Le procès Flo Period Tracker, expliqué

Deux procédures liées, souvent confondues dans les titres de presse.

D'abord, l'affaire de la FTC. En janvier 2021, la Federal Trade Commission a allégué que, de juin 2016 à février 2019, Flo Health avait partagé les données de santé de millions d'utilisatrices — y compris des détails menstruels et le statut de grossesse — avec des sociétés tierces d'analyse et de marketing, parmi lesquelles les divisions analytiques de Facebook et de Google, AppsFlyer, et Flurry. Le mécanisme reposait sur des kits de développement logiciel (SDK) intégrés : Flo transmettait des informations sensibles comme « grossesse » à l'intérieur de données d'événements personnalisées de l'application. La politique de confidentialité de Flo promettait alors que ces données ne seraient pas partagées. Flo a cessé de partager avec Facebook le lendemain d'une enquête du Wall Street Journal publiée en février 2019, qui avait intercepté les transmissions.

Ensuite, le recours collectif : Frasco v. Flo Health, déposé en 2021 devant un tribunal fédéral de Californie contre Flo, Google, Meta et Flurry, portant sur les utilisatrices ayant saisi des données de menstruation ou de grossesse dans l'application entre le 1er novembre 2016 et le 28 février 2019. Ses griefs incluaient la violation des lois californiennes sur la confidentialité médicale et sur les écoutes. Cette affaire a donné lieu aux accords de 2025 et au verdict du jury contre Meta décrits plus bas.

Précision importante : Flo a réglé les deux affaires sans qu'aucun tribunal n'ait établi qu'elle avait enfreint la loi, et elle conteste l'ensemble des allégations.

Les deux chiffres sont exacts ; ils ne comptabilisent simplement pas la même chose. Trois défendeurs ont réglé le recours collectif en 2025 : Google a accepté de payer 48 millions de dollars, Flo 8 millions, et la société d'analyse Flurry 3,5 millions. Le fonds total de règlement s'élève donc à 59,5 millions de dollars.

Les « 56 millions de dollars » largement relayés en septembre 2025 (notamment par Reuters) correspondent à l'addition des règlements de Google et de Flo — annoncés en même temps — sans compter l'accord antérieur de Flurry à 3,5 millions. Donc : 56 M$ = Google + Flo ; 59,5 M$ = le fonds complet. La part propre de Flo, pour être précis, était de 8 millions de dollars.

Deux éléments que ces chiffres ne disent pas. Les entreprises ayant réglé nient toutes toute faute — l'avis officiel de règlement précise que le tribunal n'a pas tranché la question de savoir si Flo, Google ou Flurry avaient enfreint la loi ; elles ont réglé pour mettre fin au litige. Et Meta ne figure dans aucun des deux montants : elle a refusé de transiger, est allée au procès, et a perdu face à un jury, les dommages-intérêts restant encore indéterminés.

Meta est la seule défenderesse à ne pas avoir transigé. Le procès s'est tenu en juillet 2025, et le 1er août 2025, un jury fédéral a jugé à l'unanimité que Meta avait violé le California Invasion of Privacy Act (CIPA) — la loi de l'État sur les écoutes — en collectant les données menstruelles des utilisatrices de Flo via son SDK sans consentement. C'était la première grande affaire CIPA à aboutir à un verdict de jury, et elle s'applique à la sous-catégorie californienne des utilisatrices.

Ce que cela représente en dollars reste ouvert. Le CIPA prévoit des dommages-intérêts légaux de 5 000 $ par infraction ; les plaignants ont demandé ce montant par membre du recours, et la presse rapporte que le juge a laissé entendre que l'exposition totale pourrait atteindre plusieurs milliards de dollars — Meta elle-même a indiqué au tribunal que son exposition pourrait représenter « plusieurs multiples de milliards ». À la mi-2026, aucun montant définitif de dommages-intérêts n'avait été fixé, le juge avait rejeté les requêtes post-procès de Meta, et Meta avait déclaré être « en profond désaccord » avec l'issue du procès et avoir signalé un appel, tout en maintenant que ses conditions interdisent aux développeurs de lui transmettre des données de santé.

La formule exacte est donc : un jury a jugé Meta responsable d'avoir intercepté les données des utilisatrices de Flo ; combien Meta paiera, si le verdict survit à l'appel, n'a pas encore été décidé.

