Jsou aplikace pro sledování menstruace bezpečné? Co ukazují fakta

Upřímná odpověď: záleží zcela na tom, jak je aplikace postavena, protože zákon vás ve většině případů neochrání. Na spotřebitelské aplikace pro sledování menstruace se HIPAA nevztahuje — americký zákon o ochraně zdravotních údajů platí pro poskytovatele zdravotní péče a pojišťovny, nikoli pro wellness aplikace. To znamená, že vlastní architektura aplikace a její zásady ochrany osobních údajů jsou fakticky vším, oč jde.

Zdokumentovaná selhání mají všechna stejný tvar. V roce 2021 FTC tvrdila, že Flo, nejoblíbenější sledovací aplikace, sdílela zdravotní údaje uživatelek — včetně informace o těhotenství — mezi lety 2016 a 2019 s analytickými odděleními Facebooku a Google prostřednictvím vestavěných softwarových vývojářských sad (SDK), v rozporu s vlastními sliby o ochraně soukromí. V roce 2023 FTC obvinila aplikaci pro sledování ovulace Premom ze sdílení zdravotních údajů s Google, AppsFlyer a dvěma analytickými firmami se sídlem v Číně bez souhlasu. V roce 2016 Consumer Reports zjistil, že proces změny hesla v aplikaci Glow umožňoval komukoli převzít jakýkoli účet a číst údaje o plodnosti.

Žádný z těchto incidentů se nestal proto, že by si někdo sledoval cyklus. Staly se proto, že data opustila telefon — směrem k reklamním SDK nebo na servery se slabými kontrolami. To je proměnná, kterou je třeba hodnotit: ne zda sledovat, ale kde vaše data fyzicky žijí a kdo další je v místnosti.

Stojí za to oddělit zdokumentované případy od internetových fám. Záznam obsahuje čtyři klíčové incidenty.

Flo Health: stížnost FTC z roku 2021 tvrdila, že Flo sdílela menstruační a těhotenské údaje uživatelek s analytickými firmami třetích stran od roku 2016 do roku 2019, navzdory slibům o ochraně soukromí; Flo se dohodla na narovnání, aniž by přiznala pochybení. Související hromadná žaloba skončila v roce 2025 tím, že Google zaplatil 48 milionů dolarů, Flo 8 milionů dolarů a analytická firma Flurry 3,5 milionu dolarů — celkem fond ve výši 59,5 milionu dolarů — zatímco federální porota samostatně shledala, že Meta nese odpovědnost podle kalifornského zákona o odposleších za shromažďování dat uživatelů Flo. Všechny narovnané společnosti popírají jakékoli pochybení.

Premom: v roce 2023 FTC obvinila jejího výrobce ze sdílení identifikovatelných zdravotních informací a přesných údajů o poloze s analytickými firmami třetích stran, včetně dvou se sídlem v Číně, bez souhlasu uživatelů. Společnost zaplatila pokutu 100 000 dolarů a má trvalý zákaz sdílet zdravotní údaje pro reklamní účely.

Glow: kalifornský generální prokurátor se s Glow dohodl na narovnání za 250 000 dolarů v roce 2020 kvůli bezpečnostním selháním z let 2013–2016, včetně chyby, která umožňovala komukoli změnit heslo jakéhokoli uživatele.

Napříč odvětvím: přehled společnosti Mozilla z roku 2022, který zahrnoval 25 aplikací a zařízení pro reprodukční zdraví, udělil 18 z nich varovný štítek *Privacy Not Included*, přičemž 8 nesplnilo minimální bezpečnostní standardy. Jde o momentku z roku 2022 — praktiky se mění — ale ukazuje, jak rozšířená byla slabá výchozí nastavení.

Tato obava se rozšířila poté, co v roce 2022 padlo rozhodnutí Dobbs, takže si zaslouží přesnou odpověď. Skupiny pro digitální práva, které sledují skutečná trestní stíhání, včetně Electronic Frontier Foundation, uvádějí, že data z aplikací pro sledování menstruace nebyla klíčovým důkazem v případech souvisejících s potraty — klíčovým důkazem byly textové zprávy, historie vyhledávání a zprávy ze sociálních médií. Zdokumentované riziko je tedy nižší, než naznačovaly titulky.

Ale "nebylo" neznamená "nemůže být". Jakákoli data existující na serveru společnosti mohou být v zásadě vyžádána soudním předvoláním a aplikace se v tom, jak by reagovaly, výrazně liší. MIT Technology Review v červnu 2022 uvedla, že tehdejší zásady ochrany osobních údajů společnosti Stardust uváděly, že bude sdílet data s úřady "bez ohledu na to, zda je to zákonně vyžadováno, či nikoli" (formulace, kterou společnost později revidovala), zatímco berlínská společnost Clue uvedla, že nebude reagovat na americká soudní předvolání k vydání zdravotních údajů podle GDPR.

