SignalTrace、欧州は自らに許さない監視を輸出する

Tue, 01 Sep 2026 00:00:00 +0000

灰色のセダンが時速 110 キロで高速道路のガントリーの下を通過する。支柱に固定されたカメラがナンバープレートを読み取り、時刻を付し、記録する。目新しいことは何もない。この装置は二十年前から存在し、北米でも欧州でも数万台規模で設置されている。

だが、そのガントリーにイタリアのレオナルド社が 2026 年 6 月から販売しているユニットが取り付けられていたなら、いま記録されたのはそれだけではない。運転者の iPhone。同乗者のワイヤレスイヤホン。ダッシュボードのスマートウォッチ。カーオーディオ。グローブボックスの中の接続キーホルダー。四本のタイヤの空気圧センサー。上着に入れたままの入館カード。そして後部座席で犬が眠っていれば、その個体識別チップまで。

十数個の識別子、一枚のナンバープレート、一つの位置、一つの時刻。これを路線網のガントリーごとに繰り返せば、追跡しているのはもはや一台の車ではない。人を追跡しており、しかも誰と一緒に移動しているかまで分かる。

この装置が実際に行っていること

製品名は SignalTrace。Leonardo US Cyber and Security Solutions が販売し、米国市場で最も普及した自動ナンバープレート読取装置の系列のひとつである ELSAG シリーズを補完する。その存在は 2026 年 6 月 8 日、Joseph Cox がメーカーの製品資料をもとに 404 Media で明らかにした。

決定的な点は一文で足りる。新しいカメラの話ではない。SignalTrace は、すでに設置済みのナンバープレート読取装置に追加される無線センサーだ。支柱は変わらず、設置場所も変わらず、路側の機材の外観も変わらない。変わるのは、その機材が何を聴いているかである。

センサーは、車内の機器の Bluetooth、Wi-Fi、RFID の各プロトコルが平文で発信する識別子を記録する。しばしば誤解される技術的な点として、いかなる機器も侵入されておらず、いかなる脆弱性も悪用されていない。Bluetooth や Wi-Fi の機器は常時ディスカバリー用のフレームを送出する。プロトコルがそう設計されているからだ。イヤホンは携帯電話に見つけてもらうために自らの存在を告げ、携帯電話のほうも既知のネットワークを探して周囲の空間に問い合わせている。これらの発信は構造上公開されており、受信範囲内のどんな受信機にも聞こえる。

レオナルド自身、このシステムはナンバープレート読取装置の有無にかかわらず、屋内も含めて機能し、プレートを覆い隠すか外した車両も識別できると明記している。

真の政治的争点は、この後付け改修にある。新しいカメラ網を敷設すれば、採決や審議、時には訴訟が生じる。すでに承認済みの筐体に基板を一枚加えても、何も生じない。監視能力は公の議論を経ずに性質を変える。物理的には新しく見えるものが何もないからだ。

車両から個人へ、個人から集団へ

ナンバープレート読取装置は一つの問いに答える。この車両はどこにいたか。SignalTrace はそこに二つ加える。誰が乗っていたか、そして誰と一緒だったか。

レオナルドはそれを隠さない。それこそが売り文句である。システムは資料が電子指紋と呼ぶもの、すなわち「頻繁に一緒に発信される」識別子の集合を構成する。メーカーの挙げる例は明快だ。街全体を見渡しても、iPhone 13rev2、アウディのカーオーディオ、Bose のヘッドホン、Garmin の時計、鍵のトラッカー、そしてナンバー ABC-1234 を同時に結びつける車両は一台しかない。

この製品は車両を追跡するだけではない。誰かが最小限の嫌疑を述べるまでもなく、人と人との関係グラフを自動的に生成する。

質的な飛躍はここで起こる。定期的に一緒に移動する機器を相関させることで、システムは機械的に社会的関係のグラフを構築する。毎朝同じ車に居合わせる二台の携帯電話は、相乗りか、あるいはどちらも公にしたくない関係かのいずれかだ。同じ場所に同じ時刻に捕捉された五十台の機器は、集まりである。デモ、宗教儀式、労働組合の会合、あるいはクリニック前の行列。

