（米国）スマートウォッチなどの健康データ、召喚状で法執行機関に開示される可能性　AppleのみがE2EEに対応

スマートウォッチやフィットネストラッカーが記録する心拍数や位置情報などの極めてプライベートなデータが、法執行機関からの開示請求に対してほぼ無防備な状態にあることが明らかになった。電子フロンティア財団（EFF）が2026年7月に発表した調査によると、主要メーカー10社のうち、保存された健康データをエンドツーエンド暗号化（E2EE）して保護しているのはAppleのみである。ユーザーが現在取れる対策は限られており、対応する設定を確認するか、メーカーにプライバシー機能の強化を求める必要がある。

■召喚状で開示され得るプライベートなデータ

指に装着したOura Ringが睡眠中の体温を記録し、手首のGarminが朝のランニングのGPS座標を追跡し、前腕のWhoopバンドが午前2時の心拍数を読み取る。これらのデータは極めてプライベートかつ継続的なものだ。しかし、電子フロンティア財団（EFF）が2026年7月に実施した調査によると、消費者向けウェアラブル健康デバイスを所有する米国人約40％のデータは、法執行機関から開示請求があった場合、連邦法によってほとんど保護されていないのが現状である。

EFFが7月15日に公開した大規模な調査では、人気の消費者向けウェアラブル企業10社（Amazfit、Apple、Coros、Garmin、Google〈Fitbitを所有〉、Hume、Oura、Polar、Suunto、Whoop）の公開されているポリシーを検証し、各社にメールで追加質問を行った。その結果は厳しいものだった。ほとんどのベンダーは、法執行機関にデータを引き渡した頻度に関する透明性レポートを公開しておらず、保存された健康データにエンドツーエンド暗号化（E2EE）を提供する企業はほぼなく、5社はEFFの質問に一切回答しなかった。

監視企業Penlink（顧客には米移民・関税執行局などが含まれる）は、フィットネストラッカーやウェアラブルデバイスを、見過ごされてきた捜査資源としてすでに売り込んでいる。移動パターンや心拍数の変化を把握できるためだ。2026年4月に発表されたCitizen Labの調査によると、Penlinkの「Webloc」システムは、消費者向けアプリやデジタル広告ネットワークから購入したデータを使い、数億人を監視しているという。

■透明性レポートの公開状況と各社の対応

EFFが調査した10社のうち、政府機関からユーザーデータの提供をどの程度の頻度で求められ、どのような種類のデータについて、どう対応したかを示す透明性レポートを現在公開しているのは、AppleとGoogleのみである。

Apple、Google、Whoopの3社は、法的に許される限り、法執行機関からの請求についてユーザーに通知することを公に約束している。Ouraもこのグループに加わったが、それは2026年6月にプライバシーポリシーを改定した後のことだった。EFFは、この変更について、ジャーナリストのザック・ウィッタカー氏による継続的な質問が契機になった可能性があると指摘している。OuraはEFFへのメールで、請求への対応について「透明性レポートなどを通じて、より高い透明性を確保する方法を積極的に検討している」と述べた。

SuuntoはEFFに対し、透明性に関する取り組みを「継続的に評価」しており、将来的にレポートを公開する可能性があると回答した。一方、Garmin、Amazfit、Coros、Hume、Polarの5社には、公表されたユーザー通知方針がなく、EFFの問い合わせにも回答しなかった。

透明性レポートは単なる形式的なものではない。レポートがなければ、ウェアラブルのユーザーは、デバイスメーカーが先月や昨年、あるいはこれまでに政府からデータ提供を求められたかどうかを知る術がなく、その事実について通知されたかどうかも分からない。何百万人もの睡眠、月経周期、ストレスレベル、日々の移動といった継続的な生体記録を保持する企業にとって、この沈黙は小さな不備ではない。

■技術的な鍵を握る「エンドツーエンド暗号化」

エンドツーエンド暗号化（E2EE）は、政府の召喚状によってユーザーの健康データを取得できるかどうかを左右する、アーキテクチャ上の重要な選択である。

ウェアラブルデバイスがクラウドと同期する際、通常はBluetoothを使ってスマートフォンの連携アプリにデータを送信する。アプリは送信中のデータをTLSで暗号化して企業のサーバーに送り、サーバー上でも保存時に暗号化される。どちらの段階も保護されているように聞こえるが、いずれもE2EEではない。決定的な違いは「鍵を誰が管理するか」にある。業界標準のモデルでは、企業が復号鍵を保持している。つまり、企業はユーザーのデータを読み取ることができ、法執行機関から有効な召喚状を受ければ、読み取り可能なデータを提供できる。

