カナダ政府の調査によると、2019年5月から2020年8月まで、多国籍レストランチェーンのティムホートンズが公開したモバイルアプリは、有効な同意なしに顧客の位置データを継続的に収集して監視していた。
水曜日に発表された報告書の中で、カナダのプライバシーコミッショナー事務所（OPC）と3つの州（アルバータ州、ブリティッシュコロンビア州、ケベック州）のプライバシーコミッショナーは、2020年6月のナショナルポストの記事の掲載直後に開始された調査の結果を提示した。
その記事では、ティムホートンズアプリがバックグラウンドに追いやられているときでも数分ごとに位置データを追跡していたことが明らかにされており、カナダのプライバシー当局がまとめた報告書でもそれが確認されている。
「2019年5月、ティムホートンズが米国のサードパーティサービスプロバイダー（「レーダー」）の支援を受けて、ユーザーのデバイスの位置を追跡・収集できるようにアプリのアップデートバージョンをリリースしていたことが判明した」とOPCの報告書には記されている。
「『許可』を与えたユーザーのデバイスについては、Radar は Tim Hortons に代わって、数分おきにユーザーのデバイスの位置情報を収集・処理し、(i) ユーザーの自宅や職場の位置、移動時間を推測し、(ii) ユーザーが Tim Hortons の競合店を訪問した時間を特定します。」
- ヨーロッパの皆様、違法ファイルのスキャンデバイスが通用しない理由を改めて説明します。
- Murenaと/e/ Foundationがプライバシー重視のスマートフォンを発売
- 大手テック企業はプライバシーを謳うのが大好きだが、プライバシー関連法を廃止しようとしている。
ティムホートンズは15カ国に約5,000店舗を展開しています。オンタリオ州ハミルトンでハンバーガーレストランとして始まり、1990年代までドーナツショップチェーンとして拡大しました。1995年にウェンディーズと合併して独立を取り戻し、2014年にはバーガーキングと合併しました。そして同年後半、両チェーンは親会社であるレストラン・ブランズ・インターナショナルの子会社となりました。
ナショナル・ポスト紙の記事を受けて、プライバシー法違反を理由にティム・ホートンズに対して4件の訴訟が起こされた。
「すべての訴状は、被告らが原告のプライバシー権、個人情報保護および電子文書法、消費者保護法、競争法、またはユーザーに対するアプリベースの約束を侵害したと主張しており、いずれの場合もティムホートンズのモバイルアプリ、場合によってはバーガーキングとポパイズのモバイルアプリを通じた位置情報データの収集に関連している」と同社は最新の10-Q財務報告書で説明している。
これらのケースの最終的な結果を予測したり、損失の範囲を推定したりすることはできません。
各原告は、自身および原告集団の他の構成員に対し、差止命令による救済と金銭的損害賠償を求めています。これらの訴訟は予備段階にあり、当社はこれらの訴訟に対して積極的に防御するつもりですが、いずれの訴訟についても最終的な結果を予測することはできず、また、損失額（もしあるとすれば）を推定することもできません。
OPCの調査では、詳細な位置情報データが企業製品を宣伝するターゲット広告の配信を目的として収集されていたものの、その特定の目的には一切使用されていないことが判明しました。トロントに拠点を置くこのレストランチェーンは、ターゲット広告の配信計画を断念した後、集約され匿名化された位置情報を利用傾向分析に使用していました。
しかし、そうであるにもかかわらず、カナダのプライバシー当局はデータ収集は不要だと主張した。レストランチェーンは、明示された目的に使用されない膨大な量の機密情報を収集し、潜在的なマーケティング効果を超えるプライバシーコストを課した。
報告書では、このアプリが位置情報データの使用について有効な同意を得ておらず、アプリが開いている時のみデータを収集するという誤解を招くような説明をユーザーに行っていたことも明らかになりました。実際には、このアプリはRadar SDKを介して、フォアグラウンドでもバックグラウンドでも位置情報データを収集していましたが、アプリが閉じられたり終了したりした時には位置情報は収集していませんでした。
このアプリは2017年にデビューし、2020年7月までにダウンロード数は1,000万回近くに達しましたが、同月のアクティブユーザー数は約160万人にとどまりました。2019年5月にRadar SDKがアプリに追加された後、アプリはユーザーが静止していると判断されるまで、2.5分または6分（アプリのバージョンによって異なります）ごとに正確なGPS位置情報とタイムスタンプなどの関連データを収集するようになりました。
SDK は、次のような定数を使用してコード内で参照される場所の到着および出発イベント (自宅、オフィス、競合レストランなど) を追跡しました。
- USER_ENTERED_HOME; USER_EXITED_HOME;
- USER_ENTERED_OFFICE; USER_EXITED_OFFICE;
- USER_STARTED_TRAVELING; USER_STOPPED_TRAVELING; および
- USER_ENTERED_GEOFENCE; USER_EXITED_GEOFENCE。
「ティムホートンズは、顧客に関する極めて機密性の高い情報を大量に収集することで、明らかに一線を越えました」と、カナダのプライバシーコミッショナー、ダニエル・テリアン氏は声明で述べた。「毎日数分ごとに人々の行動を追跡することは、明らかに不適切な監視行為でした。この事例は、設計の不備な技術がもたらす危害と、カナダ国民の権利を守るための強力なプライバシー法の必要性を改めて浮き彫りにしています。」
ティムホートンズの広報担当者は、 The Register宛ての電子メールによる声明の中で、同社はプライバシー委員会の調査に全面的に協力しており、勧告の実施に取り組んでいると述べた。
食品業界は、収集された位置情報データがターゲティング広告に使用されたことは一度もないという報告書の指摘と、アプリに新たな変更は必要ないという事実を指摘した。ティムホートンズは、2020年8月にRadar SDKを無効化し、1か月後にライブラリコードを削除することで、既に必要な変更を行っている。
位置追跡レポート: X-Mode SDK の使用は当初考えられていたよりもはるかに広範囲に及んでいる
関連している
同社の広報担当者は、「2020年6月、お客様から提供されたデータに関するコミュニケーション方法を改善するための措置を直ちに講じ、外部の専門家と連携してプライバシー慣行の見直しを開始しました」と述べた。「その後まもなく、報告書で指摘された位置情報技術をTimsアプリから積極的に削除しました。」
この位置情報技術から得られたデータは、個々のお客様を対象としたパーソナライズされたマーケティングには一切使用されていません。このデータは、当社の事業動向を調査するために、集計され、個人を特定できない形で極限定的に使用されました。その結果には、お客様の個人情報は一切含まれていませんでした。
「当社は、プライバシーに関するベストプラクティスの強化に専念する社内チームを強化しており、お客様が当社のアプリを使用する際に、自身のデータについて十分な情報に基づいた決定を下せるようにすることに引き続き注力していきます。」
レーダー社の広報担当者はレジスター紙への電子メールで、問題となっている位置データは係争中の訴訟の結果として保管されており、同社が許可すれば削除されるだろうと語った。
有効な同意を得ずにRadar SDKを実装している他のアプリがあるかどうかの質問に対し、同社は「Radarの顧客は適切な同意を得る責任があります。当社は、顧客が位置情報の収集と使用に関して適切な同意を得ていない他の状況を認識していません」と回答しました。®
