Kas menstruatsioonijälgimise rakendused on turvalised? Mida näitavad tõendid

Aus vastus: see sõltub täielikult sellest, kuidas rakendus on üles ehitatud, sest seadus enamasti sind ei kaitse. Tarbijatele mõeldud menstruatsioonijälgimise rakendused ei kuulu HIPAA alla — USA tervishoiu privaatsusseadus kehtib tervishoiuteenuse osutajatele ja kindlustusandjatele, mitte heaolurakendustele. See tähendab, et rakenduse enda arhitektuur ja privaatsuspoliitika on praktikas ainuke, mis loeb.

Dokumenteeritud ebaõnnestumistel on kõigil sama muster. 2021. aastal väitis FTC, et Flo, kõige populaarsem jälgimisrakendus, jagas kasutajate terviseandmeid — sealhulgas raseduse staatust — Facebooki ja Google'i analüütikaosakondadega aastatel 2016–2019 sisseehitatud tarkvaraarendajate komplektide (SDK) kaudu, vastupidiselt oma privaatsuslubadustele. 2023. aastal süüdistas FTC ovulatsioonirakendust Premom terviseandmete jagamises Google'i, AppsFlyeri ja kahe Hiinas asuva analüütikafirmaga ilma nõusolekuta. 2016. aastal leidis Consumer Reports, et Glow rakenduse parooli vahetamise protsess võimaldas kellel tahes võtta üle mistahes konto ja lugeda selle viljakusandmeid.

Ükski neist juhtumitest ei toimunud seetõttu, et keegi jälgis oma menstruatsiooni. Need toimusid seetõttu, et andmed lahkusid telefonist — reklaami-SDK-desse või nõrga kontrolliga serveritesse. Seda muutujat tulebki hinnata: mitte seda, kas jälgida, vaid seda, kus sinu andmed füüsiliselt asuvad ja kes veel toas viibib.

Tasub eristada dokumenteeritud juhtumeid internetikuulujuttudest. Ajalugu sisaldab nelja põhijuhtumit.

Flo Health: FTC 2021. aasta kaebuse kohaselt jagas Flo kasutajate menstruatsiooni- ja rasedusandmeid kolmandate osapoolte analüütikafirmadega aastatel 2016–2019, hoolimata privaatsuslubadustest; Flo sõlmis kokkuleppe ilma süüd tunnistamata. Sellega seotud grupihagi lõppes 2025. aastal, kui Google maksis 48 miljonit dollarit, Flo 8 miljonit dollarit ja analüütikafirma Flurry 3,5 miljonit dollarit — kokku 59,5 miljoni dollari suurune fond —, samal ajal kui föderaalne vandekohus tuvastas eraldi Meta vastutuse California pealtkuulamisseaduse alusel Flo kasutajate andmete kogumise eest. Kõik kokkuleppe sõlminud ettevõtted eitavad süüd.

Premom: 2023. aastal süüdistas FTC selle tootjat identifitseeritavate terviseandmete ja täpsete asukohaandmete jagamises kolmandate osapoolte analüütikafirmadega, sealhulgas kahe Hiinas asuva firmaga, ilma kasutajate nõusolekuta. Ettevõte maksis 100 000 dollari suuruse trahvi ja tal on jäädavalt keelatud jagada terviseandmeid reklaami eesmärgil.

Glow: California peaprokurör sõlmis Glow'ga 2020. aastal 250 000 dollari suuruse kokkuleppe seoses aastatel 2013–2016 esinenud turvavigadega, sealhulgas veaga, mis võimaldas kellel tahes muuta mistahes kasutaja parooli.

Kogu tööstusharu ulatuses: Mozilla 2022. aasta ülevaade 25 reproduktiivtervise rakendusest ja seadmest andis 18-le neist hoiatussildi *Privacy Not Included*, ja 8 ei vastanud minimaalsetele turvastandarditele. See on 2022. aasta hetketõmmis — praktikad muutuvad —, kuid see näitab, kui laialt levinud olid nõrgad vaikeseaded.

See hirm levis laialdaselt pärast Dobbsi otsust 2022. aastal, seega väärib see täpset vastust. Digiõiguste organisatsioonid, kes jälgivad tegelikke süüdistusi, sealhulgas Electronic Frontier Foundation, teatavad, et menstruatsioonirakenduse andmed ei ole olnud peamine tõend abordiga seotud kohtuasjades — selleks on olnud tekstsõnumid, otsinguajalugu ja sotsiaalmeedia sõnumid. Seega on dokumenteeritud risk väiksem, kui pealkirjad andsid mõista.

Kuid "ei ole olnud" ei tähenda "ei saa olla". Iga andmeühik, mis eksisteerib ettevõtte serveris, võib põhimõtteliselt olla kohtukutse objektiks, ning rakendused erinevad väga suurel määral selles, kuidas nad sellele reageeriksid. MIT Technology Review teatas 2022. aasta juunis, et Stardusti tollane privaatsuspoliitika ütles, et ta jagab andmeid ametivõimudega "olenemata sellest, kas see on seadusega nõutav või mitte" (hilisemalt ettevõtte poolt muudetud sõnastus), samas kui Berliinis asuv Clue teatas, et ei vasta USA kohtukutsetele terviseandmete kohta GDPR-i alusel.

Struktuurne argument kehtib olenemata poliitika sõnastusest: kohtukutse saab jõuda ainult andmeteni, mis kusagil eksisteerivad, et neid nõuda. Kui sinu tsükli ajalugu on salvestatud ainult sinu telefonis — mitte üheski serveris, seotuna ühegi kontoga —, siis ei ole kolmanda osapoole koopiat, mille poole õiguslik nõue saaks suunata. See on arhitektuuritasandi vastus juriidilise tasandi murele.

