固有IDは、ユーザー側で変更することができない一意のIDだ。今回のIMEIの場合、端末を使っている限りずっと変更されることはない。例えば電話番号も単なる数字群だが、「その相手につながる」一意のIDと言っていいだろう。その番号にかければ固有の相手につながるわけで、それと同様に「IMEIを見れば固有の相手だと分かる」わけだ。
これは「スーパーCookie」とも呼ばれるIDの利用法で、そのIDを持っているユーザーを、どんなアプリでも簡単に特定できてしまう。
IMEIを取得するアプリの例を考えてみよう。「会員認証せずに成人向け動画が見られるアプリ」を作成して、ユーザー向けに動画を見られるようにしつつ、IMEIを取得する。次に、全く別のサービスとして「住所氏名などを使って無料の会員登録をすれば、お得な情報が得られるアプリ」を構築し、ここでもIMEIを取得する。
このアプリやサービスでは端末のIMEIを取得するが、その2つを組み合わせれば「成人向け動画を見たユーザーの住所氏名などの情報が得られる」ことになる。いわゆる「名寄せ」によるプライバシーリスクだ。成人向け動画を例にしたが、アプリ自体は何でもいい。利用してもらえばその端末のIMEIを取得でき、別の会員情報と組み合わせればいいだけだ。
一意に特定できる情報を軽んじていないか
IMEIは固有IDであり、これを使って会員認証を行おうとするアプリも出てくるかもしれない。これは、従来の携帯電話（フィーチャーフォン）のiモードやEZwebなどで利用されていた「かんたんログイン」の手法だが、IMEI自体は秘匿情報ではないので、仮にIMEI“だけ”を使って認証している場合に「なりすまし」が可能になってしまう。かんたんログインで問題にならなかったのは、（単純に言えば）携帯網が閉じたネットワークで運営されてきたからだが、インターネットに直接接続するスマートフォンではこうした対策は取れず、なりすましの問題が発生する。
さらに一意の端末が特定できるなら、その端末がよくアクセスするサイトを分析すれば、その嗜好にもとづいた広告を配信することもできる。「自分の好みに合った広告」は提供されるが、そのためには「いつも自分が訪れるサイトの情報が、自動的に気付かないうちに収集される」という新たな問題も発生するのだ。
なお、Androidアプリの場合、インストール時にそのアプリが利用する権限（パーミッション）が明示され、それを確認することで端末の固有IDを取得するかどうかは確認できる。ただ、すべてのユーザーが確認しているとは限らず、必要もないのにIMEIのような固有IDを取得するアプリが増えれば、ユーザーは深く考えずにインストールしてしまう懸念がある。
「固有ID」によるプライバシーリスクは、電話番号や自動車のナンバーなど「一意の番号」を考えれば分かりやすい。番号だけでなくても、顔写真ですら一意の情報だが、それだけでは「個人を特定」することはできない。それに付随する情報があって初めて個人につながるわけだ。個人情報が付随しないとはいえ、電話番号や自動車のナンバー、顔写真を「プライバシー情報ではない」という人はいないはずだ。
このように、一意に特定できる情報というのは、センシティブな情報である。IPアドレス数の割り当てが上限に達して、今後普及が予想されるIPv6では、端末のMACアドレスを使って一意のIPアドレスを割り当てられるが、IPv6にはプライバシー拡張として「匿名アドレス」または「一時アドレス」と呼ばれる仕組みが盛り込まれている。これはRFC 3041で規定されており、2001年には発行されているため、すでに10年以上前からインターネット上ではこうした固有IDの問題は考慮、対策されてきたわけだ。
