Ovatko kuukautisten seurantasovellukset turvallisia? Mitä tosiasiat kertovat

Rehellinen vastaus: se riippuu täysin siitä, miten sovellus on rakennettu, koska laki ei suurimmaksi osaksi suojaa sinua. Kuluttajille suunnatut kuukautisten seurantasovellukset eivät kuulu HIPAA:n piiriin — Yhdysvaltain terveystietojen yksityisyyslaki koskee terveydenhuollon tarjoajia ja vakuutusyhtiöitä, ei hyvinvointisovelluksia. Tämä tarkoittaa, että sovelluksen oma arkkitehtuuri ja tietosuojakäytäntö ovat käytännössä ainoa asia, joka merkitsee.

Dokumentoiduilla epäonnistumisilla on kaikilla sama kaava. Vuonna 2021 FTC väitti, että Flo, suosituin seurantasovellus, jakoi käyttäjien terveystietoja — mukaan lukien raskaustilan — Facebookin ja Googlen analytiikkaosastoille vuosina 2016–2019 upotettujen ohjelmistokehityspakettien (SDK) kautta, vastoin omia tietosuojalupauksiaan. Vuonna 2023 FTC syytti ovulaatiosovellus Premomia terveystietojen jakamisesta Googlen, AppsFlyerin ja kahden Kiinaan sijoittuneen analytiikkayrityksen kanssa ilman suostumusta. Vuonna 2016 Consumer Reports havaitsi, että Glow-sovelluksen salasanan vaihtoprosessi antoi kenen tahansa ottaa haltuunsa minkä tahansa tilin ja lukea sen hedelmällisyystietoja.

Mikään näistä tapauksista ei tapahtunut siksi, että joku seurasi kuukautisiaan. Ne tapahtuivat siksi, että tiedot poistuivat puhelimesta — mainos-SDK:ihin tai heikosti suojattuihin palvelimiin. Se on muuttuja, jota kannattaa arvioida: ei sitä, seurataanko, vaan sitä, missä tietosi fyysisesti sijaitsevat ja kuka muu on samassa huoneessa.

Kannattaa erottaa dokumentoidut tapaukset internet-huhuista. Ennätykset sisältävät neljä keskeistä tapausta.

Flo Health: FTC:n vuoden 2021 valituksen mukaan Flo jakoi käyttäjien kuukautis- ja raskaustietoja kolmansien osapuolten analytiikkayrityksille vuosina 2016–2019 tietosuojalupauksista huolimatta; Flo teki sovinnon myöntämättä syyllisyyttä. Siihen liittyvä ryhmäkanne päättyi vuonna 2025, kun Google maksoi 48 miljoonaa dollaria, Flo 8 miljoonaa dollaria ja analytiikkayhtiö Flurry 3,5 miljoonaa dollaria — yhteensä 59,5 miljoonan dollarin rahasto —, samalla kun liittovaltion valamiehistö totesi erikseen Metan vastuulliseksi Kalifornian salakuuntelulain nojalla Flo-käyttäjien tietojen keräämisestä. Kaikki sovinnon tehneet yritykset kiistävät väärinkäytökset.

Premom: vuonna 2023 FTC syytti sen valmistajaa tunnistettavissa olevien terveystietojen ja tarkkojen sijaintitietojen jakamisesta kolmansien osapuolten analytiikkayrityksille, mukaan lukien kaksi Kiinaan sijoittunutta yritystä, ilman käyttäjien suostumusta. Yritys maksoi 100 000 dollarin sakon, ja sitä kielletään pysyvästi jakamasta terveystietoja mainontatarkoituksiin.

Glow: Kalifornian osavaltion oikeusministeri teki Glow'n kanssa 250 000 dollarin sovinnon vuonna 2020 vuosina 2013–2016 tapahtuneista tietoturvapuutteista, mukaan lukien virhe, joka antoi kenen tahansa vaihtaa minkä tahansa käyttäjän salasanan.

