האם אפליקציות למעקב מחזור בטוחות? מה מראה התיעוד

התשובה הכנה: זה תלוי לחלוטין באופן שבו האפליקציה בנויה, כי החוק ברוב המקרים לא יגן עלייך. אפליקציות מעקב מחזור צרכניות אינן מכוסות על ידי HIPAA — חוק הפרטיות הרפואית האמריקאי חל על ספקי שירותי בריאות וחברות ביטוח, לא על אפליקציות בריאות ורווחה. המשמעות היא שהארכיטקטורה של האפליקציה עצמה ומדיניות הפרטיות שלה הן, למעשה, כל מה שחשוב.

לכל הכשלים המתועדים יש אותה צורה. ב-2021 ה-FTC טען כי Flo, אפליקציית המעקב הפופולרית ביותר, שיתפה נתוני בריאות של משתמשות — כולל מצב הריון — עם מחלקות האנליטיקה של Facebook ו-Google בין 2016 ל-2019 דרך ערכות פיתוח תוכנה (SDK) משובצות, בניגוד להבטחות הפרטיות שלה עצמה. ב-2023 ה-FTC האשים את אפליקציית הביוץ Premom בשיתוף נתוני בריאות עם Google, AppsFlyer, ושתי חברות אנליטיקה הממוקמות בסין ללא הסכמה. ב-2016 Consumer Reports גילה שתהליך שינוי הסיסמה של אפליקציית Glow אפשר לכל אחד להשתלט על כל חשבון ולקרוא את נתוני הפוריות שלו.

אף אחד מהאירועים הללו לא קרה כי מישהי עקבה אחר המחזור שלה. הם קרו כי הנתונים יצאו מהטלפון — לעבר SDK של פרסום או לשרתים עם בקרות חלשות. זהו המשתנה שיש להעריך: לא אם לעקוב, אלא היכן הנתונים שלך נמצאים פיזית ומי עוד נמצא בחדר.

כדאי להפריד בין מקרים מתועדים לשמועות אינטרנט. התיעוד כולל ארבעה אירועי עוגן.

Flo Health: תלונת ה-FTC מ-2021 טענה כי Flo שיתפה נתוני מחזור והריון של משתמשות עם חברות אנליטיקה של צד שלישי בין 2016 ל-2019 חרף הבטחות פרטיות; Flo הגיעה לפשרה מבלי להודות באשמה. התביעה הייצוגית הקשורה הסתיימה ב-2025 כאשר Google שילמה 48 מיליון דולר, Flo 8 מיליון דולר, וחברת האנליטיקה Flurry 3.5 מיליון דולר — קרן משולבת של 59.5 מיליון דולר — בעוד חבר מושבעים פדרלי מצא בנפרד את Meta אחראית לפי חוק ציתות השיחות של קליפורניה על איסוף נתוני משתמשות Flo. כל החברות שהגיעו לפשרה מכחישות כל אשמה.

Premom: ב-2023 ה-FTC האשים את היצרנית שלה בשיתוף מידע רפואי מזוהה ונתוני מיקום מדויקים עם חברות אנליטיקה של צד שלישי, כולל שתיים הממוקמות בסין, ללא הסכמת המשתמשות. החברה שילמה קנס של 100,000 דולר ואסור עליה לצמיתות לשתף נתוני בריאות למטרות פרסום.

Glow: היועצת המשפטית לממשלת קליפורניה הגיעה לפשרה עם Glow על סך 250,000 דולר ב-2020 בגין כשלי אבטחה שאירעו בין 2013 ל-2016, כולל פגם שאפשר לכל אחד לשנות את הסיסמה של כל משתמשת.

ברמת התעשייה: הסקירה של Mozilla מ-2022 על 25 אפליקציות ומכשירי בריאות רבייה העניקה ל-18 מהן את תווית האזהרה *Privacy Not Included* שלה, ו-8 נכשלו בסטנדרטי האבטחה המינימליים. זהו תיעוד רגעי מ-2022 — הנהלים משתנים — אך הוא מראה עד כמה נפוצות היו ברירות המחדל החלשות.

החשש הזה התפשט לאחר פסיקת Dobbs ב-2022, ולכן הוא ראוי לתשובה מדויקת. ארגוני זכויות דיגיטליות העוקבים אחר תביעות פליליות בפועל, כולל Electronic Frontier Foundation, מדווחים כי נתוני אפליקציות מחזור לא היו הראיה המרכזית בתיקים הקשורים להפלה — הודעות טקסט, היסטוריית חיפוש, והודעות ברשתות חברתיות היו כאלה. לכן הסיכון המתועד נמוך יותר ממה שהכותרות רמזו.

אך "לא היה" אינו "לא יכול להיות". כל נתון שקיים בשרת של חברה יכול, באופן עקרוני, להיות נתון לזימון משפטי, ואפליקציות נבדלות מאוד באופן שבו הן היו מגיבות. MIT Technology Review דיווח ביוני 2022 כי מדיניות הפרטיות של Stardust באותה עת קבעה שהיא תשתף נתונים עם הרשויות "בין אם נדרש על פי חוק ובין אם לא" (ניסוח שהחברה תיקנה מאוחר יותר), בעוד Clue, הממוקמת בברלין, הצהירה שלא תגיב לזימונים משפטיים אמריקאיים לנתוני בריאות לפי GDPR.

הטענה המבנית נכונה ללא קשר לניסוח המדיניות: זימון משפטי יכול להגיע רק לנתונים שקיימים איפשהו כדי להיות מזומנים. אם היסטוריית המחזור שלך מאוחסנת רק בטלפון שלך — לא בשום שרת, לא קשורה לשום חשבון — אין עותק של צד שלישי שבקשה משפטית יכולה לכוון אליו. זוהי התשובה ברמת הארכיטקטורה לדאגה ברמה המשפטית.

