Legge sulla protezione della privacy online dei bambini - Children's Online Privacy Protection Act

Da non confondere con Child Online Protection Act o Children's Internet Protection Act .
"COPPA" reindirizza qui. Non deve essere confuso con COPAA .
Legge sulla protezione della privacy online dei bambini
Gran Sigillo degli Stati Uniti
Acronimi (colloquiale) COPPA
Emanato da il 105° Congresso degli Stati Uniti
Efficace 21 aprile 2000 ; 21 anni fa ( 2000-04-21 )
citazioni
Diritto pubblico 105-277
Storia legislativa
Diritti dei giovani
Attività
Teoria/concetti
Problemi
Organizzazioni
Le persone
Imparentato

Il Children's Online Privacy Protection Act del 1998 ( COPPA ) è una legge federale degli Stati Uniti , con sede in 15 USC  §§ 6501 – 6506 ( Pub.L.  105–277 (text) (pdf) , 112  Stat.  2681-728 , emanata 21 ottobre 1998 ).

La legge, in vigore dal 21 aprile 2000, si applica alla raccolta online di informazioni personali da parte di persone o entità sotto la giurisdizione degli Stati Uniti su bambini di età inferiore a 13 anni, compresi i bambini al di fuori degli Stati Uniti, se la società ha sede negli Stati Uniti. Descrive in dettaglio cosa un operatore di un sito web deve includere in un'informativa sulla privacy , quando e come richiedere il consenso verificabile di un genitore o tutore e quali responsabilità ha un operatore per proteggere la privacy e la sicurezza online dei bambini, comprese le restrizioni sul marketing dei minori di 13 anni.

Sebbene i minori di 13 anni possano legalmente fornire informazioni personali con il permesso dei genitori, molti siti Web, in particolare i siti di social media , ma anche altri siti che raccolgono la maggior parte delle informazioni personali, non consentono ai minori di 13 anni di utilizzare i loro servizi a causa del costo e del lavoro coinvolti nel rispetto della legge.

Sfondo

Negli anni '90, il commercio elettronico stava aumentando di popolarità, ma sono state espresse varie preoccupazioni riguardo alle pratiche di raccolta dei dati e all'impatto del commercio su Internet sulla privacy degli utenti, in particolare i bambini sotto i 13 anni, perché pochissimi siti Web avevano le proprie politiche sulla privacy. Il Center for Media Education ha presentato una petizione alla Federal Trade Commission (FTC) per indagare sulla raccolta dei dati e sulle pratiche di utilizzo del sito web KidsCom e intraprendere azioni legali poiché le pratiche sui dati hanno violato la Sezione 5 della legge FTC relativa a "pratiche sleali/ingannevoli". Dopo che la FTC ha completato la sua indagine, ha emesso la "Lettera KidsCom", la relazione ha affermato che la raccolta dei dati e le pratiche di utilizzo erano effettivamente soggette ad azioni legali. Ciò ha comportato la necessità di informare i genitori sui rischi della privacy online dei bambini, nonché sulla necessità del consenso dei genitori. Questo alla fine ha portato alla stesura del COPPA.

La Federal Trade Commission (FTC) ha l'autorità di emanare regolamenti e far rispettare il COPPA. Inoltre, secondo i termini del COPPA, la fornitura di "approdo sicuro" designata dalla FTC è progettata per incoraggiare una maggiore autoregolamentazione industriale. In base a questa disposizione, i gruppi industriali e altri possono richiedere l'approvazione della Commissione di linee guida di autoregolamentazione per disciplinare la conformità dei partecipanti, in modo tale che gli operatori di siti Web nei programmi approvati dalla Commissione siano prima soggetti alle procedure disciplinari del programma Safe Harbor al posto dell'applicazione della FTC . A partire da giugno 2016, la FTC ha approvato sette programmi Safe Harbor gestiti da TRUSTe , ESRB , CARU , PRIVO , Aristotle, Inc. , Samet Privacy (kidSAFE) e Internet Keep Safe Coalition (iKeepSafe). Nell'agosto 2021, Aristotle, Inc. si è ritirata dal programma di approdo sicuro dopo che il personale della FTC ha espresso serie preoccupazioni sull'applicazione delle sue disposizioni di approdo sicuro e ha comunicato l'intenzione di raccomandare la revoca dell'approvazione di Aristotele per eseguire un programma di approdo sicuro. La FTC ha anche annunciato la sua intenzione di esaminare più da vicino le pratiche degli altri sei porti sicuri presenti.

