心拍モニターがなぜあなたの位置情報を必要とするのか。多くの場合、必要としていない。それほど正直ではない答えは権限画面に埋もれ、「強化された体験」と銘打たれている。フィットネスデータだけでも、ほとんどの人が思うよりはるかに多くを明かす。連続した歩数ログは、それを読む誰かにあなたがどこに住み、どこで働き、だいたいいつ寝るかを教える。GPSを加えれば、あなたの移動の日記になる。心拍を加えれば、ストレスマップになる。対策は一つの問いから始まる。デバイスが機能するのに実際何が必要で、何を「できるから」奪っているのか。
宣伝文句（彼らがそうすると言うこと）
宣伝文句はおなじみだ。ワークアウトを記録し、睡眠を改善し、パーソナライズされた洞察を得る。デバイスは自己改善のツールとして売られ、データはそのサービスの原材料として提示される。GDPRの下では、その枠組みが重要だ。処理には法的根拠が必要で、ほとんどのフィットネス機能では同意か契約履行だ。しかし同意は具体的で、情報に基づき、撤回可能でなければならない。設定時の、大量のテキストの下に埋もれた一度の「同意します」は、その基準をめったに満たさない。目的についての透明性も要求される。アプリがあなたのデータを「体験の向上」に使うと言うなら、それは目的ではない——スローガンだ。あなたは収集されるデータの実際のカテゴリー、受領者、保存期間を知る権利がある。宣伝文句は問題ではない。宣伝文句が省いていることが問題だ。
彼らが集めるもの（たいていもっと多く）
彼らが集めるものは、たいてい宣伝文句が認めるより多い。歩数、心拍、睡眠段階、ワークアウトのルート、時には連続した位置情報。第2条の下で、GDPRは全部または一部自動化された手段による個人データの処理に適用される。フィットネスデータは該当する。健康状態を明かすものは特別カテゴリーに該当する可能性がある。データフローの問いは単純だ。データはどこへ行くのか。デバイス上の処理は一つ。クラウドアカウントへの同期は別。第三者分析や広告パートナーとの共有はさらに別。各ホップがリスクを変える。監督機関は第58条の下で調査権限を持ち、監査や立入りを含む——しかしそれらの権限は事後的だ。彼らは苦情に基づいて行動する。あなたの最初の動きは自分で流れを地図にすることだ。アプリのプライバシー設定を確認し、データダウンロードのオプションを探し、共有に関するセクションを読む。コア機能を失わずに共有を制限する方法があれば、初日に取れ。
彼らが教えないこと（たいてい転売かモデル訓練について）
彼らが教えないことは、たいてい転売かモデル訓練についてだ。プライバシーポリシーは「ビジネスパートナー」や「研究提携」に言及しても、名前を挙げないことがある。第35条の下で、自動化された処理に基づく個人の側面の体系的かつ広範な評価、または特別カテゴリーのデータの大規模処理を含む処理には、データ保護影響評価が必要だ。健康リスクを推測するモデルの訓練に使われるフィットネスデータは、その要件を引き起こす可能性がある。しかしあなたはDPIAを見ない。「サービス改善」に関する条項を見る。第23条の制限は加盟国向けで、ベンダー向けではない。ベンダーの義務は目的についての透明性だ。目的がモデル訓練なら、そう書くべきだ。転売なら、それも書くべきだ。平易な言葉の欠如は偶然ではない。選択だ。あなたの対抗策：「製品改善」のためのデータ共有のオプトアウトを探して取ること。なければ、なぜかと問え。
あなたの動き（それについて何をするか）
あなたの動きは具体的だ。まず、アプリのプライバシー設定を開き、データダウンロードのオプションを見つける。GDPRの下で、あなたは自分のデータにアクセスする権利がある。請求せよ。回答は彼らが何を保持し、たいていどう分類しているかを教える。第二に、共有権限を見直す。コア機能に必須でないものは無効にする。第三に、保存ポリシーを確認する。曖昧なら、明確化を求める。第四に、違反を疑うなら、監督機関に苦情を申し立てる。第57条は彼らに苦情を処理し、進捗をあなたに知らせることを要求する。それはレバーだ。劇的ではないが、機能する。要点は警戒心を煽ることではない。要点は情報を持つことだ。販売時に無料のものはめったに本当に無料ではない。初日にオプトアウトを取り、ポリシーを第十一条まで読め。
FAQ
歩数は本当に個人データと見なされるのか？
はい。第2条の下で、GDPRは自動化された手段による個人データの処理を対象とし、連続した歩数ログはあなたを識別するのに十分該当する。データが健康状態を明かすなら、特別カテゴリーの枠に入ることさえあり、それはベンダーの基準を引き上げる。
データを請求して彼らが引き延ばしたらどうなる？
彼らはあなたにアクセスを負っており、回答自体が彼らが何を保持し、どう分類しているかを教える。引き延ばしが続くなら、それが監督機関に苦情を申し立てる合図だ——第57条は彼らにそれを処理し、あなたに知らせ続けることを要求する。遅いことは拒否と同じではないが、記録する価値はある。
「製品改善」共有のオプトアウトは価値があるか？
はい、そして一分で済む。そのトグルはたいていモデル訓練とパートナー共有の権限が隠れる場所で、GDPRはベンダーにそれらの目的について透明であることを要求する。オプトアウトがなければ、書面でなぜかと問え——答えはしばしばポリシーより情報量が多い。
