生理管理アプリのプライバシー診断 — 10分でどのアプリも見きわめる

生理管理アプリは、六つの確認で10分あれば見きわめられますし、そのどれも宣伝文句を信じることを求めません。 ストアのプライバシーの表示を読み、それが開発者自身の申告であることを頭に入れる。アプリがアカウントを作らせるかどうかを見る。機内モードで数分ちゃんと使ってみる。プライバシーポリシーを四つの言葉で検索する — 販売、共有、パートナー、買収。削除と書き出しを見つけ、アカウントがあるならアプリの外からも削除できるか確かめる。そしてアプリロックをかけ、ロック画面のプレビューを切る。最後に手に入るのは、そのアプリが何をできるように作られているかについての正直な絵です。会社がどうふるまうかを知ることとは違いますし、最後の節がその理由を書きます。

これは手順です。その後ろにある長い議論 — 尋ねる価値のある七つの問いと、約束より設計のほうが強い理由 — は生理管理アプリを本当にプライベートにしているものにあります。理屈を知りたいならそちらを。今アプリを開いて昼までに決めたいなら、こちらを読んでください。

0〜2分 — 表示を読み、そのうえで割り引く

アプリのストアのページを開いて、プライバシーの部分を探してください — App Storeでは「Appのプライバシー」、Google Playでは「データセーフティ」です。見るのは二つ。トラッキングや広告の下に何か申告されているか、そして健康データがそもそも出てくるか。

Appleは、理解しておく価値のある二つの区分を定義しています。「ユーザーに関連付けられたデータ」とは、アカウントや端末など、本人の身元に結びつく形で集められるデータのこと。「ユーザーをトラッキングするために使用されるデータ」とは、そのアプリのデータが、ほかの会社のアプリ、ウェブサイト、オフラインの資産から集められたデータと結びつけられ、広告に使われたりデータブローカーに共有されたりするもののことです。二つめの区分に何も申告していないアプリは、具体的なことを一つ言ったことになります。

さて割り引きのほうを、プラットフォーム自身の言葉で。Appleは、この部分の情報は開発者による自己申告だと述べています。Googleの「データセーフティ」も同じく、アプリがどうデータを集め、共有し、扱うかを、セキュリティの実務や削除の選択肢も含めて開発者自身が申告したものです。Googleは、アプリが独立したセキュリティレビューを表示している場合でも、そのレビューは開発者の申告の正確さや網羅性を検証するものではない、と付け加えています。

ですから表示は約束であって、監査ではありません。2分をかける価値はありますが、それ以上の重みはありません。そこに並ぶ区分が外国語に見えるなら、管理アプリが持ちうる三種類のデータは生理管理アプリが実際に集めているものに書いてあります。

2〜5分 — アカウントの壁と、機内モード

入れてみて、最初の画面が何を求めるかを見てください。アカウントは、データが自分の電話以外のどこかに住めるようにするために存在します。メールアドレスも登録もなしに、いきなり記録画面が開くアプリは、日付を一つも打ち込まないうちに、データがどこへ行くのかを言ったことになります。どちらを引いたか、書きとめておいてください。

それから、どんな宣伝も生き残れない試験です。電話を機内モードにして、数分きちんと使ってください。生理の開始を記録する、履歴を開く、予測を見る、設定を変える。全部が動くなら、計算は端末の上で走っています。止まったり、回り続けたり、エラーが出たりするなら、走っていません。

この試験はよく持ち上げすぎられるので、正直な但し書きを一つ。オフラインで動くことは、計算がその場にあることを示します。あとで、つながりが戻ったときに何も送られないことは示しません。「このアプリはサーバーに依存しているか」という問いを「このアプリはサーバーとも話すか」に狭めるだけで、次の3分はそのためにあります。

5〜8分 — プライバシーポリシーの中の四つの言葉

ポリシーをブラウザで開いて、検索機能を使ってください。端から端まで読むのではありません — 誰も読みませんし、あの書きかたで書かれている理由がそれです。四つの言葉を、この順で。

1. 販売。 たいていのポリシーは、データを販売しないと書いています。それでも次の条項を読んでください。共有は販売ではありませんし、会社は正直に販売を否定しながら、広告のために共有できます。
2. 共有。 中身があるのはここです。見つけた文のひとつひとつに一つ尋ねてください。第三者は名前で挙がっているのか、それとも種類として書かれているのか。「分析パートナー」は誰のことでもありえます。会社名の一覧なら、自分で確かめに行けます。
3. パートナー。 これは別に検索してください。「共有」が出てこないところに出てくることが多く、たいてい本当の仕事をしているのはその文だからです。
4. 買収。 「合併」「事業譲渡」も試してください。ほぼどのポリシーも、会社が売られたらデータは事業とともに移ると書いていますし、その一条項は、上にあるどの約束よりも静かに強い立場にあります。次のポリシーを書くのは買い手だからです。

五つめの検索に30秒の価値があります。健康という言葉です。良いポリシーは、周期のデータをクラッシュログや利用統計とは分けて名指します。曖昧なものは全部を「当社が収集する情報」にまとめてしまい、面白い部分はその隙間に隠れます。

