シアーズ・ホールディングス・マネジメント社に関する件

SHMCは2007年4月から2008年1月まで、ウェブサイト訪問者の約15%にMy SHCコミュニティに参加する機会を提供しました。^{[ 1 ]} 選ばれた訪問者には、「小売業者と直接話せたらいいのにと思ったことはありませんか？本当に自分に合った製品、サービス、オファーについて彼らに伝えたいと思ったことはありませんか？」^{[ 1 ]}というポップアップ広告が表示さ れました。その後、訪問者は「My SHCコミュニティ」に参加する機会を得ました。「My SHCコミュニティは、あなたの声が届き、あなたの意見が重要視され、あなたが望むことや必要とすることが大切にされる、ダイナミックで非常にインタラクティブなオンラインコミュニティです！」^{[ 1 ]}

訪問者が同意した場合、メールアドレスを提供し、コミュニティに関する詳細情報が記載されたフォローアップメールが送信されました。^{[ 1 ]} このメールには、ユーザーにダウンロードを依頼する調査用ソフトウェアプログラムに関する最初の記述が含まれていました。このアプリケーションは「オンライン閲覧を秘密裏に追跡する」とのことでした。^{[ 1 ]} この情報は、コミュニティへのより露骨な参加方法を説明する他の多くのテキストの中に埋もれていました。

買い物や購入行動を日記に記録していただきます。これもまた、記録したい時に、記録したい方法で記録していただきます。常にあなたの都合と選択で行います。また、インターネットの使用状況に関する情報も収集します。コミュニティ活動は常に楽しく、常に任意参加です！^{[ 1 ]}

消費者は、アプリケーションを少なくとも 1 か月実行し続ける限り、「コミュニティ」に参加する見返りとして 10 ドルを受け取った。^{[ 1 ]} メールの内容のほとんどはオンライン コミュニティへの直接参加に焦点を当てており、大量の情報を収集するアプリケーションへの言及は限られていた。^{[ 1 ]}

プライバシーに関する声明とエンドユーザーライセンス契約には、より詳細な情報が記載されていましたが、ユーザーが一度に10行ずつ表示される小さなテキストボックスを75行スクロールダウンした場合に限られていました。 ^{[ 1 ]} この契約では、アプリケーションがインストールされているコンピュータに関する詳細情報に加え、以下の情報も収集することが明らかになりました。

アプリケーションをインストールしたコンピュータ上で発生するすべてのインターネット行動。これには、通常のウェブ閲覧と、ショッピングカートへの商品の追加、申込書の記入、オンラインアカウントの確認など、安全なセッション中に実行するアクティビティの両方が含まれます。オンラインアカウントには、個人の財務情報や健康情報が含まれる場合があります。当社は、氏名や住所などの監視情報を使用して、世帯構成をよりよく理解する目的で利用することがあります。ただし、ユーザーID、パスワード、クレジットカード番号、口座番号などの機密性の高い個人識別情報を自動的にフィルタリングするために、商業的に実行可能な努力をしています。当社は、パネリストに関するそのような情報を意図せず収集することがありますが、その場合は、データベースからそのような情報を削除するために商業的に実行可能な努力をしています。^{[ 1 ]}

このアプリケーションは基本的にすべてのインターネットアクティビティをキャプチャし、パスワードの収集を防ぐための形式的な努力しか行わなかった。契約ではインスタントメッセージや電子メールメッセージのテキストを調べないとされていたが、電子メールヘッダー情報は収集していた。^{[ 1 ]}

アプリケーションがインストールされると、ユーザーのコンピューター上で実行されていることを示す兆候はほとんどなかった。苦情では、システムトレイアイコンやその他の目に見える兆候がなく、Windowsタスクマネージャーで実行中のプロセスとして「srhc.exe」がリストされていることだけが指摘されていた。^{[ 1 ]}

FTCは、SMHCがアプリケーションと収集した情報についていくつかの開示を行ったものの、「十分な開示を怠った」と結論付けた。^{[ 1 ]} アプリケーションは、SMHCと提携していないウェブサイトとの詳細な取引情報を含む「消費者のコンピュータ上で発生するインターネット行動のほぼすべて」を監視し、その情報をSHMCのリモートサーバーに送信していたため、電子メールで提供され、ライセンス契約書に埋もれていた最小限の開示では不十分であった。^{[ 1 ]} FTCは、収集された情報の詳細が「消費者がソフトウェアをインストールするかどうかを決定する際に重要となる」と判断した。^{[ 1 ]} その結果、SHMCが行った表明に照らしてこれらの事実を開示しなかったことは、「欺瞞的な行為であったし、今もそうである」。^{[ 1 ]}