これらの結論はいずれも通信の内容にアクセスする必要がない。近接テーブルから、既定の動作として、指定された対象ではなく移動中の全人口について導き出される。あらゆる捜査に先立って産業的に生産される、連座による有罪視である。Center for Democracy & Technology の法務担当 Tom Bowman は、TechNewsWorld 誌上でこの問題をこう要約する。本物の容疑者を追跡するのにこの道具を有用にしている性質は、そのまま他のすべての運転者を追跡する能力でもあり、その誰一人として自分の機器の記録に同意していない、と。

レオナルドは二つの反論を示す。システムは通信の内容を復号も読解もしない。そしてシステム自体が個人を特定するわけではない。どちらも事実であり、どちらも論点を外している。求められている情報はもとより内容ではなく、位置のメタデータにある。それはメッセージよりも雄弁だ。特定についても、電子的な署名をナンバープレートに結びつけ、そこから登録簿を辿って所有者に至ることができると、メーカー自身が認めている。

別の目的のために書かれた米国法

米国では、ナンバープレート読取装置を規律する州法が存在し、保存期間やアクセス目的について厳格なものもある。しかしそのすべてが、ある明確な対象を軸に起草されている。ナンバープレートの画像である。同じ機材が個人の機器の識別子を捕捉することを想定した法律は一つもない。

このずれは違法性を生むのではなく、売り手にとって好都合なグレーゾーンを生む。警察当局は嘘をつくことなく、自らのナンバープレート読取プログラムは認可済みで適法だと主張しながら、同じ制度のもとでまったく異質なデータを収集し始めることができる。しかもレオナルドは特殊作戦軍と一般調達局との連邦契約を持っており、これは地方の承認手続きを大幅に回避する調達経路である。

憲法上の議論のほうは、まさに動いたところだ。この夏に法状況が変わったため、ここは正確に述べる必要がある。2026 年 1 月、バージニア州の連邦地裁は Schmidt v. City of Norfolk 事件において、市の Flock カメラ網は住民の移動の全体を捕捉するものではないとして、修正第四条にいう捜索には当たらないと判断した。この判断は第四巡回区で控訴審に係属しており、ACLU が参加している。

続いて 2026 年 6 月 29 日、連邦最高裁は Chatrie v. United States を言い渡した。ケイガン判事執筆の五対四の判断で、警察が携帯電話の位置データを取得することは捜索に当たるとし、個人は当該データについて、第三者が保有していても、また短期間であっても、合理的なプライバシーの期待を保持するとした。この判決は 2018 年の Carpenter v. United States を延長し、第三者法理を弱めるものだと CDT は指摘している。

Chatrie が SignalTrace に及ぼす射程は確定していないし、そうでないと断じるのは軽率だろう。この判決が扱うのは Google に対して求められたデータであり、公共空間で警察のセンサーが直接捕捉する事例ではない。しかし重要な理路を据えた。位置データの機微性は、それを誰が保有しているかによって左右されない、という理路である。

欧州の問題こそが本当の問題

この案件が欧州にとって居心地の悪いものになるのはここからだ。レオナルドは米国のサプライヤーではなく、ミラノ上場のイタリア企業であり、筆頭株主はイタリア経済財務省で、資本の約 30 % を保有し、取締役会の過半数を指名する権限を持つ。この製品においてイタリア国家は受動的な株主ではない。

まず技術的な論点

欧州法において、機器の識別子は個人データである。これは学説上の見解ではなく、監督機関の一貫した立場だ。フランスの CNIL は来場者数計測装置に関する指針で MAC アドレスを明示的にそう扱い、公共空間での収集は狭い条件下でしか認めない。個人間の衝突率を高くしたうえで数分以内に匿名化するか、信頼できる仮名化ののち二十四時間以内に破棄するか、いずれでもなければ同意が必須となる。同じ指針は、Wi-Fi を切るよう来場者に呼びかけることは受け入れ可能な異議申立ての方法ではないとも明記している。

欧州連合司法裁判所は 2025 年 9 月 4 日、EDPS 対 SRB 事件（C-413/23 P）で、仮名化データの個人性は合理的に動員しうる再識別の手段に照らして判断されると明らかにした。ところがここでの保有者は警察当局であり、車両登録簿を手元に持っている。再識別の手段は仮定の話ではなく、隣の部屋にある。

