Published: 2022-02-25 12:40

医療系サイトのユーザー情報が、ターゲティング広告に流用されていた：専門家の調査結果が波紋

デジタル広告が不適切にも弱い立場にある人をオンライン上でターゲットにしてしまうケースは、実によくみられる。例えば虐待の被害者や子どもがそうだが、デジタルヘルスケアや遺伝子検査を手がけるいくつかの企業の顧客もこれに含まれるようだ。これらの企業は広告のトラッキングツールを使用し、利用者の健康状態に関する情報を漏らした可能性がある。

ユーザーを“監視”するターゲティング広告、その禁止を求める動きが米国で加速している

デューク大学と患者のプライヴァシー保護を推進する団体「Light Collective」は最近の研究で、遺伝性がんのコミュニティとFacebookのがん患者サポートグループで活動している10名（うち3名はFacebookグループの運営側で活動）を対象に、2021年9月と10月に「Facebook外のアクティビティ」機能から得られたデータをダウンロードして分析した。この機能では、アプリやサイト上のユーザーの行動履歴について、サードパーティーがFacebookと運営会社であるメタ・プラットフォームズと共有している情報を確認できる。

その結果、この種の報告によく含まれる小売やメディアといった業種に加え、遺伝子検査やデジタル医療を扱う数社も、顧客情報をターゲティング広告の目的でFacebookと共有していることが明らかになった。これらのサイトを電子フロンティア財団（EFF）の「Privacy Badger」や非営利団体The Markupの「Blacklight」といったトラッカー識別ツールを使ってさらに分析したところ、各サイトが搭載している広告モジュールが明らかになった。

そこで研究者らは各社のプライヴァシー規約を確認し、この種のサイトを越えたトラッキングとそれによるFacebookへのデータ流出について許可しているか、そして情報開示しているか調べた。すると5社中3社は、サードパーティーのツールを用いてマーケティング目的でユーザーの特定やターゲティングを実施する可能性を規約に明記していなかったのである。

「これらの規約に大きく欠けている部分があるとわかり、衝撃でした」と、研究報告の共著者でセキュリティ研究者でもあるLight Collective代表のアンドレア・ダウニングは言う。「今回該当した企業と話してみると、自分たちが使っている広告ツールを完全には理解していないようでした。ですから、この件について認識してもらわなければなりません」

ダウニングと論文の共著者でデューク大学臨床研究所チーフ・サイエンス＆デジタル・オフィサーのエリック・ペラクスリスは、ターゲティング広告は往々にしてわかりにくいエコシステムではあるが、トラッキングは患者という属性の人々にとって特有の結果を伴うことを強調している。例えば複数のサイトでユーザーを特定する過程で、サードパーティーによるトラッキングツールでユーザーの健康状態に関する情報を収集しながら、さらにユーザーの関心や職業、デヴァイスフィンガープリント（デヴァイス固有の情報）、居住地域といった幅広いプロフィールも構築できてしまう。

広告というエコシステムが相関性をもっていることから、この“合成写真”には、Facebookなどのサイト上での活動を含むあらゆるウェブ閲覧行為からの情報が取り込まれている可能性がある。その典型的な例が、ユーザーの健康状態を巡るマーケター側の仮定に基づいて、妊娠中の人などをターゲットに一貫して展開される広告だ。

「この実験における問いは、『患者は健康関連サイトで同意した規約を信用していいのか、信用できないとしたら企業側は果たしてそのことを知っているのか』でした」と、ペラクスリスは説明する。「わたしたちが調べた企業の多くは、医療保険の相互運用性と説明責任に関する法律（HIPAA）の対象外であることから、こうした健康関連データはほぼ規制のない野放しの空間に存在することになります。広告を目的としたこの情報の流れが、脆弱な立場にある人に偏って害を及ぼすことは、研究でも一貫して示されています」

もちろん、大多数のユーザーはサーヴィス規約とプライヴァシーポリシーをクリックしても実際に読んではいない。だが、だからこそ余計にデジタル広告のターゲティングやリードジェネレーション（見込み客の獲得）、サイトを越えたトラッキングがどうユーザーのプライヴァシーを侵害する可能性があるのかを解明する必要があるのだと、研究者は訴える。

「わたしの視点からすると、現行の連邦法に存在する限定的なプライヴァシー保護の枠にきれいに収まらない、いわば“健康関連っぽい”分野のデータに関して、こうした事実が今後も判明していくことはまったくもって想定の範囲内です」と、ペンシルヴェニア州立大学ロースクール教授で米連邦取引委員会（FTC）の顧問を務めたアンドレア・マトウィシンは指摘する。「利用規約がプライヴァシーポリシーと合わさって発展した結果、ユーザーにとって全体像が不透明になり、データの流れを解析しようとすると果てしない迷宮に陥ってしまうのです」

FTCは、HIPAAの対象外となる健康情報を扱う企業向けに健康情報侵害通知規則（Health Breach Notification Rule）を2009年に設けたが、実際に規則に基づく執行はしてこなかった。この規則が適用されるケースの例としてFTCは、個人の健康記録を扱う事業者がユーザーの医療情報やモバイル端末の識別情報をユーザーの同意なく広告ネットワークと共有する行為を挙げている。

