Apakah Aplikasi Pelacak Menstruasi Aman? Apa Kata Fakta

Jawaban jujurnya: sepenuhnya tergantung pada bagaimana aplikasi itu dibangun, karena hukum sebagian besar tidak akan melindungi Anda. Aplikasi pelacak menstruasi konsumen tidak dicakup oleh HIPAA — undang-undang privasi kesehatan AS berlaku untuk penyedia layanan kesehatan dan perusahaan asuransi, bukan aplikasi kesehatan dan kebugaran. Itu berarti arsitektur aplikasi itu sendiri dan kebijakan privasinya pada dasarnya adalah segalanya.

Semua kegagalan yang terdokumentasi memiliki pola yang sama. Pada 2021, FTC menuduh bahwa Flo, aplikasi pelacak paling populer, membagikan data kesehatan pengguna — termasuk status kehamilan — dengan divisi analitik Facebook dan Google antara 2016 dan 2019 melalui software development kit (SDK) yang tertanam, bertentangan dengan janji privasinya sendiri. Pada 2023, FTC mendakwa aplikasi ovulasi Premom karena membagikan data kesehatan dengan Google, AppsFlyer, dan dua perusahaan analitik berbasis di Tiongkok tanpa persetujuan. Pada 2016, Consumer Reports menemukan bahwa alur penggantian kata sandi aplikasi Glow memungkinkan siapa saja mengambil alih akun apa pun dan membaca data kesuburannya.

Tidak satu pun dari insiden ini terjadi karena seseorang melacak menstruasinya. Insiden itu terjadi karena data keluar dari ponsel — pergi ke SDK periklanan atau ke server dengan kontrol yang lemah. Itulah variabel yang perlu dievaluasi: bukan apakah harus melacak, tetapi di mana data Anda secara fisik berada dan siapa lagi yang berada di ruangan itu.

Ada baiknya memisahkan kasus yang terdokumentasi dari rumor internet. Catatannya berisi empat insiden inti.

Flo Health: pengaduan FTC 2021 menuduh Flo membagikan data menstruasi dan kehamilan pengguna dengan perusahaan analitik pihak ketiga dari 2016 hingga 2019 meskipun menjanjikan privasi; Flo menyelesaikan kasus tanpa mengakui kesalahan. Gugatan class action terkait berakhir pada 2025 dengan Google membayar $48 juta, Flo $8 juta, dan perusahaan analitik Flurry $3,5 juta — total dana gabungan $59,5 juta — sementara juri federal secara terpisah menemukan Meta bertanggung jawab berdasarkan undang-undang penyadapan California karena mengumpulkan data pengguna Flo. Semua perusahaan yang menyelesaikan kasus membantah adanya kesalahan.

Premom: pada 2023, FTC mendakwa pembuatnya karena membagikan informasi kesehatan yang dapat diidentifikasi dan data lokasi presisi dengan perusahaan analitik pihak ketiga, termasuk dua yang berbasis di Tiongkok, tanpa persetujuan pengguna. Perusahaan tersebut membayar denda $100.000 dan dilarang secara permanen membagikan data kesehatan untuk tujuan periklanan.

Glow: Jaksa Agung California menyelesaikan kasus dengan Glow senilai $250.000 pada 2020 atas kegagalan keamanan pada 2013–2016, termasuk celah yang memungkinkan siapa saja mengubah kata sandi pengguna mana pun.

Di seluruh industri: tinjauan Mozilla pada 2022 terhadap 25 aplikasi dan perangkat kesehatan reproduksi memberikan label peringatan *Privacy Not Included* kepada 18 di antaranya, dan 8 gagal memenuhi standar keamanan minimum. Itu adalah potret tahun 2022 — praktik dapat berubah — tetapi menunjukkan betapa luasnya pengaturan default yang lemah.

Ketakutan ini menyebar luas setelah putusan Dobbs pada 2022, sehingga layak mendapat jawaban yang tepat. Kelompok hak digital yang melacak penuntutan aktual, termasuk Electronic Frontier Foundation, melaporkan bahwa data aplikasi pelacak menstruasi bukanlah bukti utama dalam kasus-kasus terkait aborsi — pesan teks, riwayat pencarian, dan pesan media sosial yang menjadi bukti utama. Jadi risiko yang terdokumentasi lebih rendah daripada yang disarankan oleh berita utama.

Tetapi "belum pernah" bukan berarti "tidak bisa". Setiap data yang ada di server perusahaan pada prinsipnya dapat dipanggil melalui somasi pengadilan, dan aplikasi sangat bervariasi dalam cara mereka akan merespons. MIT Technology Review melaporkan pada Juni 2022 bahwa kebijakan privasi Stardust saat itu menyatakan akan membagikan data dengan pihak berwenang "terlepas dari apakah itu diwajibkan secara hukum" (bahasa yang kemudian direvisi perusahaan), sementara Clue yang berbasis di Berlin menyatakan tidak akan menanggapi somasi AS untuk data kesehatan berdasarkan GDPR.

Poin strukturalnya tetap berlaku terlepas dari bagaimana kebijakan itu ditulis: somasi hanya dapat menjangkau data yang ada di suatu tempat untuk dipanggil. Jika riwayat siklus Anda hanya disimpan di ponsel Anda — tidak di server mana pun, tidak terkait dengan akun apa pun — tidak ada salinan pihak ketiga yang bisa menjadi sasaran permintaan hukum. Itulah jawaban tingkat arsitektur untuk kekhawatiran tingkat hukum.

