Clubhouseアプリのプライバシーリスク—DataSign解析結果を踏まえて
Clubhouse（クラブハウス）のプライバシーポリシーとアプリ双方を分析。DataSign代表太田氏が評価するClubhouseのプライバシーリスクレベルとは。
目次
Clubhouseのプライバシーポリシーとアプリ通信ログをプロが解析
1月下旬から日本でも人気に火がついた音声オンリーSNS「Clubhouse」。
先日、利用規約について本メディアで取り上げたところですが、サイト調査のプロフェッショナル集団である株式会社DataSign代表の太田 祐一氏が、Clubhouseのプライバシーポリシーを分析し、合わせてアプリの挙動とサーバーに送信している情報を調査。その結果について、ZoomとClubhouseを併用したオンラインセミナーを開催しました。
このセミナーの内容と合わせ、DataSignが独自にアプリを調査分析した結果について、以下レポートします。
プライバシーリスクは高いか低いか
まず太田氏が注目したのが、Clubhouseプライバシーポリシーが定める、パーソナルデータの利用目的および取得する情報項目についてです。
登録や招待に携帯電話番号を必須としているClubhouseが、その電話番号情報をどう取得し、何に使っているか は、まだサービスを利用されていない方にとっても関心事ではないでしょうか。
太田氏の検証では、プラポリにおける電話番号の使用用途は必ずしも明確ではないものの、電話番号を入力させる画面のポップアップで
Authorize contacts: This lets you see which of your friends are on Clubhouse and choose people to invite
（連絡先へのアクセス許可：これによりあなたに友達のうちの誰がクラブハウスにいるかが見えるようになり、招待する友達を選べるようになります）
と、利用目的をシャープに説明し、このデータを送信しない選択肢も提供していることから、プライバシーレベルとしては適切 と評価されていました。
さらに、Clubhouseアプリからサーバーに送信されているデータについても解析。
11,295文字分のパラメータの中にはiOSのUUID等も含まれる一方、広告用のデバイス追跡モジュールに見られるような識別符号は送信しておらず、それほど大きな問題は見当たらないと評価しました。
プライバシーポリシーの作りには雑な部分も
唯一、太田氏が疑問を呈した点が、プライバシーポリシーに見られる条項の重複についてです。
企業法務担当者であれば、プライバシーポリシーを作る際、類似するサービスのプラポリをコピー＆ペーストし必要な部分を書き換えて自社サービスのものとすることも、決して珍しいことではないでしょう。
しかし、Clubhouseのプラポリでは、その作業の過程でミスをしたのか、まったく同じ文言が二重に表記されており、さらに、その二重コピペ文言をインターネットで検索してみると、複数の他社製プライバシーポリシーがヒット することを発見。
本メディアでも調査をしてみると、確かに、類似する文言を多数含むプラポリが、インターネット上にいくつか存在することが確認できました。
データの送信相手国について明らかな誤りを発見
さらに、その プラポリの記載内容と、実際にアプリからサーバーへ送信されるデータの解析結果とを突き合わせてみると、明らかにプラポリ記載内容に違反する実態も 観察できます。
その際たるものが、個人情報の外国送信です。データサインの通信解析では、アプリのデータはドイツのフランクフルトとシンガポールにあるAWSサーバーに送信されています。しかし、同社プライバシーポリシーの第10条の記載は、
と、原則アメリカに送信されることになっていました。
Clubhouse運営は全ルームの音声データ録音し一定期間保存している
加えて、Clubhouseでは、ユーザーがroomで交わされる会話の録音・記録を禁止している一方で（関連記事：Clubhouse利用規約がユーザーに課した禁止事項）、運営側が安全管理やトラブル対応を目的として、全ルームの音声データを一時的に保管し用いる場合があることが、利用規約の冒頭でも宣言されています。
主要かつプライバシー度のもっとも高いであろう音声データを保存するサーバー設置国がプラポリに明確に示されていないとすれば、問題となりそうです。さらに、一時的な保管というのがいったいどの程度の期間なのかが不明である点も気になるところです。
ドイツでは、この全ルームの音声データ保存ポリシーに懸念を抱く消費者団体が抗議し、HamburgのDPAが調査を開始したという報道も早速でてきています。
According to a statement by the Executive Director of the Federation of German Consumer Organisations (vzbv) on Twitter, the California-based company Alpha Exploration Co. is accused of the following legal violations:（以下略）
目指すべきはプラポリの不要な世界
データサインの太田氏は、セミナーの最後に、Clubhouseのアプリとプラポリにクリティカルなプライバシー問題は見られなかったとしつつも、
「コピペによってプラポリが作られる実態を非難するつもりはないが、こうした実態があるなら、各社でプラポリを共通化し、差分を分かりやすく明示したり、プラポリをなくしすべてポップアップ型の個別同意にしたりするほうがよいのではないか」
と問題提起し、セミナーを結んでいました。
太田氏が代表を務めるデータサインでは、「データサインランチトーク」と題し、こうした時事の問題や電子署名を支える公開鍵暗号方式などのセキュリティ技術の解説を、毎週木曜日12:30よりZoomで配信しています。ご興味ある方は同社ウェブサイトより事前登録の上、参加をおすすめします。
（橋詰）
