生理トラッカーアプリの大半がデータを第三者へ送信
原題: Your Period Tracker Is (Probably) Spying on You
なぜ重要か
生殖健康データの外部流出リスクが実証されたことで、規制当局や開発者に対してプライバシー設計の見直しを迫る重要な契機となる。
Mozilla財団とHarvard大学Berkman Klein Centerが共同で実施した6つの人気生理トラッカーアプリの監査により、星占いテーマのアプリ「Stardust」がプライバシーポリシーに記載のないデータ会社へ生殖健康情報を送信していることが判明した。唯一満点を獲得したのは非営利運営の「Euki」のみで、Starduxは10点中2点と最低評価だった。
BBCが最初に報じ、Mozilla財団がHarvard大学Berkman Klein Centerとの共同研究として発表した監査結果によると、6つの主要な生理トラッカーアプリのうち、プライバシー保護で満点を獲得したのは非営利団体が運営する「Euki」のみだった。
Mozillaの研究者Shoshana Wodinskyは、星占いをテーマにした人気アプリ「Stardust」が、ユーザーがアプリを開いた瞬間——何も入力する前から——サードパーティのトラッカーへ通信を送っていることを発見した。ユーザーが症状を記録すると、生理周期、避妊方法、妊娠状況、気分、さらには「胸の張り」「胃けいれん」といった具体的な身体症状が、プライバシーポリシーに名前の記載がない分析企業「RudderStack」へ、永続的なユーザーIDとともに送信される。アプリ内にこの共有をオフにする手段は存在しない。RudderStackはデータをさらに別の宛先へ転送する設計になっており、Mozillaにはその転送先を確認する手段がなかった。また、Stardustはアプリ内での行動をFacebookの既存プロフィールと紐付ける広告識別子をFacebookにも提供していることが確認された。Stardustはメディア取材に対し、「ユーザーデータに関して法的要求を受けたことは一度もない」と回答した。評価スコアは10点満点中2点と、6アプリ中最低だった。
一方、唯一満点（10点）を獲得した「Euki」はアカウント登録不要で、健康データは端末外に送信されない。PIN設定、データの自動削除スケジュール、第三者が強制的にスマートフォンを開けようとした場合に備えたダミー画面機能も搭載している。唯一の課題として、教育ページ用のアプリ内ブラウザが一般的なトラッキング技術を読み込む点が挙げられた。
この監査は、米国でのRoe v. Wade判決覆廃後、生殖健康データのプライバシー保護への関心が高まる中で実施されたものである。