生理のデータは誰に見えるのか — 正直な地図

周期のデータがスマホの外に出ないなら、正直な答えは「誰も」です。外に出るなら、答えは名前ではなく経路の一覧になります。 経路は七つあります。会社そのもの、分析やクラッシュ報告を動かすために会社が雇う業者、広告のモデルを持つアプリでの広告主、事業が売られたときの買い手、侵入があったあとの攻撃者、データを持っている相手に適法な要求を出す当事者、そしてロックのかかっていないスマホを手に取った人。最後の一つがいちばん起こりやすく、誰も備えていないものです。どの経路が開いているかは、データがどこに保存されているかで決まります。会社の言葉がどれだけ誠実に聞こえるかではありません。

このページは経路の地図です。どのアプリについても、そこに何かを送ったとは名ざしません。生理管理アプリについて規制当局が記録した件はこれまでに二つだけで、それは下に当局自身の言葉で置いてあります。ここにあるそのほかはすべて、ソフトウェアがどう作られるかという話です。

悪者ではなく、形から始める

このページのどの問いも、最初の一歩は同じです。データがどこに置かれているかを調べること。形は三つあり、それぞれ違う経路を開きます。

アプリがスマホの中のデータベースにだけ書き込み、周期を含む通信を一切しないなら、下の地図のほとんどはそのまま閉じています。業者が受け取るサーバー上の複製も、買い手が引き継ぐものも、攻撃者が届くものも、誰かが求められるものもありません。アプリがアカウントの後ろでクラウドへ同期しているなら、その経路はすべて開いています。会社がそれを使ったことがあるかどうかとは関係ありません。スマホが、会社の持つデータベースをのぞく窓なのだとしたら、同じことが言えて、しかもその複製のほうが原本です。

どれも告発ではありません。作りのうえで何が可能かという説明で、この話題の中で自分で確かめられる唯一の部分です。そもそもアプリが何を持っているのかは別の問いで、生理管理アプリが実際に集めているもので答えています。

七つの経路

最後の列を上から下まで読むと、一つの形が繰り返されています。七つのうち六つの経路は同じ理由で閉じていて、その理由は約束ではありません。向こう端に何もない、ということです。

軽く見られている三つ

買い手。 どのプライバシーポリシーでもいちばん静かな条項で、ほとんどの場合は末尾のあたりにあります。たいていは、データは事業とともに買い手へ渡ると書いてあります。その上に並ぶ良い文はすべて — 共有についての誓い、名ざしされた業者、保存期間の上限 — 今の持ち主が書いた方針で、新しい持ち主は新しい方針を書けます。判断しているのは目の前の会社だけではありません。あとでそれを持ちうるすべての会社です。

侵入。 保存時の暗号化は、ディスクを持ち去った相手からデータベースを守ります。アプリケーションとして中に入った相手からは守りません。アプリケーションは動くためにデータを読めなければならないからです。これは誰かの技術への批判ではありません。「すべて暗号化しています」が、人が尋ねたつもりの問いより狭い問いに答えている理由です。

スマホを持っている人。 パートナー、親、同居人、机の上から取り上げた職場の誰か。サーバーも業者も方針も関わりません。生理の記録が、向けられていない相手に読まれる道としては、これが大きな差でいちばん多いものですし、それに効く二つはアプリロックと、具体的なことを言わないロック画面の通知です。どちらも設定に一分しかかかりませんし、ほとんど誰も設定していません。

規制当局が実際に見つけたもの

ここは、インターネットがいちばん騒がしく、証拠がいちばん薄い部分です。ですから、意味のある言い回しのまま、すべてを置きます。

2021年1月、米国の連邦取引委員会（FTC）は、広く使われている妊活アプリの開発元との和解を公表しました。FTCの申立ては、同社が利用者の健康データを非公開に保つと約束しながら、第三者の分析事業者に開示していたと主張していました。同社は和解し、申立てを認めも否定もせず、今後は健康データを共有する前に明示的な同意を得ることに合意しました。

