Безопасны ли приложения для отслеживания цикла? Что показывают факты

Честный ответ: это полностью зависит от того, как построено приложение, потому что закон в основном вас не защищает. На потребительские приложения для отслеживания цикла не распространяется действие HIPAA — американский закон о конфиденциальности медицинских данных применяется к поставщикам медицинских услуг и страховщикам, а не к приложениям для здоровья и благополучия. Это значит, что архитектура приложения и его политика конфиденциальности — это, по сути, всё, на что можно опереться.

Все задокументированные случаи имеют одну и ту же форму. В 2021 году FTC заявила, что Flo, самый популярный трекер, передавало данные о здоровье пользователей — включая статус беременности — аналитическим подразделениям Facebook и Google в период с 2016 по 2019 год через встроенные наборы средств разработки программного обеспечения (SDK), вопреки собственным обещаниям о конфиденциальности. В 2023 году FTC предъявила претензии приложению для отслеживания овуляции Premom за передачу данных о здоровье Google, AppsFlyer и двум китайским аналитическим компаниям без согласия пользователей. В 2016 году Consumer Reports обнаружила, что процесс смены пароля в приложении Glow позволял кому угодно завладеть любой учётной записью и читать данные о фертильности.

Ни один из этих инцидентов не произошёл из-за того, что кто-то отслеживал свой цикл. Они произошли потому, что данные покидали телефон — попадая в рекламные SDK или на серверы со слабой защитой. Именно это нужно оценивать: не сам факт отслеживания, а то, где физически находятся ваши данные и кто ещё имеет к ним доступ.

Стоит отделить задокументированные случаи от слухов из интернета. В истории есть четыре ключевых инцидента.

Flo Health: в жалобе FTC 2021 года утверждалось, что Flo передавало данные пользователей о менструациях и беременности сторонним аналитическим компаниям с 2016 по 2019 год, несмотря на обещания конфиденциальности; Flo урегулировало дело, не признав вины. Связанный коллективный иск завершился в 2025 году: Google выплатила 48 млн долларов, Flo — 8 млн долларов, а аналитическая компания Flurry — 3,5 млн долларов — совокупный фонд составил 59,5 млн долларов, — при этом федеральное жюри отдельно признало Meta ответственной по калифорнийскому закону о прослушивании за сбор данных пользователей Flo. Все компании, урегулировавшие дела, отрицают какие-либо нарушения.

Premom: в 2023 году FTC обвинила разработчика в передаче идентифицируемой информации о здоровье и точных данных о местоположении сторонним аналитическим компаниям, включая две компании из Китая, без согласия пользователей. Компания выплатила штраф в размере 100 000 долларов и навсегда лишена права передавать данные о здоровье для рекламных целей.

Glow: генеральный прокурор Калифорнии урегулировал дело с Glow на 250 000 долларов в 2020 году из-за нарушений безопасности в 2013–2016 годах, включая уязвимость, позволявшую кому угодно сменить пароль любого пользователя.

В масштабах отрасли: в ходе обзора Mozilla 2022 года, охватившего 25 приложений и устройств для репродуктивного здоровья, 18 из них получили предупреждающую маркировку *Privacy Not Included*, а 8 не соответствовали минимальным стандартам безопасности. Это снимок состояния на 2022 год — практики меняются, — но он показывает, насколько широко были распространены слабые настройки по умолчанию.

Этот страх широко распространился после решения по делу Dobbs в 2022 году, поэтому он заслуживает точного ответа. Организации по защите цифровых прав, которые отслеживают реальные судебные преследования, включая Electronic Frontier Foundation, сообщают, что данные приложений для отслеживания цикла не являлись ключевым доказательством в делах, связанных с абортами, — таким доказательством становились текстовые сообщения, история поиска и сообщения в социальных сетях. Таким образом, задокументированный риск ниже, чем предполагали заголовки новостей.

Но «не являлись» — это не то же самое, что «не могут являться». Любые данные, которые существуют на сервере компании, в принципе могут быть затребованы повесткой, и приложения сильно различаются в том, как они бы на это отреагировали. MIT Technology Review сообщила в июне 2022 года, что тогдашняя политика конфиденциальности Stardust гласила, что компания будет передавать данные властям «независимо от того, требуется ли это по закону» (формулировку компания впоследствии изменила), в то время как берлинская Clue заявила, что не будет отвечать на американские повестки о предоставлении данных о здоровье, ссылаясь на GDPR.

Структурный вывод остаётся верным независимо от формулировок политики: повестка может затронуть только те данные, которые где-то существуют для того, чтобы их затребовать. Если история вашего цикла хранится только на вашем телефоне — не на каком-либо сервере, не привязана ни к какой учётной записи, — то не существует копии у третьей стороны, на которую мог бы быть направлен юридический запрос. Это ответ на уровне архитектуры на опасение юридического уровня.

