「スマホの位置情報の売買」は一大ビジネスと化しており、匿名化されたものからでも簡単に個人を特定することが可能

「ノルウェーの一部都市だけであっても多数のスマートフォンが位置情報を追跡されており、それは販売されている」と、ノルウェーの公共テレビ・ラジオ局であるNRKが独自調査の内容をまとめています。

Avslørt av mobilen – Norge
https://www.nrk.no/norge/xl/avslort-av-mobilen-1.14911685

仕事や幼稚園のお迎え、友人との外食などあらゆるタイミングで、ユーザーはスマートフォンを持ち出します。そのため、位置情報を追跡することで、「この人は何が好きなのか？」という情報を継続的に収集することが可能です。

一部のスマートフォン向けアプリは位置情報へのアクセスを要求しており、これを許可するとアプリはユーザーの位置情報を継続的に収集できるようになります。このデータは非常に貴重なものであり、多くのモバイルアプリ開発者は位置情報を販売することで収益をあげており、「全くの新しい産業が作り出されている」とNRKは指摘しています。

位置情報の販売を生業とする企業は「データ再販業者」と呼ばれます。データ再販業者はユーザーのスマートフォンから収集された位置情報を、企業や政府機関といった「人々がどこにいるかを知りたい組織」に販売し続けているとのこと。データ再販業者は「販売するデータは匿名化されている」と主張しているため、位置情報を入手するだけではスマートフォンの所有者の身元を突き止めることはできないはずです。

しかし、NRKは「実際に販売されているデータはどの程度匿名化されているのでしょうか？位置情報が間違った企業の手に渡る可能性はないのでしょうか？こういった疑問を解決するため、2019年秋頃からデータ再販業者の調査を開始しました」と記し、位置情報を販売するデータ再販業者に関する調査を開始した経緯を説明しています。

まず、NRKはデータが完全に匿名化されているかどうかを調査するために、いくつかのデータ再販業者からノルウェーで使用されているスマートフォンの位置情報を購入しようと試みました。なお、NRKはデータ再販業者に対して「人々の移動パターンと公共交通機関の公共開発に関するプロジェクトで位置情報を使用する必要がある」と、その購入理由を説明したそうです。

NRKの要求に応じたデータ再販業者のひとつは、イギリスの「Tamoco」という企業。NRKは3万5000ノルウェークローネ(約37万円)を支払い、Tamocoから数万人のノルウェー人から2019年に収集された位置情報をまとめた包括的なデータセットを入手します。なお、このデータは14万台を超えるモバイル端末から収集された位置情報をまとめたものです。

NRKがTamocoから購入したデータセットは、14万台のモバイル端末から収集された数万人分の位置情報であり、その位置情報の数はなんと4億点を超えるとのこと。データセットには位置情報がテーブル形式でまとめられていたそうです。なお、テーブル上にまとめられていた位置情報は、すべて記録された日付・時刻・情報源となったモバイル端末に関する情報も一緒に記されており、「いつ・どこにモバイル端末があったのかを、正確に示していました」とNRK。

位置情報の提供数はモバイル端末によって異なり、1台で数千件もの位置情報を提供しているものもあれば、1台で数十件の位置情報しか提供していない端末もあったそうです。

NRKはこのTamocoから入手した位置情報を用いて、モバイル端末の所有者を特定することが可能かどうかを検証しています。まず、NRKはデータセットの中からランダムにひとつのモバイル端末を選択。以下はその端末の位置情報をオレンジ色の点で地図上に記したもので、NRKによると「2019年のほとんどを通じてモバイル端末の位置を追跡していた」とのこと。

このうち、NRKはモバイル端末が何度も訪れた場所を詳しく調査しました。すると、モバイル端末の所有者は昼や夜に特定の住所で過ごす日が多くあることが判明。ここから、昼間に過ごす場所は「職場」、夜に過ごす場所は「住所」ではないかとNRKは推測しています。

まずは住所と思しき地点を調査したところ、ここでは男性と女性のカップルが暮らしていることが判明。次に、この2人のFacebookプロフィールを検索したところ、男性のプロフィールに物流会社で働いている旨が記されていることを発見。この物流会社を調べたところ、モバイル端末の所有者が昼間に頻繁に訪れていた場所の住所と一致したそうです。そのため、NRKは「Tamocoの販売するデータは匿名化されていますが、所有者を特定することは可能でした」と記しています。

