プライバシーをアーキテクチャとして見る: MeteoHealthで実際に端末の外に出るもの

プライバシーに関する文章は、たいてい意図を説明します。企業がデータについて何をすると約束し、何をしないと約束するか、ということです。この記事はそれとは種類の異なる説明です。これはアプリがどのように作られているかについての記述であり、自社のソースコードと照らし合わせて確認したものです。そして、その構造が何を可能にし、何を可能にしないかについての記述でもあります。これは約束でも宣言でもありません。約束はポリシーの更新で変わり得ますが、アーキテクチャはコードが現在何をしているかについての記述であり、この記事は最後まで一貫してそのレベルにとどまります。

また、これは医療アドバイスでもありません。以下のどの部分も、症状やパターンがあなたの健康にとって何を意味するかは説明しません。説明するのは、そのデータがどこへ行き得て、どこへは行かないかということだけです。自分の体調に関する記録をアプリに預けてよいかを判断するためにこの記事を読んでいるのであれば、それは1文字も入力する前に答えを知りたいと思う、もっともな疑問です。そしてそれは、このアプリが「良いアプリかどうか」よりも狭い問いであり、その問いにもこの記事は答えようとはしません。

集めるべき場所がない

健康情報を扱うアプリに対して尋ねるべき最もシンプルな問いは、こうです。もし誰かがあなたのデータを集めたいと思ったら、それはどこへ行くのか。MeteoHealthについての答えは、送り先となるアドレスがそもそも存在しない、というものです。このアプリには自前のサーバーがありません——休止中のものも、バックアップ用のものも、いっさいありません。あなたが記録した内容を受け取る、私たちの管理下にあるエンドポイントは存在しません。

これは「データを集めないと決めた」というのとは別の主張であり、その違いには意味があります。サーバーを運用しつつリクエストを記録しないと決めている企業は、ポリシーを1回変更するだけで記録を始められる立場にあります。サーバーを持たないアプリには、切り替えるべきそのようなスイッチ自体がありません。接続を待ち受けている機械が反対側に存在しないからです。この不在は設定ではなく、そのものの形そのものです。

同じ論理はアカウントにも当てはまります。サインアップも、ログインも、いかなる種類のアカウントも存在しません。つまり、たとえ誰かがそうしたいと望んでも、あなたの記録に名前やメールアドレス、永続的な識別子を紐づける場所自体がないということです。あなたが記録する内容はいっさい個人の身元に結びつきません。なぜなら、このアプリには身元を識別する仕組みがそもそも存在しないからです。

この2つを合わせると、健康系アプリに対して自然と浮かぶ問い——「もし会社が侵害されたり、売却されたり、閉鎖されたりしたら、自分のデータはどうなるのか」——に対して、ここでは異例なほど短い答えが返ってきます。侵害され得る、譲渡され得る、閉鎖され得る、複数人の記録が集まった中央の保管場所は、そもそも存在しません。異なる人々の記録が一箇所に蓄積される場所は、これまで一度もなかったからです。存在するものはすべて、個々の端末上と、個々の人自身のiCloudアカウントの中にのみ存在し、私たちに属する何かの中には存在しません。

端末の中に実際にあるもの

「サーバーがない」というプライバシーの主張は、端末そのもので何が動いているかによって初めて意味を持つので、そこも具体的に述べておく価値があります。あなたのスマートフォンに届くアプリには、サードパーティのライブラリは1つもリンクされていません。このプロジェクトには外部依存が正確に1つだけ存在します。開発中のスナップショットテストに使うライブラリです。これはテストターゲットにのみ組み込まれており、リリース前にアプリを検証する仕組みの一部であって、端末に届くビルドの一部になることはありません。

そのテスト用の依存関係を除けば、アナリティクスのパッケージも、外部に情報を送るクラッシュレポートSDKも、広告用ライブラリも存在しません——iPhoneアプリにも、Watchアプリにも、ウィジェットにもです。広告識別子はどこでも読み取られておらず、アプリ内のどこもシステム自体のトラッキングAPIを呼び出していません。これはメニューでオン・オフを切り替えられる設定ではなく、リリースされるすべてのターゲットに単純に存在しないのです。

