匿名の生理記録 — 何を指し、何は指せないのか

「匿名」は一つの言葉が三つの違う仕事をしているもので、その三つは同じ値打ちではありません。 アカウント不要 — 名前もメールアドレスも一度も打ち込まない、という意味でありえます。結びつけられていない — 周期はやはり会社のサーバーへ運ばれるが、身元を示すものからは意図して切り離されている、という意味でありえます。あるいは、決して送信されない — 周期についての何も電話から出ていかない、という意味でありえます。自分で、1分で、つながりを切れば確かめられる約束は、三つめだけです。

以下は、その三つを外から見分ける方法、それぞれの約束をする会社が実際にそれについて公表していること、そしてどれも覆っていないものです。

どれだけ信頼を求めるか、その順に並べた三つの意味

• アカウント不要

  アプリがいきなり記録画面から開きます。メールもパスワードも登録の壁もなし。これは本物で、持つ価値がありますが、玄関についての事実であって、建物についての事実ではありません。

  尋ねること — それでも電話から出ていくものはあるか。
• 結びつけられていない

  周期のデータはサーバーに届き、会社は、そのデータが自分に結びつけ直されるのを止めるためのものを作っています。これは本物の工学の規律ですし、同時に、こちらが検査できないほうでもあります。

  尋ねること — どちらの半分を誰が持っているのか、そしてそう言っているのは誰か。
• 決して送信されない

  周期についての何もどこへも送られません。信じるべきサーバー側の話はありません。サーバー側がないからです。

  尋ねること — 機内モードで動くか。

匿名の生理記録についての議論のほとんどは、じつはこの三つのどれを売られているのかについての議論です。ストアのページに載る言葉は、三つとも同じです。

アカウント不要は、いちばん確かめやすく、いちばん言いすぎやすい

アカウントは、データが電話以外のどこかに住めるようにするために存在します。アプリが一度もそれを求めなければ、日付を一つも入れないうちに具体的なことを言ったことになりますし、だからアカウントなしで管理アプリを使うは、どのアプリについても最初に尋ねる価値のある問いです。

最後の問いではありません。メールがないことは、識別子がないことではありません。サーバーと話すソフトウェアは、名前を一度も知らないまま、送るものにランダムなインストールID、端末の機種、OSのバージョン、IPアドレスをつけられます。そのどれも、メールアドレスのような意味での身元ではありません。どれも取っ手であり、取っ手はほかの取っ手とつなげられます。

ですから「登録不要」は狭い問いに正直に答え、広い問いを開いたままにします。広い問いとは、出血も、痛みも、気分も、性生活も、そもそもどこかへ行くのか、です。

結びつけを外す設計はどう見えるか — 会社自身の言葉で

二つめの種類について、いちばんはっきり公表されている例はFloのものです。Floは自社の匿名モードを、名前、メールアドレス、IPアドレス、そのほかの識別子を健康データに結びつけずに健康を記録できる機能だと説明しています。Floは、リクエストがOblivious HTTPのリレーを経由して送られるので、リレーはIPアドレスを見るが健康データは見ず、Floは健康データを見るが身元は見ないこと、そしてFlo自身もそれを使う個人を特定できないことを述べています。

専門用語を取り除けば考えは単純で、かなり良いものです。こちらを指さすのに必要なものの片半分ずつを、二者がそれぞれ持ちます。仲介役は、そのメッセージがどこから来たかを知っていますが、読めません。宛先は読めますが、どこから来たかを知りません。どちらも両方の半分は持っていないので、どちらもつなげられません。

それは標語ではなく本物の設計で、この分野のほとんどのアプリが試みる以上のものです。はっきりそう言う価値があります。このあとに続く正直な批判は、その考えが悪いというものではないからです。

確かめられない部分

こちらは外側にいます。そこからできるのは、設計の説明を読むことです。サーバーも、そこに実際に置かれているコードも、リレーを運営しているのが誰かも、両端で何が記録されているかも、来年何が変わるかも見えません。二つめの種類の主張はすべて、こちらが決して動かさず、観察もできないソフトウェアについての主張です。私たちには確かめられませんし、あなたにも確かめられません。

そもそも人がこの問いを立てる理由がそれです。2021年1月、米国連邦取引委員会は、広く使われていた妊よう性記録アプリの開発元との和解を発表しました。FTCは、その会社が利用者の健康データを非公開に保つと約束しながら、第三者の分析事業者に開示していたと申し立て、会社は申し立てを認めも否定もせずに和解しました。正直な釣り合いの重りも同じ息で言うべきです。英国の情報コミッショナー事務局が2024年に生理・妊よう性アプリを調べたとき、深刻な法令順守上の問題や、害の証拠は確認されなかったと報告し、同時に開発者にプライバシーを優先するよう促しました。

そのどちらも、特定のサーバーが今日何をしているかは教えません。そこが要点です。検査できない設計は、信じるか信じないかであり、信じることはまっとうな選択です — ただ、証明とは別の種類のものだというだけです。

