Microsoft ha llegado a un acuerdo para pagar una multa de $20 millones USD para resolver las acusaciones de la Comisión Federal de Comercio de Estados Unidos (FTC) de que la compañía recolectó y retuvo ilegalmente datos de niños que se registraron para usar su consola de videojuegos Xbox sin el conocimiento o consentimiento de sus padres. La FTC acusó a Microsoft de violar la Ley de Protección de la Privacidad en Línea de los Niños (COPPA) al recolectar y retener información personal de los niños que se registraron en su servicio de Xbox sin obtener el consentimiento de sus padres. Además, se alega que la empresa compartió estos datos con anunciantes y desarrolladores de terceros. Como parte del acuerdo propuesto, que está pendiente de aprobación judicial, Microsoft ha sido ordenada a actualizar su proceso de creación de cuentas para niños para evitar la recolección y almacenamiento de datos, incluida la obtención del consentimiento de los padres y la eliminación de dicha información dentro de dos semanas si no se obtiene la aprobación. Las protecciones de privacidad también se extienden a los editores de juegos de terceros con los que Microsoft comparte los datos de los niños, además de someter la información biométrica y los avatares creados a partir de las caras de los niños a las leyes de privacidad. En respuesta al acuerdo, Xbox ha declarado que tomará medidas adicionales para mejorar sus sistemas de verificación de edad y garantizar que los padres estén involucrados en la creación de cuentas infantiles para el servicio. No revelaron detalles específicos sobre cómo funcionaría dicho sistema. COPPA es una ley federal de Estados Unidos que regula cómo las empresas pueden recolectar, usar y divulgar información personal de niños menores de 13 años en línea. La ley requiere que las empresas obtengan el consentimiento de los padres antes de recolectar información personal de los niños y establece límites en cómo se puede usar y compartir esa información. Según la FTC, Microsoft violó los requisitos de consentimiento y retención de datos de COPPA al requerir que los menores de 13 años proporcionaran sus nombres, apellidos, direcciones de correo electrónico, fechas de nacimiento y números de teléfono hasta finales de 2021. Además, se afirma que la compañía compartió los datos de los usuarios con anunciantes de forma predeterminada hasta 2019, cuando se dio el consentimiento al acuerdo de servicio y política publicitaria de Microsoft. La FTC también alegó que Microsoft retuvo datos recolectados de niños durante el proceso de creación de cuentas durante años, incluso en casos en que un padre no completó el proceso de registro. Esto contradice las leyes de privacidad infantil en los Estados Unidos.
Además, se acusó a Microsoft de crear un identificador persistente único para las cuentas de menores de edad y compartir esa información con desarrolladores de juegos y aplicaciones de terceros. También se alegó que la empresa requería explícitamente que los padres optaran por no participar para evitar que sus hijos accedieran a juegos y aplicaciones de terceros en Xbox Live. Este no es el primer caso en el que un fabricante de videojuegos ha sido multado por la FTC debido a violaciones de COPPA. En diciembre de 2022, Epic Games, el desarrollador de Fortnite, llegó a un acuerdo de $520 millones USD con la agencia en parte por incumplir las leyes de privacidad en línea para niños.
Las multas en Estados Unidos se producen mientras Microsoft reveló que anticipa multas de "aproximadamente $425 millones USD" de la Comisión de Protección de Datos de Irlanda (DPC) en el cuarto trimestre de 2023 por posibles violaciones al Reglamento General de Protección de Datos de la Unión Europea (GDPR) al dirigir anuncios específicos a los usuarios de LinkedIn. La situación de Microsoft también se produce después de que la FTC impusiera a Amazon una multa acumulativa de $30.8 millones USD por una serie de fallas de privacidad relacionadas con su asistente Alexa y sus cámaras de seguridad Ring.