Är appar för mensspårning säkra? Vad bevisen visar

Det ärliga svaret: det beror helt på hur appen är byggd, eftersom lagen till stor del inte skyddar dig. Konsumentappar för mensspårning omfattas inte av HIPAA — den amerikanska hälsointegritetslagen gäller vårdgivare och försäkringsbolag, inte välmåendeappar. Det betyder att appens egen arkitektur och integritetspolicy i praktiken är hela spelplanen.

De dokumenterade misslyckandena delar alla samma mönster. År 2021 hävdade FTC att Flo, den mest populära spårningsappen, delade användares hälsodata — inklusive graviditetsstatus — med analysavdelningarna hos Facebook och Google mellan 2016 och 2019 via inbäddade mjukvaruutvecklingskit (SDK:er), i strid med sina egna integritetslöften. År 2023 åtalade FTC ägglossningsappen Premom för att ha delat hälsodata med Google, AppsFlyer och två Kinabaserade analysföretag utan samtycke. År 2016 fann Consumer Reports att appen Glows funktion för lösenordsbyte lät vem som helst ta över vilket konto som helst och läsa dess fertilitetsdata.

Ingen av dessa incidenter inträffade för att någon spårade sin mens. De inträffade för att datan lämnade telefonen — till annons-SDK:er eller till servrar med svaga kontroller. Det är den variabeln man ska bedöma: inte om man ska spåra, utan var ens data fysiskt finns och vem mer som är i rummet.

Det är värt att skilja dokumenterade fall från rykten på internet. Rekordet innehåller fyra huvudincidenter.

Flo Health: FTC:s klagomål från 2021 hävdade att Flo delade användares mens- och graviditetsdata med tredjeparts analysföretag från 2016 till 2019 trots löften om integritet; Flo förlikades utan att erkänna fel. Den relaterade grupptalan avslutades 2025 med att Google betalade 48 miljoner dollar, Flo 8 miljoner dollar och analysföretaget Flurry 3,5 miljoner dollar — en sammanlagd fond på 59,5 miljoner dollar — medan en federal jury separat fann Meta ansvarigt enligt Kaliforniens avlyssningslag för att ha samlat in Flo-användares data. Alla förlikande företag förnekar fel.

Premom: 2023 åtalade FTC tillverkaren för att ha delat identifierbar hälsoinformation och exakt platsdata med tredjeparts analysföretag, inklusive två baserade i Kina, utan användarens samtycke. Företaget betalade ett straff på 100 000 dollar och är permanent förbjudet att dela hälsodata för reklamändamål.

Glow: Kaliforniens justitieminister förlikades med Glow för 250 000 dollar 2020 för säkerhetsbrister under 2013–2016, inklusive en brist som lät vem som helst byta lösenord för vilken användare som helst.

Branschbrett: Mozillas granskning från 2022 av 25 appar och enheter för reproduktiv hälsa gav 18 av dem varningsetiketten *Privacy Not Included*, och 8 klarade inte minimikraven för säkerhet. Det är en ögonblicksbild från 2022 — praxis förändras — men den visar hur utbredda svaga standardinställningar var.

Den här oron blev utbredd efter Dobbs-domen 2022, så den förtjänar ett precist svar. Digitala rättighetsgrupper som följer faktiska åtal, däribland Electronic Frontier Foundation, rapporterar att data från mensspårningsappar inte har varit den avgörande bevisningen i abortrelaterade fall — sms, sökhistorik och meddelanden i sociala medier har varit det. Så den dokumenterade risken är lägre än vad rubrikerna antydde.

Men "har inte varit" är inte detsamma som "kan inte vara". All data som finns på ett företags server kan i princip bli föremål för en stämning, och appar skiljer sig enormt i hur de skulle svara. MIT Technology Review rapporterade i juni 2022 att Stardusts dåvarande integritetspolicy sade att man skulle dela data med myndigheter "oavsett om det krävs enligt lag eller inte" (formulering som företaget senare reviderade), medan Berlinbaserade Clue uppgav att man inte skulle svara på amerikanska stämningar om hälsodata enligt GDPR.

