Flo 생리주기 추적 앱 소송, 설명

뉴스 헤드라인에서 자주 혼동되는 두 가지 관련 소송 절차가 있다.

첫째, FTC 사건. 2021년 1월, 연방거래위원회(FTC)는 2016년 6월부터 2019년 2월까지 Flo Health가 수백만 명의 사용자 건강 데이터 — 생리 세부 정보와 임신 상태를 포함해 — 를 Facebook과 Google의 분석 부서, AppsFlyer, Flurry를 포함한 제3자 분석 및 마케팅 회사와 공유했다고 주장했다. 그 방법은 내장된 소프트웨어 개발 키트(SDK)였다: Flo는 “임신”과 같은 민감한 정보를 맞춤형 앱 이벤트 데이터 안에 담아 전송했다. 당시 Flo의 개인정보 보호정책은 이 데이터가 공유되지 않을 것이라고 약속했다. 2019년 2월 월스트리트저널의 조사 보도가 이러한 전송을 포착한 다음 날, Flo는 Facebook과의 데이터 공유를 중단했다.

둘째, 집단소송: Frasco 대 Flo Health 사건은 2021년 캘리포니아 연방법원에 Flo, Google, Meta, Flurry를 상대로 제기되었으며, 2016년 11월 1일부터 2019년 2월 28일 사이에 앱에 생리 또는 임신 데이터를 입력한 사용자를 대상으로 한다. 청구 내용에는 캘리포니아의 의료 기밀 보호법 및 도청법 위반이 포함되었다. 이 사건은 2025년 합의와 아래에서 설명하는 Meta에 대한 배심원 평결로 이어졌다.

중요한 사실: Flo는 어느 법원도 그것이 법을 위반했다고 판단하지 않은 상태에서 두 사건 모두에서 합의했으며, 모든 혐의를 부인한다.

두 숫자 모두 정확하다. 단지 서로 다른 것을 세고 있을 뿐이다. 2025년 집단소송에서 세 피고가 합의했다: Google은 4,800만 달러, Flo는 800만 달러, 분석 회사 Flurry는 350만 달러를 지불하기로 합의했다. 따라서 전체 합의 기금은 5,950만 달러다.

2025년 9월에 (Reuters 등을 통해) 널리 보도된 “5,600만 달러”는 동시에 발표된 Google과 Flo의 합의금 합계이며, Flurry의 이전 350만 달러 합의는 포함되지 않았다. 즉, 5,600만 달러는 Google 더하기 Flo이고, 5,950만 달러는 전체 기금이다. Flo 자체의 몫은, 명확히 하자면, 800만 달러였다.

이 숫자들이 말해주지 않는 두 가지가 있다. 합의한 모든 회사는 어떠한 잘못도 부인한다 — 공식 합의 통지서에는 Flo, Google, Flurry가 법을 위반했는지 여부를 법원이 판단하지 않았다고 명시되어 있다; 그들은 소송을 끝내기 위해 합의했다. 그리고 Meta는 이 숫자들 중 어느 쪽에도 포함되지 않는다: Meta는 합의를 거부하고 재판에 갔으며, 대신 배심원 평결에서 패소했고, 손해배상액은 아직 미해결 상태다.

Meta는 합의하지 않은 유일한 피고였다. 재판은 2025년 7월에 시작되었고, 2025년 8월 1일 만장일치의 연방 배심원단은 Meta가 자사의 SDK를 통해 동의 없이 Flo 사용자의 생리 데이터를 수집함으로써 캘리포니아 프라이버시 침해법(California Invasion of Privacy Act, CIPA) — 주(州) 도청법 — 을 위반했다고 판단했다. 이는 배심원 평결에 이른 최초의 주요 CIPA 사건이었으며, 캘리포니아 사용자 하위 그룹에 적용된다.

이것이 금액으로 무엇을 의미하는지는 여전히 미정이다. CIPA는 위반 건당 5,000달러의 법정 손해배상을 규정하고 있다; 원고 측은 이를 집단 구성원 각각에 대해 청구했으며, 언론 보도에 따르면 판사는 총 노출액이 수십억 달러에 이를 수 있다고 암시했다 — Meta 자신도 법원에 자사의 노출액이 “수십억 달러의 몇 배”가 될 수 있다고 말했다. 2026년 중반 기준으로 최종 손해배상액은 아직 정해지지 않았으며, 판사는 재판 이후 Meta의 신청을 기각했고, Meta는 그 결과에 “강하게 동의하지 않는다”고 밝히며 항소를 암시하는 한편, 자사의 약관이 개발자가 건강 데이터를 자사에 보내는 것을 완전히 금지한다고 주장했다.

따라서 정확한 짧은 요약은 다음과 같다: 배심원단은 Meta가 Flo 사용자 데이터의 도청에 대해 책임이 있다고 판단했다; 항소 후에도 평결이 유지될 경우 Meta가 얼마를 지불하게 될지는 아직 결정되지 않았다.

네, 이 페이지가 마지막으로 업데이트된 시점 기준으로 가능하다. 공식 합의 웹사이트는 PeriodTrackerDataPrivacyLitigation.com이며, A.B. Data가 관리한다(전화 1-866-778-9626). 가짜 웹사이트를 조심하라 — 청구 제출은 무료이며, 어떠한 합법적인 당사자도 결제를 요구하지 않는다.