Nel settembre 2011, la FTC ha annunciato proposte di revisione delle regole COPPA, le prime modifiche significative all'atto dall'emissione delle regole nel 2000. Le modifiche alle regole proposte hanno ampliato la definizione di cosa significasse "raccogliere" dati dai bambini. Le norme proposte presentavano un requisito di conservazione e cancellazione dei dati , che obbligava a conservare i dati ottenuti dai minori solo per il tempo necessario a raggiungere lo scopo per cui erano stati raccolti. Ha inoltre aggiunto il requisito che gli operatori garantiscano che qualsiasi terza parte a cui vengono divulgate le informazioni di un bambino disponga di procedure ragionevoli per proteggere le informazioni.

La legge si applica ai siti Web e ai servizi online gestiti per scopi commerciali diretti a bambini di età inferiore a 13 anni o che hanno la conoscenza effettiva che i bambini di età inferiore a 13 anni forniscono informazioni online. La maggior parte delle organizzazioni senza scopo di lucro riconosciute sono esentate dalla maggior parte dei requisiti del COPPA. Tuttavia, la Corte Suprema ha stabilito che le organizzazioni senza scopo di lucro operate a beneficio delle attività commerciali dei propri membri sono soggette alla regolamentazione FTC e di conseguenza anche alla COPPA. Il tipo di "consenso dei genitori verificabile" richiesto prima di raccogliere e utilizzare le informazioni fornite dai minori di 13 anni si basa su una "scala mobile" stabilita in un regolamento della Federal Trade Commission che tiene conto del modo in cui le informazioni vengono raccolte e gli usi a cui saranno destinate le informazioni.

violazioni

Secondo la FTC, i tribunali possono multare i trasgressori del COPPA fino a $ 43.280 in sanzioni civili per ogni violazione. La FTC ha intentato una serie di azioni contro gli operatori di siti Web per non aver rispettato i requisiti COPPA, comprese azioni contro Google , TikTok , Girls' Life , American Pop Corn Company , Lisa Frank , Inc., Mrs. Fields Cookies e The Hershey Company .

Nel febbraio 2004, UMG Recordings, Inc. è stata multata di 400.000 dollari per violazioni del COPPA in relazione a un sito web che promuoveva l'allora tredicenne rapper Lil' Romeo e ospitava giochi e attività per bambini, e Bonzi Software, che offriva download di una figura animata " BonziBuddy " che forniva consigli sugli acquisti, barzellette e curiosità è stato multato di $ 75.000 per violazioni del COPPA. Allo stesso modo, i proprietari del sito web Xanga sono stati multati di 1.000.000 di dollari nel 2006 per violazioni del COPPA per aver ripetutamente permesso a bambini di età inferiore a 13 anni di iscriversi al servizio senza ottenere il consenso dei genitori.

Nel 2016, la rete pubblicitaria mobile inMobi è stata multata di 950.000 dollari per aver tracciato la geolocalizzazione di tutti gli utenti (compresi quelli sotto i 13 anni) a loro insaputa. Il software pubblicitario monitorava continuamente la posizione dell'utente nonostante le preferenze sulla privacy sul dispositivo mobile. Altri siti Web diretti ai bambini e multati a causa del COPPA includono Imbee (2008), Kidswirl (2011) e Skid-e-Kids (2011).

Nel febbraio 2019, la FTC ha emesso una multa di $ 5,7 milioni a ByteDance per non aver rispettato il COPPA con la loro app TikTok . ByteDance ha accettato di pagare la più grande multa COPPA dall'entrata in vigore del disegno di legge e di aggiungere una modalità per soli bambini all'app TikTok.

Tre app di appuntamenti di Wildec sono state ritirate da Apple e Google dai rispettivi app store, dopo che la FTC ha stabilito che le app di appuntamenti consentivano agli utenti di età inferiore ai 13 anni di registrarsi, che Wildec sapeva che c'era un numero significativo di utenti minori e che ciò consentiva un contatto inappropriato con minorenni.

