アメリカのデジタル権利擁護団体「電子フロンティア財団（EFF）」は、Android向けアプリの一部において、開発者が意図せずにユーザーの正確な位置情報を広告主やデータブローカーと共有している可能性があるとする調査結果を発表しました。
天気予報やフィットネスなどのアプリでは、サービスの提供にユーザーの正確な位置情報が必要とされます。しかし、アプリに組み込まれたサードパーティ製のプログラム（SDK＝ソフトウェア開発キット）が、デフォルトの設定でユーザーの位置情報を収集しているケースがあるということです。
EFFによりますと、開発者が明示的にデータ収集の設定を無効にしない限り、SDKはアプリに与えられた権限を引き継ぎ、位置情報を収集し続ける仕組みになっています。多くの開発者は、この初期設定によってデータが第三者と共有されている事実に気づいていない可能性があるとして、可能な限り不要なデータ収集を無効にするよう呼びかけています。
広告用SDKはアプリの収益化手段として推奨されていますが、その代償として、収集された位置情報の履歴がデータブローカーに渡るリスクがあります。こうした情報は収益化の目的で、軍や政府、FBIなどの情報機関に販売される可能性があるということです。また、データブローカーがサイバー攻撃を受けた場合、情報漏えいにつながる安全保障上およびプライバシー上の懸念も指摘されています。
EFFがネットワークの通信状況を分析した結果、位置情報をひそかに共有していたAndroidアプリの中には、累計で6000万回ダウンロードされたアプリが2つ含まれていたということです。
EFFのシニアスタッフ・テクノロジストであるビル・バディントン氏は、今回調査したSDKは広範な広告市場全体の一部にすぎないものの、数万のアプリを通じて数十億人のユーザーに影響を与えていると述べています。これは、位置情報収集の規模の大きさを示すものだとしています。
EFFの報告書によりますと、SDK固有の位置情報許可設定は存在しないため、ユーザーがアプリに対して位置情報の利用を許可すると、自動的に広告主にも共有される仕組みになっています。SDKを提供する企業は、顧客により多くのデータを収集させることで商業的な利益を得る構造になっているということです。
EFFは、「アプリに対する位置情報の許可だけでは、サードパーティの広告SDKによるデータ収集や共有に同意したとは言えない」と指摘しています。そのうえで、「広告用SDKは、位置情報のような機密性の高い個人情報の共有をデフォルトの設定にすべきではない」として、データ取り扱いの見直しを求めています。
