Er menssyklus-apper trygge? Hva fakta viser

Det ærlige svaret: det avhenger helt av hvordan appen er bygget, fordi loven stort sett ikke vil beskytte deg. Forbrukerapper for menssyklus dekkes ikke av HIPAA — den amerikanske loven om helsepersonvern gjelder helsepersonell og forsikringsselskaper, ikke velværeapper. Det betyr at appens egen arkitektur og personvernerklæring i praksis er alt som betyr noe.

De dokumenterte svikttilfellene har alle samme form. I 2021 hevdet FTC at Flo, den mest populære sporingsappen, delte brukeres helsedata — inkludert graviditetsstatus — med analyseavdelingene til Facebook og Google mellom 2016 og 2019 gjennom innebygde programvareutviklingssett (SDK-er), i strid med egne personvernløfter. I 2023 anklaget FTC eggløsningsappen Premom for å ha delt helsedata med Google, AppsFlyer og to Kina-baserte analysefirmaer uten samtykke. I 2016 fant Consumer Reports at Glow-appens passordendringsprosess lot hvem som helst overta hvilken som helst konto og lese fruktbarhetsdataene.

Ingen av disse hendelsene skjedde fordi noen sporet menstruasjonen sin. De skjedde fordi dataene forlot telefonen — til annonse-SDK-er eller til servere med svak kontroll. Det er variabelen som skal vurderes: ikke om man skal spore, men hvor dataene dine fysisk befinner seg og hvem andre som er i rommet.

Det er verdt å skille dokumenterte tilfeller fra internett-rykter. Registrene inneholder fire kjernehendelser.

Flo Health: FTCs klage fra 2021 hevdet at Flo delte brukeres menstruasjons- og graviditetsdata med tredjeparts analysefirmaer fra 2016 til 2019 til tross for personvernløfter; Flo inngikk forlik uten å innrømme skyld. Det tilknyttede gruppesøksmålet endte i 2025 med at Google betalte 48 millioner dollar, Flo 8 millioner dollar, og analysefirmaet Flurry 3,5 millioner dollar — til sammen et fond på 59,5 millioner dollar — mens en føderal jury separat fant Meta ansvarlig under Californias avlyttingslov for å ha samlet inn data fra Flo-brukere. Alle selskapene som inngikk forlik benekter feil.

Premom: i 2023 anklaget FTC produsenten for å ha delt identifiserbar helseinformasjon og presis posisjon med tredjeparts analysefirmaer, inkludert to Kina-baserte, uten brukersamtykke. Selskapet betalte en bot på 100 000 dollar og er permanent forbudt å dele helsedata for reklameformål.

Glow: Californias justisminister inngikk forlik med Glow for 250 000 dollar i 2020 på grunn av sikkerhetssvikt i 2013–2016, inkludert en feil som lot hvem som helst endre passordet til enhver bruker.

Hele bransjen: Mozillas gjennomgang fra 2022 av 25 apper og enheter for reproduktiv helse ga 18 av dem advarselsmerket *Privacy Not Included*, og 8 oppfylte ikke minimumsstandarder for sikkerhet. Det er et øyeblikksbilde fra 2022 — praksis endrer seg — men det viser hvor utbredt svake standardinnstillinger var.

Denne frykten spredte seg mye etter Dobbs-avgjørelsen i 2022, så den fortjener et presist svar. Grupper for digitale rettigheter som sporer faktiske straffeforfølgelser, inkludert Electronic Frontier Foundation, rapporterer at data fra menssyklus-apper ikke har vært hovedbeviset i abortrelaterte saker — tekstmeldinger, søkehistorikk og meldinger på sosiale medier har vært det. Så den dokumenterte risikoen er lavere enn overskriftene antydet.

Men "har ikke vært" er ikke det samme som "kan ikke være". Alle data som finnes på et selskaps server kan i prinsippet bli innkalt ved rettskjennelse, og apper varierer enormt i hvordan de ville reagere. MIT Technology Review rapporterte i juni 2022 at Stardusts daværende personvernerklæring sa at den ville dele data med myndigheter "uansett om det er lovpålagt eller ikke" (språk selskapet senere reviderte), mens det Berlin-baserte Clue uttalte at det ikke ville svare på amerikanske rettskjennelser for helsedata under GDPR.

Det strukturelle poenget gjelder uavhengig av hvordan retningslinjene er formulert: en rettskjennelse kan bare nå data som finnes et sted for å bli innkalt. Hvis syklushistorikken din bare er lagret på telefonen din — ikke på noen server, ikke knyttet til noen konto — finnes det ingen tredjepartskopi for en juridisk forespørsel å rette seg mot. Det er svaret på arkitekturnivå på en bekymring på juridisk nivå.

