2013/12/23

連邦取引委員会による法執行状況

1. FTCのプライバシーに関する役割
1-1. FTCの概要
1-2. プライバシーとFTC法第5条(a)1-3. FTCの執行権限

2013.12.22.
小向 太郎 Taro KOMUKAI, Ph.D.
情報通信総合研究所 主席研究員

2. 消費者プライバシーに関する法執行
2-1. 取り組みの傾向
2-2. 消費者プライバシーに関する執行例
2-3. COPPA規則の改正
3. 法執行の具体例
3-1. Chikita
3-2. Google
3-3. TRENDNET

1

1. FTCのプライバシーに関する役割

2

1

2013/12/23

1-1. FTCの概要•••

委員：5名（委員長含む、上院承認人事、大統領任命、任期7年、身分保障）
目的：企業における反競争的行為、消費者に対する詐欺的または不公正な行為を防止する。消費者が十分な情報をもとにして選択できることと、競争的な過程に対する社会的理解を浸透させる。正当な企業活動を不当に煩わせることなく、上記を達成する。
ビジョン：生産者が正確な情報を得た消費者を相手に活発な競争を行っていること、多様で高品質な製品が低価格で提供されること、効率性、革新と消費者の選択が促進されていることが、米国の経済の特徴である。

http://www.ftc.gov/ftc/hq_building.shtm

http://www.ftc.gov/ftc/about.shtm

31-2. プライバシーとFTC法第5条(a)•••

FTC法第5条(a) （FTC Act, Section 5(c), 15 U.S.C. Sec. 45(c)）– 「商業活動において行われるまたは経済活動に影響する不公正または欺瞞的行為または実務は違法である」
Safe Webによる修正– FTC法第5条(a)の「不公正または欺瞞的行為または実務」に海外の商業活動で米国内合理的に予測しうる範囲の損害を米国内に生じるか、米国内に物理的影響を及ぼすものも含む
個別の消費者保護法令の執行– 信用機会平等法(the Equal Credit Opportunity Act)，貸付真実法(Truth-inLending Act)，公正信用報告法(Fair Credit Reporting Act)，タバコ表示法(Cigarette Labeling Act)）等– これらの法では特定の取引慣行を定義した上で禁止しており，それに対する違反行為は、「不公正または欺瞞的行為または実務」として扱うこととされている

http://www.ftc.gov/ogc/brfovrvw.shtm

42

2013/12/23

1-3. FTCの執行権限（１）1. 行政的措置（Administrative Enforcement）（１）審決（Adjudication）– 申し立て（FTC Act, Section 5(b), 15 U.S.C. Sec. 45(b) ）• 法違反が生じていると「信じるにたる理由（reason to believe）」がある場
合に申し立てができる• 対象となった者がその主張を受け入れる場合には、（責任を認めることなく）同意審決（consent agreement）を結ぶことができる（司法上の審査を受ける権利を放棄）• 最終的に決定する前に、30日間（または委員会が指定する期間）のパブ
リックコメントが必要– 審判手続（Administrative Trials）• 対象者が異議を唱える場合、審判官（administrative law judge (“ALJ”)）
による判断（聴聞→一次審判→異議申立→最終決定）• 対象者もFTCの提訴担当官も、対象者の所在地あるいは当該ビジネスが行われている場所、問題となっている行為が行われた場所のいずれかに管轄権を持つ控訴裁判所に対して控訴が可能（FTC法第5条(c)項）。
• 控訴裁判所がFTCの命令を支持する場合には、裁判所による執行命令が発せられる。控訴裁判所で敗訴した者は、最高裁判所による審査を求めることができる。
http://www.ftc.gov/ogc/brfovrvw.shtm
51-3. FTCの執行権限（2）– 委員会命令の執行（Enforcing Final Commission Orders）
・ 委員会命令は、委員会自身または裁判所の審査によって効力が停止されない限り、発行して60日後に確定する・ 対象者が確定した命令に違反した場合には、違反1件ごとに11,000ドルを上限とする制裁金（a civil penalty）の対象となる・ 制裁は、委員会の命令の執行に関する訴訟において、地方裁判所によって判断される・ 裁判所が適切であると判断すれば、強制的差止（mandatoryinjunctions）や他のエクイティ上の救済措置（such other and furtherequitable relief）を発することができる（FTC Act, Section 5(1), 15
U.S.C. Sec. 45(1)）- 行政命令発行後の救済措置（Redress After an Administrative Order isEntered）- 行政的措置の過程で問題となっていた行為によって生じた消費者被害の救済を求めることができる- 合理的な一般人が、このような事情であれば不誠実で詐欺的であると知りうるようなものであるということの実証が必要（FTC Act, Section
5(m)(1)(B); 15 U.S.C. Sec. 45(m)(1)(B)）
http://www.ftc.gov/ogc/brfovrvw.shtm

