Flo-stämningen om menscykel-appen, förklarad

Två relaterade rättsprocesser, som ofta blandas ihop i rubriker.

Först FTC-fallet. I januari 2021 hävdade Federal Trade Commission (FTC) att Flo Health mellan juni 2016 och februari 2019 delade hälsodata från miljontals användare — inklusive mensdetaljer och graviditetsstatus — med tredjepartsföretag för analys och marknadsföring, bland annat Facebooks och Googles analysavdelningar, AppsFlyer och Flurry. Mekanismen var inbäddade mjukvaruutvecklingskit (SDK:er): Flo skickade känslig information som “graviditet” inom anpassad appdata om händelser. Flos dåvarande integritetspolicy lovade att denna data inte skulle delas. Flo slutade dela med Facebook dagen efter att en avslöjande artikel i Wall Street Journal i februari 2019 fångade överföringarna.

För det andra, grupptalan: Frasco mot Flo Health, väckt 2021 i federal domstol i Kalifornien mot Flo, Google, Meta och Flurry, som omfattar användare som angav mens- eller graviditetsdata i appen mellan 1 november 2016 och 28 februari 2019. Bland kraven fanns brott mot Kaliforniens lagar om medicinsk sekretess och avlyssning. Det här fallet ledde till 2025 års uppgörelser och jurybeslutet mot Meta som beskrivs nedan.

Viktig precisering: Flo gjorde upp i båda fallen utan att någon domstol fastställde att företaget brutit mot lagen, och det förnekar samtliga anklagelser.

Båda siffrorna stämmer; de räknar bara olika saker. Tre svarande gjorde upp i grupptalan 2025: Google gick med på att betala 48 miljoner dollar, Flo 8 miljoner dollar och analysföretaget Flurry 3,5 miljoner dollar. Den totala uppgörelsefonden är därför 59,5 miljoner dollar.

“56 miljoner dollar”, som rapporterades brett i september 2025 (bland annat via Reuters), är summan av Googles och Flos uppgörelser — tillkännagivna samtidigt — exklusive Flurrys tidigare uppgörelse på 3,5 miljoner dollar. Så: 56 miljoner är Google plus Flo; 59,5 miljoner är hela fonden. Flos egen andel var, för tydlighetens skull, 8 miljoner dollar.

Två saker som siffrorna inte säger. Alla företag som gjorde upp förnekar allt fel — det officiella uppgörelsemeddelandet slår fast att domstolen inte avgjorde om Flo, Google eller Flurry bröt mot lagen; de gjorde upp för att avsluta rättsprocessen. Och Meta ingår inte i någon av dessa siffror: företaget vägrade göra upp, gick till rättegång och förlorade i stället jurybeslutet, med skadeståndet fortfarande olöst.

Meta var den enda svaranden som inte gjorde upp. Rättegången inleddes i juli 2025, och den 1 augusti 2025 fann en enig federal jury att Meta hade brutit mot Kaliforniens integritetsintrångslag (California Invasion of Privacy Act, CIPA) — delstatens avlyssningslag — genom att via sitt SDK samla in Flo-användares mensdata utan samtycke. Det var det första större CIPA-fallet som nådde ett jurybeslut, och det gäller den kaliforniska undergruppen av användare.

Vad detta innebär i pengar är fortfarande öppet. CIPA föreskriver ett lagstadgat skadestånd på 5 000 dollar per brott; käranden har begärt detta för varje gruppmedlem, och pressrapporter säger att domaren antytt att den totala exponeringen kan uppgå till flera miljarder dollar — Meta självt sa till domstolen att exponeringen kunde vara “flera gånger miljarder”. I mitten av 2026 hade det slutliga skadeståndsbeloppet ännu inte fastställts, domaren hade avslagit Metas yrkanden efter rättegången, och Meta hade sagt att man “bestämt tar avstånd från” utfallet och antytt en överklagan, samtidigt som man hävdar att villkoren helt förbjuder utvecklare att skicka hälsodata till företaget.

Den korrekta korta sammanfattningen är alltså: en jury fann att Meta var ansvarigt för avlyssning av Flo-användares data; hur mycket Meta kommer att betala, om beslutet står sig efter överklagan, är ännu inte avgjort.

