識別子と関係経路を分けて実名を守る
実名と人間関係を守るには、ログインと復旧に使う非公開識別子、アプリ内の表示名、検索や共有に出る公開識別子を分けます。連絡先探索、アドレス帳照合、共通連絡先の提案、招待リンク、外部ログイン、端末同期は、それらを再び結び付ける可能性があります。「アプリが名前を知るか」ではなく、「どの識別子が、何をきっかけに、誰との関係を、どの閲覧者へ示すか」を確認します。六欄の身元境界図なら、接続ごとに切断後の確認方法まで決められます。
ログイン、表示、公開の身元を分ける
三つの行を作ります。ログイン身元はメール、電話、外部ログイン、復旧情報で、認証に使っても公開名にする必要はありません。表示身元は非公開体験で見える名前と画像です。公開身元は検索可能なハンドル、共有プロフィール、投稿の署名です。各行に値、表示場所、閲覧者、変更が他サービスへ及ぶかを書きます。Google の現行設定では、電話やメールによるプロフィール探索と、未交流の相手に短縮名や写真を見せる選択が分かれており、識別子と表示を別に確認する理由が分かります。
連絡先許可の後に起きる処理を確認する
連絡先を許可する前に、その後の処理を確認します。選んだ連絡先だけを端末内で見るのか、アドレス帳を送るのか、電話やメールを照合するのか、招待を作るのか、照合結果を保存するのかは別です。iPhone の現行設定では、選択した連絡先だけへの制限付きアクセスを選び、後で範囲を変更できます。目的を満たす最小範囲を使い、一人を選ぶか招待を手動送信します。許可拒否でも基本機能が使えるかも記録します。現在の端末許可だけでは、過去の送信や保持は分かりません。
社会関係図を複数人の情報として扱う
アドレス帳は本人だけの情報ではありません。名前、電話、関係ラベル、グループ、連絡の組合せは社会関係図になります。Apple の App Privacy は Contacts に端末の連絡先、アドレス帳、ソーシャルグラフを含め、さらにアカウントや端末などを通じて身元に結び付くかを分けています。六欄はデータ項目、元の出所、識別子種別、閲覧者、結合の引き金、取消後の確認です。「友達を探す」を一行にせず、アドレス帳、照合アカウント、招待、共通関係の提案を分けます。
リンクとサービス間の結合を調べる
非公開画面から身元を運ぶ表面を調べます。プロフィールリンクはログイン必須でもプレビューに名前を出す場合があります。会話リンクには署名、時刻、固定ハンドルが付く可能性があります。外部ログインは身元提供者とアプリを結び、端末同期は別端末に表示名や探索設定を戻すことがあります。すべてのアプリへの断定ではなく確認項目です。送信せずプレビューを開き、接続設定を両側で見て、表示名変更が他へ伝わるかを記録します。広告用プロフィールや事業者一覧とは区別します。
最小設定から外側の見え方を試す
最初は非公開表示名、連絡先なし、可能なら電話・メール探索を無効、公開ハンドルなし、既知の相手への手動共有にします。必要な機能を一つだけ有効にして変化を見ます。ログアウトしたブラウザやアプリのプレビューを使い、偽の人物を作ったり他人のアカウントを探ったりしません。表示名、画像、リンク題名、検索欄、共通関係の手掛かりを境界図と比較します。NIST Privacy Framework のデータ処理棚卸しとリスク管理を、個人向けの日時付き経路表として借りるだけで、正式準拠を主張しません。
許可取消、切断、削除を別々に検収する
許可取消は将来の端末アクセスを止めても過去のアップロードを説明しません。外部ログインの切断はログイン経路だけを外し、アプリのアカウントを残す場合があります。共有リンク削除は受信者が保存したコピーを消しません。各操作が変える範囲を質問し、完了時刻を記録し、説明された更新時間後に外側の表示を再確認します。退会時は照合結果、取り込んだ連絡先、関係の辺が削除範囲にあるかを確認します。各行を「閉鎖」「表示継続」「不明」とし、見えない処理を推測で完了にしません。
よくある質問
表示名はログイン名と変えるべきですか？
変えても構いません。表示名変更後も非公開ログイン識別子が露出せず、他サービスが意図せず変わらないことが重要です。
連絡先許可を取り消すと照合結果も消えますか？
限りません。将来の端末アクセスと、過去の送信、照合、招待記録は別に確認します。
限定共有リンクでも身元が出ますか？
プレビュー、署名、固定ハンドルが出る可能性があるため、送信前に確認します。