Questions et réponses avec la FTC sur la nouvelle règle COPPA

Ma collègue Jennifer M Puckett, agente de liaison pour la sécurité des enfants d’eModeration aux États-Unis, a assisté à la récente conférence sur la publicité pour les enfants et la confidentialité en ligne organisée par le Conseil d’autoréglementation de la publicité (ASRC), anciennement connu sous le nom de Children’s Advertising Review Unit (CARU). Cette année, le sujet le plus débattu de la conférence était COPPA et les changements à venir pour un produit familial près de chez vous, sur lequel j’ai blogué le mois dernier.

Pour aider à clarifier certains des problèmes entourant le changement de règle, elle a résumé le « conversation au coin du feu » mettant en vedette des membres de la Federal Trade Commission (FTC). Veuillez noter, eModeration n’offre pas de conseils juridiques ou de commentaires ici : nous rapportons la session de questions-réponses pour aider à construire la somme des connaissances sur les changements COPPA.

Le chat a été hébergé par Liisa Thomas (partenaire, Winston & Strawn LLP), avec la représentante de FTC Mamie Kresses qui s’est jointe via Skype. Le couple a discuté de bon nombre des changements à venir de la COPPA que les consommateurs, les entreprises et les défenseurs de la sécurité des enfants doivent connaître afin de se conformer à la loi changeante. Mamie a travaillé à la FTC pendant de nombreuses années, se concentrant sur la COPPA et les nombreux changements technologiques et des médias sociaux depuis sa promulgation, il y a 13 ans.

Toutes les questions posées étaient pratiques et portaient sur les principaux problèmes que les gens avaient hâte de comprendre. Voici notre résumé – et notre propre interprétation – des réponses aux questions les plus fréquemment posées aux représentants de la FTC.

Liisa Thomas

LT : Beaucoup d’entre nous [representing the private sector] s’inquiètent de la publicité comportementale en ligne (OBA) et de la nécessité d’obtenir le consentement des parents. Si nous avons un site Web attrayant pour les enfants et les adultes et que nous avons des raisons de croire que les deux publics utilisent le site, cela signifie-t-il que nous ne pouvons pas utiliser OBA sans autorisation parentale ? Ou ne devrions-nous tout simplement pas utiliser l’OBA une fois que quelqu’un nous dit qu’il a moins de 13 ans ?

Mamie Kresses, FTC

FTC : Si votre site appartient à cette catégorie de restauration pour les moins et les plus de 13 ans, même s’il s’agit d’un site déjà destiné aux enfants, mais que vous savez ou avez des raisons de penser que vous n’êtes pas limité aux moins de 13 ans, vous doit supposer que tout le monde a moins de 13 ans. Nous reconnaissons que tous les sites destinés aux enfants sont en pratique pour les enfants, et si vous souhaitez commercialiser différemment pour chacun, nous ne vous suivrons pas nécessairement. Cependant, d’ici le 1er juillet, si vous souhaitez continuer à utiliser l’OBA, vous devez limiter l’âge de votre produit afin que seuls ceux qui prétendent avoir plus de 13 ans soient soumis à cette forme de publicité. Si vous ne pouvez pas séparer vos utilisateurs par âge et que vous continuez à utiliser l’OBA, vous ne pas être en conformité avec la loi. Cependant, vous pouvez utiliser OBA si vous obtenez une autorisation parentale.

Nous [at the FTC] Je ne sais pas non plus ce qui s’en vient en ce qui concerne la collecte de données auprès d’utilisateurs particuliers. Il y aura des décisions plus difficiles à l’avenir quand et si nous traitons avec un site qui s’adresse à plus d’un groupe d’âge. Les personnes travaillant sur des sites qui ne s’adressent pas aux enfants continueront de pouvoir utiliser l’OBA sauf si ils savent pertinemment qu’ils s’occupent d’un enfant.

LT. Disons que nous créons une application où les enfants peuvent prendre des photos et ajouter un widget à l’image. L’application, une fois téléchargée, n’aura aucune interaction avec l’entreprise et vivra de manière autonome sur le téléphone d’un utilisateur. Avons-nous besoin d’une autorisation parentale – ou ce scénario relève-t-il d’une exception – en vertu de la règle ?*

En d’autres termes, la FTC considérerait-elle que l’entreprise « collecte » la photo d’un enfant même si les images ne sont pas renvoyées à (ou vues par) l’entreprise ? L’application permet simplement à quelqu’un de prendre la photo et de la « réparer ».

