Er menstruationsapps sikre? Hvad fakta viser

Det ærlige svar: det afhænger fuldstændig af, hvordan appen er bygget, for loven beskytter dig for det meste ikke. Forbrugerapps til menstruationssporing er ikke dækket af HIPAA — den amerikanske lov om sundhedsbeskyttelse gælder for sundhedsudbydere og forsikringsselskaber, ikke wellness-apps. Det betyder, at appens egen arkitektur og privatlivspolitik reelt afgør det hele.

De dokumenterede fejl deler alle samme form. I 2021 hævdede FTC, at Flo, den mest populære sporingsapp, delte brugernes sundhedsdata — inklusive graviditetsstatus — mellem 2016 og 2019 med analyseafdelinger hos Facebook og Google via indlejrede softwareudviklingskits (SDK'er), i strid med sine egne privatlivsløfter. I 2023 anklagede FTC ægløsningsappen Premom for at have delt sundhedsdata med Google, AppsFlyer og to Kina-baserede analysefirmaer uden samtykke. I 2016 fandt Consumer Reports, at Glow-appens proces til at skifte adgangskode gjorde det muligt for hvem som helst at overtage enhver konto og læse deres fertilitetsdata.

Ingen af disse hændelser skete, fordi nogen sporede deres cyklus. De skete, fordi data forlod telefonen — til reklame-SDK'er eller til servere med svage kontroller. Det er den variabel, der skal vurderes: ikke om du skal spore, men hvor dine data fysisk befinder sig, og hvem ellers der er i rummet.

Det er værd at adskille dokumenterede sager fra internetrygter. Registreringen indeholder fire centrale hændelser.

Flo Health: FTC's klage fra 2021 hævdede, at Flo delte brugernes menstruations- og graviditetsdata med tredjeparts analysefirmaer fra 2016 til 2019 på trods af løfter om privatliv; Flo indgik forlig uden at indrømme nogen forseelse. Det tilknyttede gruppesøgsmål endte i 2025 med, at Google betalte 48 mio. dollar, Flo 8 mio. dollar, og analysefirmaet Flurry 3,5 mio. dollar — en samlet fond på 59,5 mio. dollar — mens en føderal jury separat fandt Meta ansvarlig i henhold til Californiens aflytningslov for indsamling af Flo-brugeres data. Alle de selskaber, der indgik forlig, nægter forseelse.

Premom: i 2023 anklagede FTC producenten for at have delt identificerbare sundhedsoplysninger og præcise lokationsdata med tredjeparts analysefirmaer, herunder to baseret i Kina, uden brugernes samtykke. Selskabet betalte en bøde på 100.000 dollar og har permanent forbud mod at dele sundhedsdata til reklameformål.

Glow: Californiens justitsminister indgik forlig med Glow for 250.000 dollar i 2020 vedrørende sikkerhedsfejl fra 2013-2016, herunder en fejl, der gjorde det muligt for hvem som helst at ændre adgangskoden for enhver bruger.

På tværs af branchen: Mozillas gennemgang fra 2022 af 25 apps og enheder til reproduktiv sundhed gav 18 af dem advarselsmærket *Privacy Not Included*, og 8 levede ikke op til minimumsstandarder for sikkerhed. Dette er et øjebliksbillede fra 2022 — praksis ændrer sig — men det viser, hvor udbredte svage standardindstillinger var.

Denne frygt blev udbredt efter Dobbs-afgørelsen i 2022, så den fortjener et præcist svar. Digitale rettighedsgrupper, der følger faktiske retsforfølgelser, herunder Electronic Frontier Foundation, rapporterer, at data fra menstruationsapps ikke har været det centrale bevis i sager relateret til abort — tekstbeskeder, søgehistorik og beskeder på sociale medier har derimod været det. Så den dokumenterede risiko er lavere, end overskrifterne antydede.

Men "har ikke været" er ikke det samme som "kan ikke være". Enhver data, der findes på en virksomheds server, kan i princippet indhentes via en stævning, og apps varierer enormt i, hvordan de ville reagere. MIT Technology Review rapporterede i juni 2022, at Stardusts daværende privatlivspolitik sagde, at virksomheden ville dele data med myndigheder "uanset om det er lovmæssigt påkrævet eller ej" (formulering, som selskabet senere reviderede), mens Berlin-baserede Clue erklærede, at det ikke ville besvare amerikanske stævninger om sundhedsdata i henhold til GDPR.

