生理管理アプリは安全？記録が示す実態

正直な答えはこうだ。それは完全にアプリの作られ方次第であり、法律の多くがあなたを守ってくれないからだ。消費者向けの生理トラッカーはHIPAAの対象外である——米国の医療プライバシー法は医療提供者や保険会社に適用されるのであって、ウェルネスアプリには適用されない。つまり、アプリ自体のアーキテクチャとプライバシーポリシーが、事実上すべてを決めているということだ。

記録に残る失敗はすべて同じ構造を持つ。2021年、FTCは最も人気のあるトラッカーFloが、2016年から2019年にかけて埋め込まれたソフトウェア開発キット（SDK）を通じて、妊娠状態を含むユーザーの健康データをFacebookとGoogleの分析部門と共有していたと主張した。これは自社のプライバシー上の約束に反するものだった。2023年、FTCは排卵アプリPremomを、Google、AppsFlyer、および中国拠点の2社の分析企業と、同意なしに健康データを共有していたとして訴えた。2016年、Consumer Reportsは、Glowアプリのパスワード変更フローに欠陥があり、誰でも他人のアカウントを乗っ取って妊活データを読み取れる状態だったことを発見した。

これらの事例はいずれも、誰かが生理を記録していたことが原因で起きたわけではない。データが端末の外に出たこと——広告SDKへ、あるいは管理の甘いサーバーへ——が原因だった。評価すべき変数はそこにある。記録するかどうかではなく、あなたのデータが物理的にどこにあり、その場に他に誰がいるのかということだ。

記録に残る事例と、インターネット上の噂とを切り分けることには意味がある。記録には4つの中核的な事例がある。

Flo Health: FTCの2021年の訴状は、Floがプライバシーを約束していたにもかかわらず、2016年から2019年にかけてユーザーの生理・妊娠データをサードパーティの分析企業と共有していたと主張した。Floは不正を認めないまま和解した。関連する集団訴訟は2025年に決着し、Googleが4,800万ドル、Floが800万ドル、分析企業Flurryが350万ドルを支払い——合計5,950万ドルの基金となった。一方で連邦陪審は別途、MetaがFloユーザーのデータ収集についてカリフォルニア州の盗聴防止法の下で責任を負うと認定した。和解した全企業は不正を否定している。

Premom: 2023年、FTCは製造元が、識別可能な健康情報と精密な位置情報を、中国拠点の2社を含むサードパーティの分析企業とユーザーの同意なく共有していたとして訴えた。同社は10万ドルの制裁金を支払い、広告目的での健康データ共有を永久に禁止された。

Glow: カリフォルニア州司法長官は2013年から2016年にかけてのセキュリティ上の欠陥を理由に、2020年にGlowと25万ドルで和解した。その欠陥には、誰でも他のユーザーのパスワードを変更できてしまうというものが含まれていた。

業界全体: Mozillaによる2022年の生殖健康関連アプリ・デバイス25件のレビューでは、そのうち18件に「Privacy Not Included」という警告ラベルが付けられ、8件が最低限のセキュリティ基準を満たせなかった。これは2022年時点のスナップショットであり——慣行は変化する——それでも、脆弱なデフォルト設定がいかに広く蔓延していたかを示している。

この懸念は2022年のDobbs判決以降、広く広がったため、正確な答えが必要だ。実際の起訴事例を追跡しているElectronic Frontier Foundationを含むデジタル権利団体は、中絶関連の裁判において生理アプリのデータが決め手となる証拠になった例はないと報告している——決め手となったのはテキストメッセージ、検索履歴、ソーシャルメディアのメッセージだった。つまり、記録されているリスクは見出しが示唆したよりも低い。

しかし「なっていない」ことは「なり得ない」ことを意味しない。企業のサーバーに存在するデータは、原理的には召喚状の対象になり得るし、アプリごとに対応の仕方は大きく異なる。MIT Technology Reviewは2022年6月、Stardustの当時のプライバシーポリシーが「法的に要求されるか否かにかかわらず」当局とデータを共有すると記していたと報じた（この文言は後に同社によって修正された）。一方、ベルリンを拠点とするClueは、GDPRの下では健康データに関する米国の召喚状には応じないと述べていた。

ポリシーの文言にかかわらず、構造的な論点は変わらない。召喚状は、どこかに存在するデータにしか届かない。あなたの周期履歴があなたの端末にのみ保存され——どのサーバーにもなく、どのアカウントにも紐づいていない——のであれば、法的請求が狙えるサードパーティのコピーは存在しない。これが、法律レベルの懸念に対するアーキテクチャレベルの答えである。