1年間分の位置情報をいつの間にか収集されていたのは、ノルウェー在住のカール・ビャルネ・ベルンハルトセンさん。NRKが購入したデータセットにはベルンハルトセンさんの位置情報が200日以上にわたって収集されていました。なお、ベルンハルトセンさんの位置情報を追うと自宅と職場のほかにも定期的に尋ねている場所があり、本人に直接尋ねたところ、これは両親の暮らす実家であることが判明しています。

さらにベルンハルトセンさんの位置情報を調査したところ、5月のあるタイミングで昼間に職場とは別の場所へ移動していることが判明。移動先で1時間ほど滞在し、その後、再び移動。移動時には道路上を高速で移動していたため、自動車での移動であることが推測可能です。それから2週間が経過したのち、ベルンハルトセンさんは昼間に最初の職場とは別の場所へ通うようになります。このことから、ベルンハルトセンさんは5月頃に職を失い、就職活動を行い、新しい職場を見つけたことが位置情報だけでもぼんやりと推測することが可能。FacebookなどのSNS上に公開されている情報と合わせれば、より正確にベルンハルトセンさんに関する情報を推測することができるはずです。

NRKが入手した位置情報のデータセットは、ベルンハルトセンさん以外にも数万人分の位置情報がまとめられたものであるため、犯罪者がこの情報にアクセスした場合、どのようなことが起るでしょうか。NRKはベルンハルトセンさんに直接アポイントメントを取り、上記のような位置情報が収集されていたことを本人に伝えたそうです。ベルンハルトセンさんは自身の位置情報が詳細に追跡されていたことを不快に感じ、「国によりこの種のデータは保護されるべき」と語りました。ベルンハルトセンさんにとって特に不快だったのは、「息子が生まれた際に病院を訪れていたこと」や「家族と特定の地点で休暇を過ごしていたこと」などが詳細に追跡されていたことだそうです。

また、特定の日付におけるベルンハルトセンさんの行動を、本人よりも位置情報が詳細に記録しているというケースもあります。例えば2019年の6月22日(土)、位置情報によるとベルンハルトセンさんはクリスチャンサン動物園を訪れています。動物園で最初に位置情報が記録されたのは10時25分、動物園内のレストランの外でした。11時57分頃、位置情報によるとジャングルエリアに到着、実際にベルンハルトセンさんに確認したところ、同エリアでサルの撮影していたそうです。14時39分にはアイスクリームなどが販売されているボートバザールエリアに到着。14時46分にはKjuttavigaと呼ばれるショーエリアへやってきますが、ベルンハルトセンさんによるとショーを見ることはなかったそうです。その後、14時59分にクリスチャンサン動物園最大のお土産物店に立ち寄り、15時59分にはクズリ・オオカミ・キツネなどが見られるエリアへ。そして18時15分に自動車へ向かっています。

NRKの調査結果から、ノルウェー人の位置情報は公開市場で販売されていることがわかります。これは間違いなく合法的なもので、プライバシー法に則ったものであると消費者評議会のInger Lise Blyverket(ILB)はNRKに説明しています。ILBの関係者は「消費者がアプリをダウンロードした際に、個人情報がどこに行き着くかを知った上で、利用規約に同意することは事実上不可能であると考えます」と語り、既存のエコシステムではスマートフォンやアプリを使いながら位置情報の追跡から逃れることは不可能と指摘。

2018年、ノルウェーを含むEU圏内諸国で「EU一般データ保護規則(GDPR)」が施行されました。それにより、企業が個人の氏名・電話番号・住所といった個人情報を合法的に保管するには、完全に文書化された正当な理由が必要となりました。企業が個人情報の保持に関する十分な根拠を提示できない場合、GDPRに基づき罰金が科されるケースがあります。しかし、位置情報を販売するデータ再販業者にとってはGDPRも大きな足かせにはならない模様。

NRKによると、アプリを介して位置情報を追跡されているノルウェー人の数を正確に推定することは不可能とのこと。また、どのアプリがデータを共有しているのかを、消費者側が知ることも非常に困難だそうです。加えて、一部のデータ再販業者は「位置情報を互いに共有している」と述べていることから、複数の企業が同一のアプリから位置情報を取得しているケースもあるようです。

ベルンハルトセンさんは位置情報の追跡により自分に起こり得る災難よりも、「自分以外の身近な人にもたらす被害を恐れている」と語っています。ベルンハルトセンさんは政治家が位置情報の売買というトピックを取り上げ、何が起こっているかを多くの人が理解し、予防策を講じることを願っています。加えて、ベルンハルトセンさんは自身のスマートフォンにインストールされているアプリを見直し、不要なものは削除する必要があると訴えています。