FTC: [Paraphrased] Ceci est actuellement en discussion. Un site Web ou un service en ligne doit impliquer un transfert d’informations sur Internet pour [the Rule] postuler. Comme l’application elle-même dans ce scénario ne fonctionne pas avec l’environnement en ligne (partage numérique), ce ne serait pas un service en ligne selon notre définition.

LT : À quel moment bloquons-nous le consentement lors du téléchargement d’une application lorsque nous SAVONS que nous faisons de la publicité et créons des applications pour enfants ? Est-ce juste avant le téléchargement ? Où? Lorsque?

FTC : Le point avant de devoir donner un avis et obtenir le consentement vient juste avant l’achat de l’application. Vous n’avez pas besoin de collecter des informations auprès de chaque personne sur le compte. Si vous avez collecté quelque chose de l’utilisateur qui indique qu’il est un enfant, vous doit recueillir le consentement parental et rendre les informations de compte faciles d’accès pour le parent ; l’endroit habituel étant quelque part sur le site Web de l’entreprise où il peut être trouvé et modifié si le parent le souhaite.

La FTC a tenté d’élargir la liste non exclusive des méthodes acceptables pour recueillir le consentement. Si, en tant qu’entreprise, vous faites de votre mieux pour obtenir le consentement parental même s’il ne fait pas partie de la liste des moyens acceptables, la FTC l’acceptera.

Lors du téléchargement de l’application, vous collecterez des informations. La première étape du téléchargement devrait être l’endroit où obtenir le consentement parental. Cependant, les magasins d’applications doivent permettre aux développeurs d’intégrer plus facilement le consentement et la collecte d’informations sur le consentement parental.

La FTC ne prescrira pas de méthode, mais en examinant les méthodes antérieures, vous voudrez peut-être faire quelque chose de nouveau et cela pouvait être acceptable si la personne de l’autre côté est connue pour être un parent ou un adulte qui accepte le consentement. Cependant, la collecte d’un identifiant Apple ou d’un identifiant Google n’est pas suffisante pour le moment.

LT : De nombreuses entreprises s’inquiètent de ce qui est considéré comme des informations personnelles – des informations sur l’enfant soumettant les données en ligne, ou les informations personnelles de quiconque que l’enfant soumet. Par exemple : considéreriez-vous la Règle comme étant déclenchée (et donc comme une nécessité d’obtenir le consentement parental) si un enfant soumet les informations d’un parent ? Que faire si l’enfant soumet des informations sur un ami?

FTC : La règle est déclenchée par l’information donnée par un enfant. Il n’est pas nécessaire que ce soit leurs propres informations pour que la Règle s’applique. En juillet [2013], nous aurons enfin défini le concept de collecte de l’adresse e-mail d’un parent comme méthode viable de collecte du consentement.

Si un enfant soumet des photos ou des vidéos d’un autre enfant, vous, en tant que société, devez supprimer ces informations de vos dossiers, au motif que cela relève de la catégorie de la collecte d’informations personnelles d’un enfant sans le consentement des parents de cet enfant.

Cependant, rien n’empêche le grand public de télécharger des photos d’un autre enfant sur un site de type grand public.

LT. Disons que nous sommes un éditeur avec des achats intégrés. À part votre nouvelle divulgation graphique, à quoi d’autres devrions-nous penser ? Où devons-nous placer ce graphique ?

FTC : Il y a une nouvelle infographie sur le site Web de la FTC. [http://www.consumer.ftc.gov/articles/0018-understanding-mobile-apps#kids]

L’infographie a été conçue par notre service d’éducation des consommateurs et des entreprises pour donner aux parents des informations générales sur ce pouvait avec les applications qu’ils achètent, qu’il existe différents types d’informations et leur apprendre à obtenir plus d’informations sur les applications.

Il n’incombe pas aux entreprises de le publier, mais il a été largement repris et il pourrait être utile de le voir sur une boutique d’applications à l’avenir.