632013/12/23

1-3. FTCの執行権限（3）（２）規則制定（Rulemaking）– 個別の対象者に対して審判を行う代わりに、業界レベルで生じた不公正または欺瞞的な行為に対する救済を行うために、「商取引において行われているまたは影響を与えている不公正または欺瞞的な、特定の行為または実務を明確にするための規則（“rules which define with specificity acts orpractices which are unfair or deceptive acts or practices in or affectingcommerce”）」を定める権限を有する（Section 18 of the FTC Act, 15 U.S.C.
Sec. 57a）– 規則制定後は「そのような行動が不公正または欺瞞的でありそのようなルールで禁止されているということを実際に知っていたか、客観的な状況から知っていたと公平に判断される」違反者に対して、違反1件ごとに11,000ドルを上限とする民事制裁が課せられる（Section 5(m)(1)(A) of the FTC Act, 15
U.S.C. Sec. 45(m)(1)(A)）– 規則違反者は（規則を知っているかどうかにかかわらず）、違反行為によって消費者に生じた損害について法的責任を負う（Section 19 of the FTC Act,15 U.S.C. Sec. 57b）

http://www.ftc.gov/ogc/brfovrvw.shtm

71-3. FTCの執行権限（4）2. 司法的措置（Judicial Enforcement）– FTCの法執行の規定の侵害が行われているまたは行われようとしていると「信じるにたる理由（reason to believe）」がある場合、地方裁判所に問題となる違法行為の禁止を求めることができ、「適切な場合には（“in propercases,）」FTCは終局的差止を求めることができる（Section 13(b) of the FTC
Act, 15 U.S.C. Sec. 53(b)）– FTCは、終局的差止命令に関するSection 13(b)の要件の拡大、「終局的差止」におけるエクイティ上の経済的な救済（返還や契約の破棄等）、保全のための資産凍結や一時的な管財人の設置等を主張してきており、裁判所もFTCの解釈を受け入れてきた【行政的措置と司法的措置の比較】– 司法的措置の優位点：行為禁止とエクイティ上の経済的救済を同時に求めることができ、排除措置命令（発布後60日）と異なり即時に効力を持つ– 行政的措置の優位点：控訴裁判所は、FTCが実質的な証拠に基づいて行った事実認定に、審理を行うに当たって拘束され、FTC法その他の適用される連邦法に関するFTCの解釈が尊重される※ 新たな法的論点や事例を含む事件については、FTCは行政的措置を選ぶ傾向にある。
http://www.ftc.gov/ogc/brfovrvw.shtm

84

2013/12/23

3. FTCのプライバシー政策

92-1. 取り組みの傾向（アニュアル・レポートより）
••

••

•

1990年以前– アニュアル・レポートに「プライバシー」の文言がない
1991年– 公正信用報告法に関する記述
1件あり
2002年
– 新しい法執行の推進の一つとして”Privacy”の項目あり
2003年– Consumer Privacyが独立した章（エンフォースメントと規則制定について、それぞれ独立した節で記述）
2012年以降– 取組のトップに”ConsumerPrivacy”が置かれる

http://www.ftc.gov/os/highlights/2013/index.shtml

105

2013/12/23

2-2. 消費者プライバシーに関する主な法執行例
対象者（日付）問題とされた行為

エンフォースメント

Chitika（03/14/2011）

Web広告の媒介者としてオンライン行動ターゲッティング広告を提供する際に、行動ターゲティング広告のオプトアウトの効力が10日で終わってしまうということを、ユーザに対して2年間にわたって適正に表示していなかった。

Chikitaのwebサイトにおける明確かつ重要なお知らせとして表示することと、最低でも5年間のオプトアウト期間を提供すること。使いやすいオプトアウト機能の埋め込みを提供する等（行政的措置）

Facebook（11/29/2011）

Facebook上の情報を非公開にできるといっていたにもかかわらず、シェアの対象や公開されるようにサービス内容を変更することを繰り返し行っていた（プライバシーポリシーへの違反）。

