職場監視ツール、実は第三者にもデータを流していた#
職場で従業員を監視する「ボスウェア（bossware）」と呼ばれるソフトウェアが、雇用主だけでなくFacebook（Meta）・Google・Microsoftといったデジタル広告プラットフォームやデータブローカーにまでデータを共有していることが、新たな調査研究によって明らかになりました。
調査の概要：9社すべてでデータの外部共有が確認#
この調査は、コロンビア・ロースクールの「法と経済センター」上席研究員であり、リナ・カーン政権下でFTC（米連邦取引委員会）の主任技術者を務めたStephanie Nguyen氏が主導したものです。
調査対象となったのは以下の9つのボスウェアサービスです。
- Apploye
- Desklog
- Hubstaff
- Monitask
- Buddy Punch
- VeriClock
- When I Work
- Deputy
- Time Doctor
調査の結果、9社すべてが何らかの情報を第三者と共有していることが確認されました。 Nguyen氏はThe Vergeのインタビューで「9社中9社すべてが外部企業にデータを共有していた。これには本当に驚いた」と述べています。
調査手法#
研究チームは、各プラットフォームの利用規約やプライバシーポリシーといった公開情報を精査したうえで、管理者用・従業員用それぞれのトライアルアカウントを作成。オープンソースのツールを用いてネットワークトラフィックを傍受し、どのデータがどのサービスに送信されているかを確認しました。
共有されるデータの内容とリスク#
共有されていたデータの種類#
調査によって確認された共有データの範囲は広く、以下が含まれます。
- 従業員の氏名・メールアドレス・所属企業名
- IPアドレス
- 閲覧したウェブページの履歴
また、9社のうち3社は、アプリがバックグラウンドで動作中であっても従業員の正確な位置情報をリアルタイムで追跡できる機能を持っていることも判明しました。
各社の反応#
7社（Apploye、Desklog、Hubstaff、Monitask、Buddy Punch、VeriClock、When I Work）は取材時点でコメントを返しませんでした。
DeputyのCTO、Ciaran Hale氏は「第三者との関係はプラットフォームの提供・セキュリティ・信頼性を支える、信頼できる運用・インフラプロバイダーに限定されている」と説明。また、研究者が「公開企業サイト上の標準的なB2Bマーケティングクッキーと、安全な従業員アプリケーションを混同している」と反論しました。これに対しNguyen氏は、「deputy.comにアクセスしてログインするまでの一連の体験全体を調査した。その結果、従業員であっても管理者であっても、アプリケーション使用時に氏名・メール・企業名が第三者に送信されていることを確認した」と述べています。
Time Doctorの広報担当Laura Ramsay氏は、「活動記録・スクリーンショット・ウェブ利用データなどの監視データを広告プラットフォームやデータブローカーと共有することはない」と説明。第三者はあくまでプライバシーポリシーに沿った標準的なマーケティングツールであるとしています。
なぜこのニュースが重要なのか#
「影の従業員評価経済」が生まれる恐れ#
調査レポートが特に警告しているのが、「データアペンド（data append）」サービスの存在です。これは、さまざまな情報源から特定個人に関するデータを一か所に集約・プロファイリングするサービスで、理論上は匿名化されたデータも組み合わせることが可能です。こうした仕組みに職場情報が加わることで、退職後も長く残る「影の従業員評価経済」が形成されるリスクがあると研究者たちは指摘しています。さらには広告主などの第三者が、従業員が「仕事に集中しているか」「転職を考えているか」などを推測するために利用する可能性も懸念されています。
従業員には拒否する手段がない#
調査レポートはまた、「従業員は通常、監視を拒否したり、雇用主を替えたり、職とお金を失うリスクなしに雇用主支給の監視プラットフォームの使用を停止したりする手段を実質的に持っていない」と指摘しています。
米国にはいまだ包括的な消費者向けデータプライバシー法が存在せず、職場環境においては従業員は特に脆弱な立場に置かれています。
影響を受ける企業の規模#
今回調査対象となった9社のプラットフォームの顧客には、Amazon Ring、Ben & Jerry’s、Ticketmaster、Verizon、Teslaといった大企業が名を連ねており、各社合わせて「数十の業種にまたがる数十万の職場」にサービスを提供しているとされています。
研究者が提言する解決策#
研究チームは、以下の「明確な線引き（bright-line）」による対応策を提言しています。
- 従業員データを第三者に共有・販売することの禁止
- 勤務時間外の位置情報追跡など、センシティブなデータ収集の禁止
- ボスウェア企業が情報を保持できる期間の制限
さらに、州・連邦レベルの法執行機関に対し、既存の州プライバシー法や不正行為禁止法の適用可能性、そして公正信用報告法（Fair Credit Reporting Act）との関係性も検討するよう促しています。
まとめ#
ボスウェアは雇用主が従業員を把握するためのツールとして導入されていますが、今回の調査はそのデータが想定をはるかに超えた範囲に流通している実態を浮き彫りにしました。9社すべてで第三者へのデータ共有が確認されたという事実は、職場プライバシーの問題が単なる「会社対従業員」の話ではなく、広告エコシステム全体を巻き込む構造的な問題であることを示しています。
筆者の見解: 日本でもリモートワークの普及に伴い類似ツールの導入が進んでいる可能性があります。今後、国内の労働環境においても同様の問題が顕在化する前に、法整備や企業のガバナンス強化の議論が求められるのではないでしょうか。
出典: Meta and Google get data from the app your boss uses to track you - The Verge（Lauren Feiner、2026年5月21日）
