WIRED一名记者去年8月起，用一周时间依据加州消费者隐私法（CCPA）向逾100家公司提交数据访问申请，只想看看这些公司到底存着自己多少信息。结果不少回信文不对题：Crunchbase两天内把账户“永久删除”，BeenVerified先后给出三种不同处理结果，Cash App连自家隐私政策里写明的电话渠道都办不成。
CCPA自2020年起施行，企业收到访问请求后通常要在45天内核实身份并给出答复。法律规定了权利和期限，却没规定客服具体怎么区分“查阅”“删除”“退出”这三种请求。这次测试翻车的几起案例，不能说明100多家公司集体违规，但足以说明法定权利卡在客服环节有多容易。
Crunchbase把“别删”办成了永久删除
记者8月17日给Crunchbase发邮件，明确写着“我不是要删除账户，请不要按删除处理”。两天后，客服回信：账户已永久删除。
记者追问，客服才承认只删了账户本身，其他数据没动，想恢复得重新注册。Crunchbase事后回应称这是人工客服的处理错误，不是生成式AI闹的乌龙，并承诺按原始请求重新处理。
BeenVerified的问题更绕。记者8月19日把请求发到公司专门的CCPA合规邮箱，客服先说“已将人物报告从搜索结果移除”，接着说身份没法验证，最后又改口“已为您办理退出请求”——同一份工单，三次回复三种结果。母公司高级法律顾问Greg Hammond承认客服“误解了请求类型”，表示会做补充培训并审计近期处理记录。
两起案例的共同点是：客服一看到“删除”“退出”这类关键词，就套用最近的处理模板，没人做二次确认。
政策写着电话可用，客服却说“还在学”
Cash App的隐私政策用粗体写明：加州居民可以打客服电话提交访问请求。记者照做，第一次电话被反复转接、挂断，最后客服让她重新拨打隐私政策上那个号码——她打的就是那个号码。
第二次通话，客服直接说需要时间“理解怎么处理这类请求”，让她过会儿再打。Block公司发言人回应称，公司更希望用户直接在App里操作，方便快速验证身份，但没解释隐私政策里为什么还留着这条电话渠道。
这不是孤例。加州大学欧文分校博士生Elina van Kempen曾牵头向500多家数据经纪商提交同类请求做研究，发现类似的答非所问反复出现：她要访问，系统回复却是“已退出”或“已删除”，有的公司后来纠正，有的就没了下文。两次独立测试出现相同的错误类型，说明问题不在某一家公司培训疏漏，而在于整个行业处理这三类请求的流程设计本身就容易混淆。
消费者和合规团队接下来该做什么
这场测试留下两组具体经验，分别对应两类人。
| 对象 | 现实处境 | 能做的事 |
|---|---|---|
| 常用社交、金融App和数据经纪服务的消费者 | 发起访问请求可能被误删、误判成退出，还得反复验证身份 | 邮件里写清楚“这是访问请求，不是删除/退出”；保留工单号和往来记录；超45天没回复，可向加州总检察长办公室投诉 |
| 负责隐私合规和客户支持的科技公司管理者 | 客服看到“删除”“退出”类关键词容易套错模板，出错就可能被媒体和监管盯上 | 在系统里把访问、删除、退出三类请求强制区分，加二次确认环节，定期抽查工单执行记录 |
Crunchbase、BeenVerified、Cash App事后都表示会补救或调整，但都是被记者追问之后才做的。对消费者来说，主动追问、留证据，仍是现阶段最现实的自保办法。
隐私组织EPIC的法律研究员Mayu Tobin-Miyaji和消费者联合会隐私与AI主管Ben Winters都提到了同一个方向——数据最小化，只收集运营必须的数据，不要囤积起来再等用户行使权利。这是学界和倡导者提出的政策思路，CCPA目前没有把它写成强制条款。短期内，普通用户能做的还是那套麻烦事：翻政策找对渠道，反复验证身份，追着工单要结果。