A Flo ciklusfigyelő alkalmazás elleni per, elmagyarázva

Két kapcsolódó jogi eljárás, amelyeket a híradásokban gyakran összekevernek.

Először is, az FTC ügye. 2021 januárjában a Szövetségi Kereskedelmi Bizottság (FTC) azt állította, hogy 2016 júniusától 2019 februárjáig a Flo Health milliónyi felhasználó egészségügyi adatait — köztük a menstruációs részleteket és a terhességi státuszt — osztotta meg harmadik féltől származó elemző és marketingcégekkel, köztük a Facebook és a Google elemzési részlegeivel, az AppsFlyerrel és a Flurryvel. A mechanizmus beépített szoftverfejlesztői készletek (SDK-k) voltak: a Flo olyan érzékeny információkat, mint a “terhesség”, egyéni alkalmazásesemény-adatokon belül továbbított. A Flo akkori adatvédelmi szabályzata ígéretet tett arra, hogy ezeket az adatokat nem osztják meg. A Flo egy nappal azután hagyta abba a Facebookkal való adatmegosztást, hogy a Wall Street Journal 2019 februári vizsgálata elfogta ezeket az átviteleket.

Másodszor, a csoportos kereset: a Frasco kontra Flo Health ügyet 2021-ben nyújtották be a kaliforniai szövetségi bíróságon a Flo, a Google, a Meta és a Flurry ellen, és azokra a felhasználókra vonatkozik, akik 2016. november 1. és 2019. február 28. között menstruációs vagy terhességi adatokat vittek be az alkalmazásba. A követelések között szerepelt Kalifornia orvosi titoktartási és lehallgatási törvényeinek megsértése. Ez az ügy vezetett a 2025-ös egyezségekhez és az alább ismertetett, Meta elleni esküdtszéki ítélethez.

Fontos pontosítás: a Flo mindkét ügyben úgy kötött egyezséget, hogy egyetlen bíróság sem állapította meg, hogy megszegte a törvényt, és minden vádat tagad.

Mindkét szám helytálló; egyszerűen csak más-más dolgokat számolnak össze. 2025-ben három alperes kötött egyezséget a csoportos keresetben: a Google 48 millió dollár, a Flo 8 millió dollár, az elemzőcég Flurry pedig 3,5 millió dollár kifizetését vállalta. Ezért a teljes egyezségi alap 59,5 millió dollár.

A 2025 szeptemberében széles körben (többek között a Reuters által) jelentett “56 millió dollár” a Google és a Flo egyezségeinek összege — amelyeket egyszerre jelentettek be — a Flurry korábbi, 3,5 millió dolláros megállapodása nélkül. Tehát: az 56 millió a Google plusz a Flo; az 59,5 millió a teljes alap. A Flo saját része, az egyértelműség kedvéért, 8 millió dollár volt.

Két dolog, amit a számok nem árulnak el. Az összes egyezséget kötő cég tagad minden jogsértést — a hivatalos egyezségi értesítés kimondja, hogy a bíróság nem döntött arról, hogy a Flo, a Google vagy a Flurry megszegte-e a törvényt; azért kötöttek egyezséget, hogy lezárják a pert. A Meta pedig egyik számban sem szerepel: elutasította az egyezséget, bíróság elé ment, és ehelyett elvesztette az esküdtszéki ítéletet, a kártérítés kérdése pedig továbbra is megoldatlan.

A Meta volt az egyetlen alperes, amely nem kötött egyezséget. A tárgyalás 2025 júliusában kezdődött, és 2025. augusztus 1-jén egy egyhangú szövetségi esküdtszék megállapította, hogy a Meta megsértette Kalifornia magánélet megsértéséről szóló törvényét (California Invasion of Privacy Act, CIPA) — az állam lehallgatási törvényét — azzal, hogy SDK-ján keresztül hozzájárulás nélkül gyűjtötte a Flo felhasználóinak menstruációs adatait. Ez volt az első jelentős CIPA-ügy, amely esküdtszéki ítéletig jutott, és a kaliforniai felhasználók alcsoportjára vonatkozik.

Hogy ez mit jelent pénzben, egyelőre nyitott kérdés. A CIPA jogszabályban meghatározott, jogsértésenkénti 5000 dolláros kártérítést ír elő; a felperesek ezt minden csoporttag esetében követelték, és a sajtóbeszámolók szerint a bíró jelezte, hogy a teljes kitettség több milliárd dollárra is rúghat — maga a Meta közölte a bírósággal, hogy kitettsége “a milliárdok többszöröse” lehet. 2026 közepére a végleges kártérítési összeg még nem volt meghatározva, a bíró elutasította a Meta tárgyalás utáni indítványait, a Meta pedig kijelentette, hogy “határozottan nem ért egyet” az eredménnyel, és fellebbezést helyezett kilátásba, miközben ragaszkodott ahhoz, hogy feltételei teljesen megtiltják a fejlesztőknek, hogy egészségügyi adatokat küldjenek neki.

A pontos rövid összefoglaló tehát a következő: egy esküdtszék megállapította, hogy a Meta felelős a Flo felhasználóinak adatai lehallgatásáért; hogy a Meta mennyit fog fizetni, ha az ítélet a fellebbezés után is fennmarad, azt még nem döntötték el.

