Quando se trata de dados de saúde, cumpra a COPPA – sem brincadeira

As informações de saúde dos consumidores já são uma categoria particularmente sensível. Mas informações de saúde e outros dados pessoais de crianças a oito anos? Isso pode levantar preocupações de privacidade para a estratosfera. Um acordo de US $ 1,5 milhão na FTC com a WW International, Inc. – você os conhece pelo Nome Anterior Weight Watchers – e sua subsidiária Kurbo, Inc., ressalta o princípio de que a coleta e a manutenção desse tipo de informação aumenta as responsabilidades de conformidade de uma empresa. Onde a FTC diz que os réus deram errado neste caso e que orientação sua empresa pode recolher sobre a regra da Lei de Proteção à Privacidade Online das Crianças? Leia.

O Copo de regra Requer que sites, aplicativos e serviços on -line notifiquem os pais e obtenham seu consentimento expresso antes de coletar, usar ou divulgar informações pessoais de crianças menores de 13 anos. A regra se aplica em duas circunstâncias distintas: 1) se o site, aplicativo ou serviço for direcionado a crianças menores de 13 anos; ou 2) se o site, aplicativo ou serviço tiver “conhecimento real de que está coletando informações pessoais” de crianças nessa faixa etária. (Seção 312.2 da regra Inclui padrões a serem aplicados ao fazer essas determinações.) A FTC alega que a WW International e Kurbo violaram a regra da COPPA na operação de seu aplicativo de perda de peso Kurbo.

Além de adolescentes e outros membros da família, crianças de até oito anos podem usar o aplicativo Kurbo para rastrear seu peso, ingestão de alimentos e atividade física. O aplicativo também coleta outras informações pessoais – por exemplo, nomes, endereços de email e datas de nascimento. Até o final de 2019, os usuários poderiam se inscrever no serviço no aplicativo, indicando que eram um pai se inscrevendo para o filho ou que eram filho de 13 anos ou se inscreveu por si mesmos.

Mas, de acordo com a denúncia, que o Departamento de Justiça apresentou em nome da FTC, o processo de inscrição dos réus realmente resultou em muitos usuários com menos de 13 anos se inscrevendo sem a permissão dos pais. Sim, houve texto dizendo que crianças menores de 13 anos precisavam se inscrever através dos pais. Mas de 2014 a 2019, centenas de usuários que se inscreveram no aplicativo que afirmam ter mais de 13 anos depois mudaram seus perfis pessoais para incluir datas de nascimento que revelaram que eram realmente mais jovens do que isso. Apesar desse fato, a FTC diz que a WW e Kurbo continuaram a dar a essas crianças acesso ao aplicativo. Essa prática não parou até que a equipe da FTC entre em contato com as empresas.

Além disso, em 2020, os réus atualizaram a opção de inscrição para os 13 anos ou mais, mas a FTC diz que os problemas com o processo continuaram. De acordo com a denúncia, os réus não forneceram um mecanismo para garantir que os usuários que selecionaram a opção de inscrição dos pais fossem realmente pais-e não apenas as crianças que tentavam ignorar a restrição de idade.

Além disso, Seção 312.4 da regra da COPPA Exige que uma empresa coberta da COPPA “faça esforços razoáveis, levando em conta a tecnologia disponível, para garantir que um pai de um filho receba aviso direto” de suas práticas de informação. Mas, de acordo com a FTC, até novembro de 2019, WW e Kurbo não tentaram notificar aos pais através do aplicativo, e os pais que assinaram seus filhos no site dos réus ou de um afiliado receberam um aviso sobre a coleta de informações apenas se eles clicaram em um hiperlink enterrado em uma série de outros links. A queixa alega ainda que, apesar das mudanças feitas em 2019, os réus ainda não cumpriram os requisitos da Coppa sobre o que o aviso direto deve dizer aos pais. A FTC também diz que WW e Kurbo violaram a regra da COPPA disposições de exclusão de dados Ao manter as informações pessoais das crianças indefinidamente e excluí -las apenas quando solicitadas pelos pais.

Além de impor uma penalidade civil de US $ 1,5 milhão, o acordo exige que os réus revionem suas práticas de informação relacionadas às crianças e seus esforços de conformidade da COPPA. A WW e a Kurbo também devem excluir todos os dados coletados ilegalmente dentro de 30 dias após o pedido, a menos que forneça um aviso direto e obtenha o consentimento dos pais para usar esses dados coletados anteriormente de uma maneira compatível com a COPPA. Eles também devem destruir quaisquer algoritmos derivados dos dados coletados ilegalmente. No futuro, eles terão que destruir quaisquer dados coletados de crianças menores de 13 anos, se já faz mais de um ano desde que a criança usou o aplicativo.

O caso sugere três indicadores de conformidade para outras empresas.

Verifique o bloqueio no seu portão de idade. Não está fora de questão que um garoto com menos de 13 anos possa tentar acessar serviços em seu site ou aplicativo, especialmente se-como neste caso-você fornece serviços para crianças menores de 13 anos. Empresas sábias pensam nas implicações práticas de seus processos de triagem e sabem que não podem evitar suas obrigações da COPPA, estabelecendo um portão de idade não neutro para excluir os usuários que seu local ou aplicativo se pretende atrair. (Pense da seguinte maneira: quão eficaz seria colocar uma placa na frente de um playground que diz “aberto apenas para pais e filhos de 13 anos” e espere impedir todos os mais jovens?) Além disso, se você pretende oferecer serviços em um site ou app que são reservados para usuários mais antigos, fique de olho em outras evidências que sugiram uso não autorizado – por exemplo, um aniversário diferente.

Honra os requisitos de aviso de Coppa. Quando se trata da coleção de informações de crianças on -line, a Coppa coloca os pais no banco do motorista. A regra é específica em seus requisitos de notificação e as empresas devem facilitar a obtenção de pais e mães para obter detalhes sobre suas práticas de informação.

Excluir dados diligentemente. A retenção de dados sob Coppa não é uma proposta para sempre. Sob Seção 312.10Você pode manter as informações pessoais das crianças “por apenas o tempo que for razoavelmente necessário para cumprir o objetivo para o qual as informações foram coletadas.” Depois disso, você tem uma obrigação legal de excluí -lo de uma maneira que garante que tenha sido destruído com segurança. Leia no Coppa, a exclusão de dados não é apenas uma boa ideia. É a lei para idéias práticas.

Encontre mais recursos de conformidade na página de privacidade infantil da FTC.