Twitterが個人情報不正利用で連邦取引委員会に190億円の罰金支払いへ

ソーシャルネットワークサービスのTwitterが、ユーザーから収集した電話番号とメールアドレスを不正に広告に利用して利益を得たとして、アメリカ連邦取引委員会(FTC)から下された1億5000万ドル(約190億円)の罰金支払い命令に合意したことが明らかにされました。

Twitter to pay $150 million penalty for allegedly breaking its privacy promises – again | Federal Trade Commission
https://www.ftc.gov/business-guidance/blog/2022/05/twitter-pay-150-million-penalty-allegedly-breaking-its-privacy-promises-again

Twitter Settles Charges that it Failed to Protect Consumers' Personal Information; Company Will Establish Independently Audited Information Security Program | Federal Trade Commission
https://www.ftc.gov/news-events/news/press-releases/2010/06/twitter-settles-charges-it-failed-protect-consumers-personal-information-company-will-establish

FTC settlement: Our commitment to protecting your privacy and security
https://blog.twitter.com/en_us/topics/company/2022/ftc-settlement-twitter

事の発端は2010年にFTCによって起こされたTwitterへの訴えにありました。2010年、FTCは2009年頃に発生したTwitterの管理システムへの不正アクセスや一部アカウントの乗っ取りを取り上げ、Twitterがプライバシーポリシーとして示していた「Twitterは個人情報の機密を保護する」という言葉に反し、ユーザーを保護するための合理的な手段をとっていないとしてTwitterに苦情を申し立てていました。

Twitterはこれを認め、2011年には非公開情報への不正アクセスを防ぐための措置を含め、ユーザーの非公開情報のセキュリティ、プライバシー、および機密性を保護する範囲について、今後20年間消費者を誤解させることを禁ずるという条件に合意しました。また、これはユーザーに非公開情報の保護について誤解させた場合、多額の罰金を科すという取り決めも含まれているものでした。

今回、FTCはTwitterが上記の取り決めに違反したと主張しています。FTCによると、Twitterは2013年5月から2019年9月まで、多要素認証を有効にするなどの「セキュリティ上の目的」でユーザーに電話番号またはメールアドレスを提供するように促しましたが、実際は収集された情報が目的外使用に当たるターゲット広告配信にも使われていました。

FTCは「対象期間中に1億4000万人以上のユーザーがセキュリティ目的で電話番号またはメールアドレスを提供しましたが、Twitterがどのように情報を使うかを知っていれば、これだけのユーザーが情報を提供することはなかったでしょう」と述べ、Twitterの個人情報保護措置に問題があるとしました。

FTCは2011年の取り決めに違反したことに対してTwitterに1億5000万ドルの罰金を科すことに加え、違法に収集した電話番号やメールアドレスを使用した広告配信を禁止すること、電話番号を必要としない多要素認証オプションを提供することなど、取り決めに新たな規定を追加しました。

Twitterは今回のFTCの措置に合意し、罰金を支払い、関係者と協力して運用方法の改善と強化にあたるとしています。Twitterのチーフ・プライバシー責任者であるダミアン・キエラン氏は「今後もプロセスの構築と進化、技術的対策の実施、定期的な監査とレポートの実施などを行い、この作業へ注力し続けます。お客様が共有する情報を安全に保ち、プライバシーを尊重しながら、お客様のニーズを満たす有用な製品とサービスを構築するという共通の使命を果たします」と述べました。