仅仅因为合法，并不意味着它是正确的

 
公司经常宣称自己遵守行业标准-我相信您已经看到徽标，图章和“符合隐私盾牌”的声明。正如我们和联邦贸易委员会(FTC)在几个月前被提醒的那样，这个标签并不意味着最初符合该标准，而几年后最终接受政府审查时就更少了。
活动人士Alastair Mactaggart曾协助推广《加利福尼亚消费者隐私法案》(CCPA)，并威胁将采取一项投票倡议，允许公司向尚未成立的机构自愿证明遵守CCPA 2.0。对于希望在重视隐私和安全性的市场中保持竞争力的公司而言，这种广告似乎不费吹灰之力，这是真的吗?除了业务方面的考虑之外，是否有道德义务遵守所有现有的隐私法，并且一家公司依赖于此类法律的豁免是否不道德?
我拒绝遵守法律和道德是同一回事，或者一个代表另一个。实际上，这是根据成本，客户群，风险承受能力和其他因素做出的细微决定。此外，给予自愿遵守似乎会增加消费者的信任或利他行为，这实际上对消费者有害，因为我们当前的系统不允许有效或及时的监督，并且事后可用的补救类型无法解决遭受的实际伤害。
依靠豁免并非不道德
遵纪守法与道德无关。
它的核心是成本分析，并在此进行细微的分析。正如立法者希望的那样，隐私法在实施过程中并非是黑白的。并非所有不受监管的数据收集都是有害的，也不是所有遵守(自愿或其他方式)的公司都是纯粹利他的。尽管罚款会产生财务成本，但数据收集却是许多人的收入来源，原因是从各种数据的大型存储中获得的知识和见解-其他公司也需要访问这些数据。
它们平衡了建立合规系统和流程以及与成千上万的服务提供商修改现有协议的成本，但又失去了无法向那些法律所涵盖的消费者提供这些服务的业务损失。
还有适用法律的问题。遵守法律可能会干扰或减弱您所遵循的法律提供的保护，这些保护使您首先免税，例如，其中一项法律禁止您出于安全目的共享某些信息，而另一部法律则要求您披露信息并做出数据和人员的安全性都会降低。
严格的合规性还使公司可以放心，同时利用隐私优先的声誉。法律是最低标准，而道德是最高标准。即使有不适用的法律，遵守也是公司至少可以做的事情。然后，这也使他们无法做出其他选择或创新，因为他们已经做了比预期更多的事情。对于基于技术的法律尤其如此，因为法律往往落后于该行业及其能力。
而且，由谁来决定什么是道德准则会随时间，文化和权力动态而变化。遵守旨在涵盖所有人的严格法律条款，并没有考虑到不同行业的公司使用数据的方式有所不同。公司正在试图适应一个框架，甚至没有回答他们应该自愿遵守哪个框架的问题。我现在可以听到您的声音：“那很容易!这些都是形容最高的/最严格的/最严格的收集标准的。”这些都是在谈论联邦隐私法时被扔掉的形容词。但是，“最高”，“最高”和“最高”都是主观的，并不存在真空之中，尤其是在各州开始各自制定自己的隐私法的情况下。
我敢肯定，有人说马萨诸塞州(禁止公司向受影响的消费者提供任何详细信息)提供了“最”消费者保护，而有一个阵营则认为应提供尽可能多的详细信息，例如加利福尼亚及其示例模板-提供“最”保护。谁是对的?这甚至都没有考虑到数据收集可以跨多个状态进行。在那种情况下，哪部法律适用于该个人？
政府机构目前无法提供足够的监督
FTC将在您知道自己不满意的网站上贴上证书的行为视为不公平和欺骗性做法。但是，FTC通常没有对初次违规的罚款权限。尽管它可以迫使公司补偿消费者，但赔偿金却很难计算。
不幸的是，侵犯隐私权的损害赔偿甚至在法庭上难以证明。获得的资金将不成比例地分配给律师，每个人甚至向法院提起诉讼，都会获得微不足道的支出。最高法院已通过其在美国Clapper诉大赦国际的控告中指出。 133 S. Ct。 1138(2013)，以及Spokeo，Inc.诉Robins，136 S. Ct。第1540号决议(2016)，认为诸如数据丢失或滥用引起的欺诈或后果之类的损害过于投机而无法维持诉讼。
这使FTC在谈判中处于较弱的位置，以尽可能少地花费资源来获得结果，尤其是因为FTC只能做很多事情-它的管辖权有限并且无法控制银行或非营利组织。为了回应专员诺亚·菲利普斯(Noah Phillips)，如果没有联邦隐私法对数据使用和损害设定明确的限制并赋予FTC更大的权力在诉讼中实施这些限制，这种情况就不会改变。
最后，除了这些法律限制之外，FTC在隐私方面的人手不足，大约40名全职员工致力于保护超过3.2亿美国人的隐私。为了充分保护隐私，FTC需要更多的律师，更多的调查员，更多的技术人员和最新的技术工具。否则，它将继续为某些调查供资，但以其他人手不足为代价。
将监督外包给私人公司可能不会有更好的结果，因为这样一个简单的事实：这种认证的价格很高(尤其是在一开始)，使中小型企业处于竞争劣势。此外，与公司的隐私专业人士和法律团队不同，认证公司更可能希望遵守法律条文-将形式放在实质上-而不是解决任何特定企业的数据使用模型的细微差别。
现有的补救措施不能解决消费者的伤害
假设某个代理商确实采取了执法行动，那么这些代理商目前所拥有的惩罚权的类型并未充分解决消费者的伤害。这主要是因为遵守隐私法规不是开关，当前的制度更多地侧重于财务赔偿。
即使在采取规定的行动来遵守法律的情况下，遵守也要花费数年的时间，并且不能解决历史上不遵守数据的后果。
以CNIL的正式通知反对Vectuary，因为它没有收集知情的，肯定的同意。 Vectuary收集了来自移动应用程序用户的地理位置数据，以使用其开发的用于实施IAB(自律协会)透明性和同意框架的同意管理平台向零售商提供营销服务。该通知值得特别注意，因为Vectuary遵循既定的行业协会准则，但其同意被视为无效。
结果，CNIL通知Vectuary停止以这种方式处理数据并删除在此期间收集的数据。虽然这可以算是胜利，因为该决定迫使该公司重建其系统-如果最初没有足够的资源来满足要求，那么有多少公司将有预算来执行此操作?此外，这将需要时间，那么与此同时他们的业务模式又会如何呢?从理论上讲，它们可以继续不合规，直到达到机构设定的合规期限为止?即使基础数据被删除，与它们共享数据的各方都没有受到影响，也没有基于它们建立的推论受到影响。
当您检查针对虚假的Privacy Shield自认证的补救措施时，水甚至变得更加模糊。公司网站上的Privacy Shield徽标实质上表示公司认为其跨境数据传输已得到充分保护，并且传输仅限于公司认为拥有负责任的数据惯例的各方。因此，如果发现一家公司错误地做出了这些基本陈述(或不遵守另一项要求)，则它们将不得不停止进行这些转让，并且如果这是其提供服务的方式的一部分，他们是否也必须停止提供这些陈述?那些服务立即给他们的顾客?
在实践中，似乎似乎选择不遵守其他不适用的法律，并不是不关心客户或道德上的失败，而是从字面上看是“没有任何作用”，尝试中也没有任何额外的消费者利益。 最终不是最重要的消费者?
本文中表达的观点是作者的观点，而不是她的公司，投资者，客户或其他人的观点。