Flo-kiertoseurantasovelluksen oikeusjuttu selitettynä

Kaksi toisiinsa liittyvää oikeusprosessia, jotka sekoitetaan usein toisiinsa uutisotsikoissa.

Ensinnäkin FTC:n tapaus. Tammikuussa 2021 liittovaltion kauppakomissio (FTC) väitti, että kesäkuusta 2016 helmikuuhun 2019 Flo Health jakoi miljoonien käyttäjien terveystietoja — mukaan lukien kuukautistiedot ja raskausstatuksen — kolmansien osapuolten analytiikka- ja markkinointiyrityksille, muun muassa Facebookin ja Googlen analytiikkaosastoille, AppsFlyerille ja Flurrylle. Mekanismina toimivat upotetut ohjelmistokehityspaketit (SDK:t): Flo välitti arkaluontoista tietoa, kuten “raskaus”, sovelluksen omissa tapahtumatiedoissa. Flo:n silloinen tietosuojakäytäntö lupasi, ettei näitä tietoja jaettaisi. Flo lopetti tietojen jakamisen Facebookin kanssa päivä sen jälkeen, kun Wall Street Journalin helmikuun 2019 tutkinta paljasti nämä siirrot.

Toiseksi ryhmäkanne: Frasco vastaan Flo Health, nostettu vuonna 2021 Kalifornian liittovaltion tuomioistuimessa Floa, Googlea, Metaa ja Flurrya vastaan, koskee käyttäjiä, jotka syöttivät kuukautis- tai raskaustietoja sovellukseen 1. marraskuuta 2016 ja 28. helmikuuta 2019 välisenä aikana. Vaatimuksiin kuului Kalifornian lääketieteellistä salassapitoa ja salakuuntelua koskevien lakien rikkominen. Tämä tapaus johti vuoden 2025 sovintoihin ja alla kuvattuun valamiehistön tuomioon Metaa vastaan.

Tärkeä tarkennus: Flo teki sovinnon molemmissa tapauksissa ilman, että mikään tuomioistuin totesi sen rikkoneen lakia, ja se kiistää kaikki väitteet.

Molemmat luvut pitävät paikkansa; ne vain laskevat eri asioita. Kolme vastaajaa teki sovinnon ryhmäkanteessa vuonna 2025: Google suostui maksamaan 48 miljoonaa dollaria, Flo 8 miljoonaa dollaria ja analytiikkayhtiö Flurry 3,5 miljoonaa dollaria. Siksi sovinnon kokonaisrahasto on 59,5 miljoonaa dollaria.

Syyskuussa 2025 laajalti uutisoitu “56 miljoonaa dollaria” (muun muassa Reutersin toimesta) on Googlen ja Flo:n sovintojen summa — jotka julkistettiin samanaikaisesti — ilman Flurryn aiempaa 3,5 miljoonan dollarin sopimusta. Eli: 56 miljoonaa on Google plus Flo; 59,5 miljoonaa on koko rahasto. Flo:n oma osuus oli selvyyden vuoksi 8 miljoonaa dollaria.

Kaksi asiaa, joita luvut eivät kerro. Kaikki sovinnon tehneet yhtiöt kiistävät kaiken väärinkäytöksen — virallinen sovintoilmoitus toteaa, ettei tuomioistuin päättänyt, rikkoivatko Flo, Google vai Flurry lakia; ne tekivät sovinnon lopettaakseen oikeudenkäynnin. Meta ei puolestaan kuulu kumpaankaan näistä luvuista: se kieltäytyi sovinnosta, meni oikeudenkäyntiin ja hävisi sen sijaan valamiehistön tuomion, korvaussumman ollessa yhä ratkaisematta.

