Zijn menstruatie-trackers veilig? Wat de feiten laten zien

Het eerlijke antwoord: het hangt volledig af van hoe de app is gebouwd, want de wet zal je grotendeels niet beschermen. Consumenten-cyclusapps vallen niet onder HIPAA — de Amerikaanse gezondheidsprivacywet geldt voor zorgverleners en verzekeraars, niet voor wellness-apps. Dat betekent dat de architectuur van de app en het privacybeleid feitelijk het hele verhaal zijn.

De gedocumenteerde mislukkingen hebben allemaal dezelfde vorm. In 2021 beweerde de FTC dat Flo, de populairste tracker, tussen 2016 en 2019 gezondheidsgegevens van gebruikers — waaronder zwangerschapsstatus — deelde met analyseafdelingen van Facebook en Google via ingebedde software development kits (SDK's), in strijd met de eigen privacybeloften. In 2023 klaagde de FTC de ovulatie-app Premom aan wegens het delen van gezondheidsgegevens met Google, AppsFlyer en twee in China gevestigde analysebedrijven zonder toestemming. In 2016 ontdekte Consumer Reports dat het wachtwoordwijzigingsproces van de Glow-app iedereen in staat stelde elk account over te nemen en de vruchtbaarheidsgegevens te lezen.

Geen van deze incidenten gebeurde omdat iemand zijn menstruatie bijhield. Ze gebeurden omdat de gegevens de telefoon verlieten — naar advertentie-SDK's of naar servers met zwakke controles. Dat is de variabele om te beoordelen: niet of je moet bijhouden, maar waar je gegevens fysiek leven en wie er nog meer in de kamer is.

Het is de moeite waard om gedocumenteerde gevallen te scheiden van internetgeruchten. De feiten bevatten vier kernincidenten.

Flo Health: de FTC-klacht uit 2021 beweerde dat Flo van 2016 tot 2019 menstruatie- en zwangerschapsgegevens van gebruikers deelde met analysebedrijven van derden, ondanks beloofde privacy; Flo schikte zonder schuld te erkennen. De bijbehorende class action eindigde in 2025 met Google die 48 miljoen dollar betaalde, Flo 8 miljoen dollar en het analysebedrijf Flurry 3,5 miljoen dollar — samen een fonds van 59,5 miljoen dollar — terwijl een federale jury Meta afzonderlijk aansprakelijk stelde onder de Californische afluisterwet voor het verzamelen van gegevens van Flo-gebruikers. Alle schikkende bedrijven ontkennen enig wangedrag.

Premom: in 2023 klaagde de FTC de maker aan wegens het delen van identificeerbare gezondheidsinformatie en precieze locatiegegevens met analysebedrijven van derden, waaronder twee in China gevestigde bedrijven, zonder toestemming van gebruikers. Het bedrijf betaalde een boete van 100.000 dollar en mag permanent geen gezondheidsgegevens meer delen voor reclamedoeleinden.

Glow: de Attorney General van Californië schikte met Glow voor 250.000 dollar in 2020 wegens beveiligingsfouten tussen 2013 en 2016, waaronder een fout waardoor iedereen het wachtwoord van elke gebruiker kon wijzigen.

Branchebreed: Mozilla's review uit 2022 van 25 apps en apparaten voor reproductieve gezondheid gaf 18 daarvan het waarschuwingslabel *Privacy Not Included*, en 8 voldeden niet aan minimale beveiligingsnormen. Dat is een momentopname uit 2022 — praktijken veranderen — maar het laat zien hoe wijdverbreid zwakke standaardinstellingen waren.

Deze angst verspreidde zich wijd na de Dobbs-uitspraak in 2022, dus verdient hij een precies antwoord. Digitale-rechtenorganisaties die daadwerkelijke vervolgingen volgen, waaronder de Electronic Frontier Foundation, melden dat gegevens van menstruatie-apps niet het belangrijkste bewijs zijn geweest in abortusgerelateerde zaken — sms-berichten, zoekgeschiedenis en berichten op sociale media wel. Het gedocumenteerde risico is dus lager dan de krantenkoppen suggereerden.

Maar "is niet gebeurd" is niet hetzelfde als "kan niet gebeuren". Alle gegevens die op de server van een bedrijf bestaan, kunnen in principe worden opgevraagd via een dagvaarding, en apps verschillen enorm in hoe ze daarop zouden reageren. MIT Technology Review meldde in juni 2022 dat het toenmalige privacybeleid van Stardust vermeldde dat gegevens met autoriteiten zouden worden gedeeld "ongeacht of dit wettelijk verplicht is" (taal die het bedrijf later herzag), terwijl het in Berlijn gevestigde Clue verklaarde dat het onder de AVG niet zou reageren op Amerikaanse dagvaardingen voor gezondheidsgegevens.

