Vai menstruāciju izsekošanas lietotnes ir drošas? Ko liecina fakti

Godīga atbilde: tas pilnībā ir atkarīgs no tā, kā lietotne ir veidota, jo likums lielākoties jūs neaizsargā. Patērētājiem paredzētas menstruāciju izsekošanas lietotnes neietilpst HIPAA tvērumā — ASV veselības privātuma likums attiecas uz veselības aprūpes sniedzējiem un apdrošinātājiem, nevis labsajūtas lietotnēm. Tas nozīmē, ka lietotnes pašas arhitektūra un privātuma politika faktiski nosaka visu.

Visiem dokumentētajiem gadījumiem ir viena un tā pati forma. 2021. gadā FTC apgalvoja, ka Flo, populārākā izsekošanas lietotne, no 2016. līdz 2019. gadam ar iegultu programmatūras izstrādes komplektu (SDK) starpniecību kopīgoja lietotāju veselības datus — tostarp grūtniecības statusu — ar Facebook un Google analītikas nodaļām, tā pārkāpjot savus paša privātuma solījumus. 2023. gadā FTC apsūdzēja ovulācijas lietotni Premom par veselības datu kopīgošanu ar Google, AppsFlyer un divām Ķīnā bāzētām analītikas firmām bez piekrišanas. 2016. gadā Consumer Reports atklāja, ka Glow lietotnes paroles maiņas process ļāva jebkuram cilvēkam pārņemt jebkuru kontu un lasīt tā auglības datus.

Neviens no šiem gadījumiem nenotika tāpēc, ka kāds izsekoja savu ciklu. Tie notika tāpēc, ka dati pameta tālruni — nonākot reklāmas SDK vai serveros ar vājām kontrolēm. Tas ir mainīgais lielums, kas jāizvērtē: nevis vai izsekot, bet gan kur fiziski atrodas jūsu dati un kas vēl ir tajā telpā.

Ir vērts nošķirt dokumentētus gadījumus no interneta baumām. Uzskaitē ir četri galvenie incidenti.

Flo Health: FTC 2021. gada sūdzībā tika apgalvots, ka Flo no 2016. līdz 2019. gadam kopīgoja lietotāju menstruāciju un grūtniecības datus ar trešo pušu analītikas firmām, neraugoties uz privātuma solījumiem; Flo lietu izšķīra, neatzīstot vainu. Saistītā kolektīvā prasība noslēdzās 2025. gadā — Google samaksāja 48 miljonus USD, Flo 8 miljonus USD, bet analītikas firma Flurry 3,5 miljonus USD — kopējais fonds bija 59,5 miljoni USD, savukārt federālā zvērināto tiesa atsevišķi atzina, ka Meta ir atbildīga saskaņā ar Kalifornijas noklausīšanās likumu par Flo lietotāju datu vākšanu. Visi uzņēmumi, kas noslēdza izlīgumu, noliedz vainu.

Premom: 2023. gadā FTC apsūdzēja tā ražotāju par identificējamas veselības informācijas un precīzu atrašanās vietas datu kopīgošanu ar trešo pušu analītikas firmām, tostarp divām, kas bāzētas Ķīnā, bez lietotāja piekrišanas. Uzņēmums samaksāja 100 000 USD sodu un tam uz visiem laikiem aizliegts kopīgot veselības datus reklāmas nolūkos.

Glow: Kalifornijas ģenerālprokurors 2020. gadā panāca izlīgumu ar Glow par 250 000 USD saistībā ar 2013.–2016. gada drošības trūkumiem, tostarp kļūdu, kas ļāva jebkuram cilvēkam mainīt jebkura lietotāja paroli.

Visā nozarē: Mozilla 2022. gada pārskatā par 25 reproduktīvās veselības lietotnēm un ierīcēm 18 no tām tika piešķirts brīdinājuma marķējums *Privacy Not Included*, un 8 neatbilda minimālajiem drošības standartiem. Tas ir 2022. gada momentuzņēmums — prakses mainās — taču tas parāda, cik plaši izplatīti bija vājie noklusējuma iestatījumi.

Šīs bažas kļuva plaši izplatītas pēc Dobbs lēmuma 2022. gadā, tāpēc tās ir pelnījušas precīzu atbildi. Digitālo tiesību grupas, kas seko līdzi faktiskajām kriminālvajāšanām, tostarp Electronic Frontier Foundation, ziņo, ka menstruāciju lietotņu dati nav bijuši galvenais pierādījums ar abortu saistītās lietās — tie bija teksta ziņojumi, meklēšanas vēsture un ziņas sociālajos tīklos. Tātad dokumentētais risks ir mazāks, nekā liecināja virsraksti.

Taču "nav bijis" nenozīmē "nevar būt". Jebkurus datus, kas eksistē uzņēmuma serverī, principā var pieprasīt ar tiesas pavēsti, un lietotnes ievērojami atšķiras pēc tā, kā tās uz to reaģētu. MIT Technology Review 2022. gada jūnijā ziņoja, ka Stardust toreizējā privātuma politika noteica, ka tas dalīsies ar datiem ar iestādēm "neatkarīgi no tā, vai to prasa likums" (formulējums, ko uzņēmums vēlāk pārskatīja), savukārt Berlīnē bāzētais Clue paziņoja, ka nereaģēs uz ASV tiesas pavēstēm par veselības datiem saskaņā ar GDPR.

Strukturālais aspekts saglabājas neatkarīgi no politikas formulējuma: tiesas pavēste var sasniegt tikai tos datus, kas kaut kur eksistē. Ja jūsu cikla vēsture tiek glabāta tikai jūsu tālrunī — nevis kādā serverī, nesaistīta ne ar vienu kontu — tad nav trešās puses kopijas, uz kuru varētu vērst juridisku pieprasījumu. Tā ir arhitektūras līmeņa atbilde uz juridiska līmeņa bažām.

