மாதவிடாய் டிராக்கர் ஆப்கள் பாதுகாப்பானவையா? பதிவுகள் என்ன காட்டுகின்றன

நேர்மையான பதில்: இது முற்றிலும் ஆப் எப்படி கட்டமைக்கப்பட்டுள்ளது என்பதைப் பொறுத்தது, ஏனெனில் பெரும்பாலும் சட்டம் உங்களைப் பாதுகாக்காது. நுகர்வோர் மாதவிடாய் டிராக்கர்கள் HIPAA-வால் உள்ளடக்கப்படவில்லை — இந்த அமெரிக்க சுகாதார-தனியுரிமைச் சட்டம் சுகாதார வழங்குநர்கள் மற்றும் காப்பீட்டாளர்களுக்குப் பொருந்தும், நல்வாழ்வு ஆப்களுக்கு அல்ல. அதாவது ஆப்பின் சொந்த கட்டமைப்பும் தனியுரிமைக் கொள்கையும்தான் நடைமுறையில் முழு விளையாட்டும்.

ஆவணப்படுத்தப்பட்ட தோல்விகள் அனைத்தும் ஒரே வடிவத்தைப் பகிர்கின்றன. 2021-இல், மிகவும் பிரபலமான டிராக்கரான Flo, 2016 முதல் 2019 வரை உட்பொதிக்கப்பட்ட மென்பொருள் மேம்பாட்டுத் தொகுப்புகள் (SDK-கள்) மூலம், கர்ப்ப நிலை உட்பட பயனர்களின் சுகாதாரத் தரவை Facebook மற்றும் Google-இன் பகுப்பாய்வுப் பிரிவுகளுடன் பகிர்ந்ததாக FTC குற்றம் சாட்டியது, இது அதன் சொந்த தனியுரிமை உறுதிமொழிகளுக்கு முரணானது. 2023-இல் FTC, சூல்கரு ஆப்பான Premom, சம்மதம் இல்லாமல் Google, AppsFlyer, மற்றும் சீனாவை தளமாகக் கொண்ட இரண்டு பகுப்பாய்வு நிறுவனங்களுடன் சுகாதாரத் தரவைப் பகிர்ந்ததாகக் குற்றம் சாட்டியது. 2016-இல் Consumer Reports, Glow ஆப்பின் கடவுச்சொல் மாற்றும் செயல்முறையில் இருந்த ஒரு குறைபாடு, யார் வேண்டுமானாலும் எந்த கணக்கையும் கைப்பற்றி அதன் கருவுறுதல் தரவைப் படிக்க அனுமதித்ததைக் கண்டறிந்தது.

இந்த சம்பவங்களில் எதுவும் யாரோ தங்கள் மாதவிடாயைக் கண்காணித்ததால் நடக்கவில்லை. அவை நடந்தது, தரவு தொலைபேசியை விட்டு வெளியேறியதால் — விளம்பர SDK-களுக்கோ அல்லது பலவீனமான கட்டுப்பாடுகள் கொண்ட சேவையகங்களுக்கோ. மதிப்பீடு செய்ய வேண்டிய மாறி அதுவே: கண்காணிக்க வேண்டுமா இல்லையா என்பதல்ல, உங்கள் தரவு உடல் ரீதியாக எங்கே இருக்கிறது, அந்த அறையில் வேறு யார் இருக்கிறார்கள் என்பதே.

ஆவணப்படுத்தப்பட்ட வழக்குகளை இணைய வதந்திகளிலிருந்து பிரிப்பது மதிப்புமிக்கது. பதிவில் நான்கு முக்கிய சம்பவங்கள் உள்ளன.

Flo Health: FTC-இன் 2021 புகார், தனியுரிமையை உறுதியளித்திருந்தும் Flo 2016 முதல் 2019 வரை பயனர்களின் மாதவிடாய் மற்றும் கர்ப்பத் தரவை மூன்றாம்-தரப்பு பகுப்பாய்வு நிறுவனங்களுடன் பகிர்ந்ததாகக் குற்றம் சாட்டியது; Flo தவறை ஒப்புக்கொள்ளாமல் தீர்வு செய்தது. தொடர்புடைய குழு வழக்கு 2025-இல் முடிவடைந்தது, Google $48 மில்லியனும், Flo $8 மில்லியனும், பகுப்பாய்வு நிறுவனமான Flurry $3.5 மில்லியனும் செலுத்தின — மொத்தம் $59.5 மில்லியன் நிதி — அதே நேரத்தில் Flo பயனர்களின் தரவைச் சேகரித்ததற்காக கலிபோர்னியாவின் ஒட்டுக்கேட்பு சட்டத்தின் கீழ் Meta பொறுப்பு என்று ஒரு கூட்டாட்சி நடுவர் மன்றம் தனியாகத் தீர்ப்பளித்தது. தீர்வு செய்த அனைத்து நிறுவனங்களும் தவறை மறுக்கின்றன.

