考えるべきポイント
では、アプリ開発者は何をよりどころにしてこういった問題を考えればよいのか。高木氏は以下の4つポイントを挙げる。
●人をだまして実行させるようなことをしてはいけない…「不正指定電磁的記録に関する罪」（刑法168条の2）
●情報の取得に関して、偽りその他不正な手段を用いてはならない…「適正な取得」（個人情報保護法17条）
●歴史的経緯…さらに「歴史的な経緯を踏まえること」も重要。やっていいのかいけないのかは歴史的経緯で決まっていることもある。
「Webサーバは初めてつくられたときからアクセスログ機能があり、どのIPアドレスからアクセスがあったかわかるようになっていた。このときに『プライバシーの問題があるから、アクセスログを残すのはやるべきではない』という常識ができていたら、歴史は変わっていた。」（高木氏）
●サービス実現のための必然性…また、「サービス実現のための必然性」があるのかどうかも問われることになる。この点について、ミログ社の「AppLog」というアプリの問題を例に「超えてはいけない一線」について説明した。
「超えてはいけない一線」とは何か
ミログ社の問題について語る前に、ウェブのアドネットワークとスマホアプリのアドネットワークのしくみの違いについて押さえておく必要がある。
ウェブのアドネットワークでは「サードパーティcookie（第三者cookie）」というしくみを使っている。複数のウェブサイトに同じアドネットワークの広告が貼られている場合、広告に対するアクセスが発生すると、広告サーバはどのページが閲覧されたかログとして入手できる。このとき、乱数で生成したユーザーIDのようなものを振っておけば、どの人がどんなタイミングでどのサイトを見ているかがわかる。
しかし、スマホアプリの場合には「第三者cookie」のしくみがない。複数のアプリに広告が埋め込まれ、同じ広告会社のモジュールであれば、アプリを起動するたびに広告サーバへのアクセスが生じ、どのアプリが使われているかという情報が取得できる。ただ、ユーザーを識別するにはUDID（Unique Device Identifier）、もしくはIMEI（International Mobile Equipment Identity）を使うしかない。これは許容されており、スパイウェアとは言われない。
しかし、問題となったミログ社の場合、「AppLog」という「ロガー」がインストールされていれば、広告モジュールが埋め込まれていない無関係なアプリについても利用状況を収集して送信するしくみになっていた。そして、ミログ社は収集した履歴とアプリの利用状況を広告会社に売るつもりだったという。
こういう広告ビジネスが当たり前になると、たとえば医療アプリを使った頻度の情報が勝手にもっていかれることになる。そうなれば、スマートフォンで医療アプリを使わないというユーザーも出てくるだろう。信頼のために広告を貼らないという立場をとっている医療ビジネスなどからすれば、「広告に協力もしていないのにログをもっていかれる」ということ、これが「一線を越えていた」ということになる。
このアプリを提供していたミログ社は2012年4月解散している。この問題については、高木氏が@ITのインタビューに答えた『スマホアプリとプライバシーの「越えてはいけない一線」』という記事で問題が整理されているので参照されたい。