一方、エンドツーエンド暗号化では、復号鍵はユーザーのデバイス上にのみ存在する。企業が保存するのは、自社では読み取れない暗号文だけだ。そのため、召喚状を受けても、企業は読み取り可能な有用なデータを提出できない。

Appleは、健康データにこの仕組みを導入している唯一の主要ウェアラブルメーカーである。具体的には、Apple Healthアプリに保存されるデータがデフォルトでエンドツーエンド暗号化され、利用には2要素認証が必要となる。Garmin、Oura、Whoop、Fitbit／Googleなど、他の主要ウェアラブルプラットフォームは、企業側が読み取れる業界標準の方式で健康データを保存している。

これは単なるリスクではなく、構造的な問題である。E2EEを導入していない企業は、法的手続きによって、完全に読み取り可能な健康データの提出を強制され得る。バックドアも、復号を巡る法廷闘争も必要ない。必要なのは召喚状と、それに対する企業の回答だけだ。

ただし、ウェアラブルにおけるE2EEには現実的なトレードオフもある。睡眠分析、ストレスの推定、予測型のウェルネススコアなどのヘルスケアAI機能は通常、サーバー側での処理を必要とし、そのためには読み取り可能なデータが必要となる。E2EEを導入すると、こうした処理をデバイス自体で行う必要があり、技術的に可能な機能が制約される。EFFはこの点を率直に認めつつも、ユーザーには少なくとも、AI機能よりプライバシーを優先する選択肢が与えられるべきだと主張している。

部分的な代替策も存在する。GarminやPolarの一部モデルは、クラウドと同期せずに使用できる。また、Apple WatchではApple HealthのiCloud共有を無効にし、データをスマートフォン内だけに保存するよう設定できる。ただし、どちらの方法でも、ユーザー自身が、ほとんどの購入者が見つけないような設定項目を探して変更しなければならない。

■HIPAAの対象外となる消費者向けデバイス

1996年に制定された医療保険の相互運用性と説明責任に関する法律（HIPAA）は、医療提供者、保険会社、およびその業務提携先が保有する医療記録を保護するために作られた。消費者向けウェアラブル企業はそのいずれにも該当せず、1996年当時の起草者は、まだ存在していなかったデバイスを想定できなかった。

この適用除外がもたらす実質的な影響は大きい。ウェアラブル企業にユーザーデータの保持期間の上限を設けるよう義務付ける連邦法はない。第三者とデータを共有する前に明示的な同意を得る義務もなければ、企業買収に伴ってデータが売却された場合にユーザーへ通知する義務もない。そして、一般的な第三者保有記録に適用される通常の法的手続きを超えて、政府によるデータ請求から守る特別な法的保護もない。

電子通信プライバシー法（ECPA）と、連邦最高裁判所が「Smith v. Maryland」（1979年）で確立した「第三者法理」に基づき、ユーザーが自発的に第三者と共有したデータは、合衆国憲法修正第4条による保護を失う。最高裁の「Carpenter v. United States」判決（2018年）は、携帯電話の基地局位置情報について限定的な例外を設けたが、この法理を広く覆すには至らなかった。消費者向けウェアラブルの健康データは、従来の第三者法理の枠組みに明確に当てはまる。

EFFの調査によると、複数のウェアラブルメーカーは、マーケティング、保険料率の算定、AIモデルの学習などを目的として、すでにデータを第三者と共有または販売しているが、いずれも連邦法には違反していない。2024年7月29日に施行された連邦取引委員会（FTC）の改正健康情報侵害通知規則は、HIPAAの対象外である消費者向け健康アプリにも適用され、一定のデータ侵害について通知を義務付けている。ただし、HIPAAが対象機関に課す、より包括的なプライバシー保護やデータ利用上の制限を提供するものではない。

■Amazfitが抱える特有の法的リスク

EFFの調査対象となった企業のうち、1社にはさらに別の法的リスクがある。Zepp Health Corporationが製造するAmazfitは、中国の電子機器大手Xiaomi（シャオミ）から分離したHuami（ホアミ）に事業上の起源を持つ。中国の国家情報法（2017年）に基づき、すべての組織および市民は国家の情報活動を支持、支援し、協力しなければならない。この義務は、企業がどこで法人化されているか、データがどこに保存されているかにかかわらず適用される。

Mozilla Foundationの「Privacy Not Included」レビューでも確認されているように、Amazfitのプライバシー文書には、国家安全保障上の要請によってユーザーデータが開示される可能性があることが明記されている。Amazfitデバイスの購入者は、この法的義務を、価格や機能との比較で変わり得る要素ではなく、固定された条件として認識すべきである。

