- 一部のAndroidアプリには、ユーザーの同意なしに位置情報を収集する侵襲的なデータ収集SDKが組み込まれている
- 収集された位置情報は広告主に販売されたり、米国市民をターゲティング・追跡するために法執行機関に購入されたりしている
- 開発者、規制当局、立法者は協力し、SDKがこうしたデータを収集するインセンティブをなくすべきである
アプリを収益化することは、開発における重要な要素です。しかし開発者の多くは、独自の収益化ツールを開発する代わりに、サードパーティ製のソフトウェア開発キット(SDK)を利用しています。
こうしたSDKには、開発者が広告主に販売するために収集したいユーザーデータの種類を選択できるデータ収集機能が、あらかじめ組み込まれていることが少なくありません。しかも開発者が、すべての設定を有効にしたままにしているケースもあります。
Electric Frontier Foundationによる警告によれば、デフォルトのデータ収集設定を有効にしたままのSDKは、非常に侵襲性の高い位置情報を収集し、それを広告主やデータブローカーに引き渡しているといいます。さらに重要なのは、こうしたデータが情報機関や法執行機関、さらには軍によって購入・利用される可能性があるという点です。
当局が広告用位置情報データを疑わしい作戦に利用
位置情報は広告主にとって非常に価値の高いデータです。広告枠の入札価格を引き上げる要因となり、地元企業やサービスが近隣のユーザーに広告をターゲティングすることを可能にします。
収集される侵襲的データのレベルは、アプリが要求する権限によって異なります。しかし重要なのは、アプリ自体に付与された権限は、デフォルトでSDKにもそのまま渡されるという点です。
デバイスのIPアドレスによって特定されるおおよその位置情報の精度が約1.2平方マイルであるのに対し、精密な位置情報ではその範囲を約160フィート、場合によっては10フィートほどにまで絞り込むことができます。
一部のSDKには、GDPRやCOPPAの対象となるユーザーに対して制限付きデータ処理を有効にするよう開発者に促すドキュメントが用意されていますが、こうした設定はデフォルトでは有効になっていません。
さらに、一部のSDKはユーザーの実質的な同意なしに位置情報を収集・共有できる状態にあります。EFFが分析した2つのアプリは、SDKを通じて位置情報を収集していましたが、それぞれ5,000万回以上、1,000万回以上ダウンロードされていました。どちらのアプリも通知を表示せず、ユーザーに同意を求めることもなく、Google Playストアのデータセーフティ欄でも位置情報を第三者と共有する旨を申告していませんでした。
アプリの中には、位置情報をコア機能の一部として必要とするものもあります。例えば、利用している天気予報アプリやランニングアプリでは、位置情報が必要になる場合があるでしょう。しかし多くのAndroidアプリでは、この位置情報の追跡に対して与えられた同意が、SDKに対する同意とみなされてしまっています。
EFFのレポートは、「アプリレベルの位置情報権限だけでは、サードパーティの広告SDKによる位置情報の収集・共有に対する実質的な同意の意思表示とはみなせない」と指摘しています。
広告主やデータブローカーによって販売された位置情報は、多くの場合、情報機関や法執行機関による高度にターゲティングされた作戦に利用されてきました。
EFFは開発者、規制当局、立法者に対し、次のような提言を行っています。
- 開発者はユーザーのプライバシーを保護する責任を負うべきである。サードパーティ製SDKを精査し、ユーザーデータがデフォルトで共有されないようにする必要がある
- 規制当局は、ユーザーデータが違法に第三者へ渡ることを防止できていないアプリ開発者を追及すべきである。加えて、デフォルトで侵襲的な量のユーザーデータを収集するようなSDKを意図的に開発している企業も追及すべきである
- 米国の立法者は、プライバシー侵害からユーザーを守るため、GDPRに類似した連邦法の整備に取り組むべきである。行動ターゲティング広告を禁止すれば、SDKを開発する企業ができるだけ多くのデータを収集しようとするインセンティブも取り除かれるだろう
