ディズニーとバイアコム、モバイルアプリで子供の個人情報を保護者の承諾なく収集していたとして訴えられる

ディズニーとバイアコムがモバイルアプリで保護者の承諾なく子供を識別可能な情報を収集していたとして、2社それぞれを相手取った2件の訴訟が米国で提起された。いずれもクラスアクション訴訟を目指している(Consumeristの記事、 The Vergeの記事、 The Washington Postの記事、 BetaNewsの記事)。

訴状によれば、ディズニーとバイアコム(ニコロデオン)のモバイルアプリでは広告SDKを使用しており、このSDKが端末固有の番号(IMEIを指すとみられる)などを取得し、行動ターゲティング広告やマーケティング分析のために子供の行動を追跡しているとのこと。そのため、SDKを開発した各社も被告となっている。いずれの訴訟も原告は同一人物であり、2通の訴状は被告や対象アプリが異なるだけで、基本的に同じ内容だ(ディズニーに対する訴状: PDF、 バイアコムに対する訴状: PDF)。

訴状に挙げられているアプリはディズニーが42本、バイアコムが11本。主に子供を対象としたゲームで、13歳未満の子供の情報を収集する場合は保護者の承諾が必要とする米国の児童オンラインプライバシー保護法(COPPA)に違反するとのこと。名前や住所、電子メールアドレスといった情報は収集されていないようだが、COPPAでは個人を識別可能な情報であれば規制対象になる。

これに対しディズニーとバイアコムは、COPPAを順守していると反論し、法廷で争う姿勢を見せているという。また、ディズニーは原告がCOPPAの趣旨を基本的に誤解しているとも述べているとのことだ。

IMEIやIPアドレスは個人情報？

[Anonymous Coward]

アメリカのCOPPAと来年EUで施行されるGDPRにどのように対処すればよいか悩んでます。
勤務先がネットワークにつながる電子機器を北米やEUで売っていて、IPアドレス, 機器のシリアル番号、IMEIなんかを取って機器の使用状況をモニターしてるのですが、これが個人情報を収集しているとみなされるかどうかがよく判んない。(名前やメールアドレスは取ってないのでアクセスしているユーザーが誰かは特定できない)

COPPAでは、13才以下の子供をターゲットとして機器の識別情報を収集することはそれだけで個人情報の収集だとみなされることは明白なんだけど、全年齢対象のアプリに対して13才以下の子供がアクセスして来た場合に個人情報を収集しているとみなされるかどうかが判らない。
GDPRではIPアドレスや機器の識別情報を取っていても、合理的な方法で個人を特定できないならそれは個人情報ではないとされているけど、合理的な方法って何かが判らない。

（あと今回のディズニーの件は私の考えでは真っ黒なんだけど、なんで法務体制がしっかりしてそうなディズニーがこんな危ないことをやったのか判らない）

Re:IMEIやIPアドレスは個人情報？

[headless (41064)]

GDPRはスラドの記事を書くときに調べた程度で詳しくはないですが、企業が収集する個人情報と使用目的をわかりやすく説明したプライバシーポリシーをユーザーに提示して承諾を得ること、企業が収集した自分の個人情報をユーザーが確認・削除できるようにすること、などがよく話題になっていますね。

どこの誰かはわからなくても、同じ人だと特定できる情報であれば個人情報になるようです。GDPRのFAQページ [eugdpr.org]では個人情報の例の一つにIPアドレスが挙げられています。

ディズニーのアプリを1本試してみましたが、初回起動時に広告表示とアプリ内購入に関する説明が1つのダイアログボックスにまとめて表示されるだけでした。

Re:

[Anonymous Coward]

>初回起動時に広告表示とアプリ内購入に関する説明が1つのダイアログボックスにまとめて表示されるだけでした。

ディズニー攻めてるなあ。COPPAガン無視ですね。
ディズニーは2011年にCOPPA違反で300万ドルの罰金を命じられてるというのに、ユーザーのトラッキングはそれくらいの罰金でも見合うということか。

日本でもやりゃいいのに

[Anonymous Coward]

少しは個人情報の収集に慎重になるかも
まあたぶん子供にとって不便になるだけだろうけど

Re:

[Anonymous Coward]

ガラケーの頃やり放題してたんじゃなかったっけ？

Re:

[Anonymous Coward]

そして、彼はTカードを窓から投げ捨てた