Microsoft ยินยอมจ่ายค่าปรับเป็นจำนวนเงิน 20 ล้านเหรียญ จากกรณีที่ FTC ของสหรัฐยื่นฟ้อง (ผ่านในนามของกระทรวงยุติธรรม) Microsoft ว่าเก็บข้อมูลของผู้ใช้งาน Xbox ที่ยังไม่บรรลุนิติภาวะและยังไม่ได้รับการยินยอมจากผู้ปกครอง ผิดกฎหมายคุ้มครองความเป็นส่วนตัวบนโลกออนไลน์ของเด็ก (COPPA) ของสหรัฐ

กฎหมาย COPPA ระบุว่าผู้ให้บริการออนไลน์หรือเว็บไซต์ที่ให้บริการกับเด็กอายุต่ำกว่า 13 ปี จะต้องแจ้งเตือนผู้ปกครอง ว่าเก็บข้อมูลอะไรบ้าง และต้องให้ผู้ปกครองยินยอมก่อนจะเก็บและใช้ข้อมูลของเด็ก

ประเด็นคือกระบวนการสมัครบัญชี Xbox กลับกลายเป็นให้ผู้ใช้งานกรอกข้อมูลส่วนตัว อายุ เบอร์โทรศัพท์ และกดยืนยันข้อตกลงการใช้งานข้อมูลและนโยบายโฆษณาก่อน และหากพบว่าเป็นเด็กอายุต่ำกว่า 13 ปี ถึงจะเด้งแจ้งเตือน ให้ผู้ปกครองเข้ามาเชื่อมบัญชี Microsoft ของผู้ปกครอง และกดยืนยันการสร้างบัญชีบุตรหลาน

FTC พบว่า Microsoft ไม่ระบุรายละเอียดครบทุกอย่างว่าเก็บข้อมูลอะไรบ้างแก่ผู้ปกครอง รวมถึงช่วงระหว่างปี 2015-2020 Microsoft เก็บข้อมูลของเด็กอายุต่ำกว่า 13 ปี ที่กรอกค้างเอาไว้ในกระบวนการสร้างบัญชี และยังไม่ได้รับการยินยอมในกระบวนการสร้างบัญชีจากผู้ปกครอง โดยเก็บเอาไว้นานเกินกว่าที่จำเป็นตามกฎหมายที่ COPPA กำหนด

นอกจากนี้ Microsoft ยังเชื่อมโยงชื่อ username ที่เป็น gamertag เข้ากับ PID (persistent identifier) ของบัญชีเด็กต่ำกว่า 13 ปีเอาไว้ด้วย ซึ่ง PID เป็นชุดข้อมูลที่สามารถถูกแชร์ให้กับ third-party ได้

ด้าน Dave McCarthy ตำแหน่ง Corporate Vice President ของ Xbox Player Service โพสต์ในบล็อกของ Xbox ยืนยันว่า บริษัทไม่ได้ตั้งใจเก็บข้อมูลของเด็ก ที่ผู้ปกครองยังไม่ได้ยินยอม แต่เป็นข้อผิดพลาด (glitch) ในระบบ ที่ไม่ได้ลบข้อมูลจากบัญชีของเด็กที่ยังสร้างบัญชีไม่เสร็จ (ผู้ปกครองยังไม่ได้ยินยอม) ซึ่งตามนโยบาบริษัทคือจะเก็บเอาไว้ไม่เกิน 14 วัน ขณะที่ทีมวิศวกร ได้แก้ข้อผิดพลาด, ลบข้อมูลของเด็กในกลุ่มดังกล่าวไปแล้ว พร้อมทั้งป้องกันไม่ให้เกิดปัญหาลักษณะนี้อีก และยืนยันว่า ไม่เคยนำข้อมูลไปใช้งาน แบ่งปัน หรือหาผลประโยชน์ใดๆ

นอกจากการจ่ายค่าปรับ กระทรวงยุติธรรมยังสั่งให้ Microsoft ปรับกระบวนการสร้างบัญชี ให้กรอกวันเกิดก่อน และหากพบว่าอายุต่ำกว่า 13 จะต้องได้รับการยินยอมจากผู้ปกครองก่อนจะเข้าสู่หน้ากรอกข้อมูลส่วนตัว, แจ้งบัญชีที่เจ้าของอายุต่ำกว่า 13 ปีและสมัครมาก่อน พฤษภาคม 2021 ให้ผู้ปกครองกลับมาให้ความยินยอม ไปจนถึงระบบที่จะลบข้อมูลส่วนบุคคลทั้งหมดที่รวบรวมจากบัญชีของเด็ก ที่ผู้ปกครองสร้างไม่เสร็จภายในสองสัปดาห์

ที่มา : โพสต์ของ Dave McCarthy , FTC via Engadget