Le app per il ciclo sono sicure? Cosa dimostrano i fatti

La risposta onesta: dipende interamente da come è costruita l'app, perché la legge per lo più non ti protegge. Le app per il ciclo destinate ai consumatori non sono coperte dall'HIPAA — la legge statunitense sulla privacy sanitaria si applica a fornitori di assistenza sanitaria e assicuratori, non alle app di benessere. Questo significa che l'architettura dell'app e la sua informativa sulla privacy sono, di fatto, tutto ciò che conta.

I casi documentati condividono tutti la stessa forma. Nel 2021 la FTC ha accusato Flo, il tracker più popolare, di aver condiviso i dati sanitari degli utenti — incluso lo stato di gravidanza — con le divisioni di analisi di Facebook e Google tra il 2016 e il 2019 tramite software development kit (SDK) integrati, contrariamente alle proprie promesse sulla privacy. Nel 2023 la FTC ha accusato l'app per l'ovulazione Premom di aver condiviso dati sanitari con Google, AppsFlyer e due aziende di analisi con sede in Cina senza consenso. Nel 2016 Consumer Reports ha scoperto che il flusso di cambio password dell'app Glow permetteva a chiunque di impossessarsi di qualsiasi account e leggerne i dati sulla fertilità.

Nessuno di questi incidenti è avvenuto perché qualcuno monitorava il proprio ciclo. Sono avvenuti perché i dati uscivano dal telefono — verso SDK pubblicitari o verso server con controlli deboli. È questa la variabile da valutare: non se monitorare o meno, ma dove risiedono fisicamente i tuoi dati e chi altro ha accesso a quella stanza.

Vale la pena distinguere i casi documentati dalle voci di internet. La documentazione contiene quattro incidenti di riferimento.

Flo Health: la denuncia della FTC del 2021 sosteneva che Flo avesse condiviso i dati mestruali e di gravidanza degli utenti con aziende di analisi di terze parti dal 2016 al 2019, nonostante avesse promesso privacy; Flo ha raggiunto un accordo senza ammettere colpe. La class action collegata si è conclusa nel 2025 con Google che ha pagato 48 milioni di dollari, Flo 8 milioni di dollari e l'azienda di analisi Flurry 3,5 milioni di dollari — un fondo complessivo di 59,5 milioni di dollari — mentre una giuria federale ha separatamente ritenuto Meta responsabile, ai sensi della legge californiana sulle intercettazioni, per aver raccolto dati degli utenti di Flo. Tutte le aziende che hanno raggiunto un accordo negano di aver commesso illeciti.

Premom: nel 2023 la FTC ha accusato la sua sviluppatrice di aver condiviso informazioni sanitarie identificabili e dati di localizzazione precisi con aziende di analisi di terze parti, incluse due con sede in Cina, senza il consenso degli utenti. L'azienda ha pagato una sanzione di 100.000 dollari ed è bandita in modo permanente dalla condivisione di dati sanitari a fini pubblicitari.

Glow: il Procuratore Generale della California ha raggiunto un accordo con Glow per 250.000 dollari nel 2020 per una serie di falle di sicurezza tra il 2013 e il 2016, incluso un difetto che permetteva a chiunque di cambiare la password di qualsiasi utente.

A livello di settore: la revisione di Mozilla del 2022 su 25 app e dispositivi per la salute riproduttiva ha assegnato a 18 di essi l'etichetta di avviso *Privacy Not Included*, e 8 non hanno superato gli standard minimi di sicurezza. Si tratta di una fotografia del 2022 — le pratiche cambiano — ma mostra quanto fossero diffuse le impostazioni predefinite deboli.

Questo timore si è diffuso dopo la sentenza Dobbs del 2022, quindi merita una risposta precisa. I gruppi per i diritti digitali che monitorano i procedimenti giudiziari reali, tra cui l'Electronic Frontier Foundation, riferiscono che i dati delle app per il ciclo non sono stati la prova chiave nei casi legati all'aborto — lo sono stati messaggi di testo, cronologia delle ricerche e messaggi sui social media. Quindi il rischio documentato è inferiore a quanto suggerito dai titoli dei giornali.

Ma "non lo è stato" non significa "non può esserlo". Qualsiasi dato che esiste sul server di un'azienda può, in linea di principio, essere richiesto tramite un'ingiunzione, e le app differiscono enormemente nel modo in cui risponderebbero. MIT Technology Review ha riferito nel giugno 2022 che l'allora informativa sulla privacy di Stardust affermava che avrebbe condiviso i dati con le autorità "che ciò fosse legalmente richiesto o meno" (un linguaggio che l'azienda ha poi rivisto), mentre Clue, con sede a Berlino, ha dichiarato che non avrebbe risposto alle ingiunzioni statunitensi per dati sanitari, in virtù del GDPR.