자격 대상: 2016년 11월 1일부터 2019년 2월 28일 사이에 미국에서 Flo 앱을 사용했고, 그 기간 동안 생리 및/또는 임신 정보를 입력한 사람은 누구나.

주요 일정: 청구는 2026년 10월 15일(태평양 시간 오후 11시 59분)까지 온라인으로 제출하거나 그 날짜까지 소인이 찍혀 우편으로 발송되어야 한다; 최종 승인 심리는 2026년 10월 29일 샌프란시스코에서 예정되어 있다. 지급액은 비례적으로 결정된다 — 1인당 금액은 접수되는 유효한 청구 건수에 따라 달라진다 — 그리고 서류를 제출하는 캘리포니아 집단 구성원은 기본 몫의 두 배를 받게 되는데, 이는 주법에 따른 청구를 반영한다.

알아둘 만한 또 다른 세부 사항: Meta 평결에서 나오는 모든 금액은 이 합의 기금과는 별개다. 자격을 갖춘 캘리포니아 사용자에게는 나중에 그 절차에 관해 연락이 갈 것이며, 지금 합의 청구를 제출한다고 해서 Meta 평결과 관련된 권리를 포기하는 것은 아니다. 마감일과 세부 사항이 변경될 수 있으므로 최신 상태는 공식 웹사이트에서 확인하라.

대부분의 사람들이 짐작하는 것보다 훨씬 적다 — 이는 그 자체로 미국의 건강 앱 규제가 얼마나 취약한지를 잘 보여준다. 2021년 6월에 확정된 동의 명령에는 어떠한 금전적 벌금도 포함되지 않았다. 이 명령은 Flo에 다음을 요구했다: 자사의 데이터 관행을 잘못 표현하는 것을 중단할 것; 누구와든 건강 정보를 공유하기 전에, 무엇이 공유되는지, 누구와, 왜 공유되는지를 명확히 공개하고 사용자의 명시적 동의를 받을 것; 사용자 데이터를 받은 제3자에게 이를 파기하도록 지시할 것; 영향을 받은 사용자에게 통지할 것; 그리고 자사의 개인정보 보호 관행에 대한 독립적인 검토를 받을 것.

FTC 위원 두 명은 부분적으로 반대 의견을 냈는데, Flo가 건강 데이터 유출 통지 규칙(Health Breach Notification Rule)에 따라서도 기소되었어야 한다고 주장했다 — 이 규칙은 이후 기관이 실제로 2023년 배란 앱 Premom을 상대로 적용해, 그곳에서 10만 달러의 벌금을 부과했다.

구조적 교훈은 법적 교훈 아래 숨어 있다: 고소장에 명시된 모든 메커니즘은 전화기에서 서버와 SDK로 흘러가는 데이터를 포함하고 있었다. 규제는 사후에 깨진 약속을 처벌했다; 그것은 이미 공유된 데이터를 다시 “비공유” 상태로 되돌릴 수 없었고, 지금도 그럴 수 없다. 주기 데이터를 기기 밖으로 결코 보내지 않는 아키텍처야말로 회사가 약속을 지키는지 여부에 의존하지 않는 유일한 형태의 “프라이버시”다.

공정성을 위해서는 반대편 입장도 들어야 한다. Flo는 모든 혐의를 일관되게 부인해 왔다. Flo의 입장은 다음과 같다: 사용자 데이터를 판매한 적이 없다; 문제가 된 SDK는 광고가 아니라 앱 성능을 위해 사용된 표준 분석 도구였다; 그리고 소송은 이러한 도구가 어떻게 작동하는지에 대한 투명성에 관한 것이었다. 2025년 합의를 발표하면서 Flo는 소송의 “불확실성, 부담, 비용, 지연을 제거하기 위해서만” 합의했다고 밝혔으며, 공개 성명에서는 불법적으로 데이터를 공유했다는 “어떠한 주장”도 “근거가 없다”고 주장한다.

Flo는 또한 2019년 이후 이루어진 변화를 지적한다: 문제가 된 SDK를 제거했고, 2022년 외부 개인정보 보호 감사를 의뢰했으며, ISO 27001 보안 인증을 획득했고, 사용과 신원을 분리하는 “익명 모드”를 출시했으며(이후 오픈소스화됨), 개인정보 보호 자문 위원회를 설립했다. 이는 실질적인 개선이며, 합의 통지서 자체의 문구 또한 적용된다: 어떠한 법원도 Flo가 법을 위반했다고 판단하지 않았다.

완전성을 위한 두 가지 유의점: 익명 모드는 여전히 주기 데이터를 Flo의 서버에 저장한다 — 이는 신원과의 연결을 제거하는 것이지, 서버상의 사본을 제거하는 것이 아니다 — 그리고 2026년 6월 언론 보도에 따르면 네덜란드의 한 디지털 권리 단체가 Flo의 데이터 처리 방식에 관해 네덜란드 개인정보 보호 규제 당국에 불만을 제기했다고 하며, 따라서 조사는 아직 끝나지 않았다. 다른 앱으로 이전하는 사용자는 /leave-flo에서 단계별 이전 가이드를 확인할 수 있다.