雑記

◆ [個人情報保護] GoogleはAnalyticsを使って個人の行動履歴を収集している（断定調）

クッキーに気を取られすぎていて、もっと重要な箇所を見逃していました。前々回のエントリで(www.google-analytics.comを想定した)サーバに届いているリクエストには、「ファースト・パーティCookie」以外にもいろいろな情報が送られているようです。その内容がこちら。改行して各オプションの説明をつけています

GET /on-sky.jpg?

utmwv=1&	常に"1"(バージョン情報？)
utmn=711629698&	毎回生成される乱数
utmcs=Shift_JIS&	文字コード
utmsr=1280x1024&	画面サイズ
utmsc=32-bit&	色数
utmul=ja&	言語
utmje=1&	Javaアプレットの実行(有効:1, 無効: 0)
utmfl=9.0%20%20r28&	Flashのバージョン
utmdt=GAUM%20test&	ページタイトル:
utmhn=www.on-sky.net&	サイト名
utmr=-&	リファラ
utmp=/utm_test.html&	ページのパス
utmac=&	Google Analyticsのアカウント名
utmcc=(内容省略)	ファースト・パーティCookie

画面サイズや色数、Javaの実行可否やFlashのバージョンなど、Google Analyticsとしての必要性が良く分からない情報も送られていますがひとまず置いておいて、utmrという名前でリファラ情報(document.referrer)が送られています。試しに同一サイト上にリンクを張ってたどると、

… utmr=0& …

… utmr=http://www.on-sky.net/xxxx.html& …

のように、直前に訪問していたページのURLが送られました。

これはどういうことかというと、このutmrというオプション変数は他のサイトからGoogle Analyticsを設置しているサイトにリンクをたどって移動してきたときに、直前に見ていたページの情報を収集するという目的専用のオプションということになります。前回のエントリを記述した時点では、『おそらく同一人物であろう』という程度でしか個人の行動は追跡できないだろうと考えていましたが、このオプションの値を組み合わせれば、すくなくともGoogle Analyticsを利用しているサイト間の移動については、正確に個人の行動を追跡可能ということになります。

Google Analytics使ったことないのですが、もしかして「どのサイトから来たのか」という情報も解析結果の一部として表示しているのでしょうか？そういう目的で利用していると考えれば、それの何が悪いの？と思うかもしれません。しかしながら、そうした情報がGoogleという1組織に集中していることが大きな問題で、この情報を利用することにより、皆さんの知らない間にインターネット上で個人の全行動を監視可能なシステムが既に完成しつつある、と言われるとぎょっとしませんか？

たとえGoogleはそういう目的では使っていなかったとしても、政府とかがそういう目的で使おうと考え、提出を求めて来たとしたら渡さざるを得ないでしょうし。

さて、もしあなたが、何がしかの組織が個人の行動を監視できるような社会は嫌だと思っていて、かつGoogle Analyticsを使っているのであれば、Googleが何らかの対処をするまで利用を停止することをお勧めします。

サイトを閲覧する側ができる対策としては、Referrer情報を送らないようにブラウザの設定を変更する。とかですが、tDiaryではCSRF対策にReferrerを使ってたりしますし、他にも影響ありそうで困ったもんです。

◆ UrchinとGoogle Analyticsの違い

Google Analyticsがこういうものだとすると、Urchinもやばいんじゃないの？と思われる方がいるかもしれませんので断っておくと、Urchinではこういう問題は起きません。なぜなら、Urchinのシステムはサイトの運営者が購入して自社で運用するので、ほぼ同じシステムを使っているとはいえ、収集できる情報はあくまで自社サイトへのアクセスに関する情報のみであり、またそうした情報を第3者に渡すようなことは、基本的にはないからです。

さておき、GoogleはGoogle Analyticsで使うファースト・パーティCookieの変数名をUrchinとは別のものにすべきだったんじゃないかなぁ。もし誰かがGoogle Analyticsけしからんとか言って_utm[abcz]という名前のクッキーを拒否するFirefox用の拡張とかを書いたら、GoogleだけでなくUrchinも打撃を受けることになるんですが、そこまで考えてないんだろうなぁ。