생리 추적 앱은 안전할까요? 그동안의 기록이 보여주는 것

솔직한 답은 이렇습니다: 이는 전적으로 그 앱이 어떻게 만들어졌는지에 달려 있습니다. 법은 대부분 당신을 보호해주지 않기 때문입니다. 소비자용 생리 추적 앱은 HIPAA의 적용을 받지 않습니다 — 이 미국 건강정보보호법은 의료 제공자와 보험사에 적용되는 것이지, 웰니스 앱에는 적용되지 않습니다. 즉, 앱 자체의 아키텍처와 개인정보 처리방침이 사실상 전부라는 뜻입니다.

문서로 기록된 실패 사례들은 모두 하나의 패턴을 공유합니다. 2021년 FTC는 가장 인기 있는 추적 앱인 Flo가 2016년부터 2019년 사이 내장된 소프트웨어 개발 키트(SDK)를 통해 임신 여부를 포함한 사용자의 건강 데이터를 Facebook과 Google의 분석 부서와 공유했으며, 이는 자사의 개인정보 보호 약속에 반하는 것이었다고 주장했습니다. 2023년 FTC는 배란 앱 Premom이 동의 없이 Google, AppsFlyer, 그리고 중국에 본사를 둔 두 개의 분석 회사와 건강 데이터를 공유했다고 기소했습니다. 2016년 Consumer Reports는 Glow 앱의 비밀번호 변경 절차에 결함이 있어 누구나 다른 사람의 계정을 탈취해 그의 생식력 데이터를 읽을 수 있었다는 사실을 발견했습니다.

이 사고들 중 어느 것도 누군가 생리를 추적했기 때문에 일어난 것이 아닙니다. 데이터가 휴대폰을 벗어났기 때문에 — 광고 SDK로, 또는 보안이 취약한 서버로 넘어갔기 때문에 일어난 것입니다. 그것이 평가해야 할 변수입니다: 추적을 할지 말지가 아니라, 당신의 데이터가 물리적으로 어디에 있고 그 자리에 또 누가 함께 있는지입니다.

문서로 기록된 사례와 인터넷 소문을 구분할 필요가 있습니다. 기록에는 네 가지 핵심 사건이 있습니다.

Flo Health: FTC의 2021년 고소장은 Flo가 개인정보 보호를 약속해 놓고도 2016년부터 2019년까지 사용자의 생리 및 임신 데이터를 제3자 분석 회사와 공유했다고 주장했습니다. Flo는 잘못을 인정하지 않은 채 합의했습니다. 관련 집단소송은 2025년에 종결되었으며, Google이 4,800만 달러, Flo가 800만 달러, 분석 회사 Flurry가 350만 달러를 지불해 총 5,950만 달러 규모의 기금이 조성되었습니다. 이와 별개로 연방 배심원단은 Meta가 Flo 사용자의 데이터를 수집한 것에 대해 캘리포니아주 도청법(wiretapping law)에 따라 책임이 있다고 판단했습니다. 합의한 모든 회사는 잘못을 부인하고 있습니다.

Premom: 2023년 FTC는 이 앱의 제작사가 사용자 동의 없이 식별 가능한 건강 정보와 정밀 위치 데이터를 제3자 분석 회사(중국에 본사를 둔 두 곳 포함)와 공유했다고 기소했습니다. 이 회사는 10만 달러의 벌금을 지불했고, 광고 목적으로 건강 데이터를 공유하는 것이 영구히 금지되었습니다.

Glow: 캘리포니아주 법무장관은 2013년부터 2016년 사이의 보안 결함 — 누구나 다른 사용자의 비밀번호를 변경할 수 있었던 결함을 포함 — 을 이유로 2020년 Glow와 25만 달러에 합의했습니다.

업계 전반: Mozilla의 2022년 조사는 생식건강 관련 앱과 기기 25개를 검토해 그중 18개에 *Privacy Not Included* 경고 라벨을 부여했으며, 8개는 최소 보안 기준을 충족하지 못했습니다. 이는 2022년 시점의 스냅샷이며 — 관행은 바뀔 수 있습니다 — 그러나 허술한 기본 설정이 얼마나 만연했는지를 보여줍니다.

이러한 우려는 2022년 Dobbs 판결 이후 널리 퍼졌기 때문에 정확한 답이 필요합니다. Electronic Frontier Foundation을 포함해 실제 기소 사례를 추적하는 디지털 권리 단체들에 따르면, 낙태 관련 사건에서 생리 앱 데이터가 핵심 증거로 사용된 적은 없으며, 문자 메시지, 검색 기록, 소셜미디어 메시지가 그 역할을 해왔습니다. 즉, 문서로 확인된 위험은 언론 헤드라인이 시사했던 것보다 낮습니다.

하지만 “그런 적이 없었다”는 “그럴 수 없다”는 뜻은 아닙니다. 회사 서버에 존재하는 데이터는 원칙적으로 소환장의 대상이 될 수 있으며, 앱마다 이에 대응하는 방식은 크게 다릅니다. MIT Technology Review는 2022년 6월, Stardust가 당시 개인정보 처리방침에서 “법적으로 요구되든 아니든” 당국에 데이터를 공유하겠다고 명시했었다고(이 문구는 이후 회사가 수정함) 보도했습니다. 반면 베를린에 본사를 둔 Clue는 GDPR에 따라 건강 데이터에 대한 미국의 소환장에 응하지 않겠다고 밝혔습니다.

정책 문구와 무관하게 구조적인 핵심은 그대로입니다: 소환장은 어딘가에 존재하는 데이터에만 도달할 수 있습니다. 만약 당신의 주기 기록이 오직 휴대폰에만 저장되어 있고 — 어떤 서버에도, 어떤 계정에도 연결되어 있지 않다면 — 법적 요청이 노릴 제3자 사본은 존재하지 않습니다. 이것이 법적 차원의 우려에 대한 아키텍처 차원의 답입니다.

