GDPRとフィットネスデータ：スマートウォッチのデータが実際どこへ行くのか

スマートウォッチのデータ（心拍数、睡眠、月経周期、体重、活動量）はGDPR第4条第15号の健康データに該当します。この規則はメールアドレスや購入履歴より厳しいルールを適用し、データを収集する各ブランドはヨーロッパのユーザーに対して明確な義務を果たさなければなりません。この記事では、その義務が実際に何を意味するか、そして権利の行使方法を説明します。

GDPRの下で「健康データ」とみなされるもの

「特別」カテゴリ（第9条）：明示的な例外を除き、処理は原則として禁止されています。スマートウォッチに関連する例外は2つです：明示的同意（第9.2.a条）と医療・産業医学・公衆衛生目的（9.2.h-i）。ほぼすべての消費者向けメーカーは、最初の起動時に利用規約を承諾する際に与える明示的同意に基づいています。

• •心拍数：健康データ。
• •月経周期（Apple Watch サイクルトラッキング、Withings サイクル等）：機密性の高い健康データ。
• •睡眠フェーズ別（REM、深い睡眠、浅い睡眠、覚醒）：健康データ。
• •心電図（ECG）：医療用健康データ。
• •SpO₂：健康データ。
• •1日の歩数：境界領域。一部のDPAは識別可能な人物に紐づく場合に健康データとして分類し、他は標準的な個人データとして扱います。
• •ワークアウトGPSトラック：個人データ（それ自体は健康データではない）ですが、自宅/職場/習慣を明らかにする可能性のあるローカライズされたプロフィール。

データが物理的にどこへ行くか

各ブランドのプライバシーポリシーには、サーバーがどの国に置かれているかが記載されています。2026年時点の公開ポリシーに基づくまとめ：

あなたの権利、実際には

アクセス権（第15条）

どの管理者にも、あなたに関するすべてのデータのコピーを請求できます。回答期限は30日（複雑な場合は90日に延長可）。無料。データセットは理解できる形式でなければなりません（解読不能なバイナリダンプは不可）。

• •Apple：privacy.apple.com から（Health iCloudデータ含む）。
• •Google/Fitbit：takeout.google.com から。
• •Samsung：privacy.samsung.com/ja/privacy-rights から。
• •Garmin：アカウントダッシュボード → Privacy → 「Export data」から。
• •Polar：flow.polar.com → プロフィール設定から。
• •Withings：account.withings.com → プライバシーから。
• •Oura：cloud.ouraring.com → settings → export から。
• •Xiaomi：privacy.mi.com から。
• •その他すべてのブランド：privacy@[brand].com にメール（チャンネルの提供が義務付けられています）。

データポータビリティの権利（第20条）

あなたが提供したデータ（自発的またはサービス利用を通じて）に固有のものです。管理者が派生または集計したデータは含まれない場合があります。「構造化された、一般的に使用され、機械可読な形式」、通常はCSVまたはJSONで。これが、履歴を失わずにエコシステムを切り替えることを可能にする法的根拠です。

削除の権利（第17条）

アカウントを閉鎖した場合、データは削除されなければなりません。ほぼすべてのブランドは削除後30〜180日間の運用バックアップを保持します（宣言が必要）。研究/改善のための匿名化・集計データについては、削除が必須でない場合があります。

異議申し立ての権利（第21条）

正当な利益に基づく処理（マーケティングプロファイリング、非必須の集計分析）に対しては、いつでも異議を申し立てることができます。管理者は処理を停止するか、優先する利益を証明しなければなりません。これはほぼ常に「サービス改善のための匿名データ共有」プログラムの法的根拠です。

プライバシーポリシーの危険信号

購入前にウェアラブルブランドのプライバシーポリシーを読む際に、これらのキーワードを検索してください。より積極的または消極的な慣行の指標です。

• •「研究パートナーとデータを共有します」 → 細かく分類されたオプトイン同意？ はい = OK。「すべて承諾」にバンドル = 赤。
• •「集計および匿名化されたデータ」 → 匿名化は複数のデータセットにわたって可逆です。可能であれば、オプトアウトしてください。
• •「私たちのサービスおよびパートナーのサービスを改善するために」 → 「パートナー」は疑わしい曖昧さです。
• •「広告パーソナライゼーション」 → 健康データには禁止されています（Apple、Google/Fitbitは規制上のコミットメントにより行わないと明示しています）。健康データにこの条項がある場合はブランドを変えてください。
• •GDPRの記載なしで中国のサーバー → ヨーロッパでの使用にはほぼ常に法的問題があります。

まとめ

• •心拍数、睡眠、月経周期、SpO₂はGDPR第9条の「特別」健康データです。同意は明示的かつ細かく分類されていなければなりません。「すべて承諾」の包括的なものは無効です。
• •ほぼすべての主要ブランドのサーバーはヨーロッパにありません。Apple、Google/Fitbit、Garmin、SamsungはSCCまたはDPFメカニズムを通じて米国にデータを転送します。HuaweiとXiaomiはより弱い保証でアジアに転送します。
• •今すぐ行使できる3つの実際的な権利があります。アクセス権（30日以内に無料でデータコピー）、ポータビリティ（エコシステムを切り替えるためのCSV/JSON形式）、削除権（アカウントを閉じることで）。
• •プライバシーポリシーの危険信号：「研究パートナーと共有します」が単一の同意にバンドルされている、または健康データへの「広告パーソナライゼーション」。
• •Health ConnectはAndroidで利用可能な最もプライバシーに配慮した設定です。データはデバイスに保存され、各アプリはデータタイプごとに許可を求める必要があります。