(訳者前書き)以下は、英国に拠点を置くPrivacy Internationalのウエッブに掲載された記事の翻訳です。初出は2021年と古いものですが、スマホを通じた個人情報の収集の仕組みのひとつになっているSDKに注目して、実際に米国などで行なわれている軍や警察による市民監視の現実について解説してます。日本でも個人の消費行動や位置情報の収集をビジネスにしている企業が多くあり、また多くの米軍基地もかかえており、この記事が述べていることは日本においても他人事ではありません。(としまる 2026/9/5アクセス)

---

スマートフォン上のアプリの中には、第三者によるコードが含まれており、ユーザーに関するデータを密かに追跡・収集しているものがある。透明性はほとんど、あるいは全くないまま、ユーザーのデータは売り物にされている。このデータは、パーソナライズされた広告をユーザーに表示するために利用されるほか、購入者が法執行機関である場合には、警察活動にも利用される可能性がある。

主な調査結果

• 一部のモバイルアプリは、ユーザーの日常的なスマホ利用から得られるデータを用いて収益化を行っている。
• このデータは他のオンライン活動と結びつけられ、あなたの完全なプロファイルが形成される
• この種のデータ収集は目新しいものではないが、不透明なモバイルアプリ経済において依然として不可欠な要素であり、あなたのデータは往々にして、聞いたこともない企業の手に渡ってしまう。
• これはあなたの生活に予期せぬ影響を及ぼす可能性がある。警察や軍は、意思決定を行うために位置情報などのデータを購入しているのだ。

投稿日

2021年1月28日

スマートフォンは、データブローカーや広告主にとって理想的な収益ツールだ。常にポケットに入っており、情報を収集する手段として、またその情報に基づいて広告を配信する手段としても利用できるからだ。しかし、アプリを通じてこのデータ収集はどのように行われているのだろうか。

スマホ上のアプリのほとんど（すべてとは言わないまでも）は、ソフトウェア開発キット（Software Development Kits SDK）を使用している。SDK自体はトラッカーではないが、モバイルアプリを通じた追跡の大部分はこれを通じて行われている。これらのキットはサードパーティによって提供され、アプリ開発を容易にしたり、特定の機能を組み込んだりするための幅広い機能を提供している。例えば、AppleやAndroidは、開発者がそれぞれのOSを搭載したデバイス向けのアプリを構築できるよう、OS用SDKを提供している。

その他のサードパーティは、開発者が最小限の手間でアプリに特定の機能を素早く追加できるようにするSDKを提供している。例えば、開発者がユーザーにFacebookアカウントでアプリにログインできるようにしたい場合、FacebookのログインSDKを使用できる。アプリに地図や地図データが必要な場合は、GoogleのMap SDKを使用できるなどだ。簡単に言えば、SDKとは、すべてを一からコーディングする代わりに、アプリに組み込むことができるコードの集まりである。

平均的なAndroidアプリが約15.6個のサードパーティ製SDKを使用しているという事実（ゲームアプリであればさらに多くなる）を考えると、ソフトウェア開発者がすべてのツールをゼロからコーディングする時間的な余裕などないことはすぐにわかるだろう。また、SDKは企業が開発者に自社製品を紹介し、自社のプラットフォームやOSを使ってアプリを作成するよう促すための有効な手段ともなる。このため、ほとんどのSDKは無料で利用でき、開発者はダウンロードするだけで直ちにプログラミングを開始できる。

自社製品の拡大を目的にSDKを提供する企業がある一方で、別の目的を持つ企業もある。例えば、SDKが使用されたアプリから収集できる情報や、そのアプリを通じて販売できる広告収入の一部と引き換えに、これらのキットを無料で提供する場合だ。この慣行は広く行われており、自分のデータが最終的にどこへ流れているのかを把握することは極めて困難だ。お気に入りの天気アプリに、地域別の予報を表示させるために位置情報へのアクセスを許可すると、そのアプリがあなたのデータを販売したり、他者と共有したりすることを許可している可能性もある。

1つの広告を配信するために必要なデータは、データブローカーから広告マーケットプレイス、広告代理店の専用システムへと、ミリ秒単位で多くの企業のシステムを通過するかもしれない。これはオンライン広告の仕組みの一部であり、巨大なマーケットプレイスでは24時間365日、広告枠をめぐる高速オークションが絶え間なく行われている。

こうしたデータ交換プロセスの透明性の欠如により、個人データが予期せぬ文脈で再利用され、公共の利益に寄与しないと私たちが強く主張するような目的に利用されてしまう。ここでは、データを生み出している私たち自身が想像もつかないような方法で、人々のデータが収集、販売、利用された具体的な事例をいくつか見ていこう。

移民・国境管理のために（悪）用された位置情報

2020年、ウォール・ストリート・ジャーナル紙は、トランプ政権が位置情報の商用データベースへのアクセス権を購入し、その後、移民・国境管理にそれを利用していたという記事を掲載した。このデータは、米国内の数百万台の携帯電話の移動経路をマッピングしたもので、ユーザーが位置情報のアクセスを許可した一般的な携帯電話アプリから収集されたものだ。