SMHCは、FTCの命令に従い、プライバシーポリシーまたはライセンス契約とは別の画面で、 (1 ^{) 「トラッキングアプリケーションが監視、記録、または送信するすべての種類のデータ」、「 ( 2} )データの使用方法」、「(3)データが第三者によって使用されるかどうか」を「明確かつ目立つように」開示することに同意した。[3] また、将来のユーザーからオプトイン同意を得ることも義務付けられた。^{[ 4 ]}

アプリケーションの既存ユーザーに対して、SMHCは、アプリケーションが何をするかをユーザーに連絡して通知し、削除の支援を提供する必要がありました。さらに、ウェブサイトに明確で目立つ通知を掲載する必要がありました。最後に、同意判決前に消費者から取得したすべてのデータを破棄する必要がありました。^{[ 4 ]}

連邦取引委員会法第5条（15 USC § 45）は、FTCに欺瞞的な取引慣行を調査し防止する権限を与えているが、この決定は多くの法律関係者にとって驚きだった。SMHCはおそらく、アプリケーションを使用して消費者の詳細な情報を収集するために法的に必要なすべてのことを行っていると考えていたのだろう。裁判所は、ライセンス契約の中に埋もれた条項は、SMHCのケースのようにテキストボックス内の小さな文字で書かれている場合でも、執行可能であると頻繁に判断している。^{[ 5 ]}クリックラップ契約 と呼ばれることが多いこれらのケースでは、裁判所は、ユーザーが「同意する」をクリックすることで、たとえ読んでいなくても、ライセンス契約のすべての条項に法的に拘束されると判断している。契約上、企業は通常、ライセンス契約または利用規約のどこかに法律用語で開示されている限り、好きな条項を自由に作成できる。

FTCはこの訴訟を通じて、この虚構は契約成立には十分かもしれないが、欺瞞的な行為を回避するには不十分であることを示した。契約書を読まなかったとしても、企業は重要な条項を省略して消費者を欺かないという義務を免れることはできない。判決は、企業には消費者の期待を適切に設定する義務があり、ユーザーがライセンス契約書を読んだという虚構に頼ることはできないことを示唆している。むしろ、企業のアプリケーションやウェブサイトが消費者の予想とは異なる情報を収集したり、動作したりする場合、企業はアプリケーションやウェブサイトの動作内容を消費者に通知する義務を負う。

FTCは長年にわたり、さまざまな分野で消費者のプライバシー保護に取り組んできました。その目標は、「消費者の個人情報を保護し、消費者が絶えず変化する市場が提供する多くのメリットを安心して活用できるようにする」ことです。^{[ 6 ]} 目標は変わっていないかもしれませんが、市場の変化に伴い、それを達成する手段も時代とともに変化してきました。今回の決定は、オンライン上の消費者のプライバシーを保護するためのFTCのより広範な取り組みの一環です。FTCが発表した記事では、インターネット上で共有するデータについて個人に責任を持たせることを目標としていると述べていますが、これは企業が「プライバシー慣行の透明性」を確保し、消費者が情報に基づいた意思決定を行えるようにすることを前提としています。^{[ 6 ]} このプライバシー理論と、訴状およびその後の同意判決は、FTCの公正情報慣行原則（FIP）に基づいています。この原則は、ユーザーが参加するかどうかについて情報に基づいた意思決定を行えるように、収集されるデータの完全な開示を要求することに重点を置いています。SMHCが展開したアプリケーションは、明らかにこれらの原則に違反していました。

おそらくSMHCが大量のデータを収集した目的は、消費者に製品をより効果的に販売できるようにするためだったのでしょう。広告のためにこのようなプロファイリングを行うことは、行動ターゲティング広告と呼ばれることが多く、プライバシーを侵害する性質から大きな注目を集めています。^{[ 7 ]} ネットワーク広告イニシアチブは、 Facebookビーコンスキャンダルで頂点に達したこの問題に対する世間の懸念に対処するために立ち上げられました。ビーコンスキャンダルはFTCの措置には至りませんでしたが、FTCに苦情が申し立てられ、Facebookユーザーは集団訴訟を起こしました。^{[ 8 ]} それ以来、FTCは行動ターゲティング広告のガイドラインを発行し、議会は公聴会を開催し^{[ 7 ]}、この問題に関する法案を検討しています^{[ 9 ]}。