今回の研究で調査対象となったのは、Color Genomics、Myriad Genetics、Health Union、Invitae、Ciitizenの5社だ。Invitaeは21年9月にCiitizenを買収している。研究者によると、Cookieやウェブビーコンなどのサードパーティーにデータを提供するトラッキングツールの使用について、プライヴァシーポリシーに最も詳しく明記していたのはこの2社だったという。両社とも基本的な枠組みの細部にもう少し踏み込んでもいい部分は見られるものの、全体としてはサイト上でユーザー情報をトラッキングする可能性がある点を明確にしていると、セキュリティ研究者のダウニングは評価する。

それでもInvitaeとCiitizenは、研究結果を受けてさらなる措置をとった。Ciitizenでデータ管理とデータ共有を統括するデヴィン・マグロウは『WIRED』US版に宛てた文書で次のように説明している。

「わたしたちはチームが十分に理解を深め、確認をとり、Invitae及びCiitizenのポリシーやコミットメントと相容れないデータ使用を排除する時間を確保するため、現在Facebook上の全広告の停止と自社サイトでのFacebookに関連するトラッカーの削除を進めています」

Health Unionの代表で最高責任執行者（COO）のローレン・ローホンは『WIRED』US版に対する声明で、研究者によるプライヴァシー事案の公表については論文が発表されるまで知らされていなかった、としている。ローホンによると、同社ではたまたま21年を通じてプライヴァシーポリシーの大々的な見直しを進め、12月に大幅な改定をとりまとめたところだという。

まず、Health Unionのサイトを初めて訪れたユーザーには画面にポップアップが現れ、Cookieなどのトラッキングを許可するか拒否するかを選択できる。データの共有を受け入れるか否かも随時選べ、サイト内の各コミュニティのページには左下に「個人情報の売買を希望しない（DO NOT SELL MY INFORMATION）」と書かれたリンクが表示され、個人情報の扱いについて希望を出せる。こうした変更は「個人情報の管理を巡るいくつかの改善」とともに実施されたと、ローホンは説明している。

Myriad Geneticsは、研究結果を受けて実施した規約の見直しや変更には触れていない。だが、自社サイトの診断で得た「健康に関する個人情報」を個人のターゲティングに使うことはなく、Facebookが定めるヘルスケア関連広告のポリシーを遵守しているという。Color Genomicsは、論文が検知したサイト越えトラッカーのうちふたつ（LeadfeederとNanigans）は過去1年近く積極的には使用しておらず、論文の指摘については引き続き検証していくと回答している。

これに対してメタは、同社の行動トラッキングツールや広告、マーケティング関連ツールを使用する事業者がユーザーの健康関連データをFacebookと共有することを禁じている。ヘルプセンターの「健康に関する機密情報」に関するページには「当社はウェブサイトやアプリから利用者に関する機密情報が送信されてくることを望みません」と書かれている。そのようなデータが検出された場合は広告の作成に利用することなく、自動的に除外するツールを備えているという。

とはいえ、メタのビジネスモデルはパーソナライズされた広告にかかっている。同社は21年11月、政治観や性的指向、宗教、人種など、センシティヴなトピックに関連する多数の広告ターゲットのカテゴリーを削除するという「苦渋の決断」を発表した。これには「肺がん啓発」「化学療法」のような健康関連カテゴリーの削除も含まれている。

このセンシティヴな「詳細ターゲット設定」の削除を発表した声明では、セキュリティ研究者のダウニングらが研究で分析した問題についても、次のように説明されている。

「今回削除する趣味・関心に基づくターゲット設定は、ユーザーの身体的な特性や個人的な属性を基にしたものではなく、ユーザーがFacebook上のコンテンツに対してとった行動などに基づいています。しかしながら専門家からは、こうしたターゲット設定は正当に声が反映されていない集団（過小評価グループ）に該当する人々にとって好ましくない体験につながると懸念する声が上がっています」

今回の結果をどのようなかたちで発表するかについて、ダウニングとペラクスリスはカーネギーメロン大学CERTコーディネーションセンターに意見を聞いた。CERTは研究者によるソフトウェアの脆弱性のカタログ化や脆弱性の公表を支援している。

CERTで脆弱性の分析を手がけるアート・マニオンによると、CERTをはじめとする組織はあくまで特定のソフトに含まれる脆弱性の公表を調整するだけで、広範囲に及ぶデータ漏洩を評価して関連事業者などに構造的なプライヴァシー問題を通知するような体制は基本的にはとっていない。プライヴァシー問題の研究者は多くの場合、個別のケースごとに公表し、その後はデジタル広告業界の各企業が善意をもってしかるべき行動を起こしてくれるよう委ねることになる。

「企業がターゲティング広告の展開に利用できるデータの種類に関しては、現時点ではほぼ何の制限も設けられていないため、それが企業にとってできるだけ多くのデータを集めてやろうという動機づけになっています」と、デジタル権利の擁護団体「Fight for the Future」のディレクターのエヴァン・グリアーは指摘する。「一方で、企業がデータを集めて蓄積すればするほど、そのデータが何らかのかたちで流出する可能性は高まるというか、避けられなくなると言っていいでしょう。FTCのような立場の組織は、サーヴェイランス（監視）に基づく広告に対してもっと大胆に断固とした措置をとるべきです」

プライヴァシーを巡る構造的な問題は、ターゲティング広告の業界全体で長く続いてきた。しかし、病を抱える患者や患者団体の運営側といった立場の弱いコミュニティを巻き込んでいるとなれば、明確なポリシーと管理体制の整備は急務であるとダウニングらは訴える。