De rechtszaak tegen de cyclus-app Flo, uitgelegd

Twee gerelateerde rechtszaken, die vaak door elkaar worden gehaald in nieuwskoppen.

Ten eerste, de zaak van de FTC. In januari 2021 beweerde de Federal Trade Commission (FTC) dat Flo Health van juni 2016 tot februari 2019 de gezondheidsgegevens van miljoenen gebruikers — inclusief menstruatiedetails en zwangerschapsstatus — deelde met externe analyse- en marketingbedrijven, waaronder de analyseafdelingen van Facebook en Google, AppsFlyer, en Flurry. Het mechanisme waren ingebouwde software development kits (SDK's): Flo stuurde gevoelige informatie zoals “zwangerschap” door binnen aangepaste app-gebeurtenisgegevens. Het privacybeleid van Flo beloofde destijds dat deze gegevens niet zouden worden gedeeld. Flo stopte met het delen van gegevens met Facebook één dag nadat een onderzoek van de Wall Street Journal in februari 2019 deze overdrachten had onderschept.

Ten tweede, de collectieve rechtszaak: Frasco tegen Flo Health, in 2021 aangespannen bij de federale rechtbank van Californië tegen Flo, Google, Meta, en Flurry, betreft gebruikers die tussen 1 november 2016 en 28 februari 2019 menstruatie- of zwangerschapsgegevens in de app invoerden. Tot de claims behoorde schending van de Californische wetten inzake medische vertrouwelijkheid en afluisteren. Deze zaak leidde tot de schikkingen van 2025 en het hieronder beschreven jury-oordeel tegen Meta.

Belangrijke precisering: Flo schikte in beide zaken zonder dat enige rechtbank vaststelde dat het de wet had overtreden, en ontkent alle beschuldigingen.

Beide cijfers kloppen; ze tellen gewoon verschillende dingen. Drie gedaagden schikten in 2025 in de collectieve rechtszaak: Google ging akkoord met het betalen van 48 miljoen dollar, Flo 8 miljoen dollar, en analysebedrijf Flurry 3,5 miljoen dollar. Het totale schikkingsfonds bedraagt daarom 59,5 miljoen dollar.

De “56 miljoen dollar” waarover in september 2025 breed werd bericht (onder andere door Reuters) is de som van de schikkingen van Google en Flo — gelijktijdig aangekondigd — zonder de eerdere schikking van Flurry van 3,5 miljoen dollar. Dus: 56 miljoen is Google plus Flo; 59,5 miljoen is het volledige fonds. Het eigen aandeel van Flo was, voor de duidelijkheid, 8 miljoen dollar.

Twee dingen die de cijfers niet vertellen. Alle bedrijven die schikten ontkennen elk wangedrag — de officiële schikkingskennisgeving stelt dat de rechtbank niet heeft besloten of Flo, Google, of Flurry de wet hebben overtreden; ze schikten om de rechtszaak te beëindigen. En Meta maakt geen deel uit van een van deze cijfers: het weigerde te schikken, ging naar de rechter, en verloor in plaats daarvan het jury-oordeel, waarbij de schadevergoeding nog steeds onopgelost is.

Meta was de enige gedaagde die niet schikte. Het proces begon in juli 2025, en op 1 augustus 2025 oordeelde een unanieme federale jury dat Meta de Californische wet tegen inbreuk op de privacy (California Invasion of Privacy Act, CIPA) — de afluisterwet van de staat — had overtreden door via haar SDK zonder toestemming menstruatiegegevens van Flo-gebruikers te verzamelen. Het was de eerste grote CIPA-zaak die tot een jury-oordeel kwam, en het geldt voor de Californische subgroep van gebruikers.

Wat dit in geld betekent, staat nog open. CIPA voorziet in een wettelijke schadevergoeding van 5.000 dollar per overtreding; de eisers hebben dit voor elk lid van de groep geëist, en persberichten stellen dat de rechter liet doorschemeren dat de totale blootstelling meerdere miljarden dollars zou kunnen bereiken — Meta zelf vertelde de rechtbank dat de blootstelling “veelvouden van miljarden” zou kunnen zijn. Medio 2026 was het uiteindelijke schadebedrag nog niet vastgesteld, had de rechter de verzoeken van Meta na het proces afgewezen, en had Meta verklaard het “sterk oneens” te zijn met de uitkomst en een hoger beroep aangekondigd, terwijl het volhield dat de voorwaarden ontwikkelaars volledig verbieden om gezondheidsgegevens naar Meta te sturen.

De exacte korte samenvatting is dus: een jury oordeelde dat Meta aansprakelijk is voor het afluisteren van gegevens van Flo-gebruikers; hoeveel Meta zal betalen, als het oordeel na hoger beroep standhoudt, is nog niet beslist.