Det strukturelle pointe holder uanset formuleringen af politikken: en stævning kan kun nå data, der findes et sted, hvor de kan stævnes. Hvis din cyklushistorik kun er gemt på din telefon — ikke på nogen server, ikke knyttet til nogen konto — findes der ingen tredjepartskopi, som en juridisk anmodning kan rettes mod. Det er svaret på arkitekturniveau på en bekymring på juridisk niveau.

Nej — og dette er nok den mest afgørende misforståelse på dette område. HIPAA dækker "omfattede enheder": sundhedsudbydere, sundhedsforsikringer og deres forretningspartnere. En forbrugerapp, du har hentet fra App Store, er ingen af disse. Din gynækologs journaler er beskyttet af HIPAA; de samme oplysninger indtastet i en menstruationsapp er det generelt ikke.

Det, der gælder i stedet, er et lappeværk: FTC-lovens forbud mod vildledende praksis (det var det, der fangede Flo — der lovede privatliv og ikke leverede det), FTC's Health Breach Notification Rule (brugt mod Premom i dens kun anden håndhævelsessag nogensinde), delstatslove som Californiens CMIA og EU's GDPR for europæiske brugere. Disse straffer brudte løfter efter sagen; ingen af dem forhindrer en app i at dele dine data, hvis dens privatlivspolitik afslører det med småt.

Praktisk konsekvens: at læse privatlivspolitikken betyder mere for en menstruationsapp end for stort set enhver anden app, du bruger. Kig specifikt efter, hvad der deles med "partnere" eller "tjenesteudbydere", om data bruges til reklame, og hvad politikken siger om juridiske anmodninger.

Fem tjek dækker det meste af risikoen, og de kommer alle direkte fra, hvordan de dokumenterede fejl skete.

1. Hvor befinder data sig? Lagring på enheden betyder, at der ikke findes nogen serverkopi — den stærkeste garanti, der findes. Hvis data går til skyen, betyder alt andet på denne liste mere.

2. Er der tredjeparts-SDK'er? Begge FTC-sager (Flo, Premom) beskriver indlejrede analyse- og reklame-SDK'er som lækagevejen. Hvis appen viser reklamer, eller dens politik nævner analysepartnere, så gå ud fra, at data strømmer udad.

3. Kræves der en konto? En e-mail-tilknyttet konto binder din identitet til din cyklushistorik. Ingen konto betyder ingen identitetstilknytning.

4. Hvad sker der, når du sletter? At slette en app sletter ikke data på serversiden. Kig efter en eksplicit ret til sletning, og om selskabet siger, at det instruerer tredjeparter om også at slette.

5. Hvad er politikken over for retshåndhævelse? Klar sprogbrug om, hvordan selskabet håndterer stævninger, er et godt tegn; tavshed eller bred formulering som "vi efterkommer myndighederne" er et rødt flag, som forskere specifikt har påpeget.

Apps bygget til at bestå disse tjek findes. Mozillas gennemgang fra 2022 udpegede Euki — som gemmer alt lokalt — som sit eneste "Best Of"-valg, og PinkyBloom blev designet efter samme princip: data forbliver på din telefon, ingen konto, ingen tredjeparts-SDK'er, så tjek 1-4 bestås per konstruktion.

Rangeret efter, hvor meget af den dokumenterede risiko hver mulighed fjerner:

Apps på enheden er den stærkeste mulighed, der stadig er praktisk. Når cyklusdata udelukkende gemmes og behandles på din telefon, bliver hele klassen af hændelser på serversiden — SDK-deling, brud, stævninger mod virksomhedens servere — strukturelt umulig i stedet for blot kontraktligt lovet. Dette er PinkyBlooms arkitektur, og det er derfor, privatlivsanmeldere foretrak Eukis rent lokale design; garantien kommer fra, hvor dataene er, ikke fra en politik, der kan ændres.

Sky-apps med stærk governance er en brugbar mellemvej, hvis du har brug for synkronisering på tværs af flere enheder: foretræk selskaber under GDPR-jurisdiktion med eksplicitte politikker om ingen reklame, intet salg af data, og en erklæret holdning til juridiske anmodninger. Her stoler du på løfter, men velregulerede løfter.

Pen og papir eller en almindelig kalender er reelt privat, men mister de ting, der gør sporing klinisk nyttig — mønstergenkendelse, forudsigelse, symptomhistorik du kan vise en læge.

Det, du ikke bør gøre, er at stoppe med at spore af frygt. Cyklusdata er et af de mest nyttige sundhedssignaler, du har — American College of Obstetricians and Gynecologists (ACOG) betragter menstruationscyklussen som et vitalt tegn. Det evidensbaserede træk er at beholde dataene og ændre, hvor de befinder sig.