Firma Google zawarła kolejną ugodę w sprawie pozwu zbiorowego, w którym oskarżono ją o gromadzenie danych dzieci i wykorzystywanie ich do kierowania do nich reklam. Gigant technologiczny zapłaci 8,25 mln dolarów za zarzuty dotyczące śledzenia danych w aplikacjach przeznaczonych specjalnie dla dzieci.
Gromadzenie danych mobilnych przez AdMob
Ugoda ta wynika z zarzutów, że aplikacje udostępniane w ramach programu Google „Designed for Families” (Zaprojektowane dla rodzin), który miał pomagać rodzicom w znalezieniu bezpiecznych aplikacji, śledziły dzieci. Zgodnie z warunkami tego programu deweloperzy mieli samodzielnie poświadczać zgodność z COPPA i korzystać z reklamowych zestawów SDK, które wyłączały śledzenie zachowań. Niektórzy jednak tego nie zrobili, zamiast tego korzystając z oprogramowania wbudowanego w aplikacje, które zostało stworzone przez należącą do Google firmę reklamową AdMob.
Zgodnie z pozwem zbiorowym, gdy dzieci korzystały z tych aplikacji, w tym gier, firma AdMob gromadziła dane z tych aplikacji. Obejmowały one adresy IP, identyfikatory urządzeń, dane dotyczące użytkowania oraz lokalizację dziecka z dokładnością do pięciu metrów, które były przekazywane do Google bez zgody rodziców. Oprogramowanie AdMob mogło następnie wykorzystywać te informacje do wyświetlania użytkownikom reklam ukierunkowanych.
Tego rodzaju działania są dokładnie tym, czemu ma zapobiegać ustawa Privacy dzieci w Internecie (COPPA). Ustawa wymaga od operatorów usług skierowanych do dzieci uzyskania weryfikowalnej zgody rodziców przed zebraniem danych osobowych od dzieci poniżej 13 roku życia. Obejmuje to pliki cookie i inne identyfikatory, które są podstawowymi narzędziami wykorzystywanymi przez reklamodawców do śledzenia i kierowania reklam do określonych osób.
Rodziny, które złożyły pozew, twierdziły, że firma Google wiedziała o tym:
„Google i AdMob wiedziały wówczas, że ich działania powodują wyciek danych milionów dzieci poniżej trzynastego roku życia, ale mimo to dopuściły się tego bezprawnego postępowania, aby zarobić miliardy dolarów na przychodach z reklam”.
Zgodnie z dokumentacją, badacze zajmujący się bezpieczeństwem poinformowali Google o tym problemie w 2018 roku.
Zatwierdzono YouTube
Najbardziej rozczarowujące jest to, że problemy związane z prywatnością wciąż się powtarzają. Ta wiadomość pojawiła się w tym samym czasie, gdy sędzia zatwierdził ugodę w innej sprawie dotyczącej prywatności dzieci, związanej z wykorzystaniem przez Google danych dzieci w YouTube. Sprawa ta sięga października 2019 r., czyli tego samego roku, w którym Google i YouTube zapłaciły ogromną grzywnę w wysokości 170 mln dolarów za naruszenie przepisów COPPA.
Rodziny biorące udział w pozwie zbiorowym twierdzą, że YouTube plików cookie i trwałych identyfikatorów na kanałach dla dzieci, zbierając dane, takie jak adresy IP, dane geolokalizacyjne i numery seryjne urządzeń. To samo robi dla dorosłych w całej sieci, ale COPPA chroni dzieci poniżej 13 roku życia przed takimi działaniami, podobnie jak niektóre przepisy stanowe.
Zgodnie z treścią skargi YouTube te informacje w latach 2013–2020 i wykorzystywał je do celów reklamy behawioralnej. Ta forma reklamy pozwala wnioskować o zainteresowaniach użytkowników na podstawie ich identyfikatorów i jest bardziej lukratywna niż reklama kontekstowa, która koncentruje się wyłącznie na treściach kanału.
W sprawie tej stwierdzono, że różni właściciele kanałów zdecydowali się na reklamę behawioralną, co skłoniło Google do gromadzenia tych danych osobowych. Powodowie twierdzili, że nie uzyskano zgody rodziców. Wśród właścicieli kanałów wymienionych w pozwie znaleźli się Cartoon Network, Hasbro, Mattel i DreamWorks Animation.
Zgodnie z YouTube ( zawartą w sierpniu i niedawno zatwierdzoną przez sędziego) rodziny mogą składać wnioski za pośrednictwem strony YouTubePrivacySettlement.com, jednak termin upływa w najbliższą środę. Rodziny spełniające warunki kwalifikacyjne prawdopodobnie otrzymają 20–30 dolarów po potrąceniu kosztów obsługi prawnej i administracyjnych, jeśli wnioski złoży 1–2% kwalifikujących się rodzin.
COPPA ewoluuje
W ubiegłym roku FTC zmieniła przepisy COPPA, wprowadzając obowiązkową zgodę na reklamę skierowaną do dzieci, odrębną od ogólnej zgody na gromadzenie danych.
Zmiany rozszerzają definicję danych osobowych, tak żeby obejmowała dane biometryczne i informacje z dokumentów tożsamości wydanych przez rząd. Pozwalają też FTC na wykorzystanie materiałów marketingowych operatora strony do ustalenia, czy strona jest skierowana do dzieci.
Właściciele stron internetowych muszą teraz informować rodziców, komu udostępniają dane, a zmiany uniemożliwiają operatorom przechowywanie danych osobowych dzieci przez czas nieokreślony. Jeśli uważasz, że są to środki, które powinny być wprowadzone od samego początku w celu ochrony dzieci w Internecie, zgadzamy się z Tobą. W każdym razie firmy mają czas do kwietnia tego roku na dostosowanie się do nowych przepisów.
Czy przepisy COPPA przyniosą zmiany? Trudno powiedzieć, biorąc pod uwagę liczne sprawy dotyczące prywatności, w które zaangażowana jest firma Google LLC (właściciel m.in. YouTube AdMob). W kontekście ogólnych zysków Alphabetu kara w wysokości 8,25 mln dolarów może zostać uznana za rutynowy wydatek biznesowy, a nie znaczący środek odstraszający.
Nie tylko informujemy o prywatności danych - pomagamy usuwać dane osobowe.
Ryzyko związane z cyberbezpieczeństwem nigdy nie powinno wykraczać poza nagłówek. Z Malwarebytes Personal Data Removermożesz skanować, aby dowiedzieć się, które witryny ujawniają Twoje dane osobowe, a następnie usunąć te poufne dane z Internetu.
