寝つけない夜のあとに睡眠記録アプリをダウンロードし、ウェアラブル端末を接続して、次々に表示されるアクセス許可の画面で「許可」をタップします。翌朝、睡眠の段階、心拍数のパターン、回復の状態を示すすっきりしたダッシュボードが表示されます。しかし、そのダッシュボードの裏側にある経路は見えないかもしれません。どの情報がスマートフォンに残り、どのデータがアプリのサーバーに届き、外部の分析や広告のパートナーがそれを受け取れるのかどうか、ということです。
この不確かさこそが、健康データのプライバシーの中心的な問題です。病院の患者ポータルと単独のウェルネスアプリは、どちらも心拍数や症状を表示するかもしれませんが、それぞれ異なる法律、契約、技術的なシステム、ビジネスモデルのもとで運営されていることがあります。このガイドでは、こうした層をわかりやすく説明し、意味のあるプライバシーの保護と、アプリの紹介文にある安心させるための言葉とを見分けられるようにします。
健康データのプライバシーが思っている以上に重要な理由
睡眠アプリは、ありふれた測定値を、きわめて個人的なプロフィールに変えることがあります。心拍変動からはストレスや回復の状態がうかがえるかもしれません。夜中に何度も目が覚めることからは、不眠のパターンがわかるかもしれません。症状のメモからは、慢性の病気、服薬の習慣、生殖に関する悩み、メンタルヘルスの問題が明らかになることがあります。アプリがそれを位置情報、デバイスの識別子、年齢、閲覧履歴、購買行動と組み合わせると、情報はさらに機微なものになります。
その流れは見えにくいことがあります。ウェアラブル端末が信号を記録し、スマートフォンがそれを取り込み、アプリが分析し、ソフトウェア開発キット（SDK）が利用状況や測定のデータをリモートのサービスに送ることがあります。そうしたサービスは、クラッシュレポート、製品の分析、パーソナライズ、広告、あるいはプライバシーポリシーに記載されたその他の機能を支えている場合があります。あなたは最初の接続を承認しただけで、一部の情報がどこへ流れるかを決めているのが、アプリの画面そのものではなく、アプリのビジネスパートナーであることに気づいていないかもしれません。
この情報がとりわけ取り替えのきかない理由
パスワードは、漏えいのあとで変更できます。しかし、心臓のリズムの履歴、症状の経過、生殖に関する健康の記録は、そう簡単には取り替えられません。データセットに名前が含まれていなくても、時刻、場所、デバイスの詳細、行動の組み合わせによって、個人が特定できてしまうことがあります。
情報がさらされる規模を見れば、システムの設計がなぜ重要かがわかります。査読付きのレビューでは、2018年に65か国で2,216件の医療分野での情報漏えいが記録され、2005年から2019年の間に2億4,909万人が影響を受け、そのうち最後の5年間だけで1億5,740万人にのぼったと報告されています。同じレビューでは、2005年から2019年までのより広いデータセットで、医療分野での漏えい事案が3,912件確認されています。これらの数字は医療分野の情報漏えいに関する査読付きレビューによるものです。
実践のルール：アプリが「ウェルネス」をうたっていても、心拍数のデータ、症状の日記、睡眠の履歴は機微な情報として扱いましょう。
多くの利用者が見落としているプライバシーの境界
従来の医療に関するプライバシーのルールは、病院、診療所、保険会社、またはそれらと契約しているサービス提供者が保有する情報を保護することができます。しかし、あなたがそのデータを一般向けアプリにコピーしたり、ウェアラブル端末を接続したり、レポートを別のサービスに書き出したりしたときに、保護が自動的にデータについていくわけではありません。
この区別は、一般向けアプリがすべて安全でないという意味ではありません。より正確な問いを立てる必要があるという意味です。誰がデータを受け取るのか？どこで処理されるのか？生の情報は保存されるのか？削除できるのか？アプリは第三者の分析ツールを使っているのか？こうした問いに答えられるようになれば、プライバシーは前提として信じるしかないものではなく、評価できるものになります。
