いちばんプライバシーを守れる生理管理アプリ — 本当に守ってくれるもの

いちばんプライベートな生理管理アプリは、そもそもデータを持たないアプリです。 すべてを端末の中に置き、アカウントを必要とせず、周期を含む通信を一切しないアプリは、それを漏らすことも、売ることも、差し出すよう求められることもできません。会社が信頼できるからではなく、渡せるものがどこにもないからです。ほかのどんなプライバシーの主張も、これからのふるまいについての約束であり、約束は、その会社が同じ会社でありつづけることに寄りかかっています。

この区別 — 約束と作りの区別 — が、この記事のすべてです。以下にあるのは、この区別が効くという証拠か、自分がどちらを差し出されているかを見分ける方法かのどちらかです。

生理管理アプリに見えているもの

周期のトラッカーは、一つの人生についてめずらしく完全な絵を持っています。日付だけではありません。出血、痛み、気分、性交、避妊、服薬、睡眠、体重、妊娠を望んでいるかどうか、それをやめたかどうか。妊娠、流産、診断、人間関係を読み取れるだけのもので、しかも周りの人が知るより先であることも多いのです。ふつうの人が持っているものの中でも、とりわけ機微なデータの集まりで、そして私たちのほとんどが、登録の画面でそれを渡しています。

それが問題かどうかは、次にそれがどこへ行くかで完全に決まります。この市場には三つの作りがあり、それらは同等には遠く及びません。

• 端末の中だけ。 アプリはスマホの中のデータベースに書きます。アカウントも同期もサーバーもありません。侵入されるものも、売るものも、令状で求めるものも、会社が買われたときに引き継がれるものもありません。
• 端末の中に置き、クラウドにバックアップ。 誰かのサーバーに複製があり、たいていは保存時に暗号化され、たいていはアカウントの後ろにあります。鍵は会社が持っています。つまり会社は — あるいは会社に強いられる立場の誰かは — それを読めます。
• まずサーバーに。 スマホは、会社の持つデータベースをのぞく窓です。これがいちばん多いモデルです。同期、ウェブからの利用、集めたデータで動く機能、そして広告が可能になるからです。

三つ目のモデルに、それ自体として不誠実なところは何もありません。ただ賭けが違うだけです。データが存在しているあいだずっと、その会社の方針、その安全対策、その買い手、そして事業を行う国の法に賭けているということです。

規制当局が実際に見つけたもの

ここは慎重にいく価値があります。この話題は証拠より熱を集めるからです。以下は、公開された文書のある公式の措置だけに絞ってあり、言い回しが大事です。

2021年1月、米国の連邦取引委員会（FTC）は、広く使われている妊活アプリの開発元との和解を公表しました。FTCの申立ては、同社が利用者の健康データを非公開に保つと約束しながら、第三者の分析事業者に開示していたと主張していました。同社は和解し、申立てを認めも否定もせず、今後は健康情報を共有する前に明示的な同意を得ることに合意しました。FTC自身の申立てに書かれていることなので付け加えておくと、分析データの受け手は何も問われていませんし、そのデータに健康情報が含まれていることを知らされてもいませんでした。

2023年5月、FTCはある排卵アプリの開発元を、利用者の機微な個人情報を第三者と共有し、その通知を怠ったとして、健康情報漏えい通知規則（Health Breach Notification Rule）違反で提訴しました。この件も合意による命令で決着し、やはり同社は認めも否定もせず、10万ドルの民事制裁金が科されました。

二つの執行措置は業界全体への判決ではありませんし、正直な重しは同じ段落に置くべきです。英国の情報コミッショナー事務局（ICO）が2024年に生理・妊活アプリを調べたとき、重大な法令遵守上の問題や被害の証拠は確認されなかったと報告し、あわせて開発者にプライバシーを優先するよう求めています。英国では、生理アプリに対する執行措置は起きていません。

健康アプリ全般に広げた形は、もう少し居心地が悪くなります。査読を経た健康アプリのスコーピングレビューは、調べたアプリの大半 — 23のうち20 — が利用者のデータを第三者と共有していたとしています。この分野はその中にありますし、特定の名前について最悪を決めてかかるのではなく、作りを尋ねるべき理由もそこにあります。

法律は、思われているほど守ってくれないかもしれません

多くの人は、アプリの中の健康データは医療のプライバシー法に守られていると思っています。米国では、たいていそうではありません。FTC自身の手引きははっきり言っています。人の健康情報を集めている多くの企業 — フィットネストラッカー、食事アプリ、通信機能のある血圧計 — はHIPAAの対象ではありません。HIPAAが規律するのは医療提供者、保険者、そしてその委託先です。自分で見つけてダウンロードしたアプリは、たいていそのどれでもありません。

実際に適用されるのは一般の消費者保護法です。FTC法と、健康データを扱うアプリに、許可なく開示されたときは利用者に伝えるよう求める健康情報漏えい通知規則。これは実在しますし、上の二件はどちらもそれに基づいて起こされました。同時にそれは、あとから知らせることについての決まりで、データがそもそもスマホから出ないこととは別の種類の保護です。

約束なのか、作りなのか

プライバシーポリシーをいくつも読むと、それが明確であるためではなく、真であるために書かれていることに気づきます。「データを販売しません」は、広告のために共有することと両立します。共有は販売ではないからです。「データは暗号化されています」はたいてい、通信中と、会社が復号できるサーバー上での保存時の暗号化を意味します。「信頼できるパートナーと共有することがあります」が実際に働いている文で、そこに名前が出ることはありません。

