iOSのPrivacy Nutrition Label：App Storeにおけるプライバシーラベルとデータの本質

Privacy Nutrition Labelとは？

Privacy Nutrition Labelは、App Storeのアプリページにデータ収集の概要を表示するビジュアルブロックです。Appleは2020年12月に食品の栄養成分表示の類似物としてラベルを導入しました。カロリーや脂肪の代わりに、ユーザーはアプリがどのデータを収集し、どのように使用されるかを確認できます。

ラベルは“トラッキングに使用されるデータ”と“ユーザーにリンクされたデータ”の2つのセクションで構成されています。前者はトラッキングのために第三者に送信されるデータを示します。後者はアプリが収集し、ユーザーのアカウントまたはデバイスにリンクするすべてのデータを含みます。

各データ項目は色でマークされます：黄色（ユーザーにリンクされたデータ）または緑色（ユーザーにリンクされていないデータ）。黄色のラベルが多いほど、ユーザーは収集されているデータにより注意を払います。Adjust（2024）によると、8つ以上の黄色ラベルがあるアプリはインストール変換率が22％低くなります。

ラベルの記入はApp Store ConnectのWebインターフェースを介して行われます。開発者は質問に回答します：アプリが特定のタイプのデータを収集するか、ユーザーにリンクされているか、どのような目的で使用されるか。Appleはプログラムによってラベルの真実性を検証しませんが、宣言と実際の動作との不一致は拒否の原因となる可能性があります。

Privacy Nutrition Labelの歴史

AppleはWWDC 2020でiOS 14とともにラベルを発表しました。当初は、ATTやPrivacy Manifestも含むより広範なプライバシーイニシアチブの一部でした。ラベルの記入は2020年12月8日からすべてのアプリとアップデートで義務化されました。

ラベルはデータ収集に対する規制当局とユーザーの関心の高まりに対するAppleの対応でした。正式な同意を必要とするGDPRやCCPAとは異なり、Appleは透明性に焦点を当てました。ユーザーはアプリをインストールする前でさえ、どのデータが収集されているかを即座に確認できます。

2022年、Appleはラベルにインタラクティブ性を追加しました。ユーザーは各カテゴリをタップして、データがどの目的で使用されているかを確認できます。2024年、Appleはラベルがバイナリ内のPrivacy Manifestで宣言されたデータと一致することを要求し始めました。

Android Data Safetyとの違い

Googleは2022年4月にGoogle Playで同様の“データセーフティ”（Data Safety）セクションを導入しました。主な違い：Googleは自動コードスキャンを使用してラベルを検証し、開発者に確認を求めることができますが、Appleはレビュー時の検証とともに開発者の宣言に依存しています。

さらに、Google Playではセキュリティ対策（保存時および転送時のデータ暗号化、セキュリティプログラムへの準拠）の指定が必要です。Appleはこの情報を要求しませんが、ATS（App Transport Security）などの必須機能を通じて要件の準拠を検証します。

Appleがラベルのためにデータを収集する方法

Appleはラベルを記入するためにアプリのコードを分析しません。開発者は収集したデータを独立して宣言します。ただし、2024年にAppleはバイナリ内のPrivacy Manifestとラベルを照合し始め、プロセスをより形式化しました。

App Store Connectでの記入プロセス

開発者はApp Store Connectにアクセス→アプリを選択→“App Privacy”セクション→“プライバシーラベル”の順に進みます。14のデータカテゴリそれぞれに関する質問を含むアンケートが開きます。各カテゴリについて、このタイプのデータを収集するか、ユーザーにリンクされているか、どのような目的で使用するかを指定する必要があります。

収集目的には以下が含まれます：第三者広告、開発者分析、製品開発、コンテンツのパーソナライゼーション、アプリ機能。1つのデータカテゴリを複数の目的に使用できます。重要なのは、データが第三者と共有される場合、トラッキングとしてマークする必要があることです。

変更を保存すると、Appleはラベルの新しいバージョンを生成し、24時間以内にApp Storeに表示されます。新しいビルドを送信するとき、ラベルは自動的にチェックされます。記入されていない場合、送信ボタンはブロックされます。Apple Developer（2024）はデータ収集ロジックが変更されるたびにラベルを更新することを推奨しています。