HIPAAとGDPRによる保護を理解する
HIPAAは米国における重要な基準を定めていますが、健康に関連するすべての製品に貼られる万能のラベルではありません。現代のプライバシーの時代は、1996年8月21日のHIPAAの制定にさかのぼるとされることがよくあります。プライバシー規則は2000年12月に公布され、2001年4月14日に施行され、対象となる医療提供者や医療保険のほとんどは2003年4月までに遵守する必要がありました（CDCのHIPAAの年表による）。
HIPAAは一般的に、病院、診療所、医療保険、医療情報処理機関などの対象事業者（covered entities）と、それらのために保護対象の情報を扱う業務提携者（business associates）に適用されます。そのため、病院と提携した患者ポータルはHIPAAの義務のもとで運営されている場合があります。一方、単独の瞑想、フィットネス、症状記録のアプリは、明らかに医療的と感じられる情報を集めていても、対象にならないことがあります。
アプリの表現で確認すべきこと
「HIPAA準拠」という言葉は、話を終わらせるものではなく、実際的な問いを投げかけるきっかけにすべきです。アプリが対象となる医療機関のために働いている場合は、その関係が、保護対象の健康情報の取り扱いに関する責任を定めた業務提携契約（Business Associate Agreement）にもとづいているかを尋ねましょう。「HIPAAに沿った」や「HIPAA対応」といった表現は設計の方針を表すことはあっても、それだけで法的な適用対象であることを示すものではありません。
GDPRの仕組みは異なります。状況によっては、組織が欧州経済領域（EEA）の人々に関連する個人データを処理する場合に適用されることがあります。健康情報は特別な種類の個人データとして扱われ、より強い保護を受け、処理には適用される法的根拠と条件が必要です。また、GDPRでは、アクセス、消去、データポータビリティなどの権利が認められることがありますが、これらの権利には制限がある場合もあります。
| 観点 | HIPAA（米国） | GDPR（EU/EEA） |
|---|---|---|
| 主な適用範囲 | 対象となる医療事業者とその業務提携者 | 該当する状況で、対象となる個人の個人データを処理する組織 |
| 健康情報 | 対象事業者や関連する提携者が保有する保護対象の健康情報 | 健康データは追加の保護を必要とする特別な種類のデータ |
| 同意 | プライバシー規則が許可される利用と開示を定めており、特定の状況で同意が関係する | 同意は法的根拠の一つになり得るが、組織は認められる場合にはほかの正当な根拠に依拠することもある |
| 利用者による管理 | HIPAAの枠組みの中でアクセス権と訂正権が適用される | 制限はあるものの、アクセス、消去、ポータビリティなどの権利が適用されることがある |
| 一般向けアプリ | 対象事業者と関係がない限り、HIPAAの対象外であることが多い | GDPRの地理的・処理上の規定が当てはまる場合には対象となり得る |
プライバシーポリシーはアプリの立場を理解するのに役立ちますが、法令の遵守は最低限の水準にすぎません。生の記録がサーバーに置かれるかどうか、従業員がそれにアクセスできるかどうか、外部のコードがそれを受け取るかどうかを決めるのは、技術的な設計です。利用者が求めるべきシステムの設計やデータの取り扱いの詳しさの一例として、Cardiogramのプライバシーポリシーをご覧いただけます。
技術的なプライバシーのモデルのしくみ
プライバシーの設計によって、どれだけの情報がデバイスの外に出なければならないかが決まります。安静時心拍数の推移を計算する二つの健康アプリを考えてみましょう。一方は、分析のために生の測定値をサーバーに送ります。もう一方は、推移をスマートフォン上で計算し、結果を端末内か保護された個人用のバックアップに保存します。画面は似ていても、記録は異なるシステムを通り、異なる経路でさらされることになります。
処理する場所によってリスクが変わる
