編按：本文綜合整理自 WIRED 原文 與 Ars Technica 轉載，並加入 Siami 編輯部觀點與分析。
加州隱私法白紙黑字 實測結果卻一團亂
本月初，WIRED 記者 Reece Rogers 向麥當勞提交了一份調閱申請，要求取得他們所蒐集關於他的所有個人資料。幾天後他收到一份驚人的 515 頁報告，內容鉅細靡遺地記載他在 App 內的互動行為，甚至還預測他會一輩子繼續吃他們的漢堡。
依《加州消費者隱私法》（CCPA），加州居民擁有向大型企業調閱個資的法律權利。基於好奇，他接著一週內向 100 多家公司遞出調閱申請。CCPA 自 2020 年上路以來，核心有三項權利：拒絕個資被販售、要求刪除個資、申請取得資料副本。Rogers 把焦點放在最後一項——「資料調閱」——想了解企業實際上蒐集了哪些東西。
絕大多數企業必須在隱私權政策中列出至少兩種申請管道。常見方式包括網頁表單、電話專線或電子郵件信箱。企業收到申請後，依法有 45 天可以處理。
跨越官僚高牆的調閱過程
整個調閱過程極度耗時，從找對申請管道、反覆驗證身分，到最後被通知「資料已刪除」——而 Rogers 明明從頭到尾沒要求刪除。有些企業甚至直接拒絕透過它們隱私權政策裡白紙黑字列出的管道來受理申請。
他訪問的消費者倡議人士對這些處理方式相當不滿。「這太離譜了，」美國消費者聯合會（Consumer Federation of America）AI 與隱私部門主管 Ben Winters 表示，「這不是一個可接受的現狀。」Winters 認為，這些案例凸顯了現行法規框架的弱點：太依賴企業「善意配合」。
依《WIRED》編採政策，Rogers 也揭露本次報導過程中，他曾使用生成式 AI 來草擬制式化電子郵件、以及更新他的追蹤試算表。文章本文主要還是他手寫完成的。
第一個踩雷的：Crunchbase
第一個出包的，是大家熟悉的科技新創資料庫 Crunchbase。Rogers 在 8 月 17 日把調閱申請寄到他們的隱私權信箱，信中清楚列出他想行使的權利，並直接表明「我目前並未要求刪除，請勿將此申請視為刪除請求」。
兩天後，Crunchbase 客服代表回信了：「感謝您的耐心等候。您的 Crunchbase 帳號已永久刪除。如有任何需要請再告知！」Rogers 立刻回信強調，他要的是資料調閱、不是資料刪除。下一封信客服回覆：「您的 Crunchbase 用戶帳號已刪除，但 Crunchbase 上的其他資料未刪除。」換言之，若他還想要回 Crunchbase 帳號，必須重新註冊。
Crunchbase 一位發言人把這次疏失歸咎於「處理錯誤」，並表示會繼續處理他原本的調閱申請。該發言人強調，這次的分類疏失是「客戶成功團隊真人」所犯，並非由生成式 AI 工具造成。
BeenVerified：把你的調閱當成刪除
Rogers 跟 BeenVerified（一家蒐集公開紀錄的可搜尋資料庫）的交手，更能代表這次調閱體驗的卡卡程度。8 月 19 日早上他寄信到他們的 CCPA 專屬信箱，明確指出他是加州居民、要申請調閱，不是申請刪除。你大概猜到接下來發生什麼事了。
兩天後，他收到 BeenVerified 客服代表的訊息，是關於「移除資訊」的：「您的個人報告已經從我們的人物搜尋結果中移除。此外，我們也從搜尋結果中移除了您所要求的電話號碼與電子郵件地址。這個異動會在 24 小時內生效。」——這完全不是他要求的。
Rogers 立刻再寄一封信解釋他送的是調閱申請、不是刪除申請。15 分鐘後客服代表回信，否認他的說法並表示公司無法驗證他的身分。但這說法很詭異，因為前面那封信他們明明已經在對話串中找到他部分的個資，卻完全沒說明他還需要補什麼資料才能通過驗證。
氣到極點的 Rogers 又寫了一封信，告訴他們他被這些回信搞得一頭霧水。客服代表的回信是：「請您放心，我們能處理您的 opt-out 申請，且已將您的資訊從我們網站上移除。」
UC Irvine 博士生、〈Consumer Beware! Exploring Data Brokers’ CCPA Compliance〉論文共同作者 Elina van Kempen 表示，她過去用同一條加州法律向 500 多家資料經紀商（data broker）送過調閱申請，同樣遇到大量分類錯誤。「有時候我送出調閱申請，自動回覆就是『我們會幫您 opt-out』或『我們會刪除您的資料』，」她說。有些資料經紀商後續會更正，但也有很多時候研究者就這樣被晾著、沒下文。
