データ収集が少ないメッセージアプリは？プライバシーラベルの読み方

「最もデータ収集が少ないメッセージアプリ」の普遍的な勝者を、何を数えるか定義せずに合理的に決めることはできません。登録用の識別子、アドレス帳データ、保存される接続記録、広告への利用、メッセージ内容のどれを対象にするかで変わります。プライバシーラベルは有用な出発点ですが、アプリが処理するすべてを測定したものではありません。

このガイドでは、開示情報の比較方法を説明します。すべてのメッセンジャーについて完了した独立監査ではなく、Livara や競合製品に「データ収集最少」の認定を与えるものでもありません。

カテゴリーを数える前にラベルを読む

Apple の「App のプライバシー」と Google Play の「データ セーフティ」は、いずれも開発者の申告に基づきますが、定義が異なります。Apple のガイダンスでは、ユーザーに関連付けられたデータ、トラッキング、収集目的を区別しています。デバイス内にとどまる処理は収集と扱われず、一部の一時的な処理や任意の開示には特定の例外があります。

Google のガイダンスにも例外があります。条件を満たし、中間者が読み取れないエンドツーエンド暗号化データは収集データの開示対象外であり、サービスプロバイダーへの一部の転送は共有に数えられません。ストア掲載情報の「転送中に暗号化」は、エンドツーエンド暗号化の約束ではありません。したがって、空欄のカテゴリーは、ネットワークリクエストやサービスプロバイダーとの関係が存在しない証拠にはなりません。

Apple の項目数と Google の項目数を比べて勝者を決めないでください。同じストア、日付、地域、利用機能の前提条件で比較します。

5つの層でプライバシーを比較する

証拠	役に立つ問い	それだけでは確認できないこと
ストアのラベル	どの種類のデータと用途が申告されているか？	完全な正確性や実際の保存状況
プライバシーポリシー	誰が、何のために、どれくらいの期間データを受け取るか？	実装がポリシーと一致しているか
デバイスの権限	アプリは連絡先、位置情報、マイク、写真にアクセスできるか？	すでにアップロードされたデータに何が起きたか
プロトコル文書	どの利用範囲と鍵が内容を保護するか？	すべてのデバイスやソフトウェアビルドの保護
独立した評価	どのバージョンと構成要素を検査し、何を修正したか？	将来のリリースの永続的な安全性

これらの層は異なる問いに答えます。オープンソースのクライアントは調査可能ですが、その事実だけで稼働中のサーバーの保存状況が分かるわけではありません。監査が暗号技術を対象としていても、分析機能を調べていない場合があります。どちらもプライバシーの点数として使う前に、対象範囲を読んでください。

この比較用ワークシートを使う

検討しているアプリごとに、以下を非公開の記録として残しましょう。短くても日付のある記録は、根拠のないランキングより有用です。

項目	記録する内容
製品とプラットフォーム	正確なアプリ名、ストアのリンク、OS、バージョン
確認日	ラベルとポリシーを確認した日
登録	必須および任意の電話、メール、決済識別子
相手の発見方法	アドレス帳、ユーザー名、QR コード、招待リンク、アカウント ID
技術的な記録	申告された IP、デバイス、診断、利用状況のデータ
保存	明示された期間、削除条件、または「記載なし」
機能別の例外	バックアップ、ボット、企業とのやり取り、決済、公開チャンネル、通話
証拠の不足	文書が答えていないこと

ポリシーに「必要な期間」保存するとしか書かれていなければ、正確な期間は不明と記録し、推測で埋めないでください。更新後にラベルが変わった場合は、比較を解釈できるように以前の日付もメモに残します。

電話番号不要は一つの側面であり、全体の結論ではない

Session と SimpleX は、電話番号を基にした ID なしで接続する方法を提供しています。Threema では、電話やメールの関連付けが任意です。Livara の公開文書には電話番号やメールなしの登録が説明されていますが、ルーティングやメンバーシップのメタデータも説明されています。これらのアーキテクチャを同じものとして扱うべきではありません。

Signal は現在、Android ベータ版での電話番号なし登録という任意の経路を文書化しています。これは、すべての Signal バージョンや既存アカウントに番号がないという意味ではありません。番号に基づくアカウントでユーザー名を使うことと、番号なしでアカウントを作ることは別の機能です。

番号がなくても、使い回したプロフィール写真、決済アカウント、共有ファイル、IP アドレス、会話の文脈によって、アカウントが個人と結び付く可能性があります。「電話不要」は完全な匿名性の証拠ではありません。ルーティング情報という別の問題については、メッセージのメタデータに関する解説を参照してください。

アドレス帳を公開せずに連絡先アクセスを試す方法

1. 公式アプリをインストールし、最初は連絡先の権限を拒否します。
2. 対応する識別子、招待、QR コードを使い、同意を得たテスト用の連絡先を1人追加します。
3. アドレス帳へのアクセスなしで通常のメッセージ送受信ができるか確認します。
4. OS の権限だけでなく、アプリ内の連絡先同期設定も確認します。必ずしも同じ制御ではありません。
5. 以前に連絡先を同期していた場合は、別の削除オプションや文書化された申請手順を探します。権限の取り消しは今後のデバイスへのアクセスを制限しますが、サーバー側のコピーを必ず削除するわけではありません。

アプリがアドレス帳をアップロードするか確かめるためだけに、アドレス帳をアップロードしないでください。権限の要求画面から分かるのは求められるアクセスであり、完全なデータフロー監査ではありません。ネットワーク調査で宛先やタイミングが分かることはありますが、暗号化によって送信された項目を理解できない場合があります。

E2EE では比較の何が対象外になるか

エンドツーエンド暗号化は、参加するエンドポイント間で対象となる内容を保護します。アカウント識別子、接続時刻、グループの所属記録、プッシュトークンのデータを自動的に消すものではありません。また、その暗号化された会話の外にあるボット、業務ツール、サポートサービスへ意図的に送ったコピーを保護するものでもありません。

Livara については、セキュリティ文書が、暗号化されたダイレクトメッセージと対応する非公開グループを、サーバーが読み取れる公開チャンネルと区別しています。ハイブリッド鍵合意は内容保護についての主張であり、他のすべてのメッセンジャーよりメタデータ収集が少ない証拠ではありません。この記事では、そのサーバー動作を独立に測定していません。

用途に必要な最小限のデータを選ぶ

最も知られたくない情報から考えましょう。電話番号なら番号なし登録を試します。アドレス帳なら手動で相手を見つける方法を確認します。クラウドストレージ上の読み取り可能なチャット履歴なら、バックアップを別途調べます。接続メタデータなら、暗号方式の一覧ではなくルーティングと保存の設計を読みます。

最後に役立つ問いは、自分が必要とする機能を実際に使ったとき、このサービスは何を知り、そのうちどの情報開示を避けられるのか？ です。これは、単一の「データ最少」トロフィーよりも誠実な判断につながります。