Strukturální bod platí bez ohledu na znění zásad: soudní předvolání může dosáhnout pouze na data, která někde existují, aby mohla být předvolána. Pokud je historie vašeho cyklu uložena pouze ve vašem telefonu — na žádném serveru, nespojená s žádným účtem — neexistuje žádná kopie u třetí strany, na kterou by mohla mířit právní žádost. To je odpověď na architektonické úrovni na obavu na právní úrovni.

Ne — a toto je pravděpodobně nejvýznamnější nedorozumění v této oblasti. HIPAA se vztahuje na "kryté subjekty": poskytovatele zdravotní péče, zdravotní pojišťovny a jejich obchodní partnery. Spotřebitelská aplikace, kterou jste si stáhli z App Store, není ničím z toho. Záznamy vaší gynekoložky jsou chráněny HIPAA; stejné informace zadané do aplikace pro sledování menstruace obecně chráněny nejsou.

Místo toho platí spíše roztříštěná směsice: zákaz klamavých praktik podle FTC Act (což je to, co dostalo Flo — slibovala soukromí a nedodržela ho), pravidlo FTC o oznamování narušení zdravotních dat (Health Breach Notification Rule), použité proti Premom při jejím teprve druhém vymáhacím opatření vůbec, státní zákony jako kalifornský CMIA a evropské GDPR pro evropské uživatele. Ty trestají porušené sliby až poté, co k nim dojde; žádný z nich nezabrání aplikaci sdílet vaše data, pokud to její zásady ochrany osobních údajů zveřejní drobným písmem.

Praktický důsledek: čtení zásad ochrany osobních údajů je u aplikace pro sledování menstruace důležitější než u téměř jakékoli jiné aplikace, kterou používáte. Zaměřte se konkrétně na to, co se sdílí s "partnery" nebo "poskytovateli služeb", zda se data používají k reklamě, a co zásady říkají o právních žádostech.

Pět kontrol pokrývá většinu rizika a všechny vycházejí přímo z toho, jak zdokumentovaná selhání vznikla.

1. Kde data žijí? Uložení v zařízení znamená, že neexistuje žádná kopie na serveru — nejsilnější dostupná záruka. Pokud data putují do cloudu, vše ostatní na tomto seznamu je důležitější.

2. Existují SDK třetích stran? Oba případy FTC (Flo, Premom) popisují vestavěné analytické a reklamní SDK jako cestu úniku. Pokud aplikace zobrazuje reklamy nebo její zásady zmiňují analytické partnery, předpokládejte, že data odtékají ven.

3. Vyžaduje se účet? Účet vázaný na e-mail spojuje vaši identitu s historií vašeho cyklu. Žádný účet znamená žádné propojení identity.

4. Co se stane při smazání? Smazání aplikace nesmaže data na straně serveru. Hledejte výslovné právo na smazání a to, zda společnost uvádí, že k smazání instruuje i třetí strany.

5. Jaké jsou zásady vůči orgánům činným v trestním řízení? Jasná formulace o tom, jak společnost zachází se soudními předvoláními, je dobré znamení; mlčení nebo obecná formulace typu "vyhovujeme úřadům" je varovný signál, na který výzkumníci konkrétně upozornili.

Aplikace navržené tak, aby těmito kontrolami prošly, existují. Přehled Mozilly z roku 2022 označil Euki — která vše ukládá lokálně — za svou jedinou volbu "Best Of", a PinkyBloom byl navržen podle stejného principu: data zůstávají ve vašem telefonu, žádný účet, žádné SDK třetích stran, takže kontroly 1–4 procházejí už z podstaty návrhu.

Seřazeno podle toho, kolik ze zdokumentovaného rizika každá možnost odstraňuje:

Aplikace fungující v zařízení jsou nejsilnější možností, která je stále pohodlná. Když jsou data o cyklu ukládána a zpracovávána pouze ve vašem telefonu, celá třída incidentů na straně serveru — sdílení přes SDK, úniky, soudní předvolání serverů společnosti — se stává strukturálně nemožnou, nikoli jen smluvně slíbenou. To je architektura PinkyBloom, a proto recenzenti ochrany soukromí upřednostnili čistě lokální design Euki; záruka pochází z toho, kde data jsou, nikoli ze zásad, které se mohou změnit.

Cloudové aplikace se silným řízením jsou fungujícím kompromisem, pokud potřebujete synchronizaci mezi více zařízeními: upřednostněte společnosti pod jurisdikcí GDPR s explicitními zásadami bez reklamy, bez prodeje dat a s deklarovaným postojem k právním žádostem. Zde důvěřujete slibům, ale dobře regulovaným.

Pero a papír nebo obyčejný kalendář jsou skutečně soukromé, ale ztrácejí to, co dělá sledování klinicky užitečným — rozpoznávání vzorců, predikci, historii příznaků, kterou můžete ukázat lékaři.

Co byste dělat neměla, je přestat sledovat ze strachu. Data o cyklu jsou jedním z nejužitečnějších zdravotních signálů, které máte — American College of Obstetricians and Gynecologists (ACOG) považuje menstruační cyklus za vitální funkci. Krok podložený důkazy je data si ponechat a změnit místo, kde žijí.