この不在が実際に何を取り除いているのかは、はっきりさせておく価値があります。「アナリティクスがない」というのは、実際よりも些細な技術的詳細のように聞こえがちだからです。アナリティクスのライブラリは通常、どの画面を開いたか、どれくらい滞在したか、離れる前に何をタップしたか、といった問いに答えるために存在します——十分な回数のセッションが積み重なれば、直接入力した内容とほぼ同じくらいその人について語ってしまう、行動の足跡です。このアプリには、出荷されるどのターゲットにも、そうした足跡を組み立てるコードの経路がありません。記録しないということは、保存前に匿名化したり集計したりすることとは同じではありません——そもそも、それを集める仕組み自体が、コードベースのどこにも存在しないのです。

実際に外へ出ていくもの

だからといって、このアプリがネットワーク上で何も話さないわけではありません——実際、話します。アプリが通信する外部のアドレスは正確に3つあり、それぞれに特定の、限定された情報だけが伴います。

気象サービスが受け取るのは、あなたの座標、アクセスキー、そしてインターフェースに設定されている言語です。それ以外はこのリクエストに含まれません。送信される座標は完全な精度のままで、都市や地域単位に丸められることはありません——現時点では精度を落とす処理は存在しません。天気予報は特定の地点に結びついているため、自分がどこにいるかを伝えずに予報を取得する方法はありません。これは、この機能がそもそも動作するために端末を離れざるを得ない、唯一のあなたに関する情報です。

NOAAの宇宙天気フィードが受け取るのは、パラメータのついていない単純なリクエストです——あなたに関する情報はいっさい一緒に送られません。返ってくるのは、惑星規模のKp指数という共有された1つの数値だけで、誰が問い合わせても同じ値です。ここでは、どちら向きにも個人的なものを送る要素はありません。

オープンな食品データベースが受け取るのは、あなたがスキャンしたもののバーコードと、リクエストヘッダーに含まれる私たちのサポート用メールアドレスです——これはデータベースの運営者に、誰が呼び出しを行っているかを知らせるための礼儀であり、あなた個人についての情報ではありません。あなたの商品検索は、あなたが記録する他の何とも紐づけられていません。

3つの宛先、3つの異なる理由、そしてそのいずれの場合も、特定の、限定された情報だけ——何もないわけではなく、かといってすべてでもありません。

あなたの記録が実際に置かれている場所

あなたが行う記録——症状、メモ、記録しているものは何であれ——は、デフォルトで端末上に置かれます。もしどこかに同期するとしても、それはあなた自身の個人用iCloudアカウント、あなたのApple IDに結びついたプライベートな空間だけであり、共有データベースや、あなた以外の誰かから見える場所には決して同期しません。そこへ至る途中で通過する、より広い保管場所は存在しません。

周期に関する記録はさらに狭く扱われます。iCloudにさえ、いっさい端末の外に出ません。唯一の例外はApple Healthで、そこに書き込まれるのは経血量だけであり、それもあなたが明示的に許可を与えた場合に限られます。周期に関するそれ以外の情報はHealthに渡ることはなく、あなたの承諾なしに渡るものは何もありません。これは、それ以外の記録がたどる経路よりも狭いものです。一般的な症状の記録は個人用iCloudに同期し得ますが、周期の記録は端末内にとどまり、外へ出るのは経血量だけで、それもHealthへ、それも許可がある場合に限られます。

天気とあなたの体調との相関——このアプリが実際に計算しているもの——は、端末そのものの上で計算されます。この数値はどこかに送られて生成されるのではなく、すでにローカルにあるデータから、ローカルで生成されます。そして、App Store自体のプライバシーカード上で、このアプリに表示されているカテゴリは、選び得る中で最も厳格なもの——Data Not Collectedです。

ここから言えること、言えないこと

こうしたアーキテクチャが何を裏づけ、何を裏づけないのかは、正確に述べておく価値があります。この2つは混同しやすいからです。データを送る先がないということは、症状トラッカーを医療機器に変えるわけではありません——それは情報がどこへ動くかについての主張であって、何のためのものか、どう使うべきかについての主張ではありません。アプリが天気のパターンとあなたの体調との間に示す相関は、あくまでそれ自体にとどまります。すなわち、あなた自身が記録した内容から導かれた相関であって、診断ではなく、自分自身の判断なしに行動の根拠にすべきものでもありません。

