को बीनवेरिफाइड सपोर्ट प्रतिनिधि का संदेश मिला कि यूजर की रिपोर्ट को पर्सन सर्च परिणामों से हटा दिया गया है और संबंधित फोन नंबर व ईमेल एड्रेस भी 24 घंटे के भीतर हटा दिए जाएंगे।
जब दोबारा ईमेल भेजकर यह याद दिलाया गया कि डेटा डिलीट करने का अनुरोध नहीं किया गया था, तो महज 15 मिनट बाद सपोर्ट प्रतिनिधि ने जवाब देते हुए कहा कि कंपनी यूजर की पहचान सत्यापित नहीं कर पा रही है। यह जवाब काफी हैरान करने वाला था क्योंकि उसी ईमेल थ्रेड में प्रतिनिधि पहले ही डेटा ढूंढ चुका था। बार-बार के गलत जवाबों से तंग आकर जब फिर से सवाल उठाया गया, तो सपोर्ट टीम ने फिर वही पुराना जवाब दोहरा दिया कि आपका ऑप्ट-आउट अनुरोध प्रोसेस कर लिया गया है। इस तरह के अनुभवों का सामना केवल इस एकल अध्ययन में ही नहीं हुआ। यूसी इरविन (UC Irvine) में PhD छात्र और 'कंज्यूमर बीवेयर! एक्सप्लोरिंग डेटा ब्रोकर्स CCPA कम्प्लायंस' के सह-लेखक एलीना वैन केम्पेन ने 500 से अधिक डेटा ब्रोकरों के साथ ऐसा ही अध्ययन किया था और उन्हें भी कई बार एक्सेस अनुरोधों के बदले ऑप्ट-आउट या डिलीशन के गलत जवाब मिले थे। बाद में बीनवेरिफाइड की मूल कंपनी के सीनियर काउंसिल और सीनियर डायरेक्टर ऑफ कम्प्लायंस ग्रेग हेमंड ने ईमेल के जरिए स्वीकार किया कि वार्षिक प्रशिक्षण के बावजूद प्रतिनिधि ने अनुरोध को गलत समझ लिया था। उन्होंने आश्वासन दिया कि कंपनी कर्मचारियों के लिए रिफ्रेशर ट्रेनिंग आयोजित करेगी और हाल के कामकाज का ऑडिट करेगी।
कैश ऐप का फोन अनुपालन तंत्र पूरी तरह विफल
ब्लॉक कंपनी की मनी-ट्रांसफर सेवा कैश ऐप के साथ भी डेटा एक्सेस का अनुभव काफी निराशाजनक रहा। कैश ऐप की प्राइवेसी पॉलिसी में मोटे अक्षरों में दर्ज है कि कैलिफोर्निया निवासी वेबसाइट या टोल-फ्री फोन नंबर के माध्यम से डेटा एक्सेस अनुरोध कर सकते हैं। लेकिन जब प्राइवेसी नीति में दिए गए टोल-फ्री नंबर पर कॉल किया गया, तो फोन उठाने वाले प्रतिनिधि प्राइवेसी कानून के तहत डेटा अनुरोध की प्रक्रिया से पूरी तरह अनजान दिखे। कॉल के दौरान यूजर को कई बार होल्ड पर रखा गया और अंततः सलाह दी गई कि वे प्राइवेसी नीति जांचें और वहां दिए गए नंबर पर दोबारा कॉल करें, जबकि कॉल उसी नंबर पर की गई थी।
जब दोबारा कॉल करके प्रयास किया गया, तो दूसरे कस्टमर सपोर्ट एजेंट ने भी यूजर को होल्ड पर रखने के बाद बाद में कॉल करने को कहा ताकि उनकी टीम संसाधनों की समीक्षा करके समझ सके कि इस तरह के अनुरोध को कैसे संभाला जाता है। इस मामले पर टिप्पणी मांगे जाने पर कैश ऐप के प्रवक्ता ने ईमेल के जरिए बताया कि यूजर सीधे कैश ऐप के भीतर से अपना डेटा एक्सेस या डिलीट कर सकते हैं, जिससे वित्तीय सुरक्षा के लिए पहचान सत्यापित करना आसान होता है। प्रवक्ता ने यह भी कहा कि फोन सपोर्ट टीमों को गाइड करने के लिए प्रशिक्षित किया जाता है। हालांकि, जब प्रवक्ता से यह पूछा गया कि जब फोन पर प्रक्रिया संभव ही नहीं थी तो प्राइवेसी पॉलिसी में फोन नंबर को स्पष्ट रूप से क्यों सूचीबद्ध किया गया था, तो उन्होंने कोई जवाब नहीं दिया।
प्राइवेसी विशेषज्ञों ने 'डेटा मिनिमाइजेशन' की उठाई मांग
इन सभी मामलों का विश्लेषण करते हुए इलेक्ट्रॉनिक्स प्राइवेसी इंफॉर्मेशन सेंटर (EPIC) की लॉ फेलो मयू टोबिन-मियाजी ने कहा कि ये घटनाएं दर्शाती हैं कि कंपनियाँ कानूनी अनुपालन और यूजर्स को उनके डेटा का अधिकार देने के लिए कितने कम संसाधन लगा रही हैं। प्राइवेसी विशेषज्ञों का मानना है कि उपभोक्ताओं को इस तरह की नौकरशाही बाधाओं से बचाने के लिए केवल नियम बनाना काफी नहीं है।
बेन विंटर्स और मयू टोबिन-मियाजी दोनों ने सुझाव दिया कि 'डेटा मिनिमाइजेशन' (डेटा न्यूनतमकरण) का दृष्टिकोण इस समस्या का एक बेहतर समाधान हो सकता है। डेटा मिनिमाइजेशन का अर्थ है कि कंपनियों को केवल उतना ही डेटा एकत्र करने की अनुमति दी जाए जो उनके सामान्य व्यावसायिक संचालन के लिए बेहद जरूरी हो। उदाहरण के लिए, भविष्य की खरीदारी के लिए ऐप में क्रेडिट कार्ड सेव करने की अनुमति हो सकती है, लेकिन डेटा ब्रोकरों को बेचने के लिए यूजर का जनसांख्यिकीय डेटा एकत्र करने पर पूरी तरह से रोक होनी चाहिए। डेटा मिनिमाइजेशन का यह समग्र ढांचा उपभोक्ताओं के सिर से डेटा मांगने का भारी बोझ हटाता है और कंपनियों की डेटा संग्रह करने की शक्ति पर ही लगाम लगाता है।