Ei — ja see on tõenäoliselt kõige olulisem väärarusaam selles valdkonnas. HIPAA kehtib "hõlmatud üksustele": tervishoiuteenuse osutajad, tervisekindlustusplaanid ja nende ärikoostööpartnerid. Tarbijarakendus, mille laadisid alla App Store'ist, ei kuulu ühessegi neist kategooriatest. Sinu günekoloogi dokumendid on HIPAA-ga kaitstud; sama teave, mis on sisestatud menstruatsioonirakendusse, üldiselt ei ole.

Selle asemel kehtib erinevate seaduste kogum: FTC seaduse keeld eksitavatele tegevustele (see tabaski Flot — privaatsuse lubamine ja selle mitte täitmine), FTC terviseandmete rikkumisest teatamise reegel (kasutati Premomi vastu selle teises kunagises jõustamises), osariigi seadused nagu California CMIA, ja ELi GDPR Euroopa kasutajatele. Need karistavad tagantjärele murtud lubadusi; ükski neist ei takista rakendust sinu andmeid jagamast, kui tema privaatsuspoliitika seda peensõnas avalikustab.

Praktiline tagajärg: privaatsuspoliitika lugemine on menstruatsioonirakenduse puhul tähtsam kui peaaegu iga teise rakenduse puhul, mida sa kasutad. Otsi konkreetselt, mida jagatakse "partneritega" või "teenusepakkujatega", kas andmeid kasutatakse reklaami eesmärgil, ja mida poliitika ütleb õiguslike nõuete kohta.

Viis kontrolli katavad suurema osa riskist ning kõik need tulenevad otseselt sellest, kuidas dokumenteeritud ebaõnnestumised aset leidsid.

1. Kus andmed asuvad? Salvestamine seadmes tähendab, et serveris koopiat ei eksisteeri — see on kõige tugevam saadaolev garantii. Kui andmed lähevad pilve, siis muutub kõik ülejäänu selles loetelus olulisemaks.

2. Kas seal on kolmanda osapoole SDK-sid? Mõlemad FTC juhtumid (Flo, Premom) kirjeldavad sisseehitatud analüütika- ja reklaami-SDK-sid lekke vektorina. Kui rakendus näitab reklaame või tema poliitika mainib analüütikapartnereid, eelda, et andmed voolavad väljapoole.

3. Kas on vaja kontot? E-postiga seotud konto seob sinu identiteedi sinu tsükliajalooga. Ilma kontota ei ole identiteediseost.

4. Mis juhtub, kui kustutad? Rakenduse kustutamine ei kustuta serveripoolseid andmeid. Otsi selget kustutamisõigust ja seda, kas ettevõte ütleb, et ta juhendab ka kolmandaid osapooli andmeid kustutama.

5. Milline on õiguskaitsepoliitika? Selge sõnastus selle kohta, kuidas ettevõte kohtukutsetega toimib, on hea märk; vaikimine või laialivalguv sõnastus "me täidame ametivõimude nõudeid" on hoiatusmärk, millele teadlased spetsiaalselt tähelepanu juhtisid.

On olemas rakendused, mis on loodud neid kontrolle läbima. Mozilla 2022. aasta ülevaade nimetas Euki — mis salvestab kõik lokaalselt — oma ainsaks "Best Of" valikuks, ning PinkyBloom loodi sama põhimõtte järgi: andmed jäävad sinu telefoni, kontot pole vaja, kolmandate osapoolte SDK-sid pole, nii et kontrollid 1–4 on täidetud juba ehituselt.

Järjestatud selle järgi, kui suure osa dokumenteeritud riskist iga valik kõrvaldab:

Seadmepõhised rakendused on kõige tugevam valik, mis on ikkagi mugav. Kui tsükliandmeid salvestatakse ja töödeldakse ainult sinu telefonis, muutub kogu serveripoolne juhtumite kategooria — SDK-de kaudu jagamine, andmelekked, ettevõtte serverite kohtukutsed — struktuurselt võimatuks, mitte ainult lepinguliselt lubatuks. See on PinkyBloomi arhitektuur, ja seetõttu eelistasidki privaatsuse hindajad Euki puhtalt lokaalset disaini; garantii tuleb sellest, kus andmed asuvad, mitte poliitikast, mida saab muuta.

Tugeva juhtimisega pilverakendused on toimiv keskteed valik, kui vajad mitme seadme sünkroonimist: eelista GDPR-i jurisdiktsiooni alla kuuluvaid ettevõtteid, kellel on selged mittereklaami- ja mittemüügipoliitikad ning väljendatud seisukoht õiguslike nõuete kohta. Sa usaldad lubadusi, kuid hästi reguleeritud lubadusi.

Pliiats ja paber või lihtne kalender on tõeliselt privaatne, kuid kaotab selle, mis muudab jälgimise kliiniliselt kasulikuks — mustrite tuvastamine, ennustamine, sümptomite ajalugu, mida saad arstile näidata.

Mida sa ei peaks tegema, on jälgimise lõpetamine hirmust. Tsükliandmed on üks kasulikumaid terviseindikaatoreid, mis sul on — American College of Obstetricians and Gynecologists käsitleb menstruaaltsüklit elutähtsa näitajana. Tõenditel põhinev samm on andmed säilitada ja muuta seda, kus need asuvad.