もう1つ、誘惑的な近道にも抵抗しておく価値があります。上に述べたことは何ひとつ、相関そのものの信頼性を高めません。サーバーもアナリティクスもないアプリであっても、薄弱だったり、偶然だったり、意味を持つには記録数が少なすぎたりするパターンを示すことはあり得ます——データを収集していないという事実は、あなたが実際に入力したデータからアプリが導き出す結論の質について、何も語りません。言い換えれば、プライバシーとは、あなたの情報がどこへ行くかについての性質です。アプリの結論がどれだけ優れているかについての性質ではありません。これらは別々の2つの問いであり、一方にうまく答えても、もう一方への答えにはなりません。

この2つの問いを合わせて読むこと自体が、そもそもこうしたアーキテクチャを説明する意味です。あなたの記録が端末上とあなた自身のiCloudにとどまると知ることは、露出について真実で有用なことを教えてくれます——ほかの誰が、どんな状況で、これを見得るのか。そして、その答えはここでは「ほぼ誰も、ほぼどんな状況でも見得ない」に近いものです。しかし、アプリが示すある特定の相関が、あなたの体と天気について何か実在するものを反映しているのか、それとも短い記録の連なりから生まれた偶然にすぎないのかについては、何も教えてくれません。どちらの問いも重要です。一方をもう一方の代わりにしてしまうのではなく、両者を分けておくことこそが、どちらの答えにも意味を持たせます。

リクエストはどこへ行き、何が一緒に出ていくのか

DESTINATION · WHAT GOES WITH THE REQUEST

• WEATHER APICOORDINATES · API KEY · UI LANGUAGE

  天気を受け取るには座標が出ていく必要があります。現在はそのままの精度で出ていきます——約 1 キロメートルへの丸めは予定されており、まだ出荷されていません。

• NOAA SPACE WEATHERNO PARAMETERS · NOTHING ABOUT YOU · KP INDEX RETURNED

  パラメータのない通常のリクエストです。あなたに関するものは何も送られず、全体的な指数が返ってきます。

• OPEN FOOD DATABASESCANNED BARCODE · SUPPORT ADDRESS IN HEADER

  スキャンした商品のバーコードと、リクエストヘッダーに入る当方のサポート用アドレスだけです。

• NEVER LEAVESSYMPTOM LOG · CYCLE · CORRELATIONS · NO ACCOUNT · NO ANALYTICS

  ここにあるものはどこにも送られません。送る先となる当方のサーバーが存在しないからです。

FIG.21 · WHAT LEAVES THE DEVICE · VERIFIED_IN_SOURCE · CHECKED_2026-07-28

上の図は、3つの宛先それぞれと、そこへ実際に送られるものを並べたものです——そして最後の行こそ、外向きの通信を並べたリストの中で見落としやすいポイントです。すなわち、どこにも、いっさい行かずにとどまるもの。

まだやっていないこと

座標の精度。 現在、天気予報に必要な精度はおよそ1キロメートル程度で十分であるにもかかわらず、気象サービスへは完全な精度の座標が送られています。これを丸める処理は計画されています。まだリリースされていないので、まだ完了していません。

位置情報の許可を求める文言。 アプリが位置情報を求める際に表示されるシステムの許可文言は、現在、必要以上に広い表現になっています。これはより狭く、より正確な表現に書き直している最中です。

同期についてのインターフェース文言1箇所。 アプリの設定内にある表現が、現在、同期の仕組みを実際より強い言葉で説明しています。これは書き直している最中です。見つかっており、修正中であるということ以上に付け加えることはここではありません。

App Privacyの申告内容の見直し。 座標がサードパーティの気象サービスへ送られている以上、App Store上の申告内容が正しく記載されているかを改めて確認する価値があります。この問いはすでに提起されています。まだ答えは出ていません。

このリストは、ここまで述べてきたこととは別のものではありません——同じアーキテクチャを、まだ終わっていない部分について正直に記述したものです。すべてがすでに完了しているかのように読めるプライバシーの記事は、まだ終わっていないことのリストよりも価値が低いものです。

以上が、このページ上部の日付時点でのアーキテクチャです。このアプリを含め、どのアプリについても同様のことを確認する方法については、インストール前にアプリ自身のApp Storeページを読むためのチェックリストがその領域をカバーしています。端末上の相関そのものが何をしているかについては、天気相関機能のページが直接説明しています。そして、アーキテクチャの説明だけでは、これがあなたに合ったアプリかどうかは何も語らないため、3つのApp Storeページを並べて読む記事がこの記事の隣に置かれています——その読み比べが他社のアプリに軍配を上げる場合も含めて。