Het structurele punt blijft gelden ongeacht de bewoording van het beleid: een dagvaarding kan alleen gegevens bereiken die ergens bestaan om opgevraagd te worden. Als je cyclusgeschiedenis alleen op je telefoon is opgeslagen — niet op een server, niet gekoppeld aan een account — bestaat er geen kopie bij een derde partij waarop een juridisch verzoek zich kan richten. Dat is het antwoord op architectuurniveau op een zorg op juridisch niveau.

Nee — en dit is waarschijnlijk het meest ingrijpende misverstand op dit gebied. HIPAA dekt "covered entities": zorgverleners, zorgverzekeraars en hun zakenpartners. Een consumenten-app die je uit de App Store hebt gedownload, is geen van beide. De dossiers van je gynaecoloog zijn beschermd onder HIPAA; dezelfde informatie ingevoerd in een menstruatie-app is dat over het algemeen niet.

Wat wel van toepassing is, is een lappendeken: het verbod op misleidende praktijken van de FTC Act (dat is wat Flo te pakken kreeg — privacy beloven en die belofte niet nakomen), de Health Breach Notification Rule van de FTC (gebruikt tegen Premom in pas de tweede handhaving ooit), staatswetten zoals de Californische CMIA, en de EU-AVG voor Europese gebruikers. Deze bestraffen gebroken beloften achteraf; geen enkele voorkomt dat een app je gegevens deelt als het privacybeleid dit in kleine lettertjes vermeldt.

Praktisch gevolg: het lezen van het privacybeleid is voor een menstruatie-app belangrijker dan voor bijna elke andere app die je gebruikt. Let specifiek op wat wordt gedeeld met "partners" of "serviceproviders", of gegevens worden gebruikt voor reclame, en wat het beleid zegt over juridische verzoeken.

Vijf controles dekken het grootste deel van het risico, en ze komen allemaal rechtstreeks voort uit hoe de gedocumenteerde fouten zijn gebeurd.

1. Waar leven de gegevens? Opslag op het apparaat betekent dat er geen serverkopie bestaat — de sterkste beschikbare garantie. Als gegevens naar de cloud gaan, wordt al het andere op deze lijst belangrijker.

2. Zijn er SDK's van derden? Beide FTC-zaken (Flo, Premom) beschrijven ingebedde analyse- en advertentie-SDK's als de lekvector. Als de app advertenties toont of het beleid analysepartners vermeldt, ga ervan uit dat gegevens naar buiten stromen.

3. Is een account vereist? Een aan e-mail gekoppeld account verbindt je identiteit met je cyclusgeschiedenis. Geen account betekent geen identiteitskoppeling.

4. Wat gebeurt er bij verwijderen? Het verwijderen van een app verwijdert geen gegevens aan de serverkant. Zoek naar een expliciet recht op verwijdering en of het bedrijf zegt dat het derden ook opdraagt te verwijderen.

5. Wat is het beleid ten aanzien van rechtshandhaving? Duidelijke taal over hoe het bedrijf omgaat met dagvaardingen is een goed teken; stilte of vage taal als "we werken samen met autoriteiten" is een waarschuwingssignaal waar onderzoekers specifiek op wezen.

Apps die gebouwd zijn om deze controles te doorstaan, bestaan. Mozilla's review uit 2022 noemde Euki — dat alles lokaal opslaat — als enige "Best Of"-keuze, en PinkyBloom is ontworpen volgens hetzelfde principe: gegevens blijven op je telefoon, geen account, geen SDK's van derden, zodat controles 1–4 al door het ontwerp zelf worden doorstaan.

Gerangschikt naar hoeveel van het gedocumenteerde risico elke optie wegneemt:

Apps op het apparaat zijn de sterkste optie die nog steeds praktisch is. Wanneer cyclusgegevens alleen op je telefoon worden opgeslagen en verwerkt, wordt de hele categorie server-side incidenten — delen via SDK's, datalekken, dagvaardingen van bedrijfsservers — structureel onmogelijk in plaats van slechts contractueel beloofd. Dit is de architectuur van PinkyBloom, en daarom gaven privacybeoordelaars de voorkeur aan het lokale ontwerp van Euki; de garantie komt voort uit waar de gegevens zich bevinden, niet uit een beleid dat kan veranderen.

Cloudapps met sterke governance zijn een werkbaar middenweg als je synchronisatie tussen meerdere apparaten nodig hebt: geef de voorkeur aan bedrijven onder AVG-jurisdictie met expliciet beleid zonder reclame, zonder verkoop van gegevens en met een duidelijk standpunt over juridische verzoeken. Je vertrouwt op beloftes, maar wel goed gereguleerde.

Pen en papier of een gewone kalender zijn echt privé, maar verliezen wat het bijhouden klinisch nuttig maakt — patroonherkenning, voorspelling, symptoomgeschiedenis die je aan een arts kunt laten zien.

Wat je niet moet doen, is stoppen met bijhouden uit angst. Cyclusgegevens zijn een van de nuttigste gezondheidssignalen die je hebt — het American College of Obstetricians and Gynecologists (ACOG) behandelt de menstruatiecyclus als een vitale functie. De op bewijs gebaseerde stap is om de gegevens te behouden en te veranderen waar ze leven.