いいえ——そしてこれは、おそらくこの分野で最も重大な誤解だ。HIPAAは「対象事業体」、つまり医療提供者、健康保険会社、そしてその業務提携先をカバーする。App Storeからダウンロードした消費者向けアプリはそのいずれでもない。婦人科医のカルテはHIPAAで保護されているが、同じ情報を生理アプリに入力しても、一般的には保護されない。

代わりに適用されるのは、寄せ集めの規制だ。FTC法の欺瞞的行為の禁止（これがまさにFloを捕らえたもの——プライバシーを約束しながら実行しなかった）、FTCのHealth Breach Notification Rule（Premomに対して、その歴史上2件目の執行措置として使われた）、カリフォルニア州のCMIAのような州法、そしてヨーロッパのユーザーに対するEUのGDPR。これらはいずれも、破られた約束を事後に罰するものであり、プライバシーポリシーの細字でそれを開示している限り、アプリがあなたのデータを共有すること自体を防ぐものではない。

実務上の結論: プライバシーポリシーを読むことは、あなたが使うほぼどのアプリよりも、生理アプリにおいて重要だ。特に「パートナー」や「サービスプロバイダー」と何が共有されるか、データが広告に使われるかどうか、そして法的請求についてポリシーが何と述べているかを確認してほしい。

5つの確認項目がリスクの大半をカバーする。そのすべてが、記録された失敗が実際にどう起きたかに直結している。

1. データはどこに存在するか？ 端末内保存であれば、サーバー側にコピーは存在しない——利用できる中で最も強力な保証だ。データがクラウドに送られる場合、このリスト上の他のすべての項目がより重要になる。

2. サードパーティ製SDKがあるか？ 2件のFTCの事案（Flo、Premom）はいずれも、埋め込まれた分析・広告用SDKを流出経路として記述している。アプリが広告を表示している、あるいはそのポリシーが分析パートナーに言及している場合は、データが外部に流れていると想定すべきだ。

3. アカウントが必要か？ メールに紐づいたアカウントは、あなたの身元をあなたの周期履歴に結びつける。アカウントがなければ、身元との結びつきもない。

4. 削除するとどうなるか？ アプリを削除しても、サーバー側のデータは削除されない。明示的な削除の権利があるか、そして企業がサードパーティにも削除を指示すると述べているかを確認してほしい。

5. 法執行機関への対応方針は何か？ 召喚状にどう対応するかについて明確な文言があることは良い兆候だ。沈黙や「当局に協力します」といった曖昧な表現は、研究者たちが特に指摘してきた警戒すべきサインである。

これらの確認項目をクリアするよう作られたアプリは実在する。Mozillaの2022年のレビューは、すべてをローカルに保存するEukiを唯一の「Best Of」選出とした。そしてPinkyBloomも同じ原則で設計されている——データはあなたの端末に留まり、アカウントは不要で、サードパーティ製SDKも組み込まれていない。そのため、確認項目1〜4は構造上そもそも満たされている。

各選択肢が、記録されているリスクをどれだけ取り除くかによってランク付けすると次のようになる。

端末内で完結するアプリは、利便性を保ちながら最も強力な選択肢だ。周期データがあなたの端末のみで保存・処理される場合、SDKによる共有、侵害、企業サーバーへの召喚状といったサーバー側の事故のカテゴリー全体が、契約上の約束ではなく、構造的に不可能になる。これがPinkyBloomのアーキテクチャであり、プライバシーの評価者たちがEukiのローカル限定設計を支持してきた理由でもある。その保証は、変わり得るポリシーからではなく、データがどこにあるかそのものから生まれる。

強力なガバナンスを備えたクラウドアプリは、複数端末間の同期が必要な場合の現実的な中間案だ。広告なし・データ販売なしを明言し、法的請求に対する姿勢を明確にしているGDPR管轄下の企業を選ぶとよい。この場合、あなたは約束を信頼していることになるが、よく規制された約束ではある。

紙とペン、あるいは普通のカレンダーは本当の意味でプライベートだが、記録を臨床的に有用にするもの——パターンの検出、予測、医師に見せられる症状の履歴——を失うことになる。

避けるべきなのは、不安を理由に記録自体をやめてしまうことだ。周期データはあなたが持つ最も有用な健康シグナルの一つであり、American College of Obstetricians and Gynecologists（ACOG）は月経周期をバイタルサインの一つとして扱っている。エビデンスに基づく行動は、データを持ち続けたまま、それがどこにあるかを変えることだ。