2023年5月、FTCはある排卵アプリの開発元を、利用者の機微な個人情報を第三者と共有し、その通知を怠ったとして、健康情報漏えい通知規則（Health Breach Notification Rule）違反で提訴しました。この件も合意による命令で決着し、やはり同社は申立てを認めも否定もしていません。

この二つに対して、同じ息で並べるべき重しがあります。英国の情報コミッショナー事務局（ICO）が2024年に生理・妊活アプリを調べたとき、重大な法令遵守上の問題や被害の証拠は確認されなかったと報告し、あわせて開発者にプライバシーを優先するよう求めています。

この周りの分野になると、居心地はもう少し悪くなります。査読を経た健康アプリのスコーピングレビューは、調べたアプリの大半、23のうち20が利用者のデータを第三者と共有していたとしています。特定の名前について最悪を決めてかかるのではなく、経路を尋ねるべき理由がそこにあり、Googleが開発者に、アプリがどのようにデータを収集・共有・取り扱うかを「データセーフティ」の欄で申告するよう求めている理由でもあります。

法律は、思われているほど守ってくれないかもしれません

多くの人は、アプリの中の健康情報は医療のプライバシー法に守られていると思っています。米国では、たいていそうではありません。FTC自身の手引きは、人の健康情報を集めている多くの企業 — フィットネストラッカー、食事アプリ、通信機能のある血圧計 — はHIPAAの対象ではなく、かわりにFTC法と健康情報漏えい通知規則が適用されると述べています。

それは実際の保護ですし、上の二件を生んだのもそれです。同時にそれは、開示が起きたあとに知らされることについての決まりが大半で、開示が起こりえないこととは別の種類の保護です。このページにあるものは法的助言ではありませんし、権利は住んでいる場所によって変わります。ここで言いたいことはもっと狭く、仕組みについてのことです。決まりは会社に「知らせよ」と命じられます。送られた要求を取り消すことはできません。

自分のリストを短くするには

四つ、効く順に。使っているアプリにアプリロックをかけ、ロック画面の詳しいプレビューを切ること。通信を切った状態で動くかを確かめること。機内モードで動きつづけるアプリは、計算を目に見えるところでしているということだからです。ポリシーの見出しではなく、売却と合併の条項を読むこと。そしてエクスポートの場所を見つけること。あとで気が変わっても何も失わずにすみます。

手順の全部を時間つきで並べたものが10分のプライバシー確認にあり、なぜ作りが約束に勝るのかという話は何がアプリを本当にプライベートにするのかにあります。その全部の外に立っていたいなら、印刷用生理カレンダーにはこれらの経路がそもそも一つもありません。紙に業者はなく、買い手もなく、侵入もありません。同時にバックアップもなく、それは同じ取引が別の上着を着ているだけです。

Athenaはどうなのか

Athenaはこのサイトの元にあるアプリです。It is on the App Store and Google Play. このサイトで売っているものは何もありませんし、登録するものもありません。以下は、それがどう作られているかの説明です。確かめる相手はアプリそのものです。

周期のデータはスマホの中の非公開のデータベースに書かれ、予測は端末の上で計算されます。アカウントがないので、業者や買い手や攻撃者や要求が届くサーバー上の複製もありません。では何が出ていくのか、そしてこのページがそれを省いたら不誠実になることは何か。アプリはFirebaseに匿名の診断を送ります — どの機能が使われたか、クラッシュの報告、端末の機種とOSのバージョン — そこには記録したものも広告識別子も乗っていません。七つ目の経路、スマホを持っている人は、作りではまったく閉じられません。だからこそ、アプリロックと静かな通知は、たいていのプライバシー機能より価値があります。

この設計の代償は、こういう記事なら声に出して言うべき一つのことです。端末の中だけということは、自動のバックアップがないということです。何もエクスポートしないままスマホをなくせば、これまでの記録は失われますし、誰も持っていなかったものをサポートが戻すことはできません。

それまでのあいだ、このサイトのツールが、アプリのする計算をします。周期の長さ計算ツールは、いくつかの開始日から平均、いちばん短い周期といちばん長い周期、そしてそのまわりの散らばりを出します。自分の周期がどれだけ読めるものかを実際に教えてくれるのは、その数字です。