Мировое соглашение FTC на сумму 20 миллионов долларов направлено против незаконного сбора данных детей Microsoft Xbox: меняет правила игры в плане соблюдения COPPA

Забота о соблюдении COPPA, возможно, не самый крутой тег игрока для Xbox, но иск FTC против Microsoft за предполагаемые нарушения Закона о защите конфиденциальности детей в Интернете предполагает, что, тем не менее, это может быть хорошим выбором. Предлагаемое урегулирование на сумму 20 миллионов долларов, поданное Министерством юстиции от имени Федеральной торговой комиссии, потребует от Microsoft усилить защиту конфиденциальности детей, использующих ее игровую систему Xbox. В приказе также разъясняется, что COPPA распространяется на такую ​​информацию, как аватары, созданные на основе изображения ребенка, биометрические данные и данные о состоянии здоровья, собранные вместе с другой личной информацией, и напоминает предприятиям, что Правило налагает строгие ограничения на хранение данных от детей.

Используемая миллионами геймеров, многие из которых моложе 13 лет, Microsoft Xbox Live — это игровая онлайн-сеть, которая позволяет людям играть через свои консоли Xbox. Действия FTC сосредоточены на трех способах, которыми Microsoft предположительно нарушила COPPA: 1) сбор личной информации от детей до 13 лет до уведомления их родителей и получения родительского согласия; 2) не сообщая родителям об информации, которую компания собирает от детей, о том, почему она собирает эту информацию и о том, что она раскрывает некоторые данные третьим лицам; и 3) сохраняя личную информацию детей дольше, чем это разумно необходимо.

В чем FTC утверждает, что Microsoft ошиблась? Вам захочется прочитать жалобу для получения подробной информации, но она началась с первоначальной процедуры регистрации. Для игры пользователям требовалась учетная запись Microsoft. Вначале Microsoft потребовала от них предоставить адрес электронной почты, имя и фамилию, а также дату рождения. До конца 2021 года Microsoft также запросила у них номер телефона. Более того, Microsoft требовала от них согласия с соглашением об обслуживании компании, которое до 2019 года включало предварительно установленный флажок, позволяющий Microsoft отправлять им рекламные сообщения и делиться пользовательскими данными с рекламодателями. Здесь важна последовательность событий, поскольку Microsoft запрашивала всю эту информацию даже у пользователей, которые только что сообщили компании, что им меньше 13 лет. Только после сбора такого количества личных данных от детей Microsoft вовлекла в процесс родителей. И это суть обвинения FTC в том, что компания нарушила COPPA.

Чтобы гарантировать, что родители, а не компании, контролируют информацию, полученную от детей в Интернете, COPPA требует двух разных форм уведомления. В жалобе утверждается, что Microsoft не выполнила оба обязательных положения. В соответствии с разделом 312.4(b) правила COPPA, который часто называют требованием прямого уведомления, компания должна предоставить родителям прямое уведомление о своей информационной практике, прежде чем она будет собирать, использовать или раскрывать личную информацию от детей. Федеральная торговая комиссия утверждает, что Microsoft нарушила это положение, заранее собирая имена детей, адреса электронной почты и номера телефонов, и только после этого компания уведомила родителей и запросила их согласие.

Кроме того, Федеральная торговая комиссия утверждает, что прямое уведомление Microsoft было неполным. В частности, в уведомлении родителям не говорилось, что оно будет собирать личную информацию помимо той, которую ребенок уже предоставил, например, фотографии детей, их идентификатор пользователя Xbox и другие данные, которые компания объединила с этим идентификатором. Еще один предполагаемый недостаток: Microsoft просто сообщила родителям, что собирает, передает и использует информацию от детей, а затем отправила им Заявление о конфиденциальности Microsoft, чтобы они попытались сами разобраться в деталях. Федеральная торговая комиссия утверждает, что Microsoft следовало бы прямо здесь и сейчас описать свою практику, а не отправлять родителей выполнять что-то вроде «сделай сам».

Раздел 312.4(d) Правила COPPA – часто называемый положением об онлайн-уведомлении – требует (среди прочего), чтобы компании размещали заметную и четко обозначенную ссылку на онлайн-уведомление о конфиденциальности, объясняющее их информационную политику «в каждой области веб-сайта или онлайн-сервис, где собираются личные данные детей». Федеральная торговая комиссия утверждает, что Microsoft также не выполнила это положение. По крайней мере, до 2019 года в обязательном Заявлении о конфиденциальности обсуждалась практика компании в целом, но не включалось то, что требует COPPA: подробности того, какую личную информацию она собирает от детей, и ее методы раскрытия этой информации. Более того, в нем не содержалось обязательного объяснения того, как родители могут попросить Microsoft удалить личную информацию своего ребенка и прекратить ее сбор в будущем.