8〜10分 — 出口と、手の中の電話

削除を、二つの場所で。 アプリの設定の中の削除を見つけてください。そのうえで、アカウントのあるアプリなら、ウェブ上の削除の経路を探してください。これは願望ではありません。Google Playは、利用者にアカウントを作らせるアプリに対し、アカウントと関連データを削除するアプリ内の経路を、アカウント設定などで見つけられるだけ目立つ形で用意すること、そしてアカウントとデータの削除を申請できるウェブのリンクを用意することを求めています — ウェブの経路は、アンインストールしたあとでも申請できるようにあるものです。アプリ内の経路しか出していないアカウント制のアプリは、名指しできる穴です。

書き出し。 自分の履歴を、自分で開ける形式で取り出せますか。これが出口で、自分の価値に自信のあるアプリは、入れたものを持って出ることを許します。端末だけで動くアプリでは、逆の理由でも大事です。その場に保存するだけなら自動のバックアップはありませんから、書き出しが、電話をなくしても生き残る唯一の控えです。

ロック。 管理アプリにPINやFace IDの設定があるならかけて、それからテストの通知を自分に送り、ロック画面を見てください。生理の記録がほかの誰かに読まれるいちばんありそうな道は、ロックのかかっていない電話を拾われることで、二番めは、誰でも見える画面に通知が何かを告げたことです。ほかに誰が届きうるかの全体図は生理のデータは誰が見られるのかにあります。

10点満点でつける

• 2アカウント不要。 メールアドレスなしで記録画面にたどり着いた。
• 2機内モードで全部動く。 記録、履歴、予測が、つながりなしで。
• 1トラッキングや広告の下に何もない — ストアのプライバシー表示で。
• 1健康データが別に名指しされている — ポリシーの中で利用データとは分けて。
• 1第三者が名前で挙がっている。 種類としてではなく。
• 1削除が両方の場所から効く — アカウントがあるなら。ないならアプリだけから。
• 1書き出しが、読めるファイルを生む。
• 1アプリロックがあり、ロック画面に具体的なことが出ない。

8点以上なら、そのアプリは電話から出ていく道のほとんどが閉じるように作られています。5〜7点なら、まっとうなアプリで、そのプライバシーは会社がポリシーどおりにふるまい続けるかにかかっています。5点未満なら、ポリシーをまるごと信じていることになります。それを承知のうえで選ぶ人もいますし、それはその人が決めることです。

この手順にわからないこと

天井をはっきり書いておきます。実際より大きなふりをするチェックリストは、ないよりも悪いからです。

上のどの確認も、測っているのは能力と申告です。どれもふるまいは測っていません。アプリが9点を取りながら、ポリシーが書いていないことをする会社に運営されている、ということはありえますし、外からそれを見る手立てはありません。これは仮の話ではありません。周期管理アプリに対して記録に残っている二件の法執行は、どちらも申告についてではなく、したとされることについてのもので、どちらも規制当局が出向いて見たからこそ見えました。

釣り合いの重りも視野に入れておく価値があります。英国の情報コミッショナー事務局が2024年に生理・妊よう性アプリを調べたとき、深刻な法令順守上の問題や、害の証拠は確認されなかったと報告し、同時に開発者にプライバシーを優先するよう促しました。そして、そもそもこの手順を走らせる理由は、もっと広い分野のほうにあります。健康アプリについて査読を受けたスコーピングレビューは、調べた23件のうち20件という大半が、利用者のデータを第三者と共有していたと報告しています。

法律も、多くの人が思っているような最後の受け皿ではありません。FTC自身の案内は、人々の健康情報を集める多くの企業 — フィットネストラッカー、食事アプリ、通信機能のついた血圧計 — はHIPAAの対象ではなく、かわりにFTC法と健康情報漏えい通知規則が適用される、と述べています。役に立ちますし、実在しますが、おおむね事後に知らせるための仕組みです。

ですからこの手順は、一つの問いによく答えます。このアプリは、私が渡したもので何をできるのか。答えのある問いです。「この人たちはちゃんとふるまうか」には答えがありません。だからこそ、何も持たないアプリのほうが、すべてを約束するアプリより価値があるのです。

Athenaはどこに立っているか、そしてそれまでに使えるもの

Athenaはこのサイトの後ろにあるアプリです。It is on the App Store and Google Play. このサイトには売り物が何もありませんし、登録するものもありません。説明を信じるのではなく、この手順をAthenaに対して走らせてください。設計はこうです。周期のデータは電話の中の非公開のデータベースに書かれ、予測は端末の上で計算され、アカウントもサーバー上の控えもありません。出ていくのはFirebaseへの匿名の診断データ — どの機能が使われたか、クラッシュ、端末の機種 — で、記録した内容は何も運びません。端末の中だけ、ということは自動のバックアップもないということですから、書き出しはそこでは飾りではありません。唯一の控えです。

それまでは、ここのツールがアカウント不要、無料、インストール不要で使えます。生理日計算ツールは、前回の生理といつもの周期の長さから次の数回の生理を推定し、どの日付の隣にも幅を印刷します。それは約束ではなく目安ですし、避妊には使えません。そして印刷用生理カレンダーは、上の手順で10点満点を、いちばん面白くない方法で取ります。紙だからです。