デバイス上での処理では、センサーのデータはスマートフォンの中にとどまります。スマートフォンが信号を読み取り、計算を行い、生の入力データを企業のサーバーに送ることなく結果を表示します。これにより、元の記録を受け取り保護しなければならないシステムの数が減ります。ただし、すべてのリスクがなくなるわけではありません。乗っ取られたデバイス、スクリーンショット、書き出し、接続した連携サービスを通じて、情報がさらされる可能性は残ります。
Appleは、ヘルスケアとHealthKitのデータはデバイス上で暗号化され、パスコード、Touch ID、Face IDでデバイスのロックが解除されたときにのみアクセスできると説明しています。2ファクタ認証を有効にし、対応するiOSのバージョンを使っていれば、iCloudを通じて同期されるヘルスケアのデータにはエンドツーエンドの暗号化が適用され、Appleはその内容を読むことができません。これはヘルスケアデータのセキュリティに関するAppleのガイダンスに記載されています。
アクセス許可も、もう一つの関門です。健康データのフレームワークでは、アプリが歩数や心拍数など特定のカテゴリーを要求でき、読み取りのアクセスと書き込みのアクセスを分けることができます。それぞれの要求を、アプリが示している目的と照らし合わせて確認しましょう。心拍数を分析するツールには測定値が必要かもしれませんが、連絡先、無関係な位置情報の履歴、健康記録を書き換える許可まで自動的に受け取るべきではありません。
暗号化は異なる場面を守る
通信中の暗号化は、情報がネットワーク上を移動している間に保護します。外部の人が通信を読むのを防ぐことはできますが、受け取る側のサービスはデータを開いて処理できる場合があります。保存時の暗号化は、デバイスやサーバーに保存された情報を保護します。届けられたあとの中身を金庫が守るのと同じようなものです。
エンドツーエンドの暗号化は、さらにその先を行きます。送信者が情報を暗号化し、復号できるのは想定された利用者のデバイスだけで、サービス提供者は内容を確認できません。これにより、提供者がデータでできることが制限されます。ただし、最終的に誰がアクセスできるかに影響するため、アカウントの復旧やバックアップの設計も引き続き重要です。
Appleはまた、傾向、ハイライト、安静時心拍数、周期記録の予測など、ヘルスケアの一部の指標はデバイス上で計算されると述べています。ヘルスケアのプライバシーに関するホワイトペーパーは、生の信号を端末内に残すことと、推論のためにクラウドサービスに送ることの違いを示しています。
設計のテスト：その機能を提供するために、提供者があなたの生の記録を必要としているかを尋ねましょう。必要でないなら、ローカルでの処理と最小限の収集によって、通常はさらされる範囲が小さくなります。
差分プライバシーは、集計結果に管理されたノイズを加えることで、もう一つの保護の層を加えることができます。これにより組織は、個人の記録を公開することなく、大まかなパターンを研究できます。とはいえ、魔法の消しゴムではありません。実際の結果は、実装、設定、アクセス管理、保存期間によって引き続き左右されます。
形容詞ではなく、証拠を探しましょう。独立したセキュリティ監査、ペネトレーションテスト、わかりやすい技術文書、検証可能なオープンソースの構成要素は、「軍事レベル」といった言葉だけよりも大きな安心材料になります。
デバイス上での処理とクラウド同期の比較
ローカルでの処理では、測定値はスマートフォンの中にとどまります。クラウド同期では、測定値が提供者のインフラに送信されます。どちらの方法でも役に立つ健康機能を支えることはできますが、心拍数の測定値、症状のメモ、ウェアラブル端末のデータに対して、異なるプライバシー上のリスクを生みます。
ラベルよりも、データの経路のほうが重要です。アプリは結果をデバイス上で計算することもあれば、個人用のバックアップサービスを通じて記録をコピーすることも、生の情報を自社のサーバーにアップロードすることもあります。経路によって、誰がデータを保存し、復旧し、分析し、サポートの依頼に対応できるのかが変わります。
ローカルのモデル