自己申告と自動検証の違い

2024年まで、ラベルは完全に自己申告制でした。Appleは開発者の回答を信頼していました。Privacy Manifestの導入とラベルのマニフェストとの統合により、Appleは自動相互参照を開始しました。たとえば、マニフェストが広告用の識別子（IDFA）の収集を宣言しているが、ラベルがこのカテゴリをマークしていない場合、App Store Connectは警告を発行します。

ただし、完全な自動検証はまだ存在していません。開発者は両方のデータソース（ラベル＋マニフェスト）を最新に保つ必要があります。特に大規模なアップデートや大量のデータを持つアプリの場合、手動レビュー中に不一致が検出される可能性があります。

Privacy Nutrition Labelのデータタイプ

Appleはデータを14のカテゴリに分類し、3つのセクションにグループ化しています：トラッキングに使用されるデータ、ユーザーにリンクされたデータ、ユーザーにリンクされていないデータ。主なカテゴリを見てみましょう。

連絡先情報と識別子

“連絡先情報”カテゴリには、名前、メール、電話、住所が含まれます。“識別子”カテゴリにはIDFA、ユーザーID、ユーザー名が含まれます。アプリがソーシャルログインを使用し、ユーザーのメールを受信する場合、このカテゴリを“機能実行”目的で指定する必要があります。

“支払いデータ”カテゴリには購入情報が含まれます：カード番号（Apple Payを使用しない場合）と購入履歴。Apple PayはAppleが支払いを処理し、開発者にデータを転送しないため、このカテゴリの指定は必要ありません。

使用状況データと診断

“使用状況データ”カテゴリには、操作ログ、広告クリック、ページビュー、セッション時間が含まれます。ほとんどのアプリは分析のためにこのデータを収集します。データが第三者（Google Analytics、Firebase）と共有される場合、“分析”目的をマークする必要があります。

“診断”カテゴリには、クラッシュログ、パフォーマンスデータ、起動レポートが含まれます。このデータは通常、ユーザーにリンクされておらず（not linked）、集約形式で収集されます。それでも、アプリがCrashlyticsやSentryを使用する場合はラベルに反映する必要があります。

ユーザーコンテンツと購入

“ユーザーコンテンツ”カテゴリには、写真、ビデオ、オーディオ、ファイル、ユーザー生成コンテンツ（メッセージ、コメント）が含まれます。アプリが写真やファイルへのアクセスを要求する場合、このカテゴリは必須です。アプリが写真を読み取るだけでも、データ収集と見なされます。

“購入履歴”カテゴリには、アプリ内購入、サブスクリプション、支払いに関する集約データが含まれます。“財務情報”と混同しないでください。購入履歴は取引のメタデータであり、支払い詳細ではありません。

App Store Connectでラベルを記入する方法

新規または更新アプリのApp Store ConnectでPrivacy Nutrition Labelを記入するためのステップバイステップガイド。

準備

ラベルを記入する前に、データを収集するすべてのSDKとサービスの完全なリストを作成します：Firebase、AppsFlyer、Google Ads、Facebook SDK、Sentry、Amplitude。各SDKについて、どのデータを収集し、第三者とデータを共有するかを確認します。Adjust（2024）は、各SDKのデータタイプ、目的、リンクを示すテーブルを維持することを推奨しています。

自分のコードがどのデータを収集するかを決定します。たとえば、アプリが検索履歴を保存し、ユーザーのアカウントにリンクする場合、これは“製品開発”目的のためのlinked“使用状況データ”です。データが第三者（広告ネットワーク、分析）と共有されているかどうかを常に確認してください。

アンケートの記入

App Store Connectで、アプリを選択→“App Privacy”セクション。“開始”をクリックし、アプリがトラッキング用にデータを収集するかどうかを選択します。収集しない場合はアンケートに進みます。14のデータカテゴリすべてについて各質問に順番に回答します。

例：アプリがFirebase Analyticsを使用する場合、“使用状況データ”カテゴリに“はい”と回答し、linked（FirebaseはデータをInstance IDにリンク）と目的“分析”を指定します。Firebase Crashlyticsも使用する場合は、“診断”カテゴリを“製品開発”目的で追加します。