לא — וזוהי כנראה אי ההבנה המשמעותית ביותר בתחום זה. HIPAA חל על "גופים מכוסים": ספקי שירותי בריאות, תוכניות בריאות, ושותפיהם העסקיים. אפליקציה צרכנית שהורדת מ-App Store אינה נכללת באף אחת מהקטגוריות הללו. הרשומות של הגינקולוג שלך מוגנות על ידי HIPAA; אותו מידע שהוקלד באפליקציית מחזור בדרך כלל אינו מוגן.

מה שחל במקום זאת הוא טלאים של חוקים: איסור נוהגים מטעים בחוק ה-FTC (זה מה שתפס את Flo — הבטחת פרטיות ואי עמידה בה), כלל הודעת הפרת נתוני בריאות של ה-FTC (שהופעל נגד Premom באכיפתו השנייה אי פעם), חוקי מדינה כמו CMIA בקליפורניה, ו-GDPR של האיחוד האירופי עבור משתמשות אירופאיות. אלה מענישים הבטחות שהופרו בדיעבד; אף אחד מהם אינו מונע מאפליקציה לשתף את הנתונים שלך אם מדיניות הפרטיות שלה חושפת זאת באותיות הקטנות.

משמעות מעשית: קריאת מדיניות הפרטיות חשובה יותר עבור אפליקציית מחזור מאשר עבור כמעט כל אפליקציה אחרת שאת משתמשת בה. חפשי במיוחד מה משותף עם "שותפים" או "ספקי שירות", האם נתונים משמשים לפרסום, ומה המדיניות אומרת על בקשות משפטיות.

חמש בדיקות מכסות את רוב הסיכון, וכולן נובעות ישירות מהאופן שבו קרו הכשלים המתועדים.

1. היכן הנתונים חיים? אחסון במכשיר משמעו שאין עותק בשרת — הערבות החזקה ביותר הזמינה. אם הנתונים עוברים לענן, כל השאר ברשימה הזו חשוב יותר.

2. האם יש SDK של צד שלישי? שני תיקי ה-FTC (Flo, Premom) מתארים SDK של אנליטיקה ופרסום משובצים כווקטור הדליפה. אם האפליקציה מציגה פרסומות או שהמדיניות שלה מזכירה שותפי אנליטיקה, יש להניח שהנתונים זורמים החוצה.

3. האם נדרש חשבון? חשבון המקושר לדוא"ל מקשר את הזהות שלך להיסטוריית המחזור שלך. ללא חשבון אין קישור זהות.

4. מה קורה כשאת מוחקת? מחיקת אפליקציה אינה מוחקת נתונים בצד השרת. חפשי זכות מחיקה מפורשת ואם החברה אומרת שהיא מנחה גם צדדים שלישיים למחוק.

5. מהי מדיניות אכיפת החוק? ניסוח ברור לגבי האופן שבו החברה מטפלת בזימונים משפטיים הוא סימן טוב; שתיקה או ניסוח כללי של "אנו פועלים בהתאם לרשויות" הוא דגל אדום שחוקרים ציינו במפורש.

קיימות אפליקציות שנבנו כדי לעבור את הבדיקות הללו. הסקירה של Mozilla מ-2022 בחרה ב-Euki — שמאחסנת הכול באופן מקומי — כבחירת ה-"Best Of" היחידה שלה, ו-PinkyBloom תוכננה על אותו עיקרון: הנתונים נשארים בטלפון שלך, ללא חשבון, ללא SDK של צד שלישי, כך שהבדיקות 1–4 עוברות מעצם הבנייה.

מדורג לפי כמות הסיכון המתועד שכל אפשרות מסירה:

אפליקציות במכשיר הן האפשרות החזקה ביותר שעדיין נוחה. כאשר נתוני המחזור מאוחסנים ומעובדים רק בטלפון שלך, כל קטגוריית האירועים בצד השרת — שיתוף דרך SDK, פרצות אבטחה, זימונים משפטיים לשרתי חברות — הופכת בלתי אפשרית מבחינה מבנית במקום מובטחת חוזית בלבד. זוהי הארכיטקטורה של PinkyBloom, וזו הסיבה שסוקרי פרטיות העדיפו את העיצוב המקומי בלבד של Euki; הערבות נובעת מהיכן שהנתונים נמצאים, לא ממדיניות שיכולה להשתנות.

אפליקציות ענן עם ממשל תאגידי חזק הן פשרה בת ביצוע אם את זקוקה לסנכרון בין מספר מכשירים: עדיף לבחור בחברות תחת סמכות שיפוט של GDPR עם מדיניות מפורשת של אי-פרסום, אי-מכירת נתונים, ועמדה מוצהרת לגבי בקשות משפטיות. את סומכת על הבטחות, אך כאלה המפוקחות היטב.

עט ונייר או לוח שנה פשוט הם פרטיים באמת אך מאבדים את מה שהופך את המעקב לשימושי מבחינה קלינית — זיהוי דפוסים, ניבוי, היסטוריית תסמינים שאפשר להראות לרופא.

מה שלא כדאי לעשות הוא להפסיק לעקוב מתוך פחד. נתוני המחזור הם אחד מהאותות הבריאותיים השימושיים ביותר שיש לך — American College of Obstetricians and Gynecologists מתייחס למחזור הווסת כאל סימן חיוני. הצעד המבוסס-ראיות הוא לשמור על הנתונים ולשנות היכן שהם חיים.