ローカルでの処理は、心拍変動、詳しい睡眠のパターン、症状のメモなど、アプリの会社に持たせたくない情報に向いていることがあります。スマートフォンは、元の測定値をリモートのシステムに送ることなく、パターンを計算できます。これにより、サーバーのデータベース、分析の処理経路、従業員によるアクセスを減らすことができ、常に接続していなくても機能が動き続けることがあります。
その代わりに失われるのは継続性です。デバイスが故障し、保護されたバックアップがなければ、ローカルに保存された情報を復旧するのは難しいか、不可能なことがあります。また、ローカルのアプリでは、複数のデバイスからのアクセスが限られることもあります。医師とレポートを共有する前に、自分で書き出しを管理しなければならないかもしれません。
アクセス許可の設定だけでは、処理がローカルにとどまっていることの証明にはなりません。アプリが受け取るのが推移などの結果だけなのか、それともそれを計算するのに使った生の測定値までアップロードしているのかを確認しましょう。プライバシーの違いは、計算用紙をすべて手渡すのではなく、仕上がった計算結果だけを受け取ることに似ています。
クラウドのモデル
クラウド同期を使うと、復旧やアクセスが簡単になります。スマートフォンを買い替えたあとに履歴を復元したり、複数のデバイスを使ったり、手作業でファイルを書き出さなくてもバックアップを維持したりできます。こうした利便性には、アプリケーションサーバー、バックアップシステム、ログ、サポートのシステム、連携サービスなど、守らなければならない場所が増えるという面もあります。
実際に問うべきは、情報を保存しているのが誰のクラウドかです。どのような暗号化が適用されているのか、鍵を管理しているのは誰か、提供者が内容を読めるのかを確認しましょう。エンドツーエンドで暗号化された個人用のクラウドバックアップは、アプリの会社が読める状態のコピーを保持する第三者のストレージとは、プライバシー上の経路が異なります。ウェアラブル端末が心拍数のデータをスマートフォンに送り、スマートフォンが選んだ記録を個人のアカウントに同期し、アプリがそれとは別に症状を自社のサーバーにアップロードする、ということもあり得ます。
医療提供者のレベルのプライバシー保護が、一般向けのデータとともにすべてのアプリに自動的についていくわけではありません。病院と連携したサービスは規制された関係の中で記録を扱っているかもしれませんが、独立したウェルネスアプリは独自のポリシーのもとで運営されているかもしれません。健康に関連するデータがすべて同じ保護を受けていると考えるのではなく、経路と責任を負う組織を確認しましょう。
| 問い | デバイス上で処理する設計 | クラウド同期の設計 |
|---|---|---|
| 生データの場所 | 主にデバイスの中にとどまる | 提供者のインフラに送信されることがある |
| 復旧 | デバイスと利用できるバックアップによる | 通常はアカウントにもとづく復元に対応している |
| さらされる範囲 | サーバー側の範囲が小さい | より多くのシステムや連携サービスを保護する必要がある |
| 複数のデバイスでの利用 | 限られることがある | 通常はより便利 |
| 削除の複雑さ | デバイスと個人用のバックアップが中心 | サーバー、バックアップ、書き出したデータ、パートナーまで考慮しなければならない |
どちらのモデルも、自動的に安全というわけではありません。ローカルのアプリでも、過剰なアクセス許可や安全でない書き出しによってデータがさらされることがあります。クラウドのアプリは、強固なアクセス管理とエンドツーエンドの暗号化で情報を守ることができても、より多くのコピーを保持し、より多くのアクセスの入り口を生むことがあります。データの機微さと機能の目的に合った設計を選びましょう。こちらのデジタルヘルスソリューションの概要では、ソフトウェアの設計が健康に関わる作業の流れにどう影響するかについて、さらに詳しく説明しています。
健康アプリのプライバシーに関する主張を見極める
