Bu ayın başlarında bir teknoloji sitesi editörü olarak McDonald's'tan hakkımda toplanan tüm kişisel verilere erişim talebinde bulundum. Birkaç gün sonra, uygulama etkileşimlerimi detaylı bir şekilde anlatan ve asla yemek yemeyi bırakmayacağımı öngören tam 515 sayfalık şaşırtıcı bir rapor aldım. Bu rapor, elde edilen verinin ne kadar detaylı olduğunu ve nasıl analiz edildiğini gözler önüne seriyordu.
Düzenlemeler sayesinde, büyük şirketlerden kişisel veri toplayanlardan bilgiye erişim hakkım yasal olarak bulunuyor. Bu durum, editörde diğer şirketlerin kendisi hakkında neler bildiğini merak etmesine neden oldu. Bu merakla, bir hafta boyunca 100'den fazla şirket için veri erişim talebi dolduruldu.
Bu düzenlemelerin yürürlüğe girmesiyle birlikte, kişisel bilgilerin satışından çıkma, bu bilgilerin silinmesini talep etme ve kendiniz için bir kopyasını isteme gibi temel haklar tüketicilere tanındı. Editörümüz, hangi verilerin toplandığını daha iyi anlamak için sadece bu erişim taleplerine odaklandı. Şirketlerin çoğu, bu talepleri iletmek için web formu, telefon numarası veya e-posta adresi gibi iki farklı yöntem sunmak zorunda.
Bu kişisel veri erişim taleplerini gerçekleştirme süreci oldukça zaman alıcıydı. Doğru iletişim yöntemini bulmaktan kimlik doğrulama adımlarına kadar birçok engelle karşılaşıldı. Bu süreçte en sinir bozucu olanlar ise, açıkça veri silme talebinde bulunmadığını belirttiği halde, şirketlerin bu yönde yanıt vermesi veya gizlilik politikalarında belirtilen yöntemler dışında bir işlem yapmayı reddetmesiydi.
Tüketici hakları savunucuları, bu taleplerin nasıl ele alındığına dair duydukları rahatsızlığı dile getirdi. Bu durumun kabul edilemez bir noktaya geldiğini belirten savunucular, bu örneklerin şirketlerin sorumluluk bilinciyle hareket etmesine dayanan politika çerçevelerinin zayıflıklarını gösterdiğini vurguladı.
Editörümüzün bu rapor hazırlık sürecinde, bürokratik e-postaları taslak haline getirmek ve takip tablosunu güncellemek gibi bazı işlemlerde yapay zeka araçlarından yararlandığını belirtmekle birlikte, makalenin ana gövdesini kendi el yazısıyla kaleme aldığını da ekledi.
İlk hatalardan biri, teknoloji girişimleri hakkındaki veritabanıyla bilinen bir firmadan geldi. Gizlilik e-posta adresine gönderilen erişim talebinde, veri silme talebinde bulunmadığı ve bu şekilde işlem yapılmaması gerektiği açıkça belirtildi. Ancak, birkaç gün sonra gelen yanıtta, hesabın kalıcı olarak silindiği bilgisi paylaşıldı. Bu duruma itiraz eden editörümüz, sadece veri erişimi talep ettiğini yineledi. Firma yetkilileri, hatayı bir 'işlem hatası' olarak açıklayarak, orijinal erişim talebini işleme alacaklarını belirtti. Ancak yanlış yönlendirmenin bir yapay zeka aracı tarafından değil, müşteri hizmetleri ekibinden bir kişi tarafından yapıldığı iddia edildi.
Halka açık kayıtları derleyen bir veritabanı hizmetiyle de benzer bir sorun yaşandı. Tüketici verilerinin işlenmesiyle ilgilenen bu şirkete gönderilen erişim talebinde, silme talebi olmadığı ve bir California sakini olduğu belirtildi. Ancak gelen yanıtta, kişinin raporunun arama sonuçlarından zaten kaldırıldığı ve istenen telefon numarası ile e-posta adresinin arama sonuçlarından çıkarıldığı bilgisi verildi. Bu durum, editörümüzün isteğiyle tamamen çelişiyordu.
