Resumo

  • O Passport permitia entrar em sites participantes com uma só conta. Segundo a queixa da FTC, a Microsoft mantinha por um período limitado um registro identificável dos sites acessados e das datas e horas; o atendimento podia ligá-lo ao nome do usuário.
  • A FTC afirmou que a política de privacidade descrevia outras informações, mas não esse histórico. O acordo resultou em uma ordem final que exigiu declarações corretas, um programa escrito de segurança e avaliação independente.

A entrada era única; o livro de visitas também

Lançado em outubro de 1999, o Passport reunia a autenticação de sites participantes. Para quem usava a Internet, a promessa era simples: deixar de administrar tantas credenciais. Para a operadora do serviço, cada entrada gerava um evento observado no mesmo ponto. A queixa final da FTC, de dezembro de 2002, afirma que a Microsoft conservava, por tempo limitado, os nomes dos sites nos quais cada usuário entrava com o Passport e a data e hora dessas entradas. Funcionários de atendimento podiam relacionar o registro ao nome da pessoa ao responder a um pedido de suporte.

A política de privacidade explicava muita coisa: dados de cadastro, identificadores únicos, informações operacionais e cookies temporários eliminados ao sair. De acordo com a FTC, faltava nela o histórico de acesso site a site. Um texto detalhado pode dar aparência de inventário completo. Aqui, a lista pública não descrevia o registro que permitia reconstituir as entradas de um mesmo usuário em diferentes sites participantes. Essa diferença entre a tela e o arquivo operacional é o centro do caso.

A queixa ainda tratava de promessas de proteção, do Passport Wallet e do controle dos pais no Kids Passport. O histórico de login concentra um mecanismo anterior a qualquer campanha publicitária: o serviço de identidade ocupava um ponto de observação. A conveniência de uma conta comum tornava possível juntar eventos de vários endereços, e o atendimento tinha uma forma de associá-los a uma pessoa.

A ordem exigiu um responsável, não só uma frase

Em agosto de 2002, a Microsoft anunciou o acordo com a FTC e disse que formalizaria, documentaria e submeteria a exame independente seus procedimentos de segurança. A decisão final de dezembro proibiu declarações falsas sobre coleta, uso, divulgação e proteção de informações pessoais. Mandou criar um programa de segurança por escrito, designar responsáveis, avaliar riscos, testar salvaguardas e ajustar controles, além de obter avaliação profissional independente. O alcance incluiu serviços semelhantes de autenticação para vários sites.

A queixa registra as alegações da FTC; o acordo não trouxe admissão dos fatos contestados pela Microsoft. A obrigação concreta veio com a ordem. Descrever dados corretamente e demonstrar como a proteção é administrada deixou de depender apenas do vocabulário da página de privacidade.

Documentos originais