Koko toimialalla: Mozillan vuoden 2022 katsaus 25 lisääntymisterveyssovelluksesta ja -laitteesta antoi 18:lle niistä *Privacy Not Included* -varoitusmerkinnän, ja 8 ei täyttänyt vähimmäisturvastandardeja. Tämä on vuoden 2022 tilannekuva — käytännöt muuttuvat —, mutta se osoittaa, kuinka yleisiä heikot oletusasetukset olivat.

Tämä pelko yleistyi Dobbs-päätöksen jälkeen vuonna 2022, joten se ansaitsee täsmällisen vastauksen. Digitaalisia oikeuksia seuraavat järjestöt, jotka seuraavat todellisia syytteitä, mukaan lukien Electronic Frontier Foundation, raportoivat, ettei kuukautissovellusten tietoja ole käytetty keskeisenä todisteena aborttiin liittyvissä tapauksissa — sen sijaan on käytetty tekstiviestejä, hakuhistoriaa ja sosiaalisen median viestejä. Dokumentoitu riski on siis pienempi kuin otsikot antoivat ymmärtää.

Mutta "ei ole tapahtunut" ei tarkoita "ei voi tapahtua". Mikä tahansa yrityksen palvelimella oleva tieto voidaan periaatteessa haastaa oikeuteen, ja sovellukset eroavat suuresti siinä, miten ne vastaisivat. MIT Technology Review kertoi kesäkuussa 2022, että Stardustin silloisen tietosuojakäytännön mukaan se jakaisi tietoja viranomaisille "riippumatta siitä, vaaditaanko sitä lain mukaan vai ei" (kieli, jota yritys myöhemmin muutti), kun taas Berliiniin sijoittunut Clue ilmoitti, ettei se vastaisi Yhdysvaltain haasteisiin terveystiedoista GDPR:n nojalla.

Rakenteellinen näkökohta pätee riippumatta käytännön sanamuodosta: haaste voi tavoittaa vain tietoja, jotka ovat olemassa jossain haastettavaksi. Jos syklihistoriasi on tallennettu vain puhelimeesi — ei millekään palvelimelle, ei sidottuna mihinkään tiliin — kolmannen osapuolen kopiota ei ole, johon oikeudellinen vaatimus voisi kohdistua. Tämä on arkkitehtuuritason vastaus oikeudelliseen huoleen.

Ei — ja tämä on todennäköisesti tämän alan merkittävin väärinkäsitys. HIPAA koskee "katettuja tahoja": terveydenhuollon tarjoajia, terveydenhuoltosuunnitelmia ja niiden liikekumppaneita. Kuluttajasovellus, jonka latasit App Storesta, ei ole mikään näistä. Gynekologisi asiakirjat ovat HIPAA:n suojaamia; sama tieto, joka kirjoitetaan kuukautissovellukseen, ei yleensä ole.

Sen sijaan sovelletaan kirjavaa säännöstöä: FTC-lain kielto harhaanjohtavista käytännöistä (tämä juuri kiinnitti Flon — lupasi tietosuojaa eikä toteuttanut sitä), FTC:n terveystietojen tietoturvaloukkauksista ilmoittamista koskeva sääntö (käytettiin Premomia vastaan sen toisessa koskaan tehdyssä täytäntöönpanotoimessa), osavaltion lait kuten Kalifornian CMIA, ja EU:n GDPR eurooppalaisille käyttäjille. Nämä rankaisevat rikottuja lupauksia jälkikäteen; mikään niistä ei estä sovellusta jakamasta tietojasi, jos sen tietosuojakäytäntö paljastaa sen pienellä painetulla tekstillä.

Käytännön seuraus: tietosuojakäytännön lukeminen on tärkeämpää kuukautissovelluksen kohdalla kuin lähes minkä tahansa muun käyttämäsi sovelluksen kohdalla. Etsi erityisesti, mitä jaetaan "kumppaneiden" tai "palveluntarjoajien" kanssa, käytetäänkö tietoja mainontaan, ja mitä käytäntö sanoo oikeudellisista vaatimuksista.

Viisi tarkistusta kattavat suurimman osan riskistä, ja kaikki ne juontuvat suoraan siitä, miten dokumentoidut epäonnistumiset tapahtuivat.