Meta oli ainoa vastaaja, joka ei tehnyt sovintoa. Oikeudenkäynti alkoi heinäkuussa 2025, ja 1. elokuuta 2025 yksimielinen liittovaltion valamiehistö totesi, että Meta oli rikkonut Kalifornian yksityisyyden loukkaamista koskevaa lakia (California Invasion of Privacy Act, CIPA) — osavaltion salakuuntelulakia — keräämällä SDK:nsa kautta Flo-käyttäjien kuukautistietoja ilman suostumusta. Tämä oli ensimmäinen merkittävä CIPA-tapaus, joka eteni valamiehistön tuomioon, ja se koskee kalifornialaisten käyttäjien alaryhmää.

Mitä tämä tarkoittaa rahassa, on yhä avoin kysymys. CIPA säätää 5 000 dollarin lakisääteisen korvauksen jokaista rikkomusta kohden; kantajat ovat vaatineet tätä jokaista ryhmän jäsentä kohden, ja lehdistön mukaan tuomari vihjasi, että kokonaisvastuu voisi nousta useisiin miljardeihin dollareihin — Meta itse kertoi tuomioistuimelle, että sen vastuu voisi olla “moninkertainen miljardeihin nähden”. Vuoden 2026 puolivälissä lopullista korvaussummaa ei ollut vielä vahvistettu, tuomari oli hylännyt Metan oikeudenkäynnin jälkeiset vaatimukset, ja Meta oli todennut olevansa “voimakkaasti eri mieltä” lopputuloksesta ja vihjannut valittavansa, samalla vaatien, että sen ehdot kieltävät täysin kehittäjiä lähettämästä sille terveystietoja.

Tarkka lyhyt yhteenveto on siis tämä: valamiehistö totesi Metan olevan vastuussa Flo-käyttäjien tietojen salakuuntelusta; kuinka paljon Meta joutuu maksamaan, jos tuomio pysyy voimassa valituksen jälkeen, ei ole vielä ratkaistu.

Kyllä, tämän sivun viimeisimmän päivityksen hetkellä. Virallinen sovintosivusto on PeriodTrackerDataPrivacyLitigation.com, jota hallinnoi A.B. Data (puhelin 1-866-778-9626). Varo väärennettyjä sivustoja — korvaushakemuksen jättäminen on ilmaista, eikä mikään laillinen osapuoli pyydä sinua maksamaan.

Kuka on oikeutettu: kuka tahansa Yhdysvalloissa, joka käytti Flo-sovellusta 1. marraskuuta 2016 ja 28. helmikuuta 2019 välisenä aikana ja syötti kuukautis- ja/tai raskaustietoja tänä aikana.

Tärkeät päivämäärät: hakemukset on jätettävä verkossa viimeistään 15. lokakuuta 2026 (klo 23.59 Tyynenmeren aikaa) tai postitettava leimattuna viimeistään kyseisenä päivänä; lopullinen hyväksymiskuuleminen on suunniteltu 29. lokakuuta 2026 San Franciscossa. Maksut ovat suhteellisia — henkilöä kohden maksettava summa riippuu siitä, kuinka monta pätevää hakemusta saapuu — ja kalifornialaiset ryhmän jäsenet, jotka toimittavat dokumentaation, saavat kaksinkertaisen perusosuuden, mikä heijastaa osavaltion lain mukaisia vaatimuksia.

Vielä yksi vivahde, joka kannattaa tietää: mikä tahansa Metan tuomiosta saatava raha on erillään tästä sovintorahastosta. Oikeutettuihin kalifornialaisiin käyttäjiin otetaan myöhemmin yhteyttä kyseisestä prosessista, eikä sovintohakemuksen jättäminen nyt tarkoita luopumista Metan tuomioon liittyvistä oikeuksista. Tarkista virallinen sivusto ajantasaisen tilanteen varmistamiseksi, sillä määräajat ja yksityiskohdat voivat muuttua.