国土安全保障省は、専門家が「米国の法執行機関が活用している既知の大量データの中でも最大級の宝庫の一つに相当する」と評するこの情報を、不法滞在者や違法に米国に入国している可能性のある人々を特定するために利用してきた。

契約記録によると、連邦政府はVenntel社から位置情報を購入している。Venntel社は、モバイル広告業界の大手であるGravy Analytics社と、複数の幹部や特許を共有している小規模な企業だ。Venntel社は、広告主に数百万台の携帯電話の位置情報を販売する民間マーケティング企業から、その情報を購入していた。Venntel社は現在、米国議会による調査を受けている。

テロ対策という名目のもと、大量監視のために（悪）用される位置情報

また今年、Viceは、米軍が一見無害に見えるアプリから収集された、世界中の人々の詳細な移動データを買い取っている実態について記事を公開した。これらのアプリには、9,800万回以上ダウンロードされているイスラム教の礼拝やコーランのアプリ、人気の「Craigslist」アプリ、嵐を追跡するアプリ、そして例えば寝室に棚を取り付ける際に役立つ「水準器」アプリなどが含まれている。

Viceの調査では、米軍が利用している2つの別個だが同時進行のデータストリームが明らかになった：

• 1つは、Babel Street社が開発した「Locate X」という製品に依存している。対テロ、対反乱、特殊偵察を任務とする米軍の一部門である特殊作戦司令部（USSOCOM）は、海外での特殊部隊作戦を支援するため、「Locate X」へのアクセス権を購入した。Babel Streetの元従業員は、同製品のユーザーが地図上に図形を描き、その場所でBabel Streetがデータを保有するすべてのデバイスを確認し、特定のデバイスを追跡して、それ以外の場所にどこへ移動したかを確認できることを認めた。
• もう一つの流れは、X-Modeという企業によるものだ。同社はアプリから直接位置情報を取得し、そのデータを請負業者に販売しており、請負業者はさらに軍に販売している可能性がある。X-Modeは独自のSDKを使用しており、バッテリーをあまり消耗させずに極めて正確な位置情報を提供するよう最適化されている。

これらの例は、私たちの生活を包み込むモバイルアプリエコシステムにおける小さな構成要素であるSDKが、データへのアクセス権限のレベルを考慮すれば、いかに重要な影響を及ぼし得るかを示している。さまざまな企業が、私たちの知らないうちに、私たちに関するさまざまな断片的なデータを保有している――それが私たちの「秘密のアイデンティティ」だ。これらのアイデンティティは、多くの情報源から寄せ集められて私たちのプロフィールを形成することがあり、その情報はしばしば予期せぬ場所から得られる。

このような事例は、データの収集から販売に至るまでのデータ市場の不透明さを浮き彫りにする数多くの事例の一つであり、法執行機関や軍といった組織が、監視の目を逃れて極めて機密性の高い個人データを大量に入手しているという事実を示している。

また、通常であれば令状が必要となる位置情報へのアクセスを、当局が金銭で入手していることについても疑問を投げかけている。USSOCOM（米特殊作戦司令部）の契約は、位置情報の大量購入が法執行機関から軍事機関へと拡大していることを示す最初の証拠の一つだ。さらに最近では、ニューヨーク・タイムズ紙が、国防情報局（D.I.A.）の機密指定されていないメモを入手し、情報機関の一部門である軍が、スマートフォンアプリの位置情報を含む市販のデータベースを購入し、令状なしに米国人の過去の移動履歴を検索していた実態を暴露した。この暴露は、プライバシー法に見過ごされていた抜け穴を浮き彫りにしている。2018年の「カーペンター判決」として知られる画期的な判決において、最高裁は、政府が通信会社に位置情報の提供を求めるには、憲法上、令状の取得が必要であると判断した。この判決にもかかわらず、メモには次のように記されている：

「D.I.A.は、カーペンター判決を、情報収集目的での市販データの購入や利用を承認する司法令状の必要性を課すものとは解釈していない」。

このメモの受取人であるオレゴン州選出の民主党上院議員ロン・ワイデン氏は、この慣行について「政府が令状を取得する代わりに、単に法を無視しているような、不誠実で規制の及ばない商業データブローカーから、アメリカ市民の個人記録を買い求めている」と批判している。

私たちの個人データが、このように監視の及ばない形で自由に利用されてはならない。この膨大で休むことのないデータエコシステムにおいて、アプリ開発者でさえ、ユーザーの位置情報が最終的に誰の手に渡るのか把握していなかったと主張する事態になっている。こうしたデータの（悪）利用を止めさせる時が来ている。私たちは立ち上がり、自身の個人データに対する管理権を要求しなければならない。この問題に対して行動を起こしたいと感じるなら、PIのガイド「オンライン追跡から身を守る方法」を参照することをお勧めする。

https://privacyinternational.org/case-study/4404/mobile-app-monetisation-covert-trackers-your-pocket