記入後、ラベルを保存します。複数のアプリがある場合、ラベルはそれぞれに固有であり、コピーはサポートされていません。データ収集ロジックが変更されるたびにラベルを更新してください。そうしないと、古いラベルが新しい機能と一致しない可能性があります。

// 例：分析用データ送信のチェック
import FirebaseAnalytics

final class AnalyticsService {
    static func logEvent(_ name: String, params: [String: Any]) {
        Analytics.logEvent(name, parameters: params)
    }

    static func logPurchase(amount: Double, currency: String) {
        Analytics.logEvent(AnalyticsEventPurchase, parameters: [
            AnalyticsParameterValue: amount,
            AnalyticsParameterCurrency: currency
        ])
    }
}

既存のラベルの更新

公開済みアプリのラベルを更新するには、App Store Connectでアプリのバージョンを開き、“App Privacy”セクションで変更を行います。変更はレビュー通過後に有効になります。新しいラベルは、更新の公開後24時間以内にユーザーに表示されます。

重要：ラベルからデータを削除する場合（たとえば、第三者とのデータ共有を停止した場合）、新しいビルドは必要ありません。App Store Connectでラベルを変更するだけです。新しいデータを追加するには、ラベルの変更とコード内の対応するPrivacy Manifestの更新の両方が必要です。

プライバシーラベルのよくある問題

開発者はラベルを記入する際に頻繁に間違いを犯し、アップデートの拒否やユーザーの苦情につながります。

不完全なSDK宣言

最も一般的な間違いは、開発者が自分のコードのみに基づいてラベルを記入し、サードパーティのSDKを忘れることです。Firebase、AppsFlyer、Facebook SDKなどは、開発者の追加コードなしで自動的にデータを収集します。たとえば、Firebase Analyticsは使用状況データ（イベント、画面）と識別子（Instance ID、IDFV）を収集します。

推奨事項：統合された各SDKについて、ドキュメントの“収集されるデータ”セクションを読み、対応するカテゴリをラベルに追加します。AppsFlyer（2024）は各SDKバージョンの収集データのリストを公開しており、開発者がラベルを照合するのに役立ちます。

linkedとnot linkedの混同

多くの開発者は、データが実際にはアカウントにリンクされているにもかかわらず、not linkedとしてマークします。ユーザーがアカウントを持ち、その名前やメールを保存する場合、それはlinkedです。アカウントにリンクせずにクラッシュログを収集する場合、それはnot linkedです。リンクの誤りは、ユーザーを誤解させるものと見なされる可能性があります。

linkedデータは黄色で表示され、ユーザーの注意をより引きます。特定のデータタイプがlinkedかどうか確信がない場合は、linkedとしてマークし、レビュー時に説明を提供することをお勧めします。Appleは過剰宣言に対して罰則を科しませんが、不十分な宣言に対しては拒否する可能性があります。

トラッキングがトラッキングとしてマークされていない

データが第三者と共有され、ターゲット広告に使用される場合、“トラッキングに使用されるデータ”としてマークする必要があります。一部の開発者はデータを分析として渡すことでトラッキングを隠蔽しますが、これはAppleのルールに違反し、禁止措置につながる可能性があります。

Appleのルール：データが第三者と共有され、広告のパーソナライゼーションやアトリビューションに使用される場合、それはトラッキングです。アプリ自体が広告を表示しなくても、インストールアトリビューションにGoogle Adsを使用する場合、ビューデータはトラッキングと見なされます。

コード変更後にラベルが更新されない

現在のデータ収集ロジックと一致しない古いラベルは、長期的なアプリメンテナンスにおける一般的な問題です。開発者はSDKを変更し、新機能を追加しますが、ラベルの更新を忘れます。その結果、ユーザーは古い情報を見ることになり、信頼が低下します。

ベストプラクティス：データに関連するコード変更のたびに、ラベルとマニフェストを確認します。PrivacyInfo.xcprivacyファイルやSDKリストが変更されたときにラベルの更新を警告するCIチェックを設定することをお勧めします。