Ja, vid tidpunkten för denna sidas senaste uppdatering. Den officiella uppgörelsewebbplatsen är PeriodTrackerDataPrivacyLitigation.com, som administreras av A.B. Data (telefon 1-866-778-9626). Var uppmärksam på efterliknande webbplatser — det är gratis att lämna in ett anspråk och ingen legitim part ber dig betala.

Vem är berättigad: vem som helst i USA som använde Flo-appen mellan 1 november 2016 och 28 februari 2019 och angav mens- och/eller graviditetsinformation under den perioden.

Viktiga datum: anspråk måste lämnas in online senast 15 oktober 2026 (kl. 23:59 Stillahavstid) eller poststämplas senast det datumet; den slutliga godkännandeförhandlingen är planerad till 29 oktober 2026 i San Francisco. Utbetalningarna är proportionella — beloppet per person beror på hur många giltiga anspråk som kommer in — och kaliforniska gruppmedlemmar som lämnar in dokumentation får dubbelt så stor grundandel, vilket speglar kraven enligt delstatslagen.

En nyans till värd att känna till: pengar från Meta-beslutet är separata från denna uppgörelsefond. Berättigade kaliforniska användare kommer att kontaktas senare om den processen, och att lämna in ett uppgörelseanspråk nu innebär inte att man avstår från rättigheter kopplade till Meta-beslutet. Kontrollera den officiella webbplatsen för aktuell status, eftersom tidsfrister och detaljer kan ändras.

Mindre än vad de flesta antar — vilket i sig säger mycket om hur svag regleringen av hälsoappar är i USA. Samtyckesbeslutet, som slutfördes i juni 2021, innehöll inga böter. Det krävde att Flo: slutade felaktigt framställa sin datahantering; fick användares uttryckliga samtycke innan hälsoinformation delades med någon, med tydlig information om vad som delas, med vem och varför; instruerade de tredje parter som fått användardata att förstöra den; informerade berörda användare; och genomgick en oberoende granskning av sina integritetsrutiner.

Två FTC-kommissionärer var delvis avvikande och menade att Flo även borde ha åtalats enligt Health Breach Notification Rule — en regel som myndigheten senare faktiskt använde mot ägglossningsappen Premom 2023, där man utkrävde ett bötesbelopp på 100 000 dollar.

Den strukturella lärdomen ligger under den juridiska: varje mekanism i klagomålet innebar att data flödade från telefonen till servrar och SDK:er. Regleringen straffade det brutna löftet i efterhand; den kunde inte, och kan inte, göra data “odelad” igen. En arkitektur som aldrig skickar cykeldata bort från enheten är den enda versionen av “integritet” som inte är beroende av att ett företag håller sitt ord.

Rättvisan kräver att man hör den andra sidan. Flo har konsekvent förnekat alla anklagelser. Företagets ståndpunkt: man har aldrig sålt användardata; de aktuella SDK:erna var standardverktyg för analys som användes för appens prestanda, inte för reklam; och rättsprocessen handlade om transparensen kring hur dessa verktyg fungerade. När 2025 års uppgörelse tillkännagavs sa Flo att man gjorde upp “endast för att eliminera osäkerheten, bördan, kostnaden och förseningarna” i rättsprocessen, och företagets offentliga uttalanden hävdar att “varje påstående” om att man olagligt delat data “saknar grund”.

Flo pekar också på förändringar som gjorts sedan 2019: man tog bort de aktuella SDK:erna, beställde en extern integritetsgranskning 2022, fick säkerhetscertifieringen ISO 27001, lanserade ett “anonymt läge” som frikopplar användning från identitet (senare gjort öppen källkod), och inrättade ett rådgivande integritetsråd. Det är verkliga förbättringar, och uppgörelsemeddelandets egna ord gäller också: ingen domstol har fastställt att Flo bröt mot lagen.

Två förbehåll för fullständighetens skull: Anonymt läge lagrar fortfarande cykeldata på Flos servrar — det tar bort identitetskopplingen, inte serverkopian — och pressrapporter i juni 2026 noterade att en nederländsk digitala rättigheter-grupp hade lämnat in ett klagomål om Flos datahantering till den nederländska integritetsmyndigheten, så granskningen är inte över. Användare som byter till en annan app kan se vår steg-för-steg-guide för migrering på /leave-flo.