Il 4 settembre 2019, la FTC ha emesso una multa di $ 170 milioni a YouTube per violazioni del COPPA, incluso il monitoraggio della cronologia di visualizzazione dei minori al fine di facilitare la pubblicità mirata . Di conseguenza, YouTube ha annunciato che, come parte dell'accordo, nel 2020 avrebbe richiesto agli operatori di canale di contrassegnare i video "orientati ai bambini" come tali e avrebbe utilizzato l'apprendimento automatico per contrassegnarli automaticamente come chiaramente "orientati ai bambini" se non già segnato. Nei termini dell'accordo, gli operatori di canale che non hanno contrassegnato i video come "orientati ai bambini" potrebbero essere multati dalla FTC fino a $ 42.530 per video, il che ha sollevato critiche nei confronti dei termini dell'accordo.

Conformità

Nel dicembre 2012, la Federal Trade Commission ha emesso revisioni in vigore dal 1 luglio 2013, che hanno creato ulteriori requisiti per la notifica e il consenso dei genitori, hanno modificato le definizioni e aggiunto altri obblighi per le organizzazioni che (1) gestiscono un sito Web o un servizio online "diretto ai bambini". " minori di 13 anni e che raccoglie "informazioni personali" dagli utenti o (2) raccoglie consapevolmente informazioni personali da persone di età inferiore a 13 anni attraverso un sito Web o un servizio online. Dopo il 1 luglio 2013, gli operatori devono:

  • Pubblicare una politica sulla privacy online chiara e completa che descriva le loro pratiche di informazione per le informazioni personali raccolte online da persone di età inferiore ai 13 anni;
  • Compiere sforzi ragionevoli (tenendo conto della tecnologia disponibile) per fornire un avviso diretto ai genitori delle pratiche dell'operatore in merito alla raccolta, all'uso o alla divulgazione di informazioni personali da persone di età inferiore ai 13 anni, inclusa la notifica di qualsiasi modifica sostanziale a tali pratiche a cui il i genitori hanno precedentemente acconsentito;
  • Ottenere il consenso verificabile dei genitori, con limitate eccezioni, prima di qualsiasi raccolta, utilizzo e/o divulgazione di informazioni personali da persone di età inferiore a 13 anni;
  • Fornire a un genitore un mezzo ragionevole per rivedere le informazioni personali raccolte dal proprio figlio e per rifiutarsi di consentirne l'ulteriore utilizzo o mantenimento;
  • Stabilire e mantenere procedure ragionevoli per proteggere la riservatezza, la sicurezza e l'integrità delle informazioni personali raccolte dai minori di 13 anni, anche adottando misure ragionevoli per divulgare/rilasciare tali informazioni personali solo a parti in grado di mantenerne la riservatezza e la sicurezza; e
  • Conservare le informazioni personali raccolte online da un bambino solo per il tempo necessario a soddisfare lo scopo per cui sono state raccolte ed eliminare le informazioni utilizzando misure ragionevoli per proteggerle dall'accesso o dall'uso non autorizzati.
  • Agli operatori è vietato condizionare la partecipazione di un bambino a un'attività online al fatto che il bambino fornisca più informazioni di quelle ragionevolmente necessarie per partecipare a tale attività.

Secondo un avviso emesso dalla Federal Trade Commission , un operatore ha effettiva conoscenza dell'età di un utente se il sito o il servizio richiede – e riceve – dall'utente informazioni che gli consentono di determinare l'età della persona. Un esempio, citato dalla FTC, include un operatore che chiede una data di nascita sulla pagina di registrazione di un sito ha conoscenza effettiva come definito da COPPA se un utente risponde con un anno che suggerisce di avere meno di 13 anni. Un altro esempio citato dalla FTC è che un operatore può avere una conoscenza effettiva basata sulle risposte a domande di "identificazione dell'età" come "In che classe sei?" o "Che tipo di scuola frequenti? (a) elementare; (b) media; (c) scuola superiore; (d) college".

Una piccola commissione viene addebitata da Microsoft ai sensi del COPPA come modo per verificare il consenso dei genitori. La quota viene devoluta al Centro nazionale per i bambini scomparsi e sfruttati . Google, tuttavia, addebita la piccola tassa come modo per verificare la propria data di nascita.