Den strukturella poängen gäller oavsett policyformulering: en stämning kan bara nå data som finns någonstans att bli stämd om. Om din cykelhistorik bara lagras på din telefon — inte på någon server, inte kopplad till något konto — finns det ingen tredjepartskopia för en juridisk begäran att rikta sig mot. Det är svaret på arkitekturnivå på en oro på lagnivå.

Nej — och det här är förmodligen den mest betydelsefulla missuppfattningen inom området. HIPAA omfattar "täckta enheter": vårdgivare, sjukförsäkringsbolag och deras samarbetspartner. En konsumentapp du laddat ner från App Store är inget av detta. Din gynekologs journaler är HIPAA-skyddade; samma information inmatad i en mensapp är i allmänhet det inte.

Det som gäller istället är ett lapptäcke: FTC Act:s förbud mot vilseledande metoder (vilket var det som fällde Flo — att lova integritet och inte leverera), FTC:s Health Breach Notification Rule (använd mot Premom i dess näst någonsin genomförda tillsynsåtgärd), delstatslagar som Kaliforniens CMIA, och EU:s GDPR för europeiska användare. Dessa bestraffar brutna löften i efterhand; ingen av dem hindrar en app från att dela dina data om dess integritetspolicy avslöjar det i finstilt.

Praktisk konsekvens: att läsa integritetspolicyn spelar större roll för en mensapp än för nästan vilken annan app du använder som helst. Leta specifikt efter vad som delas med "partner" eller "tjänsteleverantörer", om data används för reklam, och vad policyn säger om juridiska begäranden.

Fem kontroller täcker det mesta av risken, och alla kommer direkt från hur de dokumenterade misslyckandena hände.

1. Var finns datan? Lagring på enheten innebär att ingen serverkopia existerar — den starkaste garanti som finns. Om data går till molnet spelar allt annat på listan större roll.

2. Finns det tredjeparts-SDK:er? Båda FTC-fallen (Flo, Premom) beskriver inbäddade analys- och annons-SDK:er som läckagevägen. Om appen visar annonser eller dess policy nämner analyspartner, anta att data flödar utåt.

3. Krävs ett konto? Ett e-postkopplat konto binder din identitet till din cykelhistorik. Inget konto innebär ingen identitetskoppling.

4. Vad händer när du raderar? Att radera en app raderar inte serverdata. Leta efter en uttrycklig raderingsrätt och om företaget säger att det instruerar tredje part att också radera.

5. Vad är policyn för brottsbekämpning? Tydlig formulering om hur företaget hanterar stämningar är ett gott tecken; tystnad eller vaga formuleringar som "vi samarbetar med myndigheter" är en varningssignal som forskare specifikt lyft fram.

Appar byggda för att klara dessa kontroller finns. Mozillas granskning 2022 utsåg Euki — som lagrar allt lokalt — till sitt enda "Best Of"-val, och PinkyBloom designades utifrån samma princip: data stannar på din telefon, inget konto, inga tredjeparts-SDK:er, så kontrollerna 1–4 klaras per konstruktion.

Rangordnat efter hur stor del av den dokumenterade risken varje alternativ eliminerar:

Appar på enheten är det starkaste alternativet som fortfarande är bekvämt. När cykeldata endast lagras och behandlas på din telefon blir hela klassen av serverincidenter — SDK-delning, intrång, stämningar mot företagsservrar — strukturellt omöjlig snarare än avtalsmässigt utlovad. Detta är PinkyBlooms arkitektur, och det är därför integritetsgranskare föredrog Eukis lokala design; garantin kommer från var datan finns, inte från en policy som kan ändras.

Molnappar med stark styrning är en fungerande mellanväg om du behöver synkronisering mellan flera enheter: föredra företag inom GDPR-jurisdiktion med uttryckliga policyer om ingen reklam och ingen försäljning av data, samt en uttalad hållning om juridiska begäranden. Du litar på löften, men välreglerade sådana.

Penna och papper eller en vanlig kalender är genuint privat men förlorar det som gör spårning kliniskt användbar — mönsterigenkänning, förutsägelse, symtomhistorik du kan visa en läkare.

Vad du inte bör göra är att sluta spåra av rädsla. Cykeldata är en av de mest användbara hälsosignalerna du har — American College of Obstetricians and Gynecologists (ACOG) betraktar menscykeln som ett vitalt tecken. Det evidensbaserade draget är att behålla datan och ändra var den finns.