Le recours contre l'application de suivi du cycle Flo, expliqué

Deux procédures judiciaires connexes, souvent confondues dans les manchettes.

D'abord, l'affaire de la FTC. En janvier 2021, la Federal Trade Commission (FTC) a allégué que, de juin 2016 à février 2019, Flo Health avait partagé les données de santé de millions d'utilisatrices — y compris des détails menstruels et le statut de grossesse — avec des entreprises tierces d'analyse et de marketing, dont les divisions d'analyse de Facebook et de Google, AppsFlyer et Flurry. Le mécanisme était des kits de développement logiciel (SDK) intégrés : Flo transmettait des renseignements sensibles comme “grossesse” à l'intérieur de données d'événements d'application personnalisées. La politique de confidentialité de Flo à l'époque promettait que ces données ne seraient pas partagées. Flo a cessé de partager des données avec Facebook un jour après qu'une enquête du Wall Street Journal, en février 2019, eut intercepté ces transmissions.

Ensuite, le recours collectif : Frasco contre Flo Health, déposé en 2021 devant le tribunal fédéral de la Californie contre Flo, Google, Meta et Flurry, couvre les utilisatrices ayant saisi des données menstruelles ou de grossesse dans l'application entre le 1er novembre 2016 et le 28 février 2019. Parmi les allégations figurait la violation des lois californiennes sur la confidentialité médicale et l'écoute électronique. Cette affaire a mené aux règlements de 2025 et au verdict du jury contre Meta décrit ci-dessous.

Précision importante : Flo a réglé les deux affaires sans qu'aucun tribunal n'établisse qu'elle avait enfreint la loi, et elle nie toutes les allégations.

Les deux chiffres sont exacts; ils comptent simplement des choses différentes. Trois défenderesses ont réglé le recours collectif en 2025 : Google a accepté de verser 48 millions de dollars, Flo 8 millions de dollars, et l'entreprise d'analyse Flurry 3,5 millions de dollars. Le fonds total du règlement s'élève donc à 59,5 millions de dollars.

Les “56 millions de dollars” largement rapportés en septembre 2025 (notamment par Reuters) correspondent à la somme des règlements de Google et de Flo — annoncés simultanément — sans inclure le règlement antérieur de Flurry de 3,5 millions de dollars. Donc : 56 millions, c'est Google plus Flo; 59,5 millions, c'est le fonds complet. La part de Flo elle-même, pour plus de clarté, était de 8 millions de dollars.

Deux choses que les chiffres ne disent pas. Toutes les entreprises ayant réglé nient toute faute — l'avis officiel de règlement précise que le tribunal n'a pas déterminé si Flo, Google ou Flurry avaient enfreint la loi; elles ont réglé pour mettre fin au litige. Et Meta ne fait partie d'aucun de ces chiffres : elle a refusé de régler, est allée en procès, et a plutôt perdu le verdict du jury, les dommages-intérêts demeurant toujours non résolus.

Meta était la seule défenderesse à ne pas avoir réglé. Le procès a débuté en juillet 2025, et le 1er août 2025, un jury fédéral unanime a conclu que Meta avait enfreint la loi californienne sur l'atteinte à la vie privée (California Invasion of Privacy Act, CIPA) — la loi de l'État sur l'écoute électronique — en recueillant, par l'entremise de son SDK, des données menstruelles d'utilisatrices de Flo sans consentement. Il s'agissait de la première affaire majeure en vertu de la CIPA à aboutir à un verdict de jury, et elle s'applique au sous-groupe d'utilisatrices californiennes.

Ce que cela signifie en argent demeure une question ouverte. La CIPA prévoit des dommages-intérêts légaux de 5 000 $ par infraction; les demanderesses ont réclamé ce montant pour chaque membre du groupe, et des reportages indiquent que le juge a laissé entendre que l'exposition totale pourrait atteindre plusieurs milliards de dollars — Meta elle-même a déclaré au tribunal que son exposition pourrait représenter “plusieurs fois des milliards”. À la mi-2026, le montant final des dommages-intérêts n'avait toujours pas été fixé, le juge avait rejeté les requêtes de Meta déposées après le procès, et Meta avait affirmé être “en profond désaccord” avec le résultat, laissant entendre qu'elle porterait la cause en appel, tout en soutenant que ses conditions interdisent carrément aux développeurs de lui envoyer des données de santé.

Le résumé exact et bref est donc le suivant : un jury a conclu que Meta était responsable de l'écoute électronique des données d'utilisatrices de Flo; le montant que Meta devra payer, si le verdict tient bon après appel, n'a pas encore été déterminé.

