HromitsuTakagiさんによるスマートフォンアプリとそのモジュールによる固有ID送信に関する一連のツイート

Hiromitsu Takagi @HiromitsuTakagi

しかも、そのようにローカルIDで実現している（要確認）Google Analyticsでさえ、そのようなモジュールを埋め込んでいる事実をアプリ利用者に告知しなければならないと、モジュール埋め込みアプリ開発者に要求している。（現状ではWeb版GAと共通の利用規約を掲げている。）

Hiromitsu Takagi @HiromitsuTakagi

GA利用規約「7.プライバシー お客様は…本サービスを…追跡又は収集に使用せず…お客様はプライバシー・ポリシーを載せなければならず、当該プライバシー・ポリシーにはお客様が、ファーストパーティcookieにより匿名のトラフィックデータを収集していることが表示されなければならない。」

Hiromitsu Takagi @HiromitsuTakagi

GA利用規約URL http://t.co/LDqkjAW6 「ファーストパーティcookie」とあるが、アプリ版では、モジュールがアプリローカルに生成するUUIDv4値のことを指すと思われる。（GA利用規約は、アプリ版に合わせて、ここの記述を改善する余地がある。）

Hiromitsu Takagi @HiromitsuTakagi

日本の企業及び官庁のほぼすべて（Twitter社が例外）が、このGA利用規約を無視してきた現状があるが、これは、Web用のアクセス解析ツールでは概ね許容されてきたと言えるかもしれないが、アプリにおいてまで許容されてきたと言うことはできない。なぜなら、…

Hiromitsu Takagi @HiromitsuTakagi

…なぜなら、Webでアクセス履歴を取られ得るのは必然（Webとはそういうもの）である（GAでは送信先が当該WebサイトでないGoogleとなることから特にこのような規定が設けられている）のに対し、アプリにおいては、その利用状況を送信するのが当然というコンセンサスはないからである。

Hiromitsu Takagi @HiromitsuTakagi

つまり、一般のPCにおいて、例えば家計簿アプリについて、そのアプリが入力データを送信するものかローカルで処理するものかは利用者に明示されるべきであったし、デバッグ用にアプリの操作履歴を送信する場合も、利用者の許諾を得るべきというのが、これまでに確立してきたコンセンサスであろう。

Hiromitsu Takagi @HiromitsuTakagi

それがスマホのアプリとなるとユルユルになるのかというとき、前記の前者は、クラウドブームの流れでユルユルかもしれないが、後者はどうか。デバッグ情報の送信はオプトインが常識だったが、GAはオプトインまで要求していない。デバッグ情報と操作履歴の違いなのか、スマホだからなのか。

Hiromitsu Takagi @HiromitsuTakagi

アプリ内操作履歴の無断送信が反規範的かは、どんな操作履歴かの程度問題であることと、当該アプリの本来機能から推認できるかにかかってくると思われる。GAアプリ版は、どんな操作履歴を送るかはモジュールを組み込むアプリ開発者がどう設定するかしだいとなっている。

Hiromitsu Takagi @HiromitsuTakagi

例えば、GREE本体アプリのように、何を監視されようが搾取されようがGREEとはそういうものだと社会がみなしているなら問題とならない（嫌な人は使わなければいい）が、銀行公式の家計簿アプリがそういうものだとの推定は働かないものであるから、意図に反する動作とみなされる可能性がある。

Hiromitsu Takagi @HiromitsuTakagi

そのように反規範的に利用される危険があるからこそ、Google Analyticsは不正な用途に使わないよう利用規約で釘を刺しているし、blog記事 http://t.co/ZV2vs1gj でも釘を刺している。

Hiromitsu Takagi @HiromitsuTakagi

第三者による日本語解説 http://t.co/Q5gH6nOp 「つまり…カスタム変数に…を含む事はできないということ…これは重要で…店舗の情報（ユーザIDやトランザクションIDといった、Webバックエンドに格納される個人が特定できるものと結合可能な情報）を格納できないこと」

Hiromitsu Takagi @HiromitsuTakagi

Googleはアプリ版GAを出すに際して、こうした危険を承知しながら、あくまでWebのGoogle Analyticsと同じことしかできない程度に、利用規約で縛っておけば許されるはずと判断したのだろう。

Hiromitsu Takagi @HiromitsuTakagi

しかし、私の意見では、それだけでは足りないと思う。個人が特定されない形であっても、アプリ内操作履歴の送信は、直感に反するならば従来は反規範的とされ、オプトインが要求されてきた経緯がある。もっとも、それはアプリ開発者の責任であってGAの責任は小さいと言うこともできるのかもしれない。

