FTC诉Microsoft Xbox违规收集儿童个人信息未经家长同意且超期保留儿童数据案

【案件背景】
2023年6月，美国联邦贸易委员会（FTC）和司法部联合对微软公司提起诉讼，指控其Xbox游戏系统在注册流程中违反《儿童在线隐私保护法》（COPPA），未经家长同意收集儿童个人信息并非法超期保留。Xbox Live是全球最大的在线游戏网络之一，拥有数百万未成年用户。COPPA要求面向13岁以下儿童的在线服务在收集个人信息前，必须向家长发出两项通知（在线通知和直接通知），并获取可验证的家长同意。

【违法事实】
FTC的投诉主要集中在三个方面的违规：
一、先收集后通知——微软在注册流程中要求所有用户（包括明确告知自己未满13岁的儿童）提供电子邮箱、姓名、出生日期，且在2021年前还要求提供电话号码。直到收集完这些个人信息后，微软才联系家长征求同意，违反了COPPA要求'收集前'通知和同意的时间顺序规则。
二、通知内容不完整——微软的直接通知仅告知家长其收集、使用和分享儿童信息，但将家长引导至通用的微软隐私声明自行查找细节，未当场说明收集哪些具体信息及披露实践。此外其在线隐私声明长时间未按COPPA要求说明其从儿童处收集的具体个人信息类别和披露实践，也未包含家长如何要求删除儿童信息及停止未来收集的必要说明。
三、超期保留数据——2015年至2020年间，即使用户注册流程未完成或家长最终未同意，微软仍将从儿童处收集的个人信息（包括在账户创建过程中收集的数据）保留多年，远超'实现收集目的所合理必需'的期限。

【处罚决定】
FTC对微软处以2000万美元民事罚款（当时COPPA法定最高罚款额）。和解令还要求微软：
一、为未创建独立儿童账户的家长提供额外通知，说明为13岁以下儿童创建单独账户可默认提供额外隐私保护；
二、对2021年5月前创建且用户仍为儿童的账户追溯获取家长同意；
三、建立并实施合规的儿童数据保留和删除流程；
四、实施系统，在向第三方游戏发布者传送数据时，标注该数据涉及儿童用户并要求发布者也适用COPPA保护。
此外FTC明确指出，从儿童图像生成的虚拟头像（avatars）属于COPPA定义的个人信息。

【典型意义】
一是确立了'先通知后收集'的刚性时间顺序——不得以任何理由先收集儿童信息再补办家长同意程序，操作顺序本身就构成违规。二是公司将家长引导至通用隐私声明寻找细节的行为被认为不满足直接通知的要求，必须当场、具体地说明针对儿童的收集实践。三是'未完成的注册流程'所产生的数据保留义务与已完成注册同等适用——即使最终未获得家长同意，企业也不能无限期保留注册过程中收集的儿童信息。四是将虚拟头像明确纳入COPPA保护范围，对游戏行业的人像数据采集实践具有深远影响。