TikTok、COPPA違反を巡り米国と4億ドルで和解

eSecurity Planet の内容および製品に関する推奨事項は、編集上の独立性を保っています。パートナーへのリンクをクリックすることで、当社が収益を得る場合があります。詳細はこちら

TikTok、ByteDance、および関連企業は、米司法省(DOJ)との間で4億ドルの和解に合意しました。

この合意は、TikTokが児童オンラインプライバシー保護法(COPPA)に違反して児童の個人情報を不適切に収集・取り扱っていたとする、2024年のDOJによる訴訟を解決するものです。

COPPAは、13歳未満の児童から個人情報を収集するオンラインサービスに対してプライバシー要件を定めています。

この合意に基づき、TikTokは即座に3億ドルを支払います。さらに、TikTokの前身であるMusical[.]lyに関する以前の同意判決(コンセントディクリー)が裁判所によって無効化された場合には、追加で1億ドルの支払いが必要となります。

DOJは、今回の合意はTikTokまたはByteDanceの法的責任について司法判断を下すことなく、疑惑を解決するものであると述べています。

TikTok、児童の同意なきデータ収集を指摘される

本件は、Musical[.]lyに関する以前の執行措置があったにもかかわらず、TikTokがCOPPAの要件を遵守していなかったとする疑惑に端を発しています。

2019年、Musical[.]lyは、13歳未満の児童から保護者の同意を得ずに個人情報を違法に収集していたとする米連邦取引委員会(FTC)の疑惑を解決するため、570万ドルを支払うことに合意しました。

その後FTCはTikTokに対する新たな調査を開始し、同社が法令遵守の約束にもかかわらずCOPPA違反を続けていたとして、この案件をDOJに付託しました。

DOJによると、TikTokは13歳未満の児童が、より制限の厳しい「キッズモード」ではなく通常のアカウントを作成することを、故意に許容していたとされています。

また政府側は、TikTokが保護者の同意を得ることなく、これらの利用者に関する個人情報を収集・保持していたとも主張しています。

さらに連邦当局は、保護者から要請があったにもかかわらず、TikTokが児童のアカウントおよび関連情報を削除していなかったと非難しています。

DOJはまた、同社が13歳未満の利用者に該当するアカウントを特定・削除するための十分な手続きを欠いていたとも主張しています。

今回の4億ドルの合意は、COPPA違反疑惑に関する和解としては過去最大級の規模であり、TikTokが米国内の事業体制に変更を加えた後に成立しました。

DOJは和解の発表にあたり、2024年の提訴以降、TikTokが所有構造、データ管理、法令遵守体制に変更を加えてきたことを認めています。

政府側はまた、TikTokのデータ保持慣行、年齢に関する管理機能、および保護者による監督機能の改善についても評価しています。

これらの施策は、若年層の利用者によるプラットフォームへのアクセス方法や、その情報の管理方法について、より強固な保護措置を提供することを狙いとしています。

「児童の個人情報を収集する企業は、法律を遵守しなければなりません」と、司法次官補のブレット・A・シューメイト氏はDOJの発表で述べています。

シューメイト氏はさらに、今回の解決は多額の金銭的回収を実現すると同時に、児童のプライバシー保護を目的とした連邦法上の要件を改めて強調するものだと付け加えています。

今回の和解は、児童に関する個人情報を収集・保持するテクノロジー企業が直面する、金銭的・規制的リスクを浮き彫りにしています。

若年層の利用者がアクセス可能なオンラインサービスを運営する組織は、未成年利用者を特定し、必要な保護者の同意を取得するための手続きを備えておく必要があります。

また、不必要なデータ収集を制限し、児童の情報削除の要請には迅速に対応することも求められます。

組織側にそうした制限を回避する利用者を検知するための実効的な手続きが欠けていれば、年齢確認の仕組みだけでは不十分な場合があります。

プライバシー担当チームは、こうした保護措置を定期的にテストし、未成年利用者による回避を許してしまうような不備には対処すべきです。

COPPAの適用対象となる組織にとって、今回のTikTokの事例は、児童のプライバシー保護対策を一度限りの導入ではなく、継続的なコンプライアンス義務として扱うことの重要性を改めて示すものです。