Microsoft Xbox による児童データの違法収集に 2,000 万ドルの FTC 和解が解決: COPPA 準拠に大きな変革をもたらす

COPPA コンプライアンスに気を付けるというのは、Xbox ゲーマーの最もクールなタグではないかもしれませんが、児童オンライン プライバシー保護法規則違反の疑いで Microsoft に対する FTC の訴訟は、それでもそれが良い選択である可能性を示唆しています。 FTCに代わって司法省が提出した2,000万ドルの和解案では、Microsoftに対し、Xboxゲームシステムを使用する子供たちのプライバシー保護を強化することが求められている。 この命令はまた、COPPA が子供の画像から生成されたアバター、生体認証データ、その他の個人情報とともに収集された健康データなどの情報を対象とすることを明らかにし、この規則が子供からのデータの保持に厳しい制限を課していることを企業に思い出させます。

Microsoft の Xbox Live は、何百万ものゲーマー (その多くは 13 歳未満) によって使用されており、Xbox コンソールを介してプレイできるオンライン ゲーム ネットワークです。 FTC の行動は、Microsoft が COPPA に違反したとされる 3 つの方法に焦点を当てています。1) 親に通知して親の同意を得る前に、13 歳未満の子供から個人情報を収集すること。 2) 同社が子供たちから収集する情報、その情報を収集する理由、データの一部を第三者に開示しているという事実を保護者に伝えなかった。 3) 合理的に必要な期間を超えて子供の個人情報を保持すること。

FTC は Microsoft が間違っていたとどこで主張していますか? 詳細については申し立てを読んでいただく必要がありますが、それは最初のサインアップ手順から始まりました。 プレイするには Microsoft アカウントが必要でした。 マイクロソフトは当初、電子メール アドレス、氏名、生年月日の提供を求めました。 2021 年末までは、Microsoft も電話番号の入力を求めていました。 さらに、Microsoft は同社のサービス契約に同意することをユーザーに要求しました。この契約には、2019 年まで、Microsoft がプロモーション メッセージを送信したり、ユーザー データを広告主と共有したりすることを許可する事前チェックボックスが含まれていました。 ここで一連の出来事が重要なのは、Microsoft が 13 歳未満であることを会社に告げたばかりのユーザーに対しても、そのすべての情報を要求したためです。Microsoft が子供たちから大量の個人データを収集した後、初めて親をプロセスに関与させました。 そしてこれが、同社がCOPPAに違反したというFTCの主張の核心である。

企業ではなく保護者がオンラインで子供から収集した情報を確実に管理するために、COPPA は 2 つの異なる形式の通知を要求しています。 訴状では、マイクロソフトが両方の必須規定を遵守しなかったと主張している。 COPPA 規則のセクション 312.4(b) (直接通知要件と呼ばれることが多い) に基づき、企業は子供から個人情報を収集、使用、または開示する前に、その情報慣行について保護者に直接通知する必要があります。 FTCによると、Microsoftは事前に子供の名前、電子メールアドレス、電話番号を収集し、その後初めて保護者に通知して同意を求めたことでこの規定に違反したという。

さらにFTCは、Microsoftの直接通知が不完全だったと主張している。 具体的には、この通知では、子供がすでに提供したものを超える個人情報、たとえば子供の写真、Xbox ユーザー ID、および会社がその ID と組み合わせたその他のデータを収集することは保護者に伝えられていませんでした。 もう一つの欠陥疑惑: Microsoft は保護者に対して、子供からの情報を収集、共有、使用しているとだけ伝えましたが、その後、子供たちを Microsoft のプライバシーに関する声明に送り、詳細を自分たちで調べさせました。 FTCは、Microsoftがすべきだったのは、DIYの用事に相当する保護者を送り出すのではなく、その場で自社の実践を説明することであったと主張している。

COPPA 規則のセクション 312.4(d) – 多くの場合、オンライン通知条項と呼ばれます – では、企業が (とりわけ) 自社の情報慣行を説明するオンライン プライバシー通知への目立つラベル付きのリンクを「Web サイトの各領域」または「各領域」に掲載することが求められています。子どもから個人情報を収集するオンライン サービス。」 FTCは、Microsoftはこの条項の遵守にも至らなかったと述べている。 少なくとも 2019 年までは、必須のプライバシーに関する声明では、同社の慣行全般について説明していましたが、COPPA が要求する内容、つまり子供から収集する個人情報の詳細とその情報の開示慣行については含まれていませんでした。 さらに、親が子供の個人情報を削除し、今後の収集を停止するようマイクロソフトに要求する方法についての必須の説明は含まれていませんでした。