前のエントリに引き続いてEU　eHealth　Networkの接触追跡のツールボックスき分析です。
Ⅲ　モバイル接触追跡および警告アプリに共通のアプローチと、付録Ⅰ　モバイル追跡アプリに共通のアプローチのための推奨事項　が、ポイントになります。
付録Ⅰで、国家的アプリとクロスボーダー相互流用性についての基本的な要求事項の解説がなされています。これでもって分析することにします。（ガイドラインも公表されているので、そっちもみたいですし）
要求事項は、

• 疫学的枠組
• 技術的機能
• 重要なクロスボーダー相互流用性要求事項
• サイバーセキュリティ
• 安全措置
• アクセス可能性および包摂性

にわたって記載されています。

疫学的枠組（Epidemiological framework，EF）

アプリは関連する公衆衛生当局の管理下で運用する必要があること、
その既存の疫学的プロセスと手順をサポートおよび補完するために、公衆衛生当局と協力してなされるべきこと、 公衆衛生当局は、 国内の法律および国際的なガイダンスに従つて、 地域の連絡先追跡プロセスを調整する必要があること、フォローアップする必要がある連絡先と連絡先の管理方法を定義すること、 ユーザーが、 アプリのアクティブ化に同意する前に、 フォローアッププロセスについて十分に説明する必要があること

などを意味します。要点を示すと、

となります。

技術的機能

技術的機能の定義というのは、特に説明はいらないでしょう。具体的には、
なお、TF-03におけるエフェメラルIDの説明については、こちらをどうぞ。

国境を越えた相互運用性

これは、

追跡および警告アプリは、デバイスがEU内のどこにあるかに関係なく、前記の機能を実行できるように、特にプライバシーおよびデータ保護の権利を保護するために、共通のEU相互運用性プロトコルに従うべきである。

というものです。
この付録の表は、節によって、項目が、叙述調になっていたり、TF-07が欠番だったりと、結構、突貫工事だったことを伺わせます。というか、勧告では、15日に出口戦略と一緒に公表するはずといっていたのに、一日遅れていたりします。

サイバーセキュリティ

これは、国に対する要求事項と開発者に対する要求事項に分かれます。

特に、CS-10は、大変な課題になりそうです。アンドロイド派の私としては、開発者さんご苦労さまですとしかいいようがないです。
あと、参考文献もあがってます。
ENISA
– ENISA Smartphone guidelines and tool: https://www.enisa.europa.eu/topics/iot-and-smart-infrastructures/smartphoneguidelines-tool
– ENISA report on pseudonymisation techniques: https://www.enisa.europa.eu/publications/pseudonymisation-techniques-andbest-practices
Industry
– OWASP mobile security project https://owasp.org/www-project-mobile-security/ ,
– OWASP Mobile Security Testing Guide https://owasp.org/www-project-mobile-security-testing-guide/
– Android developers security documentation- https://source.android.com/security
– iOS developers security documentation- https://developer.apple.com/documentation/security

安全措置

　アクセス可能性および包摂性

あとは、保健当局のガバナンスや補助的活動となるので、省略します。
これらの要求事項をどう考えるのか、ということになります。このようなアプリに本質的に必要な事項とGDPRについて、公衆衛生例外を発動させないことから生じている要求事項があるように思えます。
個人的には、この事態において、「公衆衛生例外」を発動しない、というのは、どう考えてもおかしいと思うので、この点は、別の機会に論じてみることにしましょう。