プライバシーに関する主張は、宣伝文句として読むのではなく、データの経路を点検するつもりで読みましょう。症状を入力したりウェアラブル端末を接続したりする前に、次の問いを確認していきます。
法的な関係から始める
開発者の法的な身元を確認し、そのアプリが病院、診療所、保険会社、その他の対象となる医療機関と関係しているかを確かめましょう。アプリがHIPAAの対象であると主張している場合は、対象となる関係と、関連する業務提携者としての責任についての説明を探します。対象であると主張していない場合は、開発者が別の説明をしていない限り、一般向けのサービスにはHIPAAが適用されない可能性があると考えましょう。
これは品質についての評価ではありません。法律からどんな保護を期待でき、どんな保護はアプリ独自のポリシーと設計に頼らなければならないかを教えてくれるものです。
共有に関する項目を注意深く読む
分析、広告、パートナー、データブローカー、サービス提供者、研究、匿名化されたデータといった言葉を探しましょう。「信頼できるパートナー」という表現よりも、具体的なカテゴリー、明示された目的、どの項目がアプリの外に出るのかについての明確な説明のほうが役に立ちます。
組み合わせにも注意しましょう。アプリが健康データを販売しないとうたいながら、広告や効果測定のために、第三者が識別子、イベントデータ、デバイス情報を受け取ることを認めている場合があります。ポリシーが「販売」という言葉を避けていても、こうした詳細は重要になり得ます。
アクセス許可を機能と比べる
アクセス許可の要求は、アプリの機能とはっきり結びついているべきです。瞑想アプリが連絡先を要求しているなら、詳しく確認する必要があります。月経記録アプリが無関係な位置情報へのアクセスを求めているなら、説明が必要です。心拍数の分析ツールが心拍数への読み取り専用のアクセスを要求するのは、健康記録全体への広い書き込みアクセスを要求するよりも、ずっと正当化しやすいものです。
OSのアクセス許可の設定を使って、その機能に必要のないカテゴリーは拒否しましょう。アプリが要求するアクセスは変わることがあるため、アップデートのあとにはアクセス許可を見直してください。
約束を自分で確かめる
アプリに頼る前に、次のような機能があるかを確認しましょう。
- データの書き出し：サポートに問い合わせることなく、記録の使えるコピーを入手できるか？
- アカウントの削除：削除の説明に、現在の記録、バックアップ、ログ、法律上保持される情報がどうなるかが含まれているか？
- 同意の管理：無関係な機能を失うことなく、アクセス許可を取り消せるか？
- 処理の詳細：ヘルプセンターに、分析がデバイス上で行われるのか、リモートのサーバーで行われるのかが記載されているか？
- セキュリティの証拠：開発者が、監査、ペネトレーションテスト、暗号化、アクセス管理について、評価できるほど詳しく説明しているか？
役に立つ警告サイン：「サービス提供者」へのあいまいな言及は、それ自体が不適切というわけではありませんが、その提供者が何を受け取り、なぜ受け取り、どのくらいの期間保持するのかを尋ねるきっかけにすべきです。
プライバシー・バイ・デザインのアプリは通常、初期設定で収集を最小限にし、アクセス許可を分け、不要な第三者のソフトウェアを避け、データのライフサイクルを説明しています。こうした選択が完璧な保護を保証するわけではありませんが、バッジやスローガンよりも強い証拠になります。
自分なりのプライバシーの枠組みをつくる
健康データのプライバシーは、すべてか無かの問題ではありません。情報の機微さ、機能から得られる利益、そして記録がほかの人の手に渡った場合の影響にもとづいて行う、一連の判断です。
まずは、メンタルヘルスに関する詳しいメモ、生殖に関する健康の情報、慢性の病気に関連する記録など、機微さの高いデータから始めましょう。デバイス上での分析、可能な限り読み取り専用のアクセス、限られた書き出し、不要なクラウドのコピーを置かないことを優先します。同期を使う場合は、暗号化のモデルを確認し、復号の鍵を誰が管理しているのかを理解しておきましょう。