Ja, op het moment van de laatste update van deze pagina. De officiële schikkingswebsite is PeriodTrackerDataPrivacyLitigation.com, beheerd door A.B. Data (telefoon 1-866-778-9626). Pas op voor nepwebsites — een claim indienen is gratis en geen enkele legitieme partij zal u om betaling vragen.

Wie komt in aanmerking: iedereen in de Verenigde Staten die de Flo-app gebruikte tussen 1 november 2016 en 28 februari 2019 en gedurende die periode menstruatie- en/of zwangerschapsinformatie invoerde.

Belangrijke data: claims moeten online worden ingediend vóór 15 oktober 2026 (vóór 23:59 uur Pacific-tijd) of per post worden verzonden met een poststempel van uiterlijk die datum; de definitieve goedkeuringszitting staat gepland voor 29 oktober 2026 in San Francisco. Uitbetalingen zijn evenredig — het bedrag per persoon hangt af van hoeveel geldige claims er binnenkomen — en Californische groepsleden die documentatie indienen, ontvangen het dubbele van het basisaandeel, wat de claims onder de wetgeving van de staat weerspiegelt.

Nog een nuance om te weten: geld uit het Meta-oordeel staat los van dit schikkingsfonds. In aanmerking komende Californische gebruikers worden later benaderd over dat proces, en het nu indienen van een schikkingsclaim betekent geen afstand van rechten die verband houden met het Meta-oordeel. Controleer de officiële website voor de actuele status, aangezien deadlines en details kunnen veranderen.

Minder dan de meeste mensen aannemen — wat op zichzelf veel zegt over hoe zwak de regelgeving voor gezondheidsapps in de VS is. Het toestemmingsbevel, afgerond in juni 2021, omvatte geen enkele financiële boete. Het eiste van Flo om: te stoppen met het verkeerd voorstellen van zijn gegevenspraktijken; uitdrukkelijke toestemming van gebruikers te verkrijgen voordat gezondheidsinformatie met wie dan ook wordt gedeeld, met duidelijke openbaarmaking van wat er wordt gedeeld, met wie, en waarom; derde partijen die gebruikersgegevens hadden ontvangen te instrueren deze te vernietigen; getroffen gebruikers te informeren; en zich te onderwerpen aan een onafhankelijke beoordeling van zijn privacypraktijken.

Twee FTC-commissarissen waren het gedeeltelijk oneens, met het argument dat Flo ook had moeten worden aangeklaagd onder de Health Breach Notification Rule — een regel die het agentschap later daadwerkelijk gebruikte tegen de ovulatie-app Premom in 2023, waarbij daar een boete van 100.000 dollar werd opgelegd.

De structurele les schuilt onder de juridische les: elk mechanisme in de klacht betrof gegevens die van de telefoon naar servers en SDK's stroomden. De regelgeving bestrafte de gebroken belofte achteraf; het kon de reeds gedeelde gegevens niet, en kan ze niet, weer “ontdelen”. Een architectuur die cyclusgegevens nooit buiten het apparaat verstuurt, is de enige versie van “privacy” die niet afhankelijk is van of een bedrijf zijn woord houdt.

Eerlijkheid vereist dat ook de andere kant wordt gehoord. Flo ontkent consequent alle beschuldigingen. Zijn standpunt: het heeft nooit gebruikersgegevens verkocht; de betwiste SDK's waren standaard analysetools die werden gebruikt voor de prestaties van de app, niet voor advertenties; en de rechtszaak ging over de transparantie van hoe deze tools werkten. Bij de aankondiging van de schikking van 2025 zei Flo dat het schikte “uitsluitend om de onzekerheid, last, kosten, en vertraging” van de rechtszaak weg te nemen, en zijn publieke verklaringen stellen dat “elke beschuldiging” dat het onwettig gegevens deelde “ongegrond is”.

Flo wijst ook op veranderingen die sinds 2019 zijn doorgevoerd: het verwijderde de betwiste SDK's, gaf in 2022 opdracht tot een externe privacy-audit, behaalde de ISO 27001-beveiligingscertificering, lanceerde een “Anonieme modus” die gebruik loskoppelt van identiteit (later opengesteld als opensource), en richtte een adviesraad voor privacy op. Dit zijn echte verbeteringen, en de bewoordingen van de schikkingskennisgeving zelf gelden ook: geen enkele rechtbank heeft vastgesteld dat Flo de wet heeft overtreden.

Twee kanttekeningen voor volledigheid: de Anonieme modus slaat nog steeds cyclusgegevens op de servers van Flo op — het verwijdert de koppeling met de identiteit, niet de kopie op de server — en persberichten in juni 2026 meldden dat een Nederlandse digitale-rechtengroep een klacht had ingediend over hoe Flo met gegevens omgaat bij de Nederlandse privacytoezichthouder, dus het toezicht is nog niet voorbij. Gebruikers die overstappen naar een andere app kunnen onze stapsgewijze migratiegids bekijken op /leave-flo.