「Avast」がブラウザの閲覧データを販売したとして約25億円の罰金を科される

無料のセキュリティソフト「Avast Antivirus」で知られるAvastが、ユーザーのウェブサイト閲覧データを販売したとして、アメリカの連邦取引委員会(FTC)から1650万ドル(約25億円)の支払いを命じられました。
FTC Order Will Ban Avast from Selling Browsing Data for Advertising Purposes, Require It to Pay $16.5 Million Over Charges the Firm Sold Browsing Data After Claiming Its Products Would Block Online Tracking | Federal Trade Commission
https://www.ftc.gov/news-events/news/press-releases/2024/02/ftc-order-will-ban-avast-selling-browsing-data-advertising-purposes-require-it-pay-165-million-over
Avast sold privacy software, then sold users' web browsing data, FTC alleges - CBS News
https://www.cbsnews.com/news/ftc-avast-browsing-data-privacy/
FTC to ban Avast from selling browsing data for advertising purposes
https://www.bleepingcomputer.com/news/security/ftc-to-ban-avast-from-selling-browsing-data-for-advertising-purposes/
Avastは、トラッキングをブロックするプライバシー保護機能を備えたウイルス対策ソフトやモバイルアプリ、ブラウザの拡張機能を提供している老舗のセキュリティ企業です。しかし、実際には子会社・Jumpshotを通じてデータを他企業に販売していたことが2020年1月に発覚しました。その後、AvastはJumpshotの業務を停止しています。
無料アンチウイルスソフト「Avast」がユーザーデータをGoogleやMicrosoftに販売していたことが明らかに - GIGAZINE

FTCは2024年2月22日に、「Avastとその子会社が、トラッキングから消費者を保護すると約束しておきながらデータを第三者に販売したとの告発を解決するため、両社に対して1650万ドルの支払いと、広告目的での閲覧データ販売やライセンス供与を禁止することを義務づけます」と発表しました。
FTC says despite its promises to protect consumers from online tracking, Avast sold consumers' browsing data to third parties /2— FTC (@FTC) February 22, 2024
FTCによると、Avastは同社の製品から抽出された閲覧データを2014年から2020年1月までチェコの子会社を通じて販売しており、それらのデータの中にはユーザーの政治的傾向、所在地、経済状況、宗教的な信念、健康上の懸念などが含まれていたとのこと。Avastは、これらのデータを収集し販売していることを消費者に通知していなかっただけでなく、むしろ自社製品がインターネット上での追跡を抑えると主張していました。
広告会社やマーケティング会社、データ分析会社やデータブローカー業者を含む100社以上に販売されたユーザーのデータは膨大で、Jumpshotが2014年から2020年までに販売していたデータは8PB(8000TB)以上だとされています。
FTCの消費者保護局長であるサミュエル・レビン氏は声明で、「Avastは、自社製品が閲覧データのプライバシーを保護するとユーザーに約束しましたが、実態はその逆でした。このおとり商法的な監視戦術は、消費者のプライバシーを侵害し、法律に違反しました」と述べました。
Avastは、顧客にユーザーのデータを転送する前に、特別なアルゴリズムを用いて識別情報を削除したとしていますが、FTCは匿名化が十分になされていなかったと指摘しています。
例えば、Jumpshotが広告コングロマリットのOmnicomと締結した契約では、OmnicomがAvastのデータとデーターブローカーから得たデータを個々のユーザー単位で関連付けることが可能となっていたとのことです。

FTCとAvastは、Avastが消費者への補償金として1650万ドルを支払うことで合意しており、和解案には今後「Avast」ブランドでのデータの販売が禁じられることや、他の製品から広告目的で閲覧データを取得する場合は事前に明示的な同意を得ることなどが含められています。
データの売却が発覚後、Avastはノートン、AVG、Avira、CCleanerなどを所有している、アメリカおよびチェコを本拠とする多国籍企業・Gen Digitalに吸収合併されました。
Gen Digitalの広報担当者はメディアに対し、「FTCの主張と事実認定には同意しませんが、この問題を解決できたことをうれしく思うとともに、今後も世界中の数百万のユーザーにサービスを提供し続けられることを願っています」と述べました。