すべてを変える微妙な差異

SignalTrace が「欧州では違法だろう」と書くのは誤りであり、法律家の読者なら即座に気づくだろう。犯罪の予防および訴追を目的として権限ある当局が行う処理は GDPR の適用対象ではない。それは指令（EU）2016/680 、いわゆる警察・司法指令の適用対象であり、各加盟国が個別に国内法化している。フランスでは情報処理・自由法の第三編がこれにあたる。CNIL は、この制度が独自の適法性の根拠と独自の権利を備えた自律的なものであることを指摘している。

したがって正しい問いは抽象的な適法性ではなく、条件の問いである。この制度のもとでは、この種の装置には明示的な国内法上の根拠、特定された目的、証明された必要性、限定された保存期間、影響評価、そして独立した監督が必要となる。フランスではナンバープレート読取装置がまさにそのように規律されている。国内治安法典 L233-1 条および L233-1-1 条が、その使用を認める犯罪の限定列挙を定めており、保存期間は原則十五日と欧州連合内でも最短の部類にとどまる。上院の法案がこれを延長しようとしてはいるが。

ここが米国の状況との根本的な違いである。米国では法律が対象、すなわちプレートを規律しており、機器の識別子についての沈黙は許可を意味する。欧州では法律が目的とデータの類型を規律しており、その沈黙は明示的な法的根拠を欠く以上、むしろ禁止を意味する。大西洋の向こうで観察される空白は、こちらでは同じ形では存在しない。欧州のほうが高潔だからではない。法技術が逆なのである。

ではその保護に何の意味があるのか

そこで本稿の核心となる問いが残る。加盟国に支配された欧州企業が、新法なしには自国で配備できない能力を欧州域外へ売るとき、欧州の規制による保護には何の意味があるのか。

反論は真剣に受け止めるに値する。製造者は顧客の法的枠組みに責任を負わない。自国で何を認めるかを決めるのは米国の当局である。製品は独裁国家にではなく、Chatrie が示したばかりのとおり活発な最高裁を備えた法治国家に売られている。そして産業主権の議論も正当だ。欧州企業がこの市場を自ら禁じれば、イスラエル、米国、中国のサプライヤーがそれを取り、監視は一メートルも後退しないまま、欧州は技術基盤を失う。

これらの議論は受け入れうる。だが問題への答えにはなっていない。

第一に、欧州連合はすでに、監視手段の輸出が通常の商取引ではないと認めているからだ。デュアルユース品目に関する規則（EU）2021/821 は第 5 条にサイバー監視品目を対象とする包括条項を導入した。製造することが合法な道具でも、仕向地では正当性を欠きうると立法者が認めたからである。その限界は示唆に富む。発動要件は国内弾圧や重大な人権侵害のおそれであり、権威主義体制を想定した類型だ。米国の自治体警察への売却はそこに入らない。欧州の判定枠組みは顧客の道徳性を審査するのであって、売られる能力の性質を審査することはない。

第二に、この種の製品は捌くべき在庫ではなく、維持される能力だからだ。それは研究に資金を供給し、技術者を育て、ノウハウを蓄積し、設置基盤を作る。大規模なテロがある加盟国にこの能力を求めさせる日が来たとき、議論はもはやそれを構築すべきかどうかではない。それはすでに存在し、欧州製で、成熟しており、供給者は部分的に公的機関である。「市場に従っているだけだ」という論法はそのとき循環論法になる。国内市場は輸出によって準備されていたのだから。

このシナリオにおける規制の保護とは、つまりそういうものだ。欧州人を用途からは守るが、手段の存在からは守らない。誰がボタンを押す権利を持つかという問題は解決し、それを作り、売り、改良し、そして待つことは産業界に委ねる。

自分をごまかさずに、できること

まず挙がる答えはいつも MAC アドレスのランダム化である。宣伝でも中傷でもない、公正な検討に値する。それは実在し、機能する。

Android はバージョン 10 以降、iOS はバージョン 14 以降、Wi-Fi で用いる MAC アドレスを既定でランダム化し、ネットワークごとに異なるアドレスを用いる。Bluetooth Low Energy では、現代の機器は解決可能プライベートアドレスを送出する。これは定期的に変化し、解決鍵を持つ相手にしか実機と結びつけられない。

