生理管理アプリは実際にどんなデータを集めているのか

生理管理アプリが集めるデータには別々の三つの種類があり、自分で渡したつもりのものは、そのうち一つ目だけです。 自分で打ち込むもの — 日付、経血量、痛み、気分、性交、薬、メモ。そこからアプリが割り出すもの — 書きとめた覚えのない、排卵日らしき日や妊娠といった事実も含みます。そして、画面に触れなくても届くもの — 端末の機種、クラッシュの報告、どの画面を開いたか、アプリによっては広告識別子と、入れる前にタップした広告の記録も。あるアプリがその三つのどれを持っているかは、外からは誰にも言えません。それはそのアプリ自身のストアの表示とプライバシーポリシーに書かれていて、その二つの文書だけが、正直に見にいける場所です。

この先にあるのは、その分類のぜんぶ、ストアの表示が証明することとしないこと、そして規制当局が実際に見にいって見つけたことです。集めることと渡すことは別の問いで、この記事は一つ目の話です。

第一層 — 自分で打ち込むもの

周期の開始日が土台です。それなしに動くものは、トラッカーにはほとんどありませんし、それだけでもう、私的な何かの記録になっています。

土台より上はどれも任意で、たいていのアプリはたくさん尋ねます。経血量、生理痛、頭痛、少量の出血、気分、睡眠、元気の度合い、食欲、肌、性交とそれが避妊つきだったかどうか、避妊法といつ使ったか、薬、体重、基礎体温、おりもの、排卵検査薬の結果、そして自由に書くメモ。妊娠を望んでいるかを尋ねるものもあれば、妊娠やその終わりを記録させるものもあります。

立ち止まる価値があるのは、自由に書くメモです。決まった形の項目は、作りからして退屈です — 数字、チェック、段階。メモは、夜11時に考えていたことそのもので、どんな方法でも匿名にならない可能性がいちばん高い項目です。そもそもできないからです。メモは、アプリの中でいちばん敏感なものとして書いてください。実際にそうだからです。

いっぽう紙は、そこに書いたものだけを集め、ほかには何も集めません。印刷用生理カレンダーがこのサイトにあるのはそのためですし、数か月ぶんの記録を医師に求められた人のために、もっと長い印刷用症状記録シートがあるのもそのためです。紙は同期もしませんし、落ちもしませんし、どこかへ連絡もしません。

第二層 — アプリが割り出すもの

ここは誰も数えない層で、しばしば一つ目より多くを語ります。

• 予測 自分では入れていない日付

  次の生理、妊娠しやすい時期、推定の排卵日。これらは自分の記録の上の計算で、幅のついた目安であり、避妊には使えません。それでもこれは、何かを入れる前には存在しなかった、自分についての新しいデータです。

• 推定 記録していない状態

  予定どおりに来ない生理と、そのあとの沈黙は、一つの形です。妊娠を記録してから止まることもそうです。「流産」という項目がなくても、アプリはその形を持てます。その推定は、アプリがそれを見せるかどうか、ポリシーで名ざすかどうかに関わりなく、データの中にあります。

• 派生 ふるまいの像

  平均の周期の長さ、それがどれだけばらつくか、どの症状が固まって出るか、一日のどの時間にアプリを開くか、何日続けて使っているか。この一部は、アプリを役に立つものにしているものです。それでも全部が記録です。

一つ目の行の下にある計算は、謎めいたものではありませんし、動くところを見ることもできます。周期の長さ計算ツールは、いくつかの開始日から平均と、自分の周期がその両側にどれだけ振れるかを出します。無料で、アカウント不要です。トラッカーが走らせているのも、だいたいこの計算です。ツールとアプリの違いは計算ではありません。その計算がどこで走り、あとに何を残すかです。

第三層 — 打ち込まなくても届くもの

この層があることのいちばんはっきりした証拠は、二つのストアがどちらも、開発者にこれを申告させていることです。Appleのサポートページは、App Storeのプライバシー情報の区分を二つに分けて説明していて、どちらもゆっくり読む価値があります。「ユーザーにリンクされているデータ」は、アカウントや端末など、本人の身元に結びつく形で集められたデータのことです。「ユーザーを追跡するために使用されるデータ」は、そのアプリのデータを、ほかの会社のアプリやウェブサイトやオフラインの場から集めたデータと結びつけ、広告のために使う、またはデータブローカーと共有するもののことです。Googleは、開発者は「データセーフティ」の欄を使って、自分のアプリがデータをどう集め、どう共有し、どう扱うかを、セキュリティの取り組みやデータ削除の選択肢も含めて説明する、としています。

実際のところ、この層に入るのはアプリ開発のふつうの調度品です。端末の機種とOSのバージョン、クラッシュの報告、どの機能がどれだけ使われたか、インストールの識別子、そして — 広告を載せているアプリや、インストールがどこから来たかを測るアプリでは — 広告識別子と、自分のインストールをタップした広告に結びつける計測のデータ。

それ自体に不吉なものはありません。クラッシュの報告は、不具合が直る道筋です。種類として違うのは広告識別子です。ほかの会社のアプリをまたいで同じ識別子であるように作られているからです。あるトラッカーがそれを積んでいるかどうかは、こちらでは確かめられません。それが申告されているのは、そのアプリ自身のストアの表示です。