データの表示方法を変える場合には消費者の同意を得ること、定期的な第三者によるプライバシー・アセスメントを今後20年間行うこと等（行政的措置）

Google（03/30/2011）

Google Buzz（GmailをベースとしたSNS）の提供を開始する
際に、Gmailのユーザに対してBuzzの利用しない選択をするための十分な手段や情報を提供していなかった（プライバシーポリシ−への違反、EUセーブハーバースキームへの違反）。

情報収集当時のプライバシーポリシーが認めていない情報共有を行う場合には、事前に利用者の同意を取得すること、第三者によるプライバシー・アセスメントを2年ごとに今後20年間行うこと等（行政的措置）

WyndhamWorldwide Corp.
(06/26/2012)

プライバシー・ポリシーにおいて安全管理措置を講じると明言しているにもかかわらず、セキュリティ・ホールを放置した。情報セキュリティの不備で数百万ドルの詐欺による損失を生じた他、ペイメントカード情報がロシアドメインのサイトに流出した（プライバシーポリシーへの違反）。

違反行為の差止、被害者救済のための金銭的賠償、訴訟費用の支払（司法法的措置）

Cbr, Inc.
(01/28/2013)

大手臍帯血バンクが、自社システムにおいて適切な情報セキュリティ対策を取らなかったことで、SSNやクレジットカード、センシティブな健康情報等を危険にさらした。

包括的な情報セキュリティプログラムを実施し、第三者によるセキュリティ・アセスメントを2年ごとに今後20年間行うこと等（行政的措置）

Google（08/09/2012）

利用者の申込みがない限りクッキーの埋め込みと情報の収集を行わないと表明していたにもかかわらず、Apple社のブラウザサファリに対してトラッキング・クッキーを使って広告に利用した(2011年の同意審決違反）

2,250万ドルの制裁金、利用者のコンピュータに埋め込まれた全てのトラッキング・クッキーの無効化（司法的措置）

11(参考）法執行の対象••

執行の端緒となるのは、一般の報道、専門誌紙、消費者からの苦情等
年間100万程度の苦情が寄せられている

http://www.ftc.gov/os/highlights/2013/stats.shtm

126

2013/12/23

2-3. COPPA規則の改正• 収集に際して保護者の同意が必要とされる個人情報として、地理空間情報とビデオを明示• 同意取得のための効率的、自発的で透明性の高い許諾方法の企業への提供• 子供を対象としたアプリとWebサイトのプラグインによって、第三者が保護者の同意なしに子供の情報を収集できるようにすることを禁止• 長期間にわたって複数のWebサイトやオンラインサービスで使われるIPアドレスやモバイル端末IDのような永続的IDを規制対象に• 対象となるWebサイト運営者やオンラインサービス提供者に、子供の個人情報が安全に秘匿できる能力がある企業にのみ提供されるように合理的な手順を踏むことを要請（データセキュリティ保護の強化）• 対象となるWebサイト運営者に、データの保全と削除のための合理的な手順の採用を要請

13

3. 法執行の具体例

147

2013/12/23

3-1. Chikita【ネット広告事業に対する初の執行例】• 問題行為–オプトアウトの効力が10日で終わることを、適正に表示せず• 措置内容–明確かつ重要なお知らせとして表示–最低でも5年間のオプトアウト期間の提供–使いやすいオプトアウト機能の埋め込みの提供等

15

3-2. Google【2,250万ドルの制裁金】
・• 問題行為（2011：Google Buzz）–Gmailのユーザの本名や居場所を同意なく公開–アドレス帳に登録されている相手の自動フォロー 等• 措置内容–プライバシーポリシーにない情報共有を行う場合の事前同意–第三者によるプライバシー・アセスメント（2年毎20年間） 等• 問題行為（2012：トラッキング・クッキー）–サファリのサードパーティ・クッキーに対するデフォルト拒否を迂回 等• 措置内容–2,250万ドルの制裁金、全てのトラッキング・クッキーの無効化 等1682013/12/23

3-3. TENDNET【“Internet of Things”に対する初の執行例 】• 問題行為–家庭用遠隔モニターカメラのシステムのセキュリティが不十分で、インターネット上でモニタ画面が公開• 措置内容–セキュリティに関する事実隠蔽の禁止、顧客への情報提供の実施–包括的な情報セキュリティプログラムの実施–第三者によるセキュリティ・アセスメント（2年毎20年間） 等

179