Vähemmän kuin useimmat olettavat — mikä itsessään kertoo paljon siitä, kuinka heikkoa terveyssovellusten sääntely on Yhdysvalloissa. Kesäkuussa 2021 viimeistelty suostumusmääräys ei sisältänyt lainkaan rahallista sakkoa. Se vaati Flolta seuraavaa: lopettaa datakäytäntöjensä virheellinen esittäminen; hankkia käyttäjien nimenomainen suostumus ennen terveystietojen jakamista kenenkään kanssa, selkeästi kertoen, mitä jaetaan, kenen kanssa ja miksi; ohjeistaa kolmansia osapuolia, jotka olivat vastaanottaneet käyttäjätietoja, tuhoamaan ne; ilmoittaa asiasta kärsineille käyttäjille; ja alistua tietosuojakäytäntöjensä riippumattomaan tarkastukseen.

Kaksi FTC:n komissaaria oli osittain eri mieltä ja väitti, että Flo olisi pitänyt syyttää myös terveystietojen tietoturvaloukkauksista ilmoittamista koskevan säännön (Health Breach Notification Rule) nojalla — sääntöä, jota virasto myöhemmin todella käytti Premom-ovulaatiosovellusta vastaan vuonna 2023, jolloin se peri 100 000 dollarin sakon.

Rakenteellinen opetus piilee oikeudellisen opetuksen alla: jokainen valituksessa kuvattu mekanismi liittyi tietoihin, jotka virtasivat puhelimesta palvelimille ja SDK:ihin. Sääntely rankaisi rikottua lupausta jälkikäteen; se ei kyennyt, eikä kykene, tekemään jo jaetuista tiedoista jälleen “jakamattomia”. Arkkitehtuuri, joka ei koskaan lähetä syklitietoja laitteen ulkopuolelle, on ainoa “tietosuojan” muoto, joka ei riipu siitä, pitääkö yritys sanansa.

Oikeudenmukaisuus edellyttää myös toisen osapuolen kuulemista. Flo on johdonmukaisesti kiistänyt kaikki syytökset. Sen kanta: se ei ole koskaan myynyt käyttäjätietoja; kiistanalaiset SDK:t olivat vakiomuotoisia analytiikkatyökaluja, joita käytettiin sovelluksen suorituskykyyn, ei mainontaan; ja oikeudenkäynti koski näiden työkalujen toiminnan läpinäkyvyyttä. Ilmoittaessaan vuoden 2025 sovinnosta Flo sanoi tehneensä sovinnon “yksinomaan poistaakseen oikeudenkäynnin epävarmuuden, taakan, kustannukset ja viivästykset”, ja sen julkiset lausunnot väittävät, että “mikä tahansa väite” siitä, että se jakoi tietoja laittomasti, “on perusteeton”.

Flo viittaa myös vuodesta 2019 lähtien tehtyihin muutoksiin: se poisti kiistanalaiset SDK:t, tilasi ulkoisen tietosuoja-auditoinnin vuonna 2022, sai ISO 27001 -turvallisuussertifioinnin, julkaisi “Anonyymin tilan”, joka erottaa käytön identiteetistä (myöhemmin avoimen lähdekoodin ratkaisuna), ja perusti tietosuojan neuvoa-antavan lautakunnan. Nämä ovat todellisia parannuksia, ja myös itse sovintoilmoituksen sanamuoto pätee: mikään tuomioistuin ei ole todennut Flon rikkoneen lakia.

Kaksi varausta kokonaiskuvan vuoksi: Anonyymi tila tallentaa yhä syklitietoja Flon palvelimille — se poistaa yhteyden identiteettiin, ei kopiota palvelimelta — ja lehdistö raportoi kesäkuussa 2026, että hollantilainen digitaalisten oikeuksien ryhmä oli tehnyt valituksen Flon tietojenkäsittelystä Alankomaiden tietosuojaviranomaiselle, joten valvonta ei ole vielä päättynyt. Toiseen sovellukseen siirtyvät käyttäjät voivat katsoa vaiheittaisen siirtymäoppaamme osoitteesta /leave-flo.