Kids love to dress-up, but parents would not want them rumming through attic or climbing to top shelf of wardrobe without permission and proper supervision.着せ替え遊びは大好きだけど、親としては、許可もなく屋根裏を探検したりタンスの一番上に登ったりして欲しくないもの。 i-Dressup.com のウェブサイトは、子供を含むユーザーに、そうした潜在的な危険を伴わずに、着せ替え遊びや服のデザインをするバーチャルな方法を提供していました。 しかし、FTC の訴状によると、i-Dressup を運営する Unixiz, Inc. は、さまざまな種類のリスクを生み出す方法で Children’s Online Privacy Protection Act に違反しました。

COPPA では、オンラインで子供から収集した個人情報を保護するために、2 組の別々の保護を導入しています。 まず、COPPAの対象となる企業は、13歳未満の子供から個人情報を収集する前に、その情報ポリシーを明確に開示し、保護者の同意を得る必要があります。 次に、企業は収集したデータに対して合理的かつ適切なセキュリティを提供しなければならない。 FTC の和解案によると、i-Dressup は COPPA の両方の要件を満たしていませんでした。

苦情では、i-Dressup がオンラインで子供から収集した情報、その使用方法、開示方法、および COPPA 規則が求めるその他の詳細を、同社のサイト上で十分に通知しなかったと申し立てています。 また、同社が保護者に直接行った通知にも不備がありました。 特に、COPPAで要求されている、保護者が合理的な時間内に同意しない場合、i-Dressupはそのオンライン連絡先情報を記録から削除するという記述が含まれていなかった。

i-Dressup は、ユーザーがオンライン ゲームで遊べることに加えて、「ユニークな個人プロフィールで自分の創造性とファッション センスを探求し」、他のユーザーと交流できるコミュニティを備えています。 登録には、ユーザー名、パスワード、生年月日、電子メールアドレスの提出が必要でした。 生年月日が13歳未満であることを示す場合、電子メール欄は “保護者の電子メール “に変更された。 13歳未満のユーザーが必須項目を入力し、「今すぐ参加」をクリックすると、i-Dressupは個人情報を収集し、親の電子メール欄に入力されたアドレスにメッセージを送信しました。 メールを受け取った人は、「今すぐアクティブに！」ボタンをクリックすることで同意できます。

しかし、親が同意しなかった場合、i-Dressup はオンラインで子どもから収集した個人情報を保持することになります。 FTCは、同社がその情報を削除しなかったことが、COPPA規則のセクション312.5（c）（1）に違反していると述べています。

COPPAの保護者の同意に関する規定に違反することに加えて、i-Dressupは規則のデータセキュリティ要件に違反しているとされています。 FTC によると、i-Dressup はユーザーの個人情報（パスワードを含む）を平文で保存および送信していました。 さらに、同社はSQL攻撃のようなよく知られた脅威に対してもネットワークの脆弱性テストを行わず、侵入検知・防止システムを導入せず、潜在的なセキュリティインシデントの監視も行わなかったという。 その結果どうなったか？ 同社は、ハッカーが同社のネットワークに侵入し、13歳未満と回答した約24万5000人のユーザーを含む210万人の情報にアクセスしたことを知りました。

本件を解決するために、i-Dressup とそのオーナーは、3万5000ドルの民事罰を支払うことになりました。 また、今後COPPAに違反することは禁止され、包括的なデータセキュリティプログラムを導入し、独立した2年ごとの評価を受けるまでは、いかなる個人情報の販売、共有、収集もできなくなります。 さらに、FTC に対して、毎年コンプライアンス証明書を提出する必要があります。

COPPA の対象となるサイトや運営者へのメッセージは、保護者の同意に関する効果的なシステムは、コンプライアンスへの第一歩に過ぎないということです。 COPPA規則のセクション312.8では、「子どもから収集した個人情報の機密性、セキュリティ、および完全性を保護するための合理的な手順を確立し維持する」ことも要求しています。 また、本日発表されたFTCの別の措置については、委員会の付随声明をお読みください。