Nē — un tas, iespējams, ir nozīmīgākais pārpratums šajā jomā. HIPAA attiecas uz "aptvertajām struktūrām": veselības aprūpes sniedzējiem, veselības apdrošināšanas plāniem un to uzņēmējdarbības partneriem. Patērētāja lietotne, ko lejupielādējāt no App Store, nav neviena no tām. Jūsu ginekologa ieraksti ir aizsargāti ar HIPAA; tā pati informācija, ievadīta menstruāciju lietotnē, kopumā nav aizsargāta.

Tā vietā piemēro fragmentētu regulējumu: FTC likuma aizliegums maldinošai praksei (tieši tas notvēra Flo — solot privātumu un to nenodrošinot), FTC Health Breach Notification Rule noteikums (izmantots pret Premom otrajā izpildes darbībā tā vēsturē), štatu likumi, piemēram, Kalifornijas CMIA, un ES GDPR Eiropas lietotājiem. Tie soda salauztus solījumus pēc fakta; neviens no tiem neliedz lietotnei kopīgot jūsu datus, ja tās privātuma politika to atklāj sīkajā drukā.

Praktiskās sekas: privātuma politikas izlasīšanai ir lielāka nozīme menstruāciju lietotnei nekā gandrīz jebkurai citai lietotnei, ko izmantojat. Meklējiet konkrēti to, kas tiek kopīgots ar "partneriem" vai "pakalpojumu sniedzējiem", vai dati tiek izmantoti reklāmai, un ko politika nosaka par juridiskiem pieprasījumiem.

Pieci pārbaudes punkti aptver lielāko daļu riska, un visi tie izriet tieši no tā, kā notika dokumentētie neveiksmju gadījumi.

1. Kur atrodas dati? Glabāšana ierīcē nozīmē, ka servera kopijas nav — spēcīgākā pieejamā garantija. Ja dati nonāk mākonī, viss pārējais šajā sarakstā kļūst svarīgāks.

2. Vai ir trešo pušu SDK? Abas FTC lietas (Flo, Premom) apraksta iegultus analītikas un reklāmas SDK kā noplūdes ceļu. Ja lietotne rāda reklāmas vai tās politika min analītikas partnerus, pieņemiet, ka dati plūst uz āru.

3. Vai nepieciešams konts? Ar e-pastu saistīts konts sasaista jūsu identitāti ar jūsu cikla vēsturi. Konta neesamība nozīmē identitātes sasaistes neesamību.

4. Kas notiek, kad dzēšat? Lietotnes dzēšana nedzēš datus servera pusē. Meklējiet skaidras dzēšanas tiesības un to, vai uzņēmums norāda, ka tas dod norādījumus dzēst arī trešajām pusēm.

5. Kāda ir tiesībaizsardzības politika? Skaidrs formulējums par to, kā uzņēmums rīkojas ar tiesas pavēstēm, ir labs signāls; klusēšana vai plaši formulējumi, piemēram, "mēs sadarbojamies ar iestādēm", ir brīdinājuma zīme, ko pētnieki īpaši uzsvēruši.

Lietotnes, kas veidotas, lai izpildītu šīs pārbaudes, eksistē. Mozilla 2022. gada pārskatā Euki — kas visu glabā lokāli — tika nosaukta par vienīgo "Best Of" izvēli, un PinkyBloom tika izstrādāta pēc tāda paša principa: dati paliek jūsu tālrunī, konts nav nepieciešams, trešo pušu SDK nav, tāpēc pārbaudes 1.–4. tiek izpildītas jau pēc uzbūves.

Sakārtoti pēc tā, cik lielu daļu no dokumentētā riska novērš katra iespēja:

Lietotnes, kas darbojas ierīcē, ir spēcīgākā iespēja, kas joprojām ir ērta. Kad cikla dati tiek glabāti un apstrādāti tikai jūsu tālrunī, visa servera puses incidentu kategorija — SDK kopīgošana, datu noplūdes, tiesas pavēstes uzņēmuma serveriem — kļūst strukturāli neiespējama, nevis tikai līgumiski apsolīta. Šī ir PinkyBloom arhitektūra, un tāpēc privātuma vērtētāji deva priekšroku Euki tikai lokālajam dizainam; garantija izriet no tā, kur atrodas dati, nevis no politikas, kas var mainīties.

Mākoņa lietotnes ar spēcīgu pārvaldību ir darbotiesspējīgs vidusceļš, ja nepieciešama sinhronizācija starp vairākām ierīcēm: dodiet priekšroku uzņēmumiem GDPR jurisdikcijā ar skaidru politiku bez reklāmas un bez datu pārdošanas, kā arī ar paustu nostāju par juridiskiem pieprasījumiem. Jūs uzticaties solījumiem, taču labi regulētiem solījumiem.

Pildspalva un papīrs vai vienkāršs kalendārs ir patiesi privāts, taču zaudē to, kas padara izsekošanu klīniski noderīgu — modeļu atpazīšanu, prognozēšanu, simptomu vēsturi, ko var parādīt ārstam.

Tas, kas jums nevajadzētu darīt, ir pārtraukt izsekošanu bailēs. Cikla dati ir viens no noderīgākajiem veselības signāliem, kas jums ir pieejams — American College of Obstetricians and Gynecologists (ACOG) uzskata menstruālo ciklu par vitālu pazīmi. Uz pierādījumiem balstīts solis ir saglabāt datus un mainīt to, kur tie atrodas.