機微さが中程度のデータには、睡眠の記録、運動の履歴、一般的なフィットネスの指標などが含まれます。復旧や複数のデバイスからのアクセスが重要な場合は、暗号化されたクラウド同期が妥当な選択肢になることがありますが、提供者の共有に関するポリシーを確認し、もう使っていない古い連携サービスは削除しましょう。
機微さの低いウェルネスデータでは、利便性をより重視するのも妥当でしょう。それでも、機能に必要なアクセス許可だけを与え、強力なパスコードでスマートフォンを守り、アプリが必要としない場合は個人を特定できる情報を入力しないようにしましょう。
管理を重ねる
一つのラベルに頼るのではなく、三つの層を使いましょう。
- 規制の層：対象となる医療上の関係や、適用されるデータ保護法が処理を規律しているかどうかを確認します。
- 技術の層：デバイスの暗号化、アプリのアクセス許可、ローカルでの処理、エンドツーエンドの暗号化、サーバーでの保存を確認します。
- 行動の層：アクセス許可を点検し、ポリシーの変更を確認し、重要な記録を書き出し、必要に応じて削除を依頼します。
自分なりの脅威モデルを持つと、これらの層を実践に移しやすくなります。機微な診断を抱えている人は、スムーズなアクセスよりも、コピーを最小限にすることを優先するかもしれません。一般的な活動を記録している人は、継続性と引き換えに、信頼できるバックアップを受け入れるかもしれません。どちらの選択も、誰にとっても正しいというわけではありません。
判断の原則：必要な機能が得られる範囲で、最も機微さの低い情報を共有しましょう。そして、アプリ、デバイス、健康状態、ポリシーが変わったときには、その選択を見直しましょう。
整理されたレポートや設定可能なまとめが必要な場合は、こちらのレポートのカスタマイズガイドで、カスタマイズが収集・書き出しされるデータにどう影響するかを確認しましょう。同じ枠組みが当てはまります。入力、処理する場所、受け取る相手、そして生まれるコピーを理解することです。
健康データの同意に関するよくある誤解
「同意する」をタップしても、情報の将来のあらゆる利用を永久に管理できるようになるわけではありません。一般向けアプリでは、同意によって最初の収集が認められる一方で、分析、サービス提供者、研究、広告、あとからの変更については、ポリシーの別の文言が適用されることがあります。同意はプライバシーの盾ではなく、確認の始まりとして扱うべきです。
また、アプリを削除することは、データを削除することと同じではありません。スマートフォンから画面を消しても、サーバーの記録、同期されたバックアップ、書き出したデータ、ログ、すでに別の組織と共有された情報は残っているかもしれません。削除がどこまで及ぶのか、集計された情報や法律上保持される情報には別の手続きが適用されるのかを、開発者に尋ねましょう。
「匿名」という言葉にも同様に注意が必要です。名前のない記録でも、日付、場所、デバイスの詳細、特徴的なパターンが含まれていれば、別のデータセットと組み合わせることで再識別が可能になることがあります。健康データのプライバシーは、直接の識別子が取り除かれているかどうかだけでなく、状況全体によって決まります。
GDPRにおける同意も、唯一の法的根拠というわけではありません。状況によっては、関連する要件を満たしていれば、組織は正当な利益など、ほかの法的根拠にもとづいて情報を処理することがあります。だからこそ、アクセス許可の画面だけでは、すべてはわからないのです。
より良い習慣は、アクセス許可、共有の設定、接続しているサービス、保存期間についての約束を定期的に点検することです。今日共有したデータは、あなたが自分で見直していない条件のもとで、今後も利用可能なまま残ったり、コピーされたり、別の目的に使われたりするかもしれません。
Cardiogramは、HealthKitへの読み取り専用アクセスを使ってヘルスケアの心拍数データをデバイス上で分析し、サーバー側にユーザーアカウントを持つのではなく、利用者自身のiCloudの環境を通じてアプリのデータを同期します。この設計があなたのニーズに合うなら、Cardiogramにアクセスして、プライバシーへの配慮を見える形に保ちながら、心拍数のパターン、症状、推移を医師に見せられるまとめに変えるしくみをご確認ください。