どれも、それ自体が嘘だとはかぎりません。それは、会社がどうふるまうつもりかについての約束で、約束には、意図とは何の関係もない三つの壊れ方があります。会社が買われて新しい持ち主の方針が適用される。会社が侵入される。会社が裁判所に強制される。約束はそのどれも生き延びられません。データが端末から出なかった作りは三つとも生き延びます。新しい持ち主にも、攻撃者にも、裁判所にも、届く複製がないからです。

尋ねる価値のある問いは「その会社は共有するだろうか」ではなく「したいと思ったとき、あるいはそうさせられたとき、できるのだろうか」です。

どの生理管理アプリも測れる七つの問い

このリストは5分ほどで走らせられますし、そのほとんどはアプリのストアの説明とプライバシーポリシーからできます。日付を一つも打ち込む前にです。

1. アカウントなしで使えますか。 アカウントがあるのは、データがスマホ以外の場所で暮らせるようにするためです。メールも登録の壁もなく、開いたらそのままトラッカーが始まるなら、まだ何も入力していないうちに、具体的なことを一つ教えてくれたことになります。
2. 機内モードで動きますか。 通信を切って一日使ってみてください。すべてが動くなら — 記録、予測、履歴 — 計算は端末の上で起きています。止まるなら、そうではありません。
3. ポリシーの中で健康データが別に名ざされていますか。 よいポリシーは、周期のデータをクラッシュログや利用状況の分析と区別します。曖昧なものはすべてを「収集する情報」にまとめてしまい、面白い部分はその隙間に隠れます。
4. 第三者は、名前で挙げられていますか、種類で挙げられていますか。 「分析のパートナー」は何とでも読めます。会社名を挙げているポリシーは、実際に確かめられるポリシーです。
5. 会社が売られたらどうなりますか。 ほとんどすべてのポリシーにこの条項があり、ほとんど誰も読みません。たいていは、データは事業とともに移ると書いてあり、それが上のすべてを静かに上書きします。
6. すべてを、読める形式でエクスポートできますか。 これが出口です。自分の価値に自信のあるアプリは、履歴を持って去らせてくれます。データを人質にするアプリは、そのデータをいくらだと思っているかを教えてくれたことになります。
7. アプリを消すと、データも消えますか。 端末の中だけのアプリなら、はい。ほかにどこにもないからです。アカウントのあるアプリでは、削除はスマホの複製を消し、サーバーの複製は残します。サーバー上の複製をはっきり名ざしたアプリ内の削除を探してください。

時間を計って走らせれば、このリストは自分のスマホでできる10分の点検になりますし、そもそもトラッカーが何を持っているのかという問いは生理管理アプリが実際に集めているもので答えています。そのあとどこへ行きうるのかの地図が欲しいなら、それは誰が生理のデータを見られるのかです。

ポリシーへの問いではないけれど、確かめる価値のあるものがあと二つあります。一つは、アプリにロック — PINかFace ID — があるかどうか。生理の記録がほかの誰かに読まれる道としていちばんありそうなのは、ロックのかかっていないスマホを手に取られることだからです。もう一つは、ロック画面で通知が何と言うか。役に立つリマインダーは、同時にお知らせでもあります。

「広告なし、サブスクなし、アカウントなし」の実際の値打ち

この三つの言葉は検索の中でひとまとめにされますが、分けておく価値があります。

広告なしがいちばん効きます。広告は、データを共有する理由を生む収益のしくみだからです。広告で成り立つアプリは、利用者から離れる方向を向いた動機を持ちます。買い切りや任意の追加で成り立つアプリは、それを持ちません。

サブスクなしは、プライバシーではなく費用の話で、二つはときにぶつかります。広告もサブスクもない無料のアプリも、どこかで支払われているはずですし、どうやってかを尋ねるのは正当なことです。

アカウント不要は、動機ではなく作りそのものを変えるもので、だから上のリストの最初の問いになっています。

Athenaはどうなのか

Athenaは、このサイトが存在する理由になっているアプリです。It is on the App Store and Google Play. このサイトで売っているものは何もありませんし、登録するものもありません。以下は、それがどう作られているかの説明で、確かめる相手はアプリそのものです。

このページの一つ目の作りで作られています。生理、症状、メモ、体温はスマホの中の非公開のデータベースに書かれます。予測は端末の上で計算されます。アカウントがないので、ログインするものもなく、侵入されたり売られたり差し出されたりするサーバー上のものもありません。すべてをエクスポートできますし、二つ目の複製がないので、アプリを消せばデータも消えます。そのすべてを確かめる方法は二つ目の問いです。通信を切って、何か止まるかどうかを見てください。

それまでのあいだ、このサイトのツールが、記録なしで計算をします。周期の長さ計算ツールはいくつかの開始日から自分の平均とその散らばりを読み、生理日計算ツールはそれを日付ではなく幅に変えます。ソフトウェアをそもそも信じたくないなら、印刷用生理カレンダーが一枚の紙を出します。紙は同期も侵入もされませんし、誰かに求められることもありません。

三つのページが、この確認項目を、人が実際に検索窓に打ち込むアプリに当てています。Clueの代わりになるものとFloの代わりになるものは、各社が自分について公表しているものから組み立てていますし、最初の生理管理アプリの選び方は、13歳で一つも使ったことのない読者に向けて同じことをしています。