Oui, au moment de la dernière mise à jour de cette page. Le site officiel du règlement est PeriodTrackerDataPrivacyLitigation.com, administré par A.B. Data (téléphone 1-866-778-9626). Méfiez-vous des sites frauduleux imitant celui-ci — déposer une réclamation est gratuit et aucune partie légitime ne vous demandera de payer.

Qui est admissible : toute personne aux États-Unis ayant utilisé l'application Flo entre le 1er novembre 2016 et le 28 février 2019 et ayant saisi des renseignements menstruels et/ou de grossesse durant cette période.

Dates importantes : les réclamations doivent être soumises en ligne au plus tard le 15 octobre 2026 (avant 23 h 59, heure du Pacifique) ou postées avec un cachet de la poste portant cette date au plus tard; l'audience d'approbation finale est prévue le 29 octobre 2026 à San Francisco. Les paiements sont proportionnels — le montant par personne dépend du nombre de réclamations valides reçues — et les membres du groupe de la Californie qui soumettent des documents reçoivent le double de la part de base, ce qui reflète les réclamations en vertu de la loi de l'État.

Une autre nuance à connaître : toute somme issue du verdict contre Meta est distincte de ce fonds de règlement. Les utilisatrices californiennes admissibles seront contactées plus tard au sujet de ce processus, et déposer une réclamation de règlement maintenant ne renonce pas aux droits liés au verdict contre Meta. Vérifiez le site officiel pour connaître l'état actuel, car les échéances et les détails peuvent changer.

Moins que ce que la plupart des gens présument — ce qui, en soi, en dit long sur la faiblesse de la réglementation des applications de santé aux États-Unis. L'ordonnance de consentement, finalisée en juin 2021, ne comportait aucune sanction pécuniaire. Elle exigeait que Flo : cesse de présenter ses pratiques de données de façon trompeuse; obtienne le consentement explicite des utilisatrices avant de partager des renseignements de santé avec quiconque, avec une divulgation claire de ce qui est partagé, avec qui, et pourquoi; ordonne aux tiers ayant reçu des données d'utilisatrices de les détruire; avise les utilisatrices touchées; et se soumette à un examen indépendant de ses pratiques de confidentialité.

Deux commissaires de la FTC ont exprimé une dissidence partielle, faisant valoir que Flo aurait aussi dû être accusée en vertu de la Health Breach Notification Rule — une règle que l'agence a effectivement utilisée plus tard contre l'application d'ovulation Premom en 2023, y imposant une amende de 100 000 $.

La leçon structurelle se cache sous la leçon juridique : chaque mécanisme décrit dans la plainte impliquait des données circulant du téléphone vers des serveurs et des SDK. La réglementation a puni la promesse rompue après coup; elle n'a pas pu, et ne peut pas, “départager” les données déjà partagées. Une architecture qui n'envoie jamais de données de cycle hors de l'appareil est la seule version de “confidentialité” qui ne dépend pas du fait qu'une entreprise tienne parole.

L'équité exige d'entendre aussi l'autre partie. Flo nie systématiquement toutes les allégations. Sa position : elle n'a jamais vendu de données d'utilisatrices; les SDK en cause étaient des outils d'analyse standards utilisés pour la performance de l'application, non pour la publicité; et le litige portait sur la transparence du fonctionnement de ces outils. En annonçant le règlement de 2025, Flo a déclaré avoir réglé “uniquement pour éliminer l'incertitude, le fardeau, les coûts et les délais” du litige, et ses déclarations publiques affirment que “toute allégation” selon laquelle elle aurait partagé des données illégalement “est sans fondement”.

Flo souligne aussi les changements apportés depuis 2019 : elle a retiré les SDK en cause, commandé un audit externe de confidentialité en 2022, obtenu la certification de sécurité ISO 27001, lancé un “Mode anonyme” qui dissocie l'utilisation de l'identité (rendu open source par la suite), et créé un comité consultatif sur la confidentialité. Ce sont de véritables améliorations, et le libellé même de l'avis de règlement s'applique aussi : aucun tribunal n'a établi que Flo avait enfreint la loi.

Deux mises en garde pour être complet : le Mode anonyme continue de stocker les données de cycle sur les serveurs de Flo — il retire le lien avec l'identité, pas la copie sur le serveur — et des reportages de juin 2026 ont souligné qu'un groupe néerlandais de défense des droits numériques avait déposé une plainte concernant la façon dont Flo traite les données auprès du régulateur néerlandais de la protection de la vie privée, de sorte que la surveillance n'est pas terminée. Les utilisatrices qui migrent vers une autre application peuvent consulter notre guide de migration étape par étape à /leave-flo.