■接触確認アプリがもたらすプライバシーリスク

リリースもされたので、考えていたことを少し書いておこうと思う。

接触確認アプリは、仕組みの説明やQ＆Aにおいて、個人情報や位置情報を収集することはないと度々説明されている。だからといって利用者の個人情報や位置情報が、不本意に第三者に漏れるといったことが起きないかというと、そういうわけでもないだろう。接触確認アプリ単体では個人情報や位置情報の収集が行われなくとも、別の第三者や企業から個人情報や位置情報が収集可能になる機会は増加する。

アプリ利用者の場合

アプリを利用するユーザーの場合を想定してみよう。

接触確認アプリが普及すればするほど、Bluetoothを普段からオンにしたままにするユーザーの割合が増えることになるだろう。普段はBluetoothをオフにして必要な時だけオンにしていたユーザーは行動を変化させることになるし、今までBluetooth対応機器やビーコンを用いたサービスを使ったことがなくBluetoothって何？といった認識であったユーザーも、Bluetoothを常時オンにすることになる。

Bluetoothを常時オンにしておくことで、個人情報が漏れるようなケースはいくつか存在する。

例えば、iPhoneがBluetoothで検出される時に、良く「誰々のiPhone」とか、そういう名前で検出されてしまうけれど、これは典型的な個人情報ではないのか。一般的なユーザーが普通にセットアップしたらその状態になるのだから、情弱だとか馬鹿にするのはまったくもって正しい態度ではない。(常時垂れ流しているわけではなくて、これはAirDropの問題の方が大きいけれど)

また接触確認アプリ単体では、ランダムで頻繁に変更される識別子を用いていても、他にインストールして利用しているアプリでは、ビーコンとの接触ログを記録したり、位置情報の記録や来店計測などに用いられるということは考えられる。Bluetoothを常時オンにしておくことで、こういった企業に位置情報が把握される頻度は高くなる。

コロナウイルスに感染した場合

感染した場合のケースも考えてみよう。

陽性反応が出たユーザーに対する説明なので、より詳細なリスクの説明はもっぱらオフラインで行われることになるのだろうけれど、具体的にどのような説明が行われるのかは、Webサイトの利用規約やプライバシーポリシーを見てもFAQを見ても、いまいち良く分からない部分だ。

もしあなたが「コロナウイルスに感染した」ということを隠したまま、接触ログだけを相手に通知したいと願っていても、通知を受けた相手から見て、誰が感染者であったのかということの予想が付くようなケースは発生するだろう。

例えば、濃厚接触の通知を受けたユーザー側が、期間内にごく少数の人間としか接触していなければ、誰が陽性だったのかを、少数に絞り込んだり特定することが出来るだろう。あるいは通知を受けたユーザーが複数の人間と接触していても、引きこもりなどで「健康情報を把握できる関係の人間(同居人や家族など)」と、プラスアルファで少人数としか接触していないような場合には、やはり誰が陽性だったのかを絞り込めるだろう。

もし、接触ログを提供するにあたって「個人情報は提供されないので安心してください」とか「通知を受ける人からは誰と接触したのかは分かりません」とか、そういう説明がなされてしまったら、それは嘘になってしまう。「感染者数や、被接触者数が少ない場合には、あなたが感染者であるということが通知を受けた相手から特定可能な場合があります」というのが正確な説明になる。

これが中央集権型で接触データがサーバー上で管理されているのであれば、接触ログが少ない端末には(感染者特定のリスクが高まるので)接触した相手には悪いけれど通知しない、といったアプローチもありうるだろう。Google/Appleの接触確認のAPIは、分散型のアプローチを選択したので、感染者が誰であったのかの特定リスクがどの程度あるかについて、感染者側から事前に正確に予測することは困難であるのだし「こいつには感染したことを知られたくない/通知したくない」という相手がいたとしても、選ぶことは出来ない。

位置情報についても、特定日付の感染者数が十分に少なければ、感染者が特定の場所に滞在していたことが特定されやすくなるだろう。

接触確認アプリの利用者側も、通知を受けたことを過度に騒ぎ立ててしまうと、その行動によって誰かのプライバシー(誰と会った、どこに滞在していた、だったり)を侵害してしまう可能性があるということを気に留めておくべきだろう。

まとめ

接触確認アプリのプライバシーリスクについて書いてみたわけだけれども、自分は接触確認アプリの普及の妨げになるようなことをしたいわけではない。総合して見ると接触確認アプリへの取り組みは素晴らしいものだと考えているし、多くの人が利用すべきだとも思っている。

もし自分が感染者になった場合に、どの店を利用したのかとか、誰と接触したのかとか、根掘り葉掘り聞かれるよりは、接触確認アプリによるログ提供の方が遥かにマシだろう。「いつどこに行きました」ぐらいなら本人のプライバシーということになるだろうが「誰と会いました」という情報であれば相手もいる。本人だけの問題ではない。個々人のプライバシーは誰か他人のプライバシーを内包していることもある。プライバシーというのは個人の選択であると同時に、社会全体の選択だ。

正しくリスクが説明されないまま、嘘の説明で同意を得ることが起きてはならないと思う。個人情報は収集されません、特定されません、位置情報は記録されません、安心安全です、だから同意して下さい、というのは違う。

公衆衛生のためにプライバシーが犠牲になる側面があることは、接触確認アプリにおいても変わりはなく、その侵害の度合を最小限に留めるように努力しているというだけだ。

Permalink | 記事への反応(11) | 20:37

ツイートシェア