データの扱いについての約束は、それを扱う会社の寿命の分しか持ちません。データがそもそも動かなかった設計は、会社が約束を守ることを必要としません。

決して送信されない、そしてそれを説明するポリシー

三つめの種類は、述べるのがいちばん単純で、試すのもいちばん単純です。この作りのアプリを説明した、公表されたポリシーが二つあります。

dripのプライバシーポリシーは、利用データも個人情報も収集せず、広告もスパイウェアもないこと、生理周期のデータは端末の中に保存され、ほかのアプリからアクセスできないこと、設定でアプリのデータを削除するかアンインストールすればそれが消えることを述べています。そして、たいていのプライバシーの宣伝より価値のある但し書きも運んでいます。端末の設定によっては自動のクラウドバックアップが行われることはある、と。ポリシーはさらに、これがすべて本当かどうかはソースコードを読んで確かめられる、と付け加えています。

Eukiのプライバシーポリシーは、利用者から個人情報もそれ以外の情報も、アプリの利用を通じてのものも含めて一切収集しないこと、ただし利用者がサポートに連絡して自ら送った情報は除くこと、そしてアプリは対象を絞った広告のために利用者を追跡しないことを述べています。

持ち帰るべきはdripの但し書きです。このアプリも含めて、端末の中だけのすべてのアプリに当てはまるからです。アプリが何も送らないときでも、電話自身のバックアップが端末からローカルのデータベースを持ち上げることがあります。アプリの設計が話の終わりではありません。OSのバックアップの設定もその一部で、それは自分が見るものです。それはもっと広い取引の一本の糸で、どちら側につくか決める前にきちんと読む価値があります。クラウド同期がないときに手放すもの。

ストアの表示が教えること、教えないこと

二つのアプリストアはいまどちらもプライバシーの要約を公表していますし、その語彙は本当に役に立ちます。AppleはApp Storeのプライバシー情報の部分を、情報が開発者による自己申告である仕組みだと説明しています。Apple自身の言葉で、「ユーザーに関連付けられたデータ」とは、アカウントや端末など本人の身元に結びつく形で集められるデータのことで、「ユーザーをトラッキングするために使用されるデータ」とは、そのアプリのデータが、ほかの会社のアプリ、ウェブサイト、オフラインの資産から集められたデータと結びつけられ、広告に使われたりデータブローカーに共有されたりするもののことです。

その区別こそ、この記事が扱っているもので、入れる前にストアのページに印刷されています。匿名だと主張しながら、健康データがユーザーに関連付けられていると申告しているアプリは、公の場で自己矛盾しています。それは安く気づけることです。

限界はAppleが使う言葉の中にあります。自己申告。表示は開発者の申告であって、監査ではありません。速いふるいであり、弱い証明です。だからそれはどの管理アプリにも使える10分の点検の終わりではなく、最初のほうに属します。

匿名性が買ってくれないもの

三つの約束のどれも、手の中の電話を守りません。生理の記録がほかの誰かに読まれるいちばんありそうな道は、漏えいでも令状でもありません。ロックのかかっていない電話を人が拾うことです。

ですから、その距離で実際に効くのは、地味で手元のことです。アプリ自身にPINや顔認証のロックがあるかどうか。ロック画面で通知が何と言うか — 親切なリマインダーは、近くに立っている誰にとっても告知でもあるからです。電話が共有のものかどうか、あるいは誰かほかの人が使うパソコンにバックアップしたことがあるかどうか。そして、何年も前に登録した別のアプリの中に、もう履歴の控えがあるかどうか。新しいアプリの匿名性はそれに何もしませんし、その控えはそれが住んでいる場所で削除するしかありません。

そのどれも安全にできないなら、ソフトウェアがまったく入っていない選択肢があります。印刷用生理カレンダーは一枚の紙をくれます。同期も、漏えいも、令状も、結びつけ直しもできませんし、物をしまっている場所にしまっておけます。そしてアプリに本当に求めていたのが保存ではなく算数だったなら、周期の長さ計算ツールが、いくつかの開始日から平均とその動く幅を出します。方針より設計で判断することの深い根拠は生理管理アプリを本当にプライベートにしているものにあります。

Athenaはどこに立っているか

Athenaはこのサイトの後ろにあるアプリです。It is on the App Store and Google Play. このサイトには売り物が何もありませんし、登録するものもありません。以下はどう作られているかの説明で、それと突き合わせるべきものはアプリそのものです。

三つめの種類です。生理、症状、メモ、体温は電話の中の非公開のデータベースに書かれ、予測は端末の上で計算され、アカウントがないので、サーバーの上に結びつけ直す先がありません。正直な例外が一つ。省いたらこのページが、自分の文句を言っているものになってしまうので書きます。アプリはFirebaseへ匿名の診断データ — どの機能が使われたか、クラッシュの報告、端末の機種で、記録した内容は決して含みません — を送ります。周期について記録したものは、その中にありません。この主張を確かめる方法は、この記事全体が勧めているものと同じです。つながりを切って、何かが動かなくなるかを見てください。