Uber、データセキュリティに関する苦情でFTCと和解

Uberと連邦取引委員会（FTC）は、同社のプライバシーとセキュリティ慣行に関する訴訟で和解しました。この和解により、Uberは新たなプライバシープログラムを導入し、ユーザーのデータ保護を確実にするために、定期的に第三者監査を受けることが義務付けられます。

これらの情報が漏洩すれば、Uberのドライバーと乗客にとって壊滅的な被害をもたらす可能性がありました。FTCは訴状の中で、Uberがドライバーの「氏名、メールアドレス、電話番号、郵便番号、プロフィール写真、社会保障番号、運転免許証情報、銀行口座情報（国内ルーティング番号と銀行口座番号を含む）、車両登録情報、保険情報」を収集していたと述べています。

Uberは乗客の「氏名、メールアドレス、住所、プロフィール写真、そして正確な位置情報を含む詳細な乗車記録」も収集していました。これらの情報をすべて集めれば、Uberアプリをスマートフォンにインストールしているすべての人に危害を加えるために利用される可能性があります。（FTCの訴状は、Uberが個々のスマートフォンを「指紋認証」し、その行為をApp Storeの審査担当者から隠蔽するという決定さえも含んでいませんでした。）

これらの情報はすべて、壊滅的な影響をもたらす可能性がありました。Uberの従業員や外部のハッカーが、これらの個人データを悪用してストーカー行為、脅迫、個人情報の窃盗を行う可能性がありました。FTCの訴状はこれらのリスクを浮き彫りにしており、今回の和解により、Uberはユーザーのデータ保護を強化することが期待されています。FTCはニュースリリースで、この和解の結果、Uberは以下のことを行うと述べています。

消費者の個人情報への社内アクセスをどのように監視しているかについて虚偽の報告を禁止します。そのデータをどのように保護し、セキュリティ保護しているかについて虚偽の報告を禁止します。新規および既存の製品とサービスに関連するプライバシーリスクに対処し、会社が収集した個人情報のプライバシーと機密性を保護する包括的なプライバシー プログラムを実装する必要があります。また、FTC 命令の要件を満たすか上回るプライバシー プログラムが実施されていることを証明する独立した第三者による監査を 180 日以内、その後は 20 年間は 2 年ごとに取得する必要があります。

UberとFTCの合意内容全文は、こちらからご覧いただけます。合意が最終決定されるまで30日間、一般の方からご意見をいただくことができます。何かが足りないと思われる場合は、今から9月15日までの間にFTCまでお知らせください。合意が発効すれば、Uberはユーザーの個人情報保護に対する高い評価に応えられるようになるかもしれません。