Oui, au moment de la dernière mise à jour de cette page. Le site officiel du règlement est PeriodTrackerDataPrivacyLitigation.com, administré par A.B. Data (téléphone : 1-866-778-9626). Méfiez-vous des sites imitateurs — déposer une réclamation est gratuit et aucune partie légitime ne vous demandera de payer.

Qui est éligible : toute personne aux États-Unis ayant utilisé l'application Flo entre le 1er novembre 2016 et le 28 février 2019 et ayant saisi des informations de menstruation et/ou de grossesse durant cette période.

Dates clés : les réclamations doivent être soumises en ligne avant le 15 octobre 2026 (23h59, heure du Pacifique) ou porter un cachet de la poste à cette date ; l'audience d'approbation finale est prévue le 29 octobre 2026 à San Francisco. Les paiements sont calculés au prorata — le montant par personne dépend du nombre de réclamations valides reçues — et les membres californiens du recours qui fournissent des documents reçoivent le double de la part de base, en raison des griefs relevant du droit de l'État.

Une nuance supplémentaire à connaître : tout montant issu du verdict contre Meta est distinct de ce fonds de règlement. Les utilisatrices californiennes éligibles seront contactées ultérieurement au sujet de ce processus, et déposer une réclamation dans ce règlement maintenant ne renonce pas aux droits liés au verdict Meta. Vérifiez le site officiel pour connaître l'état actuel, car les délais et les détails peuvent évoluer.

Moins que ce que la plupart des gens supposent — ce qui en dit long sur la faiblesse de la réglementation américaine des applications de santé. L'ordonnance de consentement, finalisée en juin 2021, ne comportait aucune sanction pécuniaire. Elle exigeait de Flo qu'elle : cesse de présenter de façon trompeuse ses pratiques en matière de données ; obtienne le consentement exprès et positif des utilisatrices avant de partager des informations de santé avec qui que ce soit, avec une divulgation claire de ce qui est partagé, avec qui, et pourquoi ; demande aux tiers ayant reçu des données utilisateurs de les détruire ; informe les utilisatrices concernées ; et se soumette à un examen indépendant de ses pratiques de confidentialité.

Deux commissaires de la FTC ont exprimé une opinion partiellement dissidente, estimant que Flo aurait également dû être poursuivie en vertu de la Health Breach Notification Rule — règle que l'agence a effectivement utilisée par la suite contre l'application d'ovulation Premom en 2023, avec à la clé une amende de 100 000 dollars.

La leçon structurelle se situe sous la leçon juridique : chaque mécanisme décrit dans la plainte impliquait des données circulant du téléphone vers des serveurs et des SDK. La réglementation a sanctionné après coup la promesse non tenue ; elle n'a pas, et ne peut pas, faire en sorte que les données n'aient jamais été partagées. Une architecture qui n'envoie jamais les données de cycle hors de l'appareil est la seule version de « privé » qui ne dépend pas de la parole tenue d'une entreprise.

L'équité exige d'entendre l'autre partie. Flo a constamment nié l'ensemble des allégations. Sa position : elle n'a jamais vendu de données utilisateurs ; les SDK en cause étaient des outils d'analyse standard utilisés pour la performance de l'application, et non pour la publicité ; et le litige portait sur la transparence du fonctionnement de ces outils. En annonçant le règlement de 2025, Flo a déclaré avoir transigé « uniquement pour éliminer l'incertitude, la charge, les coûts et les délais » du litige, et ses déclarations publiques affirment que « toute allégation » selon laquelle elle aurait partagé des données illégalement « est sans fondement ».

Flo met également en avant les changements effectués depuis 2019 : elle a retiré les SDK en cause, commandé un audit de confidentialité externe en 2022, obtenu la certification de sécurité ISO 27001, lancé un « mode anonyme » qui dissocie l'usage de l'identité (rendu open source par la suite), et mis en place un comité consultatif sur la confidentialité. Ce sont de réelles améliorations, et la formule même de l'avis de règlement s'applique : aucun tribunal n'a établi que Flo avait enfreint la loi.

Deux réserves pour être complet : le mode anonyme continue de stocker les données de cycle sur les serveurs de Flo — il supprime le lien avec l'identité, pas la copie serveur — et des articles de presse de juin 2026 ont rapporté qu'un groupe néerlandais de défense des droits numériques avait déposé une plainte concernant le traitement des données de Flo auprès du régulateur néerlandais de la vie privée ; l'examen n'est donc pas terminé. Les utilisatrices qui souhaitent changer d'application peuvent consulter notre guide de migration étape par étape sur /leave-flo.