■すでに捜査で使われている健康データ

ウェアラブルの健康データは、すでに刑事捜査や民事訴訟に登場している。歩数や心拍数のデータは、アリバイに反証したり、出来事の時系列を立証したりするために使われてきた。記録が残るペンシルベニア州の少なくとも1件の事件では、Fitbitの記録が、犯罪発生時の容疑者の居場所や行動に関する供述と直接矛盾していた。また、民事の人身傷害訴訟「Bartis v. Biomet」でも、事故後に活動量がどれほど低下したかという原告の主張に異議を唱えるため、Fitbitのデータが使われた。

米司法省国立司法研究所（NIJ）は、ウェアラブル向けフィットネスアプリのデータが持つ法科学上の価値について研究を発表している。そこでは、Garmin Connectが、捜査で回収可能な詳細な活動情報や位置データを記録していると指摘されている。ユーザーに自身の健康状態を継続的に示すデータは、捜査官に対しても、ユーザーの移動や生理的状態を同じように継続して示す。

■問題を拡大させる連邦政府の政策

EFFの調査が発表された背景では、連邦政策が同時に2つの方向へ動いているが、どちらも消費者保護の強化には向かっていない。

2026年1月6日、米食品医薬品局（FDA）は一般ウェルネス製品に関する方針を更新し、「一般ウェルネス」製品に分類されるウェアラブルデバイスの範囲を拡大した。この指定を受けたデバイスはFDAの規制審査を免除される。この変更により、ますます私的な生理学的データを収集する、より多くのデバイスが、FDAの監督を受けずに提供されることになる。

同時に、保健福祉省（HHS）のロバート・F・ケネディ・ジュニア長官は、4年以内にすべての米国人が健康ウェアラブルを装着するようにするという目標を表明している。Cato Instituteによる2026年3月の分析では、ケネディ長官はこれをHHS史上最大規模の広告キャンペーンの一つと表現したという。連邦政府は別途、妊娠、免疫反応、ストレス、薬物代謝の指標となるサイトカインやホルモンを検出できるバイオセンサーを開発するため、ARPA-Hの「Delphi」プログラムに資金を提供している。その一方で、それらのデバイスから得られるデータを規律する枠組みは、強化されるのではなく弱められている。

これは固定されたままの制度上の隙間ではない。連邦政府の政策が積極的に広げている隙間である。より多くの米国人が、より多くのデバイスを身につけ、より私的なデータを生成する一方、連邦レベルのプライバシー保護は追加されておらず、議会もまだ行動を起こしていない。

■進展しない連邦法案と州レベルの限定的な保護

HIPAAの適用除外問題に実質的に対処する2つの連邦法案が提出されているが、いずれも本会議での採決には進んでいない。

ジャッキー・ローゼン上院議員（民主党・ネバダ州）とビル・カシディー上院議員（共和党・ルイジアナ州）が超党派で提出した「Smartwatch Data Act」は、ウェアラブルの健康データを販売または共有する前に、消費者の同意を得ることを義務付ける。カシディー議員はこれとは別に、2025年11月に「Health Information Privacy Reform Act」を提出した。同法案は、HHSとFTCに関連規則の策定を指示し、HIPAAに類する保護をウェアラブルデバイスにも拡大することを目指している。アメリカ法曹協会（ABA）は2026年初頭にこの法案を検討し、法律アナリストらは、HIPAA制定以来、連邦健康プライバシー法の最も重要な拡張案だと評価した。しかし、どちらの法案も進展していない。

州レベルでの保護は存在するが、州によってばらつきがある。イリノイ州の生体情報プライバシー法（BIPA）とカリフォルニア州消費者プライバシー法（CCPA）は、とりわけ実質的な保護を提供し、実際の法執行措置や和解にもつながっている。2024年に施行されたワシントン州の「My Health My Data Act」は、ウェアラブルの測定値を含む「収集、派生、または推測された」データにまで対象を広げた。インディアナ州とケンタッキー州では、2026年に新たな包括的プライバシー法が施行された。ただし、こうした保護はそれぞれの州の居住者にしか適用されず、UC Law Reviewの分析が示すように、執行状況にもばらつきがある。

■ユーザーが今できる対策

EFFのレポートは、企業に対する2つの要求で締めくくられている。透明性レポートを公開することと、エンドツーエンド暗号化または堅牢なローカル保存専用モードを、ユーザーが選べるようにすることだ。

