要約

  • Passportは参加サイトを共通のアカウントで利用できるサービスだった。FTCの2002年の申立てによると、Microsoftはログイン先と日時を個人と結び付けられる形で一時保存し、サポート担当者は氏名との照合ができた。
  • FTCは、その履歴がプライバシー声明に書かれていなかったと主張した。Microsoftとの和解による最終命令は、情報取扱いの正確な説明、文書化された安全対策、独立した評価を求めた。

覚えるパスワードは減った。運営者の記録は増えた

Passportは1999年10月に始まった。参加する複数のウェブサイトで同じユーザー名とパスワードを使える。利用者にはわかりやすい利益だ。ところが、共通の入口は各サイトへの入場を一か所で知る位置にもなる。FTCが2002年12月に出した申立書は、Microsoftが利用者のログイン先と日時を含む識別可能な履歴を限られた期間保持していたと述べる。問い合わせに答える際、サポート担当者はその履歴と氏名を結び付けられた。

当時の声明は情報収集を細かく説明していた。登録時の情報、アカウントに割り振る固有の番号、運用上の情報、ログアウト時に消える一時的なcookieを列挙していた。FTCが欠落としたのは、参加サイトごとのログイン履歴である。細かな説明があるほど、読み手はそれが全体像だと思いやすい。実際の仕組みには、複数サイトの入場記録を一人の名前に戻す経路があった。

同じ申立書は安全性の宣伝、Passport Walletの決済、Kids Passportの保護者設定も扱う。ここで焦点となるのは、共通ログインが生み出す記録の所有者だ。利用者がサイトAからサイトBへ移ったように感じても、認証の運営者は両方の入口を扱う。その位置から生まれるデータを、声明がどう説明したかが争点になった。

口約束から監査できる手順へ

Microsoftは2002年8月にFTCとの合意を発表し、安全手順の正式化、文書化、独立監査を挙げた。12月に出された最終命令は個人情報の収集、利用、開示、安全についての虚偽表示を禁じる。担当者の指定、リスク評価、防護策、定期的な試験と見直しを含む書面の安全プログラムも求めた。対象にはPassportに似た複数サイトの認証サービスも含まれた。

FTCの申立てはFTCの主張であり、和解に際してMicrosoftは争点となった事実を認めていない。命令で確定したのは運営上の仕事だ。何を集めるかを正確に告げ、誰が責任を持ち、どの措置を試験し、外部の専門家が何を確認するかを書面にする。単一ログインの裏側にある台帳を、単なる広告文で扱う時代は終わった。

一次資料