Tidak — dan ini mungkin kesalahpahaman paling berdampak di bidang ini. HIPAA mencakup "entitas tercakup": penyedia layanan kesehatan, rencana kesehatan, dan mitra bisnis mereka. Aplikasi konsumen yang Anda unduh dari App Store bukan salah satunya. Rekam medis dokter kandungan Anda dilindungi HIPAA; informasi yang sama yang diketik ke dalam aplikasi pelacak menstruasi umumnya tidak.

Yang berlaku sebagai gantinya adalah sekumpulan aturan: larangan praktik menyesatkan dari FTC Act (itulah yang menjerat Flo — menjanjikan privasi dan tidak menepatinya), Aturan Pemberitahuan Pelanggaran Kesehatan FTC (digunakan terhadap Premom dalam penegakan keduanya yang pernah dilakukan), undang-undang negara bagian seperti CMIA California, dan GDPR Uni Eropa untuk pengguna Eropa. Aturan-aturan ini menghukum janji yang dilanggar setelah kejadian; tidak satu pun mencegah aplikasi membagikan data Anda jika kebijakan privasinya mengungkapkan hal itu dalam cetakan kecil.

Konsekuensi praktis: membaca kebijakan privasi lebih penting untuk aplikasi pelacak menstruasi daripada hampir semua aplikasi lain yang Anda gunakan. Perhatikan secara khusus apa yang dibagikan dengan "mitra" atau "penyedia layanan", apakah data digunakan untuk periklanan, dan apa yang dikatakan kebijakan tentang permintaan hukum.

Lima pemeriksaan mencakup sebagian besar risiko, dan semuanya berasal langsung dari bagaimana kegagalan yang terdokumentasi terjadi.

1. Di mana data berada? Penyimpanan di perangkat berarti tidak ada salinan server — jaminan terkuat yang tersedia. Jika data pergi ke cloud, semua hal lain di daftar ini menjadi lebih penting.

2. Apakah ada SDK pihak ketiga? Kedua kasus FTC (Flo, Premom) menggambarkan SDK analitik dan periklanan tertanam sebagai vektor kebocoran. Jika aplikasi menampilkan iklan atau kebijakannya menyebutkan mitra analitik, asumsikan data mengalir keluar.

3. Apakah akun diperlukan? Akun yang terkait dengan email menghubungkan identitas Anda dengan riwayat siklus Anda. Tanpa akun berarti tidak ada hubungan identitas.

4. Apa yang terjadi saat Anda menghapus? Menghapus aplikasi tidak menghapus data di sisi server. Cari hak penghapusan eksplisit dan apakah perusahaan menyatakan bahwa mereka menginstruksikan pihak ketiga untuk menghapus juga.

5. Apa kebijakan terkait penegakan hukum? Bahasa yang jelas tentang bagaimana perusahaan menangani somasi adalah tanda baik; kebisuan atau bahasa umum "kami bekerja sama dengan pihak berwenang" adalah tanda peringatan yang secara khusus disoroti oleh peneliti.

Aplikasi yang dibangun untuk lolos pemeriksaan ini memang ada. Tinjauan Mozilla pada 2022 menobatkan Euki — yang menyimpan semuanya secara lokal — sebagai satu-satunya pilihan "Best Of", dan PinkyBloom dirancang dengan prinsip yang sama: data tetap di ponsel Anda, tanpa akun, tanpa SDK pihak ketiga, sehingga pemeriksaan 1–4 lolos berdasarkan konstruksinya sendiri.

Diurutkan berdasarkan seberapa besar risiko terdokumentasi yang dihilangkan oleh setiap opsi:

Aplikasi di perangkat adalah opsi terkuat yang masih nyaman digunakan. Ketika data siklus disimpan dan diproses hanya di ponsel Anda, seluruh kategori insiden di sisi server — berbagi melalui SDK, pelanggaran data, somasi ke server perusahaan — menjadi mustahil secara struktural, bukan hanya dijanjikan secara kontraktual. Ini adalah arsitektur PinkyBloom, dan itulah sebabnya peninjau privasi lebih menyukai desain lokal-saja Euki; jaminannya berasal dari di mana data berada, bukan dari kebijakan yang bisa berubah.

Aplikasi cloud dengan tata kelola yang kuat adalah jalan tengah yang layak jika Anda memerlukan sinkronisasi multi-perangkat: pilih perusahaan di yurisdiksi GDPR dengan kebijakan eksplisit tanpa iklan, tanpa penjualan data, dan sikap yang dinyatakan tentang permintaan hukum. Anda memercayai janji, tetapi yang diatur dengan baik.

Pena dan kertas atau kalender biasa benar-benar privat, tetapi kehilangan hal yang membuat pelacakan berguna secara klinis — deteksi pola, prediksi, riwayat gejala yang bisa Anda tunjukkan kepada dokter.

Yang tidak boleh Anda lakukan adalah berhenti melacak karena takut. Data siklus adalah salah satu sinyal kesehatan paling berguna yang Anda miliki — American College of Obstetricians and Gynecologists (ACOG) memperlakukan siklus menstruasi sebagai tanda vital. Langkah yang didukung bukti adalah mempertahankan data dan mengubah di mana data itu berada.