Нет — и это, вероятно, самое значимое заблуждение в этой области. HIPAA распространяется на «подпадающие под действие организации»: поставщиков медицинских услуг, медицинские страховые планы и их деловых партнёров. Потребительское приложение, которое вы скачали из App Store, не относится ни к одной из этих категорий. Записи вашего гинеколога защищены HIPAA; та же информация, введённая в приложение для отслеживания цикла, как правило, не защищена.

Вместо этого применяется лоскутное регулирование: запрет FTC Act на вводящие в заблуждение практики (именно на этом попалась Flo — обещая конфиденциальность и не выполняя обещание), Правило уведомления о нарушениях в сфере здравоохранения FTC (использованное против Premom, что стало лишь вторым за всю историю применением этого правила), законы штатов, такие как калифорнийский CMIA, и европейский GDPR для пользователей из ЕС. Все они наказывают за нарушенные обещания постфактум; ни один из них не мешает приложению делиться вашими данными, если это раскрыто мелким шрифтом в политике конфиденциальности.

Практическое следствие: чтение политики конфиденциальности важнее для приложения отслеживания цикла, чем почти для любого другого приложения, которым вы пользуетесь. Обращайте особое внимание на то, что передаётся «партнёрам» или «поставщикам услуг», используются ли данные для рекламы, и что говорится в политике о юридических запросах.

Пять проверок охватывают большую часть риска, и все они напрямую вытекают из того, как происходили задокументированные инциденты.

1. Где хранятся данные? Хранение на устройстве означает, что серверной копии не существует — это самая надёжная гарантия из возможных. Если данные уходят в облако, всё остальное в этом списке становится важнее.

2. Есть ли SDK сторонних разработчиков? В обоих делах FTC (Flo, Premom) встроенные аналитические и рекламные SDK описываются как канал утечки. Если приложение показывает рекламу или в его политике упоминаются аналитические партнёры, считайте, что данные уходят наружу.

3. Требуется ли учётная запись? Учётная запись, привязанная к email, связывает вашу личность с историей вашего цикла. Отсутствие учётной записи означает отсутствие связи с личностью.

4. Что происходит при удалении? Удаление приложения не удаляет данные на стороне сервера. Ищите явно прописанное право на удаление и указание компании о том, поручает ли она удаление данных и третьим сторонам.

5. Какова политика в отношении запросов правоохранительных органов? Чёткая формулировка того, как компания обрабатывает повестки, — хороший знак; молчание или общие фразы вроде «мы сотрудничаем с властями» — тревожный сигнал, на который исследователи указывали особо.

Приложения, построенные так, чтобы проходить эти проверки, существуют. В обзоре Mozilla 2022 года единственным выбором в категории «Best Of» стало приложение Euki, которое хранит всё локально, а PinkyBloom спроектировано по тому же принципу: данные остаются на вашем телефоне, учётная запись не нужна, сторонних SDK нет, так что проверки 1–4 выполняются уже в силу самой конструкции.

В порядке того, насколько каждый вариант устраняет задокументированный риск:

Приложения, работающие на устройстве, — самый надёжный вариант, который при этом остаётся удобным. Когда данные о цикле хранятся и обрабатываются только на вашем телефоне, весь класс инцидентов на стороне сервера — передача через SDK, утечки, повестки в адрес серверов компании — становится структурно невозможным, а не просто обещанным по договору. Это архитектура PinkyBloom, и именно поэтому специалисты по конфиденциальности отдавали предпочтение исключительно локальному дизайну Euki: гарантия обеспечивается тем, где находятся данные, а не политикой, которую можно изменить.

Облачные приложения с надёжным управлением — рабочий компромисс, если вам нужна синхронизация между несколькими устройствами: отдавайте предпочтение компаниям, подпадающим под юрисдикцию GDPR, с явными политиками отказа от рекламы и продажи данных и заявленной позицией по юридическим запросам. Вы доверяете обещаниям, но обещаниям, подкреплённым хорошим регулированием.

Бумага и ручка или простой календарь действительно обеспечивают приватность, но теряют то, что делает отслеживание клинически полезным, — выявление закономерностей, прогнозирование, историю симптомов, которую можно показать врачу.

Чего точно не стоит делать — это прекращать отслеживание из страха. Данные о цикле — один из самых полезных показателей здоровья, которые у вас есть: Американский колледж акушеров и гинекологов (ACOG) рассматривает менструальный цикл как жизненно важный показатель. Подход, подкреплённый доказательствами, — сохранять данные и менять то, где они хранятся.