ストアのプライバシー表示が証明すること、しないこと

どちらの表示も役に立ちますし、どちらもよく読み違えられます。ですからその限界を、それぞれの会社自身の言葉で。

Appleは、App Storeのプライバシーの欄にある情報は開発者の自己申告であると述べています。Googleの「データセーフティ」の欄も同じく、そのアプリについての開発者自身の申告です。Googleはさらに踏み込み、アプリが独立したセキュリティのレビューを表示している場合でも、そのレビューは開発者のデータセーフティの申告の正確さや網羅性を検証するものではない、と述べています。

プライバシー表示は、開発者が自分自身について述べた申告です。監査ではありませんし、どちらのストアもそうだとは言っていません。

だからといって、表示に価値がないわけではありません。申告は、会社が責任を問われうる約束ですし、読むのに1分しかかかりません。ただ、表示は確認の終わりではなく始まりに置くもの、ということです。原則ではなく手順がほしいなら、10分でできるプライバシーの確認が実際の段取りです。何をどの順で開き、それぞれの答えに何ほどの価値があるか。

規制当局が実際に見つけたこと

この話題は、証拠よりもはるかに多くの熱を集めます。ですからここでは、公開された文書のある公式の措置だけにとどめ、言葉づかいもそのままにします。

2021年1月、米連邦取引委員会は、広く使われている妊活アプリの開発元との和解を発表しました。FTCの申立ては、同社が利用者の健康のデータを非公開に保つと約束しながら、それを第三者の解析業者に開示していたと主張するものでした。同社は申立てを認めることも否定することもなく和解し、今後は健康のデータを共有する前に明示的な同意を得ることに合意しました。

2023年5月、FTCは、排卵のアプリの開発元を、利用者の機微な個人情報を第三者と共有し、それを本人に知らせなかったとして、Health Breach Notification Rule違反で訴えました。この件は合意にもとづく命令で決着し、ここでも同社は訴えを認めることも否定することもなく、10万ドルの民事制裁金を伴いました。

執行措置が二件あることは、業界全体への判定ではありませんし、釣り合いを取るものを同じ息で言わなければなりません。英国のInformation Commissioner's Officeが2024年に生理と妊活のアプリを調べたとき、重大な法令順守上の問題も、害の証拠も見つからなかったと報告し、あわせて開発者にプライバシーを優先するよう促しました。

健康のアプリ全般についての広い景色は、それほど心地よくありません。だからこそ、決めてかからずに確かめる理由になります。査読のある健康アプリのスコーピングレビューでは、調べられたアプリの多く、23件中20件が、利用者のデータを第三者と共有していました。

もう一つ、人が驚くこと。米国では、自分でダウンロードしたアプリの中にある健康のデータは、たいてい医療のプライバシーの法の対象ではありません。FTC自身の手引きは、人の健康の情報を集める多くの会社 — フィットネストラッカー、食事のアプリ、通信機能つきの血圧計 — はHIPAAの対象ではなく、かわりにFTC法とHealth Breach Notification Ruleが適用される、と述べています。

持っていることと、送ることは別の問い

ここまでは、トラッカーが何を持っているかの話でした。それが次にどこへ行くかは別の地図で、経路もそれ自身のものです。会社、その解析やクラッシュ報告の業者、広告の仕組みがあるなら広告主、事業が売られたときの買い手、そしてロックの外れたスマホを拾った人。その地図は生理のデータは誰が見られるのかに描いてあって、これと並べて読む価値があります。たくさん集めてほとんど送らないアプリもあれば、少ししか集めずに全部送るアプリもあるからです。

データがスマホから出ていかないとき、この二つの問いが一つにつぶれる理由の、作りの側からの議論はプライバシーの約束と作りの違いにあります。短い版はこうです。約束には、意図とはまったく関係のない三つの壊れ方があり、何も持っていないアプリはその三つとも生き延びます。

今週できる四つのこと

1. 自分のトラッカーの表示を読む。 ストアの掲載の「Appのプライバシー」または「データセーフティ」にあります。追跡や広告の下に何か出ていないか見てください。
2. 通信を切って、一日使ってみる。 機内モードでも記録も履歴も予測も動くなら、仕事は端末の上で起きています。
3. メモの欄から、読み上げられたくないものを消す。 決まった形の項目は退屈でいられます。自由に書く文は決してそうなりません。
4. 必要になる前にエクスポートを見つけておく。 記録をそのまま持って出られるアプリは、考えを変えられるアプリです。

Athenaはどうしているか

Athenaは、このサイトの元にあるアプリです。It is on the App Store and Google Play. このサイトに売り物はありませんし、登録するものもありません。この先にあるのは、どう作られているかの説明です。それを照らし合わせる相手は、アプリそのものです。

第一層はスマホの中の非公開のデータベースに書かれます。第二層は、第一層から端末の上で計算されます。アカウントがないので、どちらの層にもサーバー上の写しはありません。第三層は何もないわけではありませんし、そうでないふりをすればこの記事自身の試験に落ちます。アプリはFirebaseに匿名の診断を送ります — どの機能が使われたか、クラッシュの報告、端末の機種 — そこには記録したものも、広告識別子も乗っていません。リストはそれで全部です。

この作りの代償は、はっきり言っておく価値があります。本物の代償だからです。スマホの中にだけあるデータには、自動のバックアップがありません。スマホをなくして、一度もエクスポートしていなければ、記録は消えます。この作りのアプリは、まともなエクスポートを用意する義務があり、こちらは自分のために、それを使う習慣を持つ義務があります。