米連邦取引委員会は金曜日、ソーシャルネットワーキングアプリ「パス」の開発会社が、親の同意なしに児童の個人情報を違法に収集したとして同委員会から告発された件で、和解のため80万ドルの民事罰金を支払うと発表した。
FTCによると、Path社は、ユーザーの携帯電話のアドレス帳から、ユーザーの承諾なしに個人情報を収集したとしてFTCから提訴されていた訴訟にも和解した。FTCのジョン・ライボウィッツ委員長は記者会見で、この和解によりPath社は包括的なプライバシープログラムを構築し、今後20年間、隔年で独立したプライバシー評価を受けることが義務付けられると述べた。
共有が指定されていません
Pathのソーシャルネットワーキングサービスでは、ユーザーは日記をつけ、最大150人の友人ネットワークと共有できます。写真、日記の内容、位置情報、聴いている曲名などを保存・共有できます。
FTCは訴状の中で、PathのiOSアプリのユーザーインターフェースが誤解を招きやすく、個人情報の収集についてユーザーに意味のある選択肢を提供していないと主張した。Pathのバージョン2.0では、友人を招待する方法として、連絡先、Facebook、メールまたはSMSによる招待の3つの選択肢が用意されていた。しかし、ユーザーが「連絡先から友人を探す」オプションを選択していない場合でも、Pathはユーザーのモバイルデバイスのアドレス帳から個人情報を自動的に収集・保存していたとFTCは述べている。
FTCによれば、Pathはユーザーのモバイル機器のアドレス帳に登録されている各連絡先について、入手可能な氏名、住所、電話番号、メールアドレス、FacebookやTwitterのユーザー名、生年月日を自動的に収集し、保存していたという。
FTCはまた、Pathのプライバシーポリシーが、IPアドレス、オペレーティングシステム、ブラウザの種類、参照元サイトのアドレス、サイトアクティビティ情報といった特定のユーザー情報のみを自動的に収集すると主張し、消費者を欺いていると主張した。iOS版Pathアプリのバージョン2.0は、ユーザーがアプリのバージョン2.0を初めて起動した際、およびユーザーがアカウントに再度サインインするたびに、ユーザーのモバイルデバイスのアドレス帳から個人情報を自動的に収集・保存していたとFTCは述べている。
「この行為は欺瞞的なものだったと我々は考えている」とライボウィッツ氏は述べた。
親の同意が必要
同局はまた、ユーザー登録の際に生年月日情報を収集するPathが、親の同意を得ずに13歳未満の子供約3000人から個人情報を収集したことで、米国児童オンラインプライバシー保護法に違反したと告発した。
Pathは、iOSとAndroid向けのアプリ、そしてウェブサイトを通じて、子どもたちが個人的な日記を作成し、写真、日記の内容、正確な位置情報、聴いている曲名などを共有できるようにしていました。FTCによると、Pathバージョン2.0では、子どものアドレス帳から氏名、住所、電話番号、メールアドレス、生年月日など、入手可能な個人情報も収集されていました。
Pathは自社ウェブサイト上の声明で、COPPA規則の影響を受けた「ごく少数の」アカウントを閉鎖したと述べた。
「13歳未満であると申告したユーザーを、当社のシステムが自動的に拒否していなかった時期がありました」とパス氏は述べた。「FTCから連絡を受ける前に、この登録プロセスの要件を発見し、修正しました。さらに、誤って作成を許可してしまった未成年者アカウントを停止する措置も講じました。」
Path は、他の開発者が自社の経験から学べるよう支援できればと考えていると述べた。
FTCの措置は、「サービスがCOPPAなどの規則に完全に準拠していることを確認することの重要性を、他の企業に改めて認識させるはずだ」と同社は述べている。「開発者の視点から言えば、素晴らしい新しいものを作るプロセスにばかり注意を集中させてしまう傾向があることは理解しています。アカウント認証システムを改めて見直して初めて、問題があることに気づいたのです。」
FTCはモバイルプライバシーの実践に関する勧告を発表した同日に、Pathとの和解を発表した。
グラント・グロスは、IDGニュースサービスで米国政府のテクノロジーおよび通信政策を担当しています。TwitterアカウントはGrantGrossです。メールアドレスは[email protected]です。
