Кратко

  • FTC заявила в жалобе 1998 года, что GeoCities использовала и раскрывала данные шире, чем обещали её уведомления о конфиденциальности.
  • Итоговый приказ 1999 года потребовал назвать сборщиков и получателей данных, получить согласие родителей на детскую информацию, обеспечить доступ и удаление и обращаться к третьим лицам с требованием убрать копии.

В форме значился один сайт, в деле — несколько держателей

GeoCities устроила сайт как набор тематических районов. В Enchanted Forest находились детский клуб GeoKidz Club и конкурсы. Чтобы вступить, ребёнок должен был сначала стать участником GeoCities, затем указать имя, возраст, электронную почту, адрес личной страницы и пол. FTC утверждала, что клуб и конкурсы проводили Community Leaders, которые сами собирали и хранили сведения детей.

Название страницы здесь имело вес. Родитель видел привычный сайт и его детский раздел, а после отправки формы запись могла оказаться у другого оператора. Если пользователь не знает, кто получил сведения, его запрос на удаление может так и не дойти до человека с копией.

В жалобе от августа 1998 года GeoCities описана как сообщество более чем с 1,8 миллиона участников и 40 тематическими районами. По приведённым там данным, 18 мая 1998 года около 50 тысяч участников не достигли 13 лет. Форма регистрации запрашивала обязательные сведения, а образование, доход, семейное положение, профессию и интересы обозначала как необязательные. Получение специальных предложений рекламодателей было включено по умолчанию.

Реклама была частью модели бесплатных страниц. Жалоба FTC говорила, что компания продавала рекламное место и могла нацеливать предложения по интересам и районам участников. Но агентство оспаривало не сам факт рекламы, а границы обещанного использования. FTC утверждала, что уведомления представляли данные регистрации как материал для конкретных предложений и продуктов, запрошенных участниками, а необязательные сведения обещали не передавать без разрешения. Жалоба также обвиняла GeoCities в продаже, аренде или иной передаче информации третьим лицам для других целей, в том числе для незапрошенных предложений по выбранному району.

С клубом возник отдельный вопрос о том, кто собирает данные. По версии жалобы, страницы представляли клуб и конкурсы как деятельность GeoCities, хотя формы обслуживали и сведения хранили Community Leaders. Один адрес в браузере скрывал различие между владельцем площадки, организатором события и получателем информации.

Комментарии изменили путь к приказу

13 августа 1998 года FTC объявила о предложенном соглашении и открыла 60-дневный период публичных комментариев. GeoCities признала факты, относящиеся к юрисдикции комиссии, и приняла процедуру урегулирования. Документ отдельно указывал, что соглашение не является признанием предполагаемых нарушений или других утверждений жалобы. Итоговый приказ был принят по согласию, без судебного разбирательства по существу обвинений.

Комиссия издала Решение и приказ 5 февраля 1999 года. 12 февраля FTC сообщила, что после комментариев соглашение утверждено окончательно; голосование прошло со счётом 4:0. В окончательный текст включили положение, разрешавшее собирать или использовать детскую информацию в пределах, допускаемых Законом о защите конфиденциальности детей в Интернете 1998 года.

Приказ закрепил уведомление в точках сбора. На главной странице и на каждом экране, где запрашивались сведения, GeoCities должна была ясно сообщать, что именно собирается, для чего, кому передаётся, как получить доступ, как запросить удаление и какие у удаления есть ограничения. Это была связка между объяснением и самой формой.

Для детей в возрасте 12 лет и младше GeoCities должна была организовать явное согласие родителя до сбора и использования личной информации. Допускалась ограниченная проверка, чтобы установить, что посетитель — ребёнок, и уведомить родителя. Если согласия не было в течение 20 дней, сведения следовало удалить, оставив только минимум для блокировки повторной регистрации без разрешения.

Для уже накопленных записей действовал отдельный порядок. Потребители старше 12 лет, сведения которых передали CMG Information Services, должны были получить уведомление и способ запросить удаление. Для информации о детях, собранной до 20 мая 1998 года, отдельное уведомление направлялось родителям. Если родитель не давал явного согласия на дальнейшее хранение и раскрытие в течение 20 дней, GeoCities должна была прекратить использование и удалить сведения за десять дней. В приказе отдельно указаны личные страницы и электронные почтовые ящики детей.

Компания также должна была обратиться к получившим данные третьим лицам с просьбой прекратить раскрытие и стереть свои копии.

На этом ответственность не заканчивалась у границы сайта. GeoCities обязали получить письменные обязательства от третьих лиц и Community Leaders. В предусмотренных приказом случаях компания должна была прекратить отношения с неисполняющим требования третьим лицом или лишить Community Leader соответствующего статуса. Хостинг клуба означал обязанность знать, кто держит его записи.

Документы FTC описывают, что GeoCities должна была запросить, но не отслеживают, удалил ли каждый получатель свою копию; это могли бы подтвердить отчёты получателей об исполнении.

Удаление не было обещанием мгновенно стереть каждую резервную копию. Приказ позволял хранить часть сведений на удалённых резервных носителях для обслуживания сайта, резервного копирования, блокировки детских регистраций без согласия и выполнения юридических запросов. GeoCities должна была описать такую практику; раскрывать архивные сведения третьим лицам разрешалось только для ответа правоохранительным органам или суду.

У бренда появился список адресатов

FTC назвала дело своим первым случаем о конфиденциальности в Интернете. Практическая новизна состояла в проверяемой цепочке: какие сведения собирались, зачем, кто их получал, как человек мог их увидеть и где просить удалить. Политика стала связана с формами и сторонами, которые получали записи.

Комиссар Orson Swindle поддержал итоговый приказ в этом деле и пояснил, что его голос не означал поддержку аналогичных требований для всех коммерческих сайтов через закон или регулирование. Комиссия связала GeoCities конкретным соглашением; спор о правилах для всего Интернета остался открытым.

GeoCities должна была отвечать за сервис, который участники видели под её названием. Район был входом, а приказ прошёл дальше — к тому, кто принимал форму и кому отправляли данные. Сайт, предоставлявший площадку, аудиторию и имя, должен был назвать остальные руки на информации и добиться от них ответа.

Источники