Amazon doit verser plus de 30 millions de dollars et Microsoft 20 millions de dollars à la FTC pour des violations de la vie privée liées à Ring, Alexa et Xbox
Amazon et Microsoft se sont retrouvés chacun de leur côté à cracher des millions de dollars dans le cadre de règlements de la Commission fédérale du commerce (FTC) concernant des violations de la vie privée. Alors que les manquements d'Amazon en matière de protection de la vie privée concernent les systèmes Alexa et Ring, Microsoft doit faire face aux critiques pour avoir stocké les informations personnelles d'enfants sur la Xbox pendant une durée bien plus longue que celle autorisée et pour avoir partagé ces données avec des tiers à l'insu des parents.
Un employé d'Amazon espionne les moments privés des utilisateurs avec les caméras Ring
Selon un dossier judiciaire https://www.ftc.gov/system/files/ftc_gov/pdf/complaint_ring.pdf soumis la semaine dernière, la FTC a déclaré que les employés d'Amazon et les sous-traitants tiers en Ukraine qui avaient accès aux séquences Ring pouvaient télécharger toutes les vidéos des clients sans restriction avant juillet 2017
.
Selon la FTC, un employé d'Amazon a passé plusieurs mois en 2017 à regarder des milliers d'enregistrements vidéo de personnes, principalement dans des "espaces intimes" à leur domicile. La plainte allègue que cet acte inapproprié a eu un impact sur au moins 81 utilisatrices de Ring et sur des collègues de l'unité Ring chez Amazon.
L'acte condamnable de l'employé a d'abord été remarqué par un collègue qui a ensuite fait remonter l'information à son supérieur. Ce dernier a d'abord ignoré le problème, affirmant qu'il est normal que des ingénieurs consultent des vidéos, mais il s'est vite rendu compte que l'employé incriminé regardait surtout des vidéos de "jolies filles".
L'employé en question a depuis été licencié, mais Amazon ne disposait d'aucun mécanisme avant février 2019 pour surveiller de telles violations de la vie privée de la part de son propre personnel. Elle n'avait donc aucun moyen de savoir combien d'employés auraient pu abuser des vidéos privées des caméras Ring.
La FTC a demandé 5,8 millions de dollars de dommages et intérêts à Ring, qui seront remboursés aux utilisateurs concernés. Amazon est également tenu de supprimer toutes les vidéos et données collectées à partir du visage d'un individu obtenues avant 2018, ainsi que tous les produits de travail dérivés de ces vidéos.
La division Alexa d'Amazon s'est également trouvée dans une situation délicate dans le cadre d'une plainte distincte de 25 millions de dollars US pour violation de la loi sur la FTC et de la loi sur la protection de la vie privée des enfants en ligne (COPPA). La plainte, déposée par le ministère de la justice, allègue qu'Alexa a conservé des informations vocales et de géolocalisation associées à des milliers d'enfants pendant de nombreuses années, sans offrir aux parents la possibilité de supprimer les données de leurs enfants.
Les enfants ayant des habitudes vocales différentes de celles des adultes, Amazon utilise ces données pour former Amazon Kids à Alexa pour les produits Echo. Si la décision est approuvée par le tribunal, Amazon devra débourser 25 millions de dollars de pénalités civiles, en plus de l'obligation de supprimer les comptes enfants inactifs sur Alexa et de l'interdiction d'utiliser les données vocales et de localisation des enfants.
Amazon a depuis clarifié https://www.aboutamazon.com/news/policy-news-views/amazon-response-to-ftc-settlement-regarding-alexa qu'Amazon Kids est conçu pour se conformer à la COPPA et que le système Ring a répondu https://blog.ring.com/about-ring/rings-response-to-our-recent-settlement-with-the-ftc/ aux préoccupations en matière de protection de la vie privée avant que la FTC n'entame son enquête
.
Microsoft aussi en infraction avec la COPPA
Le ministère de la justice a également intenté une action en justice contre Microsoft au nom de la FTC ( ) contre Microsoft au nom de la FTC, en vue d'obtenir un paiement de 20 millions de dollars US pour des violations de la COPPA. Le ministère de la justice affirme que l'entreprise a conservé les informations personnelles des enfants qui se sont inscrits au service Xbox pendant une période beaucoup plus longue que nécessaire.
Selon la FTCjusqu'à la fin de 2021, Microsoft a exigé certaines informations personnelles d'un utilisateur de Xbox âgé de moins de 13 ans avant d'impliquer les parents dans la création du compte. Toutefois, l'entreprise a conservé ces informations pendant de nombreuses années, même si le parent n'avait pas terminé la procédure d'inscription.
La plainte allègue que les enfants, après s'être inscrits avec succès, peuvent créer un profil comprenant leur "gamertag" et télécharger une photo et un avatar les représentant, qui sont ensuite combinés à un identifiant unique et persistant. Ces informations peuvent être partagées avec des jeux et des applications tiers par les enfants eux-mêmes. Les parents sont tenus à l'écart et devront, le cas échéant, se désinscrire manuellement de ces services.
La conservation prolongée des profils des enfants et l'absence de divulgation aux parents de toutes les informations collectées constituent une violation des dispositions de la loi COPPA.
Outre l'amende, Microsoft devra également prendre des mesures supplémentaires, notamment obtenir un nouveau consentement des parents pour les comptes créés avant mai 2021 si le titulaire du compte est encore un enfant, supprimer toutes les informations personnelles collectées pour obtenir le consentement des parents dans un délai de deux semaines à compter de la date de collecte, et informer les éditeurs tiers que l'utilisateur est un enfant lorsqu'ils leur communiquent des informations personnelles.
Dans un billet de blog https://news.xbox.com/en-us/2023/06/05/xbox-ftc-settlement-reimagining-future-of-safety-xbox/ sur Xbox Wire, Microsoft a admis ne pas avoir répondu aux attentes des clients et a accepté un règlement avec la FTC. L'entreprise a détaillé les différents changements et mesures correctives qu'elle prend pour résoudre le problème conformément aux exigences de la FTC et de la COPPA. Elle a également précisé que les données de création des comptes enfants n'avaient pas été supprimées en raison d'un "problème technique". Le problème a depuis été rectifié et les données en question n'ont jamais été utilisées, partagées ou monétisées, selon l'entreprise.
Source(s)
Image d'accroche : @simplicity sur Unsplash
