【隐私保护合规】可验证消费者请求（VCR）

什么是可验证的消费者请求？

“可验证的消费者请求”是《加利福尼亚州消费者隐私法》（CCPA）中的一项要求，以便企业向其消费者提供企业拥有或控制的个人数据的访问权限。由于新颖的CCPA允许消费者请求访问他们的敏感个人数据，并且在某些情况下可以删除这些数据，因此在验证提出请求的个人的身份以及代表消费者提出请求的任何个人的权限时，企业必须采取额外的安全措施。

CCPA的语言明确指出，可验证的消费者请求是“消费者、消费者代表其未成年子女、自然人或经消费者授权代表消费者行事的州务卿登记的人提出的请求，且该企业可根据司法部长根据第（a）小节第（7）款通过的规定进行合理核实根据第1798.185节的规定，作为企业收集个人信息的消费者。”

《消费者保护法》下的消费者请求是消费者新确立的了解公司收集哪些个人数据的权利的延伸，以及删除公司拥有的个人数据的权力。此类请求可由消费者本人或代表其行事的法律代表提出。由于新法规旨在为消费者提供更多而非更少的安全保障，因此任何公司在核实提出请求的人的身份时，应对访问或删除个人数据的请求都必须提高警惕。

最佳实践

虽然一直在开发新的安全方法来保护个人数据，但公司在验证消费者请求时可以遵循一些最佳做法。首先，保持对其管理的数据性质的全面了解，尤其是在处理消费者请求时，始终符合公司的最佳利益。这意味着，所请求的数据的敏感度，或者如果数据被泄露，可能给消费者带来的风险，应该不会有任何歧义。

作为一般规则，公司应力求在安全合理的情况下，使用其拥有的个人信息来匹配消费者应要求提供的任何信息。公司还应谨慎收集任何特别敏感的材料，如社会安全信息或个人财务数据，以进行验证，除非为了验证请求而绝对必要。许多公司将需要使用第三方身份验证服务来管理更大数量的消费者请求，在这种情况下，将负责确保他们使用的服务安全并符合CCPA法规。

资源

National Law Review - https://www.natlawreview.com/article/verifying-ccpa-requests-to-know-and-requests-to-delete

Morgan Lewis - https://www.morganlewis.com/blogs/sourcingatmorganlewis/2019/09/the-ccpas-verifiable-consumer-request-requirement-and-data-breach-risks#:~:text=A%20%E2%80%9Cverifiable%20consumer%20request%E2%80%9D%20is,and%20that%20the%20business%20can

IAPP - https://iapp.org/news/a/verified-consumer-request-dont-naively-slip-into-the-crack-or-is-it-a-chasm/