아니요 — 그리고 이는 아마 이 분야에서 가장 중대한 오해일 것입니다. HIPAA는 “적용 대상 기관(covered entities)” — 의료 제공자, 건강보험사, 그리고 이들의 사업 제휴사에만 적용됩니다. App Store에서 다운로드한 소비자용 앱은 이 중 어디에도 해당하지 않습니다. 산부인과 의사가 보관하는 진료 기록은 HIPAA의 보호를 받지만, 같은 정보를 생리 앱에 직접 입력했을 경우에는 일반적으로 보호받지 못합니다.

대신 적용되는 것은 여러 법이 조각조각 얽힌 체계입니다: 기만적 관행을 금지하는 FTC법(이것이 바로 Flo를 잡아낸 근거입니다 — 개인정보 보호를 약속하고 지키지 않았기 때문에), FTC의 건강정보 유출 통지 규칙(Premom에 대해 역대 두 번째로 집행된 사례), 캘리포니아주의 CMIA 같은 주법, 그리고 유럽 사용자를 위한 EU의 GDPR입니다. 이들 법은 사후에 깨진 약속을 처벌할 뿐, 개인정보 처리방침의 작은 글씨에 명시되어 있다면 앱이 당신의 데이터를 공유하는 것 자체를 막지는 못합니다.

실질적인 결론: 생리 앱의 경우, 다른 거의 모든 앱보다 개인정보 처리방침을 읽는 것이 더 중요합니다. 특히 “파트너” 또는 “서비스 제공업체”와 무엇이 공유되는지, 데이터가 광고에 사용되는지, 그리고 법적 요청에 대해 정책이 뭐라고 말하는지를 확인하세요.

다섯 가지 확인 사항이 위험의 대부분을 다루며, 이 모두는 실제로 문서화된 사고들이 일어난 방식에서 직접 도출된 것입니다.

1. 데이터가 어디에 있는가? 기기 내 저장은 서버 사본이 존재하지 않는다는 뜻이며, 이것이 가능한 가장 강력한 보장입니다. 데이터가 클라우드로 간다면, 이 목록의 나머지 모든 항목이 더욱 중요해집니다.

2. 제3자 SDK가 있는가? 두 FTC 사건(Flo, Premom) 모두 내장된 분석 및 광고 SDK를 유출 경로로 지목했습니다. 앱이 광고를 표시하거나 정책에서 분석 파트너를 언급한다면, 데이터가 외부로 흘러간다고 가정하세요.

3. 계정이 필요한가? 이메일과 연결된 계정은 당신의 신원을 주기 기록과 연결합니다. 계정이 없다면 신원 연결도 없습니다.

4. 삭제하면 어떻게 되는가? 앱을 삭제해도 서버 측 데이터는 삭제되지 않습니다. 명시적인 삭제 권리가 있는지, 그리고 제3자에게도 삭제를 지시한다고 회사가 명시하는지 확인하세요.

5. 법 집행에 대한 정책은 무엇인가? 회사가 소환장을 어떻게 처리하는지에 대한 명확한 문구는 좋은 신호입니다. 침묵하거나 “당국에 협조합니다”라는 식의 두루뭉술한 문구는 연구자들이 특별히 지적한 위험 신호입니다.

이 확인 사항들을 통과하도록 설계된 앱은 실제로 존재합니다. Mozilla의 2022년 조사는 모든 데이터를 로컬에 저장하는 Euki를 유일한 “Best Of” 선정작으로 꼽았으며, PinkyBloom도 같은 원칙으로 설계되었습니다: 데이터는 휴대폰에 머물고, 계정이 없으며, 제3자 SDK도 없어 1번부터 4번까지의 확인 사항을 구조적으로 통과합니다.

각 방식이 문서화된 위험을 얼마나 제거하는지에 따라 순위를 매기면 다음과 같습니다.

기기 내 처리 앱은 여전히 편리하면서도 가장 강력한 선택지입니다. 주기 데이터가 오직 휴대폰에만 저장되고 처리될 때, SDK 공유, 침해, 회사 서버에 대한 소환장 같은 서버 측 사고 전체가 계약상의 약속이 아니라 구조적으로 불가능해집니다. 이것이 PinkyBloom의 아키텍처이며, 개인정보 보호 검토자들이 로컬 전용으로 설계된 Euki를 선호했던 이유이기도 합니다. 보장은 바뀔 수 있는 정책이 아니라 데이터가 어디에 있는지에서 나옵니다.

거버넌스가 탄탄한 클라우드 앱은 여러 기기 간 동기화가 필요하다면 실행 가능한 중간 지점입니다: 광고를 하지 않고 데이터를 판매하지 않는다는 명시적 정책과 법적 요청에 대한 입장을 밝힌, GDPR 관할권에 속한 회사를 선택하세요. 이는 약속을 신뢰하는 것이지만, 잘 규제된 약속입니다.

종이와 펜, 또는 평범한 달력은 진정으로 사생활이 보장되지만, 추적을 임상적으로 유용하게 만드는 요소들 — 패턴 감지, 예측, 의사에게 보여줄 수 있는 증상 기록 — 을 잃게 됩니다.

해서는 안 될 일은 두려움 때문에 추적을 그만두는 것입니다. 주기 데이터는 당신이 가진 가장 유용한 건강 신호 중 하나입니다 — 미국산부인과학회(American College of Obstetricians and Gynecologists)는 생리 주기를 활력 징후(vital sign)로 다룹니다. 근거에 기반한 방법은 데이터를 계속 기록하되, 그것이 어디에 머무는지를 바꾸는 것입니다.