子どもにも権利があります——デジタル上でも
一般データ保護規則（GDPR）は、子どもの個人データを特別に保護しています。 第8条と前文38項では、子どもはリスクや結果を十分に判断しにくいことが、分かりやすく示されています。 親にとっては、子ども部屋で使うアプリは天気アプリ以上に慎重に確認すべきだということです。
実際には、ベビーモニターアプリのプライバシー対応は細かな説明文に埋もれがちです。場合によっては、それ自体がビジネスモデルの一部のように感じられることもあります。
一般的なベビーモニターアプリが収集するもの
こちらの Baby Monitor Timmyのプライバシーポリシー や、ほかのベビーモニターアプリのポリシーを見ると、よく収集されるデータがすぐに分かります。
- 位置情報： 端末のGPS位置情報です。ベビーモニターに必要だとは考えにくいデータです。
- 音声・映像の記録： 一部のアプリは音声や映像の記録を自社サーバーに保存しており、削除時期が明確でないこともあります。
- 端末情報： 機種、OS、固有の端末ID。これらはあっという間にプロファイル作成につながる可能性があります。
- 利用状況： いつアプリを開いたか、どれくらい聞いていたか、どの機能を使ったか。
- 広告ID： 一部のアプリには広告ネットワークが組み込まれており、第三者とデータを共有しています。
こうしたデータはすべて、何よりも機微な場所である、お子さんの寝室から生まれます。 多くの場合、そのデータは自分で管理できないサーバーに送られます。
Timmyの方法はどう違うのか
Baby Monitor Timmyは、最初から データ最小化を軸に設計されています。 GDPRの考え方では、特定の目的に必要なデータだけを集めるという意味です。技術的に取得できるものを、すべて集めるわけではありません。
具体的には、次のとおりです。
- 匿名認証： TimmyはFirebase Anonymous Authを使用しています。 アカウントは作成されず、メールアドレスの入力も求めず、パスワードも保存しません。 端末には一時的な匿名IDが割り当てられます。接続の設定に、それ以上の情報は必要ありません。
- 音声・映像を保存しない： 音声と映像は端末同士で直接送信されます（WebRTCによるピアツーピア接続）。 サーバーが通信を盗聴したり、音声や映像を保存したりすることはありません。接続が終了すれば、記録は残りません。
- トラッキングも分析もなし： Timmyには分析ツールを組み込んでいません。 Google Analytics、Firebase Analytics、広告SDKはいずれも使用していません。私には、いつアプリを使っているか分かりませんし、知りたいとも思いません。
- 位置情報も連絡先も不要： Timmyが求めるのは、技術的に必要な権限だけです。マイクと、必要に応じたカメラのみで、ほかには求めません。
Firebase：必要なものだけ
TimmyではFirebaseをシグナリング、つまり赤ちゃん側の端末と親側の端末の接続設定を調整するために使っています。 Firestoreに送られるのは、SDPオファー（Session Description Protocol）やWebRTC用のICE候補といった技術データです。 これらに個人情報は含まれず、短時間で無効になります。
音声ストリーム、映像データ、利用プロファイルは、Firebaseに置くべきものではありません。 実際の通信は端末同士で直接行われ、WebRTCによって暗号化されています。
実践するデータ最小化
データ最小化は、最後にチェック項目として付け加えるものではありません。設計そのものに組み込むべきものです。 Timmyでは、次のことを意味します。
集めないデータは、失うこともありません。保存しないデータは、ハッキングされることもありません。 知らない情報は、悪用されることもありません。
どの機能についても、私は同じことを問いかけています。より多くのデータを集めずに、この機能を実現できるか？ Timmyでは今のところ、答えはすべて「はい」です。
結論：プライバシーは尊重の形
子ども部屋のプライバシーは、法的な義務以上のものです。それは、お子さんを尊重することです。 赤ちゃんは、自分についてどんなデータが作られるかを決められません。その責任は親御さんと、家庭に迎え入れるアプリにあります。
Baby Monitor Timmyは、その責任を真剣に受け止めています。きれいな約束だけでは不十分です。そもそもベビーモニターの運用に不要なデータを集めない設計であるべきだと考えています。