Hiromitsu Takagi @HiromitsuTakagi

このように、Google Analytics的な、アプリ操作解析機能のSDKを提供する事業者らは、こうしたリスクを承知して、利用規約等でアプリ開発者へのリスク転嫁を図るべきであろう。そうしなければ、反規範的なアプリの作成を幇助したとの誹りを免れない可能性がある。

Hiromitsu Takagi @HiromitsuTakagi

こうしたモラルを唱えたところで日本ではほとんど通用しないが、ことプログラムに関しては、不正指令電磁的記録罪が間接的に効いてくるかもしれない。つまり、アプリ操作解析SDKを用いて作られたアプリが、あまりに酷く、不正指令電磁的記録罪に問われる事態が仮に発生した場合に、SDK開発元も…

Hiromitsu Takagi @HiromitsuTakagi

…SDK開発元も、不正指令電磁的記録を記述した記録（168条の2第1項第2号）の作成・提供者として刑事責任を問われることは理論上はあり得る。それを避けるべく、SDKの提供目的が不正な用途ではないことを示すため、利用規約で禁止行為を明示しておくことは効果的であろう。

Hiromitsu Takagi @HiromitsuTakagi

もっとも、私の立場としては、たとえそのような情報技術モラル上のベストプラクティスの形があるとはいえ、そうしないプログラム開発者がいたからといって、刑事責任を負わせるのは不適切だとの考えであり、そういう立法趣旨ではない旨の確認作業をこれまでにやってきた（参議院法務委員会の件等）。

Hiromitsu Takagi @HiromitsuTakagi

ただ、これも程度問題ではある。例えば、ハードディスク消去プログラムのSDKを提供していたら他の開発者に不正な目的で使用されたという場合に、元の作成者を罪に問うのは明らかに不適切であろうが、SDKの挙動が複雑でハードディスク消去プログラムほど自明でない場合に、無思慮な…

Hiromitsu Takagi @HiromitsuTakagi

…無思慮なSDK利用開発者が不用意に当該SDKを使用して、不正指令電磁的記録を生み出してしまう事態が続発する状況では、SDK利用開発者にそれが不正指令電磁的記録となったという認識がない場合には特にそうだが、SDK提供者の責任が問われ得るのではないか。もっとも、この場合でも、…

Hiromitsu Takagi @HiromitsuTakagi

…この場合でも、SDK提供者にそうした結果を導く意図がない場合は不可罰とすべきと個人的には願う。一方、可罰とすべきケースがあるのかというと、それは、ミログのAppRewardを想定してみるとわかりやすいだろう。

Hiromitsu Takagi @HiromitsuTakagi

AppRewardは、SDK利用開発者もそれが何をするものかよく知らされないまま組み込むよう提供されており、組み込まれたアプリがapp.tvのように（他アプリ使用履歴送信の）同意確認のないものとして作成され（知らされていないのだから当然そうなる）、アプリの本来機能からかけ離れた…

Hiromitsu Takagi @HiromitsuTakagi

…かけ離れた挙動をSDKがさせることになる場合には、app.tv同様にそのアプリが不正指令電磁的記録となるわけで、そういう結果をSDK提供者が意図しているのであれば、供用目的の要件が満たされ、SDK提供者が不正指令電磁的記録作成・提供罪に問われて然るべきと思う。

Hiromitsu Takagi @HiromitsuTakagi

つまり、あらゆるSDK提供が罪に問われるのではなく、SDK機能が単純で自明であるか、または、SDK機能が汎用的で利用開発者側に自由度があり責任がある場合は不可罰。一方、SDK機能が単機能で利用開発者に自由度がなく、かつ、機能内容が自明でなく不明瞭な場合は提供者の意図が問題になる。

Hiromitsu Takagi @HiromitsuTakagi

以上のように、IMEI等の端末IDを用いないGoogle Analyticsのようなケースでさえ、それが何をするものかを明確に開示して、SDK利用開発者に告知の義務を課すことが、日本では法的拘束力がないとはいえ、IT業界のモラルとするべきものと言える。ましてIMEIをやである。

Hiromitsu Takagi @HiromitsuTakagi

このモラルに従わない事業者がいても（不正指令電磁的記録罪に該当しない限り）多くは放置されるかもしれないが、銀行のように一定の公共性を帯びた事業者がなす場合は非難されていい。実際、事実関係に気付けば、そうした真っ当な事業者は、このモラルに従おうとするだろう。