Министерство юстиции США подало иск против производителя детских конструкторов-роботов Apitor Technology, утверждая, что компания допустила сбор точных геолокационных данных несовершеннолетних без информирования и согласия родителей. По версии регулятора, в мобильном приложении Apitor для Android использовался сторонний SDK JPush, разработанный Jiguang (Aurora Mobile, Китай), который с 2022 года получал данные о местоположении пользователей, в том числе детей, для различных целей, включая таргетированную рекламу.
Минюст США и FTC: предполагаемое нарушение COPPA
Иск подан Минюстом после уведомления Федеральной торговой комиссии США (FTC). Речь идет о возможном нарушении Children’s Online Privacy Protection Act (COPPA) — закона, который обязывает онлайн-сервисы, ориентированные на детей младше 13 лет, заранее уведомлять родителей о сборе персональных данных и получать проверяемое согласие. Apitor продает игрушки для детей 6–14 лет и распространяет бесплатное приложение для управления, которое требует разрешения на доступ к геолокации для корректной работы с Bluetooth-соединением.
Как собирались геоданные: роль стороннего SDK JPush
Согласно иску, после выдачи разрешений в Android приложение Apitor начинало собирать точные координаты местоположения в фоновом режиме и передавало их на серверы JPush. При этом пользователям не раскрывалось, что третья сторона получает доступ к геоданным, а согласие родителей на такое использование данных детей не запрашивалось. Подобная модель — типичный пример рисков цепочки поставок в мобильной разработке: функциональный SDK (push-уведомления/маркетинговая аналитика) обладает собственными правами и каналами передачи данных, выходящими за рамки изначальной логики приложения.
Условия предложенного урегулирования и штраф
В рамках предложенного мирового соглашения Apitor согласилась на штраф в размере $500 000 и на комплекс мер по соблюдению COPPA. Требования включают: приведение сторонних SDK в соответствие с законом, прозрачное уведомление родителей о сборе данных, получение проверяемого родительского согласия, удаление ранее собранной персональной информации и политику минимизации/ограничения сроков хранения.
Регуляторный контекст: усиление контроля за детской приватностью
Дело Apitor вписывается в более широкий тренд ужесточения правоприменения в отношении детской приватности и геолокации. В последние годы FTC последовательно преследует компании, нарушающие COPPA и недобросовестно обрабатывающие данные несовершеннолетних: например, в 2022 году Epic Games заплатила $275 млн по претензиям COPPA, в 2023 году Amazon согласилась на $25 млн по делу Alexa, а Edmodo — на $6 млн за незаконный сбор детских данных. Параллельно регулятор добивается ограничений на коммерческое использование точной геолокации (дело против брокера данных Kochava, начатое в 2022 году).
Риски сторонних SDK для детских приложений и IoT-игрушек
Встраиваемые SDK — один из самых распространенных векторов «утечки» данных из мобильных приложений и экосистем умных игрушек. Они могут получать расширенные разрешения, работать в фоне, агрегировать и передавать телеметрию в интересах провайдера SDK, а не конечного сервиса. Для детских продуктов такие практики особенно чувствительны: точная геолокация, идентификаторы устройств и поведенческие профили считаются персональными данными и требуют повышенной защиты и юридической чистоты обработки.
Практические рекомендации разработчикам и производителям
- Проводить инвентаризацию данных и картирование потоков: кто, что, куда и на каком основании передает.
- Минимизировать сбор: отключать точную геолокацию, если она не критична; по возможности использовать приблизительные координаты и сбор «по требованию», а не в фоне.
- Оценивать SDK по чек-листу комплаенса (DPIA, privacy-by-design), использовать allowlist и контрактные запреты на вторичное использование данных.
- Реализовать механизмы проверяемого родительского согласия (например, микроплатеж, подтверждение через документ или проверенный аккаунт).
- Обеспечить прозрачные политики: отдельные уведомления для родителей, понятные экранные подсказки при запросе разрешений.
- Ввести сроки хранения и процедуры удаления данных, регулярные аудиты и тесты на «фоновую» передачу.
- Мониторить обновления SDK: каждая новая версия — повторная проверка разрешений и сетевой активности.
Случай Apitor подчеркивает, что в детских продуктах управление сторонними компонентами критично для безопасности и соответствия закону: ответственность несет издатель приложения, даже если сбором занимается партнерский SDK. Компании, работающие на рынке детских IoT-устройств и мобильных сервисов, должны выстроить контроль цепочки поставок, внедрить «privacy-by-design» и обеспечить проверяемое согласие родителей. Это не только снижает юридические риски, но и укрепляет доверие пользователей — важнейший актив в экосистеме цифровых продуктов для детей.