Editörümüzün sonraki e-postasında durumun netleştirilmesine rağmen, şirket destek temsilcisi kimliğin doğrulanamadığı iddiasında bulundu. Bu durum kafa karıştırıcıydı, çünkü daha önceki mesajlarda editörümüzün bazı bilgileri zaten biliniyordu. Bir başka e-postayla duyduğu kafa karışıklığını dile getirdiğinde ise, 'çıkış talebinin' işleme alındığı ve bilgilerin web sitesinden kaldırıldığı yanıtı geldi.
Bu tür veri erişim taleplerinde birden fazla yanlış sınıflandırmayla karşılaşan bir akademisyen araştırmacıyla yapılan görüşme, editörümüzün yaşadığı sorunların münferit olmadığını gösterdi. Araştırmacı, bazen erişim talebi yaptığında otomatik yanıtın 'Sizi listeden çıkaracağız' veya 'Verilerinizi sileceğiz' şeklinde geldiğini belirtti. Bazı veri aracılarının düzeltme yapmasına rağmen, diğer durumlarda araştırmacının hiçbir çözüm alamadan kaldığı ifade edildi.
Veritabanı hizmeti veren şirket yetkilisi ise, destek temsilcilerinin CCPA taleplerini nasıl işleyecekleri konusunda yıllık gizlilik eğitimi aldıklarını iddia etti. Ancak, bu konuda hata yapan temsilcinin talebi yanlış anladığını kabul etti. Şirketin bu konuda bir pekiştirme eğitimi vereceği ve son çalışmaları denetleyeceği bildirildi.
Blok'un sunduğu para gönderme hizmetiyle yapılan erişim talebi denemeleri de benzer şekilde hayal kırıklığı yarattı. Şirketin gizlilik politikasında, California sakinlerinin erişim taleplerini web sitesi veya telefonla yapabilecekleri belirtiliyordu. Ancak telefonla yapılan denemede, editörümüzün talebi bir türlü doğru adrese ulaşmadı. Defalarca kez hatta bekletildikten sonra, gizlilik politikasını kontrol etmesi ve oradaki numarayı tekrar arayarak bunu zaten yapmış olduğu bilgisi verildi. Telefon üzerinden erişim talebi işleme alma girişimi etkili bir şekilde reddedilmiş oldu.
Editörümüzün profesyonelliğini korumaya çalışmasına rağmen öfkesini hissettiği bu durumda, bir sonraki müşteri temsilcisiyle olan etkileşimleri de zorlayıcı oldu. Bekletildikten sonra, destek ekibinin kaynaklarını gözden geçirmesi ve aramayı nasıl ele alacaklarını anlaması için daha sonra tekrar arama yapması gerektiği söylendi.
Şirket sözcüsü yaptığı açıklamada, müşterilerin kişisel bilgilerine Cash App üzerinden doğrudan erişebildiğini ve bunun kimlik doğrulamasını hızlandırdığını belirtti. Telefon destek ekiplerinin bu talepleri nasıl iletecekleri konusunda eğitildiğini ve çevrimiçi Yardım Merkezi'nde talimatlar sağlandığını da ekledi. Ancak, telefon numarasının gizlilik politikasında veri haklarını kullanma yolu olarak neden açıkça belirtildiğine dair takip sorularına yanıt verilmedi.
Uzmanlar, şirketlerin yasal uyumluluk konusunda yeterli çabayı gösterip göstermediğini sorguladı. Tüketicilerin verilerine erişebilmelerini sağlamak için şirketlerin ne kadar az kaynak ayırdığını gösterdiğini belirttiler. Hem savunucular hem de uzmanlar, “veri en aza indirme” yaklaşımının tüketiciler için daha iyi bir yol olabileceğini öne sürdü. Bu, şirketlerin yalnızca standart iş operasyonlarını yürütmek için ihtiyaç duydukları verileri toplayabilmesi anlamına geliyor. Örneğin, gelecekteki alışverişler için kredi kartı bilgilerini uygulamada saklamak izin verilebilirken, demografik bilgileri veri aracılara satmak amacıyla toplamak engellenebilir.
Veri en aza indirme, daha bütünsel bir yaklaşımdır ve şu anda şirketlerin kendileri hakkında ne bildiklerini görmek için bürokratik bir engel parkurunda gezinmek zorunda kalan tüketicilerin yükünü hafifletir. Bunun yerine, şirketlerin en baştan ne toplayabileceğini sınırlayarak, tüketiciler yaşadığı baş döndürücü sürece girmeden daha fazla iç huzuru yaşayabilirler.
