2,000만 달러 규모의 FTC 합의로 Microsoft Xbox의 어린이 데이터 불법 수집 문제 해결: COPPA 준수를 위한 판도를 바꾸다

COPPA 준수에 대한 관심은 가장 멋진 Xbox 게이머태그가 아닐 수 있지만 아동 온라인 개인 정보 보호법 규칙 위반 혐의로 Microsoft를 상대로 한 FTC의 조치는 그럼에도 불구하고 좋은 선택일 수 있음을 시사합니다. FTC를 대신하여 법무부가 제출한 2,000만 달러 규모의 합의에 따라 Microsoft는 Xbox 게임 시스템을 사용하는 어린이의 개인 정보 보호를 강화해야 합니다. 또한 이 명령은 COPPA가 어린이의 이미지에서 생성된 아바타, 생체 인식 데이터, 기타 개인 정보와 함께 수집된 건강 데이터 등의 정보를 다루고 있다는 점을 분명히 하고 있으며, 이 규칙은 어린이의 데이터 보유에 엄격한 제한을 가하고 있음을 기업에 상기시킵니다.

수백만 명의 게이머(대부분 13세 미만)가 사용하는 Microsoft의 Xbox Live는 사람들이 Xbox 콘솔을 통해 게임을 즐길 수 있는 온라인 게임 네트워크입니다. FTC의 조치는 Microsoft가 COPPA를 위반했다고 주장하는 세 가지 방법에 중점을 둡니다. 1) 부모에게 알리고 부모의 동의를 받기 전에 13세 미만 어린이로부터 개인 정보를 수집합니다. 2) 회사가 어린이로부터 수집하는 정보, 해당 정보를 수집하는 이유, 일부 데이터를 제3자에게 공개한다는 사실을 부모에게 알리지 않음 3) 합리적으로 필요한 것보다 오랫동안 어린이의 개인 정보를 보관합니다.

FTC는 Microsoft가 잘못했다고 어디에서 말합니까? 자세한 내용은 불만 사항을 읽어보고 싶지만 초기 가입 절차부터 시작되었습니다. 플레이하려면 사용자에게 Microsoft 계정이 필요했습니다. 처음에 Microsoft는 이메일 주소, 성과 이름, 생년월일을 제공하도록 요구했습니다. 2021년 말까지 Microsoft는 전화번호도 요청했습니다. 게다가 마이크로소프트는 이들에게 회사의 서비스 계약에 동의하도록 요구했는데, 이 계약에는 2019년까지 마이크로소프트가 홍보 메시지를 보내고 광고주와 사용자 데이터를 공유할 수 있도록 사전 체크된 상자가 포함되어 있었습니다. Microsoft는 방금 회사에 13세 미만이라고 밝힌 사용자에게도 모든 정보를 요청했기 때문에 여기서는 일련의 이벤트가 중요합니다. Microsoft는 어린이로부터 엄청난 양의 개인 데이터를 수집한 후에야 부모가 프로세스에 참여하도록 했습니다. 이것이 회사가 COPPA를 위반했다는 FTC 주장의 핵심입니다.

회사가 아닌 부모가 온라인에서 어린이로부터 수집한 정보를 통제할 수 있도록 COPPA에서는 두 가지 형태의 통지를 요구합니다. 불만 사항은 Microsoft가 두 가지 필수 조항을 모두 준수하지 못했다고 주장합니다. COPPA 규정 312.4(b)항(직접 통지 요구 사항이라고도 함)에 따라 회사는 어린이로부터 개인 정보를 수집, 사용 또는 공개하기 전에 정보 관행에 대해 부모에게 직접 통지해야 합니다. FTC는 마이크로소프트가 어린이의 이름, 이메일 주소, 전화번호를 미리 수집하여 해당 조항을 위반했으며 그 후에야 부모에게 알리고 동의를 구했다고 밝혔습니다.

또한 FTC는 Microsoft의 직접 통지가 불완전하다고 주장합니다. 특히 이 통지에는 자녀가 이미 제공한 것 이상의 개인 정보(예: 자녀의 사진, Xbox 사용자 ID, 회사가 해당 ID와 결합한 기타 데이터)를 수집할 것이라는 내용이 부모에게 명시되지 않았습니다. 또 다른 결함 주장: Microsoft는 단순히 부모에게 어린이의 정보를 수집, 공유 및 사용했다고 말한 다음 Microsoft 개인 정보 보호 정책으로 보내 세부 사항을 스스로 파악하도록 했습니다. FTC는 마이크로소프트가 부모에게 DIY 심부름을 시키기보다는 그 자리에서 자사의 관행을 설명하는 것이 더 좋았어야 했다고 말합니다.

COPPA 규정 312.4(d)항(종종 온라인 고지 조항이라고도 함)에서는 회사가 웹사이트의 각 영역 또는 웹사이트의 각 영역에 자사의 정보 관행을 설명하는 온라인 개인정보 보호 고지에 대한 눈에 잘 띄고 명확하게 표시된 링크를 게시하도록 요구합니다. 아동의 개인정보를 수집하는 온라인 서비스입니다.” FTC는 마이크로소프트도 해당 조항을 준수하지 못했다고 말했습니다. 최소 2019년까지 필수 개인 정보 보호 정책은 회사의 일반적인 관행을 논의했지만 COPPA에서 요구하는 사항, 즉 어린이로부터 수집하는 개인 정보와 해당 정보에 대한 공개 관행에 대한 세부 사항은 포함하지 않았습니다. 더욱이 부모가 마이크로소프트에 자녀의 개인 정보를 삭제하고 향후 수집을 중단하도록 요청할 수 있는 방법에 대한 필수 설명도 포함되지 않았습니다.