その限界もまた実在する。

ペアリングが扉を開け直す。 解決鍵はペアリング時に渡される。すでにペアリング済み、あるいは明示的に承認された機器は、回転するアドレスの背後にある安定した同一性を取り戻す。この仕組みはそのために設計されている。
多くのモノは何もランダム化しない。 タイヤ空気圧センサー、RFID カード、動物の個体識別チップ、カーオーディオ、安価な周辺機器は固定の識別子を発信する。レオナルドの製品資料はまさにこれらの類型を挙げており、偶然ではない。
ランダム化は無効化できる。 ネットワークごとに切れるようになっており、家庭用ルーターの MAC フィルタリングのためや企業ポリシーにより、利便性から切られていることも多い。
集団は識別子の交替を生き延びる。 これが最も直感に反し、最も重要な点だ。SignalTrace は識別子を探しているのではなく、一緒に移動する機器の集合を探している。集団のうち一つでも固定識別子を発信すれば、他がどれほど規律正しくとも、集合全体が結びつけ可能なままである。

最も効果的な対策は、最も退屈なものにとどまる。発信しないことだ。それには、ショートカットパネルからではなく、設定のなかでシステムレベルで Bluetooth と Wi-Fi を無効化する必要がある。この区別は表面的なものではない。携帯電話による恒常的な位置追跡についての記事で詳述したとおり、大半のコンシューマー向けシステムでは、クイックパネルのボタンは可視のペアリングを切るだけでソフトウェアスタックは生かしたままにし、近接分析は続く。その記事は Bluetooth スキャンを理論上の経路として記述していた。SignalTrace はその商用製品であり、カタログに載り、納品可能である。

結果については正直でいる必要がある。これらの対策は露出面を減らすが、消し去るわけではない。車両はやはりナンバープレートであり、ナンバープレートはやはり読み取られる。何も発信しない唯一の方法は何も持ち歩かないことであり、それは公共政策にはならない。

これが我々の設計思想について語ること

Arpokrat において、Bluetooth を設定のレベルではなく ArpokratOS の Core のレベルで扱うことにしたのは、まさにこの理路による。インターフェース上のスイッチはユーザーの選好にすぎない。更新、システムアプリ、位置情報サービスがそれを迂回したり再有効化したりしても、ユーザーは気づかない。存在しないスタックは再有効化されない。

SignalTrace のような捕捉に対して、これで機器が探知不能になるわけではないし、我々もそう主張しない。携帯電話はモバイル網に接続したままであり、車内の他のモノはそれぞれの都合で発信する。保証されるのは、ある特定の発信経路が、信頼によって無効化されているのではなく、構造上存在しないということだ。これは 5G と法の狙いの誤りについて我々が主張したのと同じ論旨である。法的保護はデータへのアクセスに集中しているが、本来はそれを生み出すインフラの存在そのものを対象とすべきだ。SignalTrace はその実例であり、ただしそのインフラは欧州で作られている。

結論

この案件で最も印象的なのは、研究者が何年も前から記述してきた技術的能力ではない。配備の手法である。

落成式を行う新しいカメラ網はなく、争うべき市議会の議決もなく、性質の変化として識別できる公共調達もない。あるのは既存の支柱に追加されるユニット、既存の契約、すでに認可された事業である。公の議論が始まる日には、インフラは設置され、償却され、捜査手続に組み込まれているだろう。そのとき議論の対象になるのは、すでに存在するデータベースへのアクセス条件であって、そもそもそれを構築すべきだったかどうかではない。

監視をめぐる物事の順序としてはこれが常であり、偶然ではない。残る問いは、欧州自身の産業界が、欧州自身の国家を後ろ盾として、このインフラを他者のために建設するとき、欧州には言うべきことがあると考えるかどうかである。欧州法は、我々の側で誰がこのデータを閲覧できるかという問いへの答えを丹念に組み立ててきた。誰が機械を作る権利を持つのか、という問いを立てたことは一度もない。

ナンバープレート認識 on Arpokrat