1. Missä tiedot sijaitsevat? Laitepohjainen tallennus tarkoittaa, ettei palvelinkopiota ole olemassa — vahvin saatavilla oleva takuu. Jos tiedot menevät pilveen, kaikki muu tässä listassa merkitsee enemmän.

2. Onko siellä kolmansien osapuolten SDK:ita? Molemmat FTC-tapaukset (Flo, Premom) kuvaavat upotettuja analytiikka- ja mainos-SDK:ita vuotoreittinä. Jos sovellus näyttää mainoksia tai sen käytäntö mainitsee analytiikkakumppanit, oleta tietojen virtaavan ulospäin.

3. Vaaditaanko tiliä? Sähköpostiin sidottu tili yhdistää identiteettisi syklihistoriaasi. Ilman tiliä ei ole identiteettikytköstä.

4. Mitä tapahtuu, kun poistat sovelluksen? Sovelluksen poistaminen ei poista palvelinpuolen tietoja. Etsi nimenomainen poisto-oikeus ja se, kertooko yritys ohjeistavansa myös kolmansia osapuolia poistamaan tiedot.

5. Mikä on lainvalvontakäytäntö? Selkeä kieli siitä, miten yritys käsittelee haasteita, on hyvä merkki; hiljaisuus tai laveasti muotoiltu "noudatamme viranomaisten pyyntöjä" on varoitusmerkki, johon tutkijat kiinnittivät erityisesti huomiota.

Sovelluksia, jotka on rakennettu läpäisemään nämä tarkistukset, on olemassa. Mozillan vuoden 2022 katsaus nimesi Eukin — joka tallentaa kaiken paikallisesti — ainoaksi "Best Of" -valinnakseen, ja PinkyBloom suunniteltiin saman periaatteen mukaisesti: tiedot pysyvät puhelimessasi, ei tiliä, ei kolmansien osapuolten SDK:ita, joten tarkistukset 1–4 täyttyvät jo rakenteen ansiosta.

Järjestettynä sen mukaan, kuinka suuren osan dokumentoidusta riskistä kukin vaihtoehto poistaa:

Laitepohjaiset sovellukset ovat vahvin vaihtoehto, joka on silti kätevä. Kun syklitiedot tallennetaan ja käsitellään vain puhelimessasi, koko palvelinpuolen tapahtumaluokka — SDK-jakaminen, tietomurrot, yrityksen palvelimiin kohdistuvat haasteet — muuttuu rakenteellisesti mahdottomaksi sen sijaan, että se olisi vain sopimuksella luvattu. Tämä on PinkyBloomin arkkitehtuuri, ja siksi tietosuoja-arvioijat suosivat Eukin täysin paikallista suunnittelua; takuu tulee siitä, missä tiedot sijaitsevat, ei käytännöstä, joka voi muuttua.

Vahvalla hallinnolla varustetut pilvisovellukset ovat toimiva välimuoto, jos tarvitset synkronointia useiden laitteiden välillä: suosi GDPR-lainkäyttöalueen yrityksiä, joilla on selkeät ei-mainonta- ja ei-tietojenmyyntikäytännöt sekä ilmoitettu kanta oikeudellisiin vaatimuksiin. Luotat silloin lupauksiin, mutta hyvin säänneltyihin sellaisiin.

Kynä ja paperi tai tavallinen kalenteri ovat aidosti yksityisiä, mutta menettävät sen, mikä tekee seurannasta kliinisesti hyödyllistä — kaavojen tunnistaminen, ennustaminen, oireiden historia, jonka voit näyttää lääkärille.

Sitä, mitä ei kannata tehdä, on seurannan lopettaminen pelosta. Syklitiedot ovat yksi hyödyllisimmistä terveyssignaaleista, joita sinulla on — American College of Obstetricians and Gynecologists pitää kuukautiskiertoa elintärkeänä merkkinä. Näyttöön perustuva ratkaisu on säilyttää tiedot ja muuttaa sitä, missä ne sijaitsevat.