Il punto strutturale resta valido indipendentemente dalla formulazione della policy: un'ingiunzione può raggiungere solo dati che esistono da qualche parte per essere richiesti. Se la cronologia del tuo ciclo è memorizzata solo sul tuo telefono — non su alcun server, non collegata ad alcun account — non esiste alcuna copia presso terzi che una richiesta legale possa colpire. Questa è la risposta a livello di architettura a una preoccupazione a livello legale.

No — e questo è probabilmente il fraintendimento più importante in questo ambito. L'HIPAA copre le "covered entities": fornitori di assistenza sanitaria, piani sanitari e i loro business associate. Un'app per consumatori scaricata dall'App Store non rientra in nessuna di queste categorie. I registri del tuo ginecologo sono protetti dall'HIPAA; le stesse informazioni digitate in un'app per il ciclo generalmente non lo sono.

Quello che si applica invece è un insieme frammentato: il divieto di pratiche ingannevoli previsto dal FTC Act (è ciò che ha colto in fallo Flo — promettere privacy e non mantenerla), la Health Breach Notification Rule della FTC (usata contro Premom nella sua seconda azione di enforcement in assoluto), leggi statali come il CMIA della California, e il GDPR dell'UE per gli utenti europei. Queste norme puniscono le promesse infrante dopo il fatto; nessuna di esse impedisce a un'app di condividere i tuoi dati se la sua informativa sulla privacy lo dichiara nelle note in piccolo.

Conseguenza pratica: leggere l'informativa sulla privacy conta di più per un'app per il ciclo che per quasi qualsiasi altra app che usi. Cerca in particolare cosa viene condiviso con "partner" o "fornitori di servizi", se i dati vengono usati per pubblicità, e cosa dice la policy riguardo alle richieste legali.

Cinque controlli coprono la maggior parte del rischio, e tutti derivano direttamente da come sono avvenuti i casi documentati.

1. Dove risiedono i dati? La memorizzazione sul dispositivo significa che non esiste alcuna copia sul server — la garanzia più forte disponibile. Se i dati vanno nel cloud, tutto il resto in questa lista conta di più.

2. Ci sono SDK di terze parti? Entrambi i casi della FTC (Flo, Premom) descrivono SDK di analisi e pubblicità integrati come il vettore della fuga di dati. Se l'app mostra pubblicità o la sua policy menziona partner di analisi, presumi che i dati fluiscano verso l'esterno.

3. È richiesto un account? Un account collegato a un'email associa la tua identità alla cronologia del tuo ciclo. Nessun account significa nessun collegamento all'identità.

4. Cosa succede quando elimini l'app? Eliminare un'app non elimina i dati lato server. Cerca un diritto esplicito alla cancellazione e verifica se l'azienda dichiara di istruire anche le terze parti a eliminare i dati.

5. Qual è la policy sulle richieste delle forze dell'ordine? Un linguaggio chiaro su come l'azienda gestisce le ingiunzioni è un buon segno; il silenzio o un linguaggio generico come "rispettiamo le richieste delle autorità" è un segnale d'allarme specificamente segnalato dai ricercatori.

Esistono app costruite per superare questi controlli. La revisione di Mozilla del 2022 ha nominato Euki — che memorizza tutto localmente — come sua unica scelta "Best Of", e PinkyBloom è stata progettata sullo stesso principio: i dati restano sul tuo telefono, nessun account, nessun SDK di terze parti, quindi i controlli 1–4 sono soddisfatti per costruzione.

In ordine di quanto ciascuna opzione elimini il rischio documentato:

Le app che operano sul dispositivo sono l'opzione più solida che resta comunque comoda. Quando i dati del ciclo vengono memorizzati ed elaborati solo sul tuo telefono, l'intera categoria di incidenti lato server — condivisione tramite SDK, violazioni, ingiunzioni verso i server aziendali — diventa strutturalmente impossibile anziché semplicemente promessa per contratto. Questa è l'architettura di PinkyBloom, ed è per questo che i revisori della privacy hanno preferito il design solo locale di Euki; la garanzia deriva da dove si trovano i dati, non da una policy che può cambiare.

Le app cloud con una governance solida sono una via di mezzo praticabile se hai bisogno della sincronizzazione tra più dispositivi: preferisci aziende soggette alla giurisdizione del GDPR, con policy esplicite di divieto di pubblicità e di vendita dei dati, e una posizione dichiarata sulle richieste legali. Stai dando fiducia a delle promesse, ma promesse ben regolamentate.

Carta e penna o un semplice calendario sono genuinamente privati ma perdono ciò che rende il monitoraggio clinicamente utile — il rilevamento di pattern, la previsione, una cronologia dei sintomi da mostrare a un medico.

Quello che non dovresti fare è smettere di monitorare per paura. I dati del ciclo sono uno dei segnali di salute più utili che hai — l'American College of Obstetricians and Gynecologists considera il ciclo mestruale un segno vitale. La scelta supportata dalle evidenze è mantenere i dati e cambiare dove risiedono.