欧州、コロナウイルス接触追跡アプリ開発に関する規則案を緩やかなスケジュールで公表

欧州委員会（EC）は、新型コロナウイルス感染症のパンデミックと戦うために加盟国が接触追跡スマートフォンアプリを最も効果的に構築する方法についての考えを説明した文書を公開した。

こうしたアプリはシンガポールとインドで既に導入されている。英国、米国、オーストラリアも、近々これに追随する意向を示している。AppleとGoogleも、アプリの動作を支援するためにモバイルOSを調整すると発表している。これは重要なステップであり、現在のアプリはBluetoothを使用しているものの、スマートフォンではこの無線プロトコルの常時動作がサポートされていないためだ。

これらのアプリは、ユーザーに関するデータを収集し、共有するという明確な目的があるため、物議を醸しています。しかし、感染につながる接触を追跡することで、誰が隔離が必要で、誰がより自由に移動できるのかを把握できるため、ロックダウンの緩和を可能にするツールとしても注目されています。

EC には、このようなアプリが何をすべきか、どのようにそれを実行すべきか、そしていつ展開される可能性があるかについての 44 ページのガイドが付属しています。

この文書では、こうしたアプリはユーザーの電話番号を記録しなくても機能すると考えている。代わりに、アプリが「近くにいる他のアプリユーザーとの接触を可能にする一時的な匿名ID」を送信することを提案している。アプリはこの匿名IDを記録し、近くにいたユーザーが新型コロナウイルスの検査で陽性となり、データ共有に同意した場合、その匿名IDを取得した他のデバイスに通知が届く。また、心配なニュースを受け取った際に通知以外の情報を受け取りたい場合は、ユーザーがオプションで他の連絡先データを入力できるようにすることも提案されている。

ECは急いでいるわけではない。ECは、5月中に2週間ごとの会議を開き、セキュリティに関する勧告を策定し、6月には当局の出口戦略策定に役立つデータ共有基準を策定するというスケジュールを提案した。

また、EC がアプリに必須であると考える安全対策のリストもあります。具体的には以下のとおりです。

• 危機が去るとすぐに、アプリは自動的に非アクティブ化され、残っている個人データと近接データはすべて消去されるはずです。
• アプリは、データの処理目的に関する完全な情報に基づいた同意に基づくものでなければならない
• 接触追跡アプリは個人の動きを追跡したり、処方箋を執行したりすることを目的としないため、位置情報は不要であり、推奨もされません。接触追跡アプリにおいて個人の動きを収集することは、データ最小化の原則に違反し、重大なセキュリティおよびプライバシーの問題を引き起こす可能性があります。
• アプリは、ユーザーが感染者や感染者の濃厚接触者の身元を知ることができないようにする必要がある。
• プライバシーとセキュリティを強化するため、近接データ（濃厚接触者）はデバイス上にのみ保存され、ECDC（欧州疾病予防管理センター）が推奨する疫学的に重要な期間（14～16日）後に削除されます。ユーザーの感染が確認された後にのみ、当該ユーザーの近接データは、加盟国が選択したシステムに応じて、中央サーバーおよび／または管轄保健当局にアップロードされます。
• BLEを介してデバイス間で送信されるエフェメラルIDは、疑似ランダムに生成され、定期的に変更される必要があります。これにより、特定のデバイスのユーザーを識別したり、複数の信号を同じデバイスに関連付けたりすることが不可能になります。
• 仮名は、長期間保存される個人識別情報 (PII) とは関係がないようにする必要があります。
• アプリはセキュリティとプライバシーを強化するために可能な限りデータを暗号化する必要がある

また、技術専門家によるアプリの独立したレビュー、アプリのオープンソース化、そしてこうしたソフトウェアが手動の接触追跡を補完するものであるという意見も数多く挙げられている。また、この文書では、アプリの効果を発揮するには国民の60%がアプリを導入する必要があると示唆するオックスフォード大学の研究も引用されている。

この文書は冗長かつ綿密に書かれており、ヨーロッパの行政手法の決まり文句とさえ言えるほどです。しかし同時に、この件に関して、この拙い筆者がこれまで目にした潜在的な落とし穴や要件についても、包括的にまとめられています。今後数週間で、この文書は大きな影響力を持つことになるだろうと予想しています。

最後にもう一つ。この文書によると、AppleとGoogleは接触追跡アプリを支援する計画を発表し、大きな話題を呼んだものの、具体的な内容は予測しにくいようだ。Registerは、ECのToDoリストの第一項目として「AndroidとiOSの接触追跡機能に関してGoogleとAppleが提案する解決策について、EUの共通アプローチとの整合性を確保するため、明確化を図る」ことを提案している。®