Nelle modifiche in vigore dal 1 luglio 2013, la definizione di operatore è stata aggiornata per chiarire che COPPA copre un sito o un servizio rivolto ai bambini che integra servizi esterni, come plug-in o reti pubblicitarie, che raccolgono informazioni personali dai suoi visitatori . La definizione di un sito Web o di un servizio online diretto ai bambini viene ampliata per includere plug-in o reti pubblicitarie che hanno la consapevolezza effettiva di raccogliere informazioni personali attraverso un sito Web o un servizio online diretto ai bambini. I siti Web e i servizi che si rivolgono ai bambini come pubblico secondario possono differenziare tra gli utenti e sono tenuti a fornire un avviso e ottenere il consenso dei genitori solo per quegli utenti che si identificano come minori di 13 anni. La definizione di informazioni personali che richiedono l'avviso e il consenso dei genitori prima della raccolta ora include "identificatori persistenti" che possono essere utilizzati per riconoscere gli utenti nel tempo e su diversi siti web o servizi online. Tuttavia, non è richiesto alcun avviso e consenso dei genitori quando un operatore raccoglie un identificatore persistente al solo scopo di supportare le operazioni interne del sito Web o del servizio online. La definizione di informazioni personali dopo il 1 luglio 2013, include anche informazioni di geolocalizzazione, nonché foto, video e file audio che contengono l'immagine o la voce di un bambino.

Il 19 novembre 2015, la FTC ha annunciato di aver approvato un metodo aggiuntivo per ottenere il consenso verificabile dei genitori: "matching face to shared photo identity" (FMVPI). Il processo in due fasi consente a un genitore di inviare un documento d'identità approvato dal governo per l'autenticazione, quindi inviare una foto estemporanea tramite dispositivo mobile o webcam, che viene quindi confrontata con la foto sul documento d'identità.

Ambito internazionale

La FTC ha affermato che COPPA si applica a qualsiasi servizio online diretto a utenti statunitensi o che raccoglie consapevolmente informazioni da bambini negli Stati Uniti, indipendentemente dal paese di origine. Tuttavia, la FTC esegue raramente azioni di contrasto contro società straniere e nel farlo deve affrontare una serie di sfide pratiche. Tuttavia, ha imposto con successo il COPPA contro almeno una società straniera con una significativa base di utenti negli Stati Uniti, assicurando un risarcimento di $ 5,7 milioni di dollari contro la società cinese ByteDance tramite la loro app TikTok .

critiche

Il COPPA è controverso ed è stato criticato come inefficace e potenzialmente incostituzionale da esperti legali e mass media da quando è stato redatto. Le denunce mosse contro la legislazione includono i proprietari di siti Web che vietano agli utenti di età pari o inferiore a 12 anni - che "incoraggia solo le frodi legate all'età e consente ai siti Web di aggirare l'onere dell'ottenimento del consenso dei genitori" - e la soppressione attiva dei diritti dei bambini alla libertà di parola, espressione di sé e altri diritti del Primo Emendamento dovuti alla necessità di registrare account per farlo.

I ritardi nell'ottenere il consenso dei genitori spesso portano i bambini a passare ad altre attività meno appropriate per la loro età o comportano un rischio maggiore per la privacy.

Inoltre, i bambini possono facilmente aggirare i limiti di età e il processo di "consenso dei genitori" e generalmente i genitori li aiutano a mentire sulla loro età.

Una task force tecnica per la sicurezza in Internet composta da esperti del mondo accademico e società commerciali ha scoperto nel 2012 che la verifica obbligatoria dell'età non è solo una soluzione scadente per la privacy, ma costituisce anche una violazione della privacy. La legge ha anche molti difetti di sicurezza. Ad esempio, non protegge i bambini dalla pubblicità predatoria, non impedisce ai bambini di accedere alla pornografia o di mentire sulla loro età e non garantisce un ambiente online totalmente sicuro. Il giornalista tecnologico Larry Magid , un oppositore della legge di lunga data, osserva anche che i genitori, non il governo, hanno la maggior parte della responsabilità della protezione dei bambini online. Il COPPA è stato anche criticato per il suo potenziale effetto raggelante su app, contenuti, siti Web e servizi online per bambini. Ad esempio, Snapchat ha rilasciato una versione Snapkidz della sua app nel giugno 2013, ma a differenza di Snapchat, Snapkidz non ha consentito la condivisione di foto a causa dei regolamenti COPPA. Allo stesso modo, è stato sottolineato che la regola COPPA non riguardava necessariamente la protezione della privacy, ma piuttosto "l'applicazione delle leggi".