こうした変更が実現する前にユーザーが取れる対策は限られている。健康データをApple Healthのみに保存し、Stravaなどのサードパーティ製アプリとは共有せず、他のウェアラブルのデータとも連携させないApple Watchユーザーは、実際のエンドツーエンド暗号化の恩恵を受けられる。Apple HealthでiCloud共有を無効にすれば、データをデバイスとスマートフォン内だけに限定できる。それ以外の主要なウェアラブルでは、その基盤となるアーキテクチャ上、法的に有効な召喚状を受けた企業は、読み取り可能なデータを提出できる。

企業に対応を促したいユーザーは、Garmin、Polar、Suunto、Whoopが設けている専用ポータルから機能追加を要望するか、AmazfitやOuraの一般問い合わせページから連絡できる。これは、Ouraによる2026年6月のポリシー改定を促したのと同じ仕組み、すなわち継続的かつ具体的なユーザーからの要求である。

ウェアラブルのない世界を前提として1996年に設計されたHIPAAの隙間を連邦法が埋めるまでは、睡眠、心拍数、日々の移動に関する極めて私的な情報は、召喚状によって開示され得る状態のままである。そして、そのデータを保持する企業の大半は、誰かがデータを求めても、依然としてユーザーに知らせようとしていない。

■注目ポイントQ&A

●フィットネストラッカーが収集する健康データは、HIPAAで保護されますか？

いいえ。HIPAAは、医療提供者、健康保険制度、医療情報交換機関などの「対象機関」と、それらに代わって保護対象医療情報を取り扱う事業者に適用されます。消費者向けウェアラブル企業は対象機関ではありません。HIPAAの対象機関との業務提携契約に基づき、臨床ケアプログラムへ明示的に組み込まれたデバイスを使用している場合を除き、ウェアラブルのデータはHIPAAの適用外です。そのため、データ保持期間について連邦法上の上限はなく、第三者とのデータ共有前に同意を得る義務もなく、政府の召喚状に対する特別な法的保護もありません。

●警察は令状なしで私のフィットネストラッカーのデータにアクセスできますか？

多くの場合、法執行機関は、令状より法的要件の低い召喚状を使って、第三者企業に保存されたウェアラブルの健康データを取得できます。最高裁判所が「Smith v. Maryland」（1979年）で確立した第三者法理では、企業に自発的に共有したデータは通常、憲法修正第4条による完全な保護を受けません。「Carpenter v. United States」判決（2018年）は、包括的な携帯電話基地局位置情報について限定的な例外を設けましたが、この例外は健康データ全般には広く拡張されていません。Appleを除く主要ウェアラブルメーカーはE2EEを導入していないため、企業への召喚状によって、心拍数、睡眠、GPS、活動量などのデータが読み取り可能な形で提出され得ます。

●プライバシー保護が最も充実しているウェアラブルはどれですか？

Apple Healthだけを使用し、データをサードパーティ製アプリと同期しない場合のApple Watchです。保存された健康データにE2EEを導入している唯一の主要な消費者向けウェアラブルです。Appleは政府からのデータ請求に関する透明性レポートも公開し、法的に許される場合はユーザーに通知すると表明しています。ただし、健康データをサードパーティ製アプリと共有したり、別のウェアラブルと連携したり、Apple Healthの外部に同期したりした時点で、そのE2EEによる保護は適用されなくなります。Garmin、Oura、Whoop、Fitbit／Googleなど、他の主要ウェアラブルは企業側が読み取れる暗号化方式でデータを保存しているため、企業はデータを読み取ることができ、法執行機関も提出を求められます。

●Amazfitのデバイスを購入する前に知っておくべきことは何ですか？

Amazfitを製造するZepp Health Corporationは、中国のXiaomi（シャオミ）から分離したHuami（ホアミ）に事業上の起源を持ちます。中国の国家情報法（2017年）第7条は、すべての組織や市民に対し、国家の情報活動を支持、支援し、協力することを法的に求めています。この義務は、企業の法人設立地、サーバーの所在地、表明されているプライバシーポリシーの内容にかかわらず適用されます。Mozilla Foundationの「Privacy Not Included」レビューが指摘するように、Amazfitの文書にも、国家安全保障上の要請によって個人情報が開示される可能性が記載されています。Zepp Healthのウェブサイト用プライバシーポリシーには、同社のデバイスやアプリが収集するデータは同ポリシーの対象外であることも明記されています。また、Amazfitのデータ送信方法に関する独立したセキュリティ監査は、公には発表されていません。

元記事: Fitness Trackers Are a Subpoena Away: EFF Finds Only Apple Encrypts Health Data