BeenVerified 的母公司資深法律顧問兼合規資深總監 Greg Hammond 透過電子郵件回覆表示，客服專員每年都會接受隱私權訓練，包含如何處理 CCPA 申請。「很遺憾，雖然有訓練，這次承辦的客服人員還是搞錯了、誤判了申請類型，」Hammond 表示，公司現在計畫提供「在職複訓」並稽核近期的工作紀錄。
Cash App：用電話申請就像跟外星人說話
跟 Block 公司旗下匯款服務 Cash App 的交手同樣令人挫折，而且這次連刪除錯誤都沒有發生。Cash App 的隱私權政策用粗體字寫明，加州居民可以透過 Cash App 網站或免付費電話申請調閱。Rogers 選了電話來測試。
第一次打過去、跟客服說他是加州居民、想申請資料調閱時，對方反應就像他在說外星語。電話被轉接好幾次，最後對方叫他去看隱私權政策、照上面列的號碼打——而那支號碼正是他剛才撥的。換言之，電話調閱這條路實質上是被拒絕的。
「好，那我就照你說的號碼重打一次好了，」他掛電話前說，聲音裡藏著一股怒氣，儘管他努力保持專業。下一位客服專員的應對一樣折騰：被轉接保留後，對方請他晚一點再打，讓客服團隊有更多時間研究資源、學習怎麼處理他的電話。
Cash App 一位發言人透過電子郵件回覆時表示：「客戶可以直接透過 Cash App 存取或刪除個人資訊，這讓我們能在提供金融帳戶資訊調閱或刪除帳號前更快速地核實身分。我們的電話客服團隊受過訓練，能協助客戶了解如何提交這些申請。」不過這位發言人並未回應 Rogers 的後續追問：為何電話號碼明明白紙黑字列在 Cash App 隱私權政策中、作為消費者行使資料權利的管道，卻實際上無法使用。
專家質疑企業投入合規的力度
受訪的專家質疑，企業是否真的有用心在符合法規。電子隱私資訊中心（Electronic Privacy Information Center）法律研究員 Mayu Tobin-Miyaji 表示：「這顯示出，企業在合規與確保民眾能取得自己資料上，投入的資源可能少得可憐。」
Winters 與 Tobin-Miyaji 都不約而同提到，強化「資料最小化」（data minimization）可能是對消費者更友善的方向。這基本上是說，企業只能蒐集「處理正常業務所需」的資料。例如，儲存信用卡資料以便用戶未來付款或許可以，但蒐集可賣給資料經紀商的人口統計屬性就應該被擋下。
「資料最小化」是一種更全面的做法，把負擔從消費者身上移開。消費者目前被迫走完一整段官僚障礙賽，才能知道企業到底掌握了他們什麼。相對地，透過從源頭限制企業能蒐集什麼，消費者可以省掉這整段令人頭疼的過程，不必再經歷 Rogers 所經歷過的折磨。
為什麼這件事重要
這份實測報導點出了一個多數科技使用者不願面對的真相：法律給你的權利，跟企業實際上會不會尊重，是兩回事。 加州 CCPA 自 2020 年上路以來，企業必須依法受理資料調閱、刪除、opt-out 三項權利——但從 WIRED 這次大規模實測看來，至少有以下三個結構性問題：
- 客服人員的訓練嚴重不足：BeenVerified、Cash App 的客服把「調閱」聽成「刪除」、甚至把電話申請直接擋下，代表企業第一線根本沒有把 CCPA 當一回事。
- AI 與真人難以分辨：Crunchbase 把疏失推給「真人」、但客服回答的制式程度令人懷疑是否其實是 AI bot——這在 AI 普及的 2026 年會越來越常見。
- 法規罰則過輕：CCPA 罰款最高每件 7,500 美元，相對於企業的資料變現收益根本是九牛一毛。
數據解讀
從這次實測可以抓出三個值得記下的數字：
- 100+：Rogers 一週內送出的調閱申請總數，其中多數遇到分類錯誤或程序阻礙。
- 45 天：CCPA 給企業的法定處理天數上限，實際上 100 多家都未能在 45 天內正確處理。
- 515 頁：麥當勞回傳的調閱報告頁數，顯示單一 App 對一般消費者的追蹤深度。
這份報導最值得帶走的一點是：法律明文保障 ≠ 實務上可以行使。如果你不在加州、沒有 CCPA 撐腰，那基本上對企業資料處理根本沒有任何實質制衡。在 AI 訓練資料橫掃網路的 2026 年，這個問題只會更嚴重、不會更好。