Igen, ennek az oldalnak az utolsó frissítésekor. A hivatalos egyezségi weboldal a PeriodTrackerDataPrivacyLitigation.com, amelyet az A.B. Data üzemeltet (telefon: 1-866-778-9626). Óvakodjon a hamis weboldalaktól — az igény benyújtása ingyenes, és egyetlen jogos fél sem kér öntől fizetést.

Ki jogosult: bárki az Egyesült Államokban, aki 2016. november 1. és 2019. február 28. között használta a Flo alkalmazást, és ezen időszak alatt menstruációs és/vagy terhességi információkat vitt be.

Fontos dátumok: az igényeket 2026. október 15-ig (csendes-óceáni idő szerint 23:59-ig) kell online benyújtani, vagy eddig az időpontig postai bélyegzővel feladni; a végleges jóváhagyási tárgyalást 2026. október 29-re tűzték ki San Franciscóban. A kifizetések arányosak — a személyenkénti összeg attól függ, hány érvényes igény érkezik be —, és a dokumentációt benyújtó kaliforniai csoporttagok az alaprész kétszeresét kapják, ami az állami jog szerinti követeléseket tükrözi.

Még egy árnyalat, amit érdemes tudni: a Meta elleni ítéletből származó bármely pénzösszeg elkülönül ettől az egyezségi alaptól. A jogosult kaliforniai felhasználókkal később veszik fel a kapcsolatot ezzel a folyamattal kapcsolatban, és az egyezségi igény mostani benyújtása nem jelenti a Meta elleni ítélethez kapcsolódó jogokról való lemondást. Ellenőrizze a hivatalos weboldalt az aktuális állapotért, mivel a határidők és a részletek változhatnak.

Kevesebbet, mint amit a legtöbben feltételeznek — ami önmagában is sokat elárul arról, mennyire gyenge az egészségügyi alkalmazások szabályozása az Egyesült Államokban. A 2021 júniusában véglegesített hozzájárulási végzés semmilyen pénzbírságot nem tartalmazott. A Flo-tól a következőket követelte: hagyjon fel adatkezelési gyakorlatainak félrevezető bemutatásával; szerezze be a felhasználók kifejezett hozzájárulását, mielőtt bárkivel megosztana egészségügyi adatokat, egyértelműen közölve, hogy mit osztanak meg, kivel és miért; utasítsa a felhasználói adatokat megkapó harmadik feleket azok megsemmisítésére; értesítse az érintett felhasználókat; és vessen alá magát az adatvédelmi gyakorlatainak független felülvizsgálatának.

Az FTC két biztosa részben eltérő véleményen volt, azzal érvelve, hogy a Flo-t az Egészségügyi Adatvédelmi Jogsértési Értesítési Szabály (Health Breach Notification Rule) alapján is vádolni kellett volna — ezt a szabályt az ügynökség később ténylegesen alkalmazta a Premom peteérés-figyelő alkalmazás ellen 2023-ban, ahol 100 000 dolláros bírságot szabott ki.

A szerkezeti tanulság a jogi tanulság alatt rejlik: a panaszban leírt minden egyes mechanizmus adatok áramlását jelentette a telefonról szerverekre és SDK-kra. A szabályozás utólag büntette a megszegett ígéretet; nem tudta, és nem is tudja “visszavonni” a már megosztott adatokat. Az az architektúra, amely soha nem küld ciklusadatokat az eszközön kívülre, az “adatvédelem” egyetlen olyan formája, amely nem attól függ, hogy egy vállalat betartja-e a szavát.

A méltányosság megköveteli, hogy a másik felet is meghallgassuk. A Flo következetesen tagad minden vádat. Álláspontja szerint: soha nem adott el felhasználói adatokat; a vitatott SDK-k szabványos elemzőeszközök voltak, amelyeket az alkalmazás teljesítményére használtak, nem hirdetésre; és a per azon eszközök működésének átláthatóságáról szólt. A 2025-ös egyezség bejelentésekor a Flo azt mondta, hogy “kizárólag a per bizonytalanságának, terhének, költségének és késedelmének megszüntetése érdekében” kötött egyezséget, és nyilvános nyilatkozatai szerint “bármely olyan állítás”, hogy jogellenesen osztott meg adatokat, “alaptalan”.

A Flo emellett a 2019 óta végrehajtott változtatásokra is rámutat: eltávolította a vitatott SDK-kat, 2022-ben külső adatvédelmi auditot rendelt el, megszerezte az ISO 27001 biztonsági tanúsítványt, elindította az “Anonim módot”, amely elválasztja a használatot a személyazonosságtól (később nyílt forráskódúvá tette), és adatvédelmi tanácsadó testületet hozott létre. Ezek valódi javulások, és maga az egyezségi értesítés megfogalmazása is érvényes: egyetlen bíróság sem állapította meg, hogy a Flo megszegte a törvényt.

Két fenntartás a teljesség kedvéért: az Anonim mód továbbra is tárolja a ciklusadatokat a Flo szerverein — a személyazonossággal való kapcsolatot távolítja el, nem a szerveren lévő másolatot —, és a 2026 júniusi sajtóbeszámolók szerint egy holland digitális jogvédő csoport panaszt nyújtott be a Flo adatkezelési módja miatt a holland adatvédelmi hatóságnál, így az ellenőrzés még nem zárult le. A más alkalmazásra váltó felhasználók megtekinthetik lépésről lépésre bemutató migrációs útmutatónkat a /leave-flo oldalon.