Quant à savoir si les achats intégrés sont couverts ou non par la COPPA, la chose essentielle à retenir est que si votre entreprise est dans un espace pour enfants ou attire des jeunes, c’est le genre d’informations que les parents veulent dès le départ plutôt que de le découvrir. plus tard. Il s’agit davantage d’être un bon modèle commercial et de fournir des informations et des obligations COPPA dans un cadre de bon sens et pourrait vous aider à éviter les problèmes sur la route.

LT : Parlons des pseudonymes. La règle dit maintenant qu’il s’agit d’informations personnellement identifiables si elles permettent à quelqu’un de contacter directement la personne en ligne. Comment cela se passe-t-il sur un site Web avec une salle de discussion ? En particulier, un site où les enfants peuvent s’inscrire sans autorisation parentale car la seule information collectée est un pseudonyme et le site n’a défini que des phrases que les gens peuvent utiliser pour communiquer entre eux ?

FTC : [Paraphrased] Le fait que le pseudonyme ait une « vie propre » en dehors du contexte du site est considéré comme le critère clé ici. Par exemple, si à lui seul, il révèle quelque chose d’identifiable personnellement, quelque chose qui pourrait retracer une personne à travers d’autres formes de communication en ligne, je verrais que cela tombe sous le coup de la Règle. Moins un enfant peut insérer d’informations personnelles dans le nom d’utilisateur, moins il y a de risque de pouvoir l’identifier personnellement. S’ils peuvent dire, [email protected], cela peut constituer une PII.

Dans le contexte du chat, plus vous êtes restrictif avec le type d’informations qu’un utilisateur peut saisir, plus vous aurez de chances de respecter la règle. Cependant, il s’agit encore d’une zone très grise et à aborder avec prudence.

LT : Parlons du mécanisme que vous avez intégré à la règle pour ajouter des types supplémentaires de consentement parental. Pouvez-vous expliquer comment cela fonctionnerait et expliquer des idées spécifiques à ce sujet ? Les consentements de la vidéo, où le parent s’enregistre lui-même en donnant sa permission ? Images numérisées des pièces d’identité ? D’autres ? Il peut être utile de rappeler aux personnes qu’elles peuvent choisir de nombreuses manières différentes d’obtenir leur consentement ; ils n’ont pas à en utiliser un. N’est-ce pas ?

FTC : Voici quelques exemples de la façon de recueillir le consentement parental. Cependant, cette liste n’est pas exhaustive :

• Récupérer l’email du parent
• Avoir l’avis et le consentement à l’écran, mais collecter le nom du parent et les informations de carte de crédit
• Le consentement de la vidéo est à l’étude et peut être acceptable, mais il n’y a pas encore de décision finale à ce sujet

Le consentement vidéo peut même être amusant, mais pour des raisons pratiques, vous devez toujours donner aux parents un endroit où ils peuvent retourner par écrit afin qu’ils puissent revoir et changer. [consents]. Particulièrement avec la COPPA, où les parents ont de multiples droits en cours. Tant que cela se produit si l’entreprise décide d’utiliser le consentement vidéo, tout devrait bien se passer.

LT : Considérez-vous comment les entreprises ont tenté de recueillir le consentement parental avant les modifications apportées à la règle ? Que doivent faire les entreprises avec ces comptes et informations de compte ?

FTC : Cela sera abordé dans la prochaine FAQ, qui devrait sortir d’ici la fin de ce mois [April 2013]. Mise à jour : voici la nouvelle FAQ COPPA (Mise à jour : 26 avril 2013)

___________________________________________________________

Alors voilà. Il est clair qu’il y a encore beaucoup de domaines que la FTC est en train d’aplanir, et beaucoup de situations pratiques auxquelles il n’y a pas encore de solutions claires. Quoi est Cependant, il est clair que de plus en plus d’entreprises prennent conscience de l’ampleur de ces changements et veulent faire ce qu’il faut pour leurs clients et utilisateurs, et pour leur entreprise.

La semaine prochaine, je reprendrai là où cette conversation s’est arrêtée, avec un panel d’avocats d’affaires et de professionnels de la communauté discutant de l’aspect pratique des mandats COPPA et de la manière dont ils affecteront les aspects pratiques de la gestion de leurs entreprises.

*La « Règle » fait référence à la COPPA

Image via Flickr d’IntelFreePress