Nei — og dette er trolig den mest betydningsfulle misforståelsen på dette området. HIPAA dekker "omfattede enheter": helsepersonell, helseforsikringsselskaper og deres forretningspartnere. En forbrukerapp du lastet ned fra App Store, er ingen av delene. Journalene til gynekologen din er beskyttet av HIPAA; den samme informasjonen skrevet inn i en menssyklus-app er det generelt ikke.

Det som gjelder i stedet, er et lappeteppe: FTC-lovens forbud mot villedende praksis (det var det som tok Flo — å love personvern og ikke levere), FTCs regel om varsling ved brudd på helsedata (brukt mot Premom i bare selskapets andre håndhevelse noensinne), delstatslover som Californias CMIA, og EUs GDPR for europeiske brukere. Disse straffer brutte løfter i etterkant; ingen av dem hindrer en app i å dele dataene dine hvis personvernerklæringen opplyser om det med liten skrift.

Praktisk konsekvens: å lese personvernerklæringen betyr mer for en menssyklus-app enn for nesten enhver annen app du bruker. Se spesifikt etter hva som deles med "partnere" eller "tjenesteleverandører", om dataene brukes til reklame, og hva retningslinjene sier om juridiske forespørsler.

Fem sjekker dekker det meste av risikoen, og alle kommer direkte fra hvordan de dokumenterte sviktene skjedde.

1. Hvor befinner dataene seg? Lagring på enheten betyr at det ikke finnes noen serverkopi — den sterkeste garantien som finnes. Hvis data går til skyen, blir alt annet på denne listen viktigere.

2. Finnes det tredjeparts-SDK-er? Begge FTC-sakene (Flo, Premom) beskriver innebygde analyse- og reklame-SDK-er som lekkasjekanalen. Hvis appen viser reklame eller retningslinjene nevner analysepartnere, anta at data strømmer utover.

3. Kreves det en konto? En e-postbundet konto knytter identiteten din til syklushistorikken din. Ingen konto betyr ingen identitetskobling.

4. Hva skjer når du sletter? Å slette en app sletter ikke data på serversiden. Se etter en eksplisitt slettingsrett og om selskapet sier at det instruerer tredjeparter om å slette også.

5. Hva er politikken overfor rettshåndhevelse? Klart språk om hvordan selskapet håndterer rettskjennelser er et godt tegn; taushet eller vagt språk som "vi samarbeider med myndigheter" er et varselsignal forskere spesifikt har påpekt.

Apper bygget for å bestå disse sjekkene finnes. Mozillas gjennomgang fra 2022 kåret Euki — som lagrer alt lokalt — til sitt eneste "Best Of"-valg, og PinkyBloom ble designet etter samme prinsipp: data blir på telefonen din, ingen konto, ingen tredjeparts-SDK-er, slik at sjekk 1–4 består i kraft av selve designet.

Rangert etter hvor mye av den dokumenterte risikoen hvert alternativ fjerner:

Apper på enheten er det sterkeste alternativet som fortsatt er praktisk. Når syklusdata lagres og behandles bare på telefonen din, blir hele kategorien av hendelser på serversiden — deling via SDK-er, datainnbrudd, rettskjennelser mot selskapsservere — strukturelt umulig i stedet for bare kontraktuelt lovet. Dette er PinkyBlooms arkitektur, og derfor foretrakk personvernanmeldere Ekis lokale design; garantien kommer fra hvor dataene befinner seg, ikke fra retningslinjer som kan endres.

Skyapper med sterk styring er et fungerende mellomalternativ hvis du trenger synkronisering mellom flere enheter: foretrekk selskaper under GDPR-jurisdiksjon med eksplisitte retningslinjer uten reklame, uten salg av data, og et uttalt standpunkt om juridiske forespørsler. Du stoler på løfter, men godt regulerte sådanne.

Penn og papir eller en vanlig kalender er genuint privat, men mister det som gjør sporing klinisk nyttig — mønstergjenkjenning, prediksjon, symptomhistorikk du kan vise legen.

Det du ikke bør gjøre, er å slutte å spore av frykt. Syklusdata er et av de mest nyttige helsesignalene du har — American College of Obstetricians and Gynecologists (ACOG) behandler menstruasjonssyklusen som et vitalt tegn. Det evidensbaserte grepet er å beholde dataene og endre hvor de befinner seg.