Le sanzioni della COPPA ($ 40.000 per violazione) possono essere potenzialmente catastrofiche per le piccole imprese, minando il loro modello di business. Al contrario, la FTC è stata criticata, anche dall'autore della COPPA Ed Markey , e dal commissario della FTC Rohit Chopra , per non aver multato abbastanza duramente le grandi e grandi aziende tecnologiche per le loro violazioni della COPPA, soprattutto rispetto alle loro entrate. Al contrario, violatori della Unione europea 's Generale regolamento sulla protezione dei dati (GDPR) possono essere multati fino al 4% del loro fatturato globale annuo.

Con l'avvento dell'istruzione virtuale, il COPPA può rappresentare in modo inadeguato il ruolo degli amministratori, degli insegnanti e della scuola nel proteggere la privacy degli studenti sotto l'assunzione di loco parentis .

Mark Zuckerberg , co-fondatore e CEO di Facebook , ha espresso opposizione a COPPA nel 2011 e ha dichiarato: "Sarà una battaglia che affronteremo prima o poi. La mia filosofia è che per l'istruzione è necessario iniziare a un'età davvero, molto giovane. ." L'anno successivo, Jim Steyer , CEO di Common Sense Media , ha chiesto aggiornamenti al COPPA, definendo il momento della creazione dell'atto "l'età della pietra dei media digitali" e sottolineando la mancanza di piattaforme come Google, YouTube, Facebook e Twitter all'epoca.

Nel 2019, il governo dello Stato di New York ha fatto causa a YouTube per violazione del COPPA conservando illegalmente informazioni relative a bambini di età inferiore a 13 anni. YouTube ha risposto dividendo i suoi contenuti rigorosamente in "per bambini" e "non per bambini". Ciò ha incontrato critiche estremamente dure da parte della community di YouTube, in particolare da parte dei giocatori, con molti che affermano che la FTC degli Stati Uniti intende multare i creatori di contenuti per $ 42.530 per "ogni video etichettato erroneamente", mettendo a rischio tutti gli utenti. Tuttavia, alcuni hanno espresso scetticismo su questo, ritenendo che le sanzioni possano in realtà essere riferite a sanzioni civili, eventualmente destinate agli operatori del sito e/o giustificate da violazioni più gravi del COPPA o casi specifici di "disetichettatura video". A partire da luglio 2020, nessuno ha ricevuto la multa di $ 42.530.

Sono stati proposti diversi progetti di legge per modificare il COPPA. Markey e Josh Hawley hanno presentato più leggi (in casa nel 2018 come "Do Not Track Kids Act" e nel 2019 come misura del Senato) proponendo che il COPPA vieti l'uso di pubblicità mirata agli utenti di età inferiore ai 13 anni, richiedendo il consenso personale prima che il raccolta di informazioni personali da utenti di età compresa tra 13 e 15 anni, richiedono che i dispositivi e i giocattoli connessi destinati ai bambini soddisfino gli standard di sicurezza e includano un'informativa sulla privacy sulla confezione e richiedono che i servizi offrano un "pulsante di gomma" per "consentire agli utenti di eliminare pubblicamente contenuto delle informazioni personali disponibili fornite dal minore, quando tecnologicamente fattibile”. Nel gennaio 2020, Bobby Rush e Tim Walberg hanno introdotto un disegno di legge simile noto come Preventing Real Online Threats Endangering Children Today (PROTECT Kids), che estenderebbe tutti i requisiti di consenso COPPA esistenti agli utenti di età inferiore ai 16 anni e aggiungerebbe esplicitamente i dispositivi mobili app , "geolocalizzazione precisa" e dati biometrici di sua competenza.

Guarda anche

Riferimenti

link esterno