Premom: 2023-இல் FTC, அதன் தயாரிப்பாளர் பயனர் சம்மதம் இல்லாமல் அடையாளம் காணக்கூடிய சுகாதாரத் தகவல் மற்றும் துல்லியமான இருப்பிடத் தரவை, சீனாவை தளமாகக் கொண்ட இரண்டு நிறுவனங்கள் உட்பட மூன்றாம்-தரப்பு பகுப்பாய்வு நிறுவனங்களுடன் பகிர்ந்ததாகக் குற்றம் சாட்டியது. நிறுவனம் $100,000 அபராதம் செலுத்தியது, மேலும் விளம்பரத்திற்காக சுகாதாரத் தரவைப் பகிர்வதிலிருந்து நிரந்தரமாகத் தடை செய்யப்பட்டுள்ளது.

Glow: கலிபோர்னியாவின் அட்டர்னி ஜெனரல் 2013–2016 பாதுகாப்புத் தோல்விகளுக்காக, யார் வேண்டுமானாலும் எந்தப் பயனரின் கடவுச்சொல்லையும் மாற்ற அனுமதித்த ஒரு குறைபாடு உட்பட, 2020-இல் Glow-உடன் $250,000-க்குத் தீர்வு செய்தார்.

தொழில்துறை முழுவதும்: Mozilla-இன் 2022 ஆய்வு, 25 இனப்பெருக்க-சுகாதார ஆப்கள் மற்றும் சாதனங்களை ஆய்வு செய்து, அவற்றில் 18-க்கு அதன் *Privacy Not Included* எச்சரிக்கை லேபிளை வழங்கியது, மேலும் 8 குறைந்தபட்ச பாதுகாப்பு தரநிலைகளில் தோல்வியடைந்தன. இது 2022-ஆம் ஆண்டின் ஒரு ஸ்னாப்ஷாட் — நடைமுறைகள் மாறும் — ஆனால் பலவீனமான இயல்புநிலைகள் எவ்வளவு பரவலாக இருந்தன என்பதை இது காட்டுகிறது.

இந்த அச்சம் 2022-இல் Dobbs தீர்ப்புக்குப் பிறகு பரவலாக மாறியது, எனவே இதற்கு ஒரு துல்லியமான பதில் தேவை. Electronic Frontier Foundation உட்பட, உண்மையான வழக்குத் தொடர்வுகளைக் கண்காணிக்கும் டிஜிட்டல்-உரிமை குழுக்கள், கருக்கலைப்பு தொடர்பான வழக்குகளில் மாதவிடாய்-ஆப் தரவு முக்கிய ஆதாரமாக இருந்ததில்லை என்று தெரிவிக்கின்றன — குறுஞ்செய்திகள், தேடல் வரலாறு, மற்றும் சமூக ஊடக செய்திகள்தான் அப்படி இருந்துள்ளன. எனவே ஆவணப்படுத்தப்பட்ட ஆபத்து தலைப்புச் செய்திகள் குறிப்பிட்டதை விடக் குறைவு.

ஆனால் “இருந்ததில்லை” என்பது “முடியாது” என்று அர்த்தமல்ல. ஒரு நிறுவனத்தின் சேவையகத்தில் இருக்கும் எந்தத் தரவும், கொள்கையளவில், சம்மனுக்கு உட்படுத்தப்படலாம், மேலும் ஆப்கள் அவற்றுக்கு எப்படி பதிலளிக்கும் என்பதில் மிகவும் வேறுபடுகின்றன. MIT Technology Review 2022 ஜூனில் தெரிவித்தது, Stardust-இன் அப்போதைய தனியுரிமைக் கொள்கை, சட்டரீதியாகத் தேவைப்பட்டாலும் இல்லாவிட்டாலும் அதிகாரிகளுடன் தரவைப் பகிர்வதாகக் கூறியது (இந்த மொழி பின்னர் நிறுவனத்தால் திருத்தப்பட்டது), அதே நேரத்தில் பெர்லினை தளமாகக் கொண்ட Clue, GDPR-இன் கீழ் சுகாதாரத் தரவிற்கான அமெரிக்க சம்மன்களுக்கு பதிலளிக்காது என்று கூறியது.

கொள்கை வார்த்தைகள் எதுவாக இருந்தாலும் கட்டமைப்பு ரீதியான கருத்து மாறாமல் நிற்கிறது: ஒரு சம்மன் எங்காவது இருக்கும் தரவை மட்டுமே அடைய முடியும். உங்கள் சுழற்சி வரலாறு உங்கள் தொலைபேசியில் மட்டுமே சேமிக்கப்பட்டிருந்தால் — எந்த சேவையகத்திலும் இல்லை, எந்த கணக்குடனும் இணைக்கப்படவில்லை என்றால் — சட்ட வேண்டுகோள் இலக்காகக் கொள்ள மூன்றாம்-தரப்பு நகல் எதுவும் இருக்காது. இதுவே சட்ட-அளவிலான கவலைக்கு கட்டமைப்பு-அளவிலான பதிலாகும்.

இல்லை — இதுவே இந்தத் துறையில் மிக முக்கியமான தவறான புரிதலாக இருக்கலாம். HIPAA “உள்ளடக்கப்பட்ட நிறுவனங்களை” (covered entities) உள்ளடக்குகிறது: சுகாதார வழங்குநர்கள், சுகாதார திட்டங்கள், மற்றும் அவர்களின் வணிக கூட்டாளிகள். நீங்கள் App Store-இலிருந்து பதிவிறக்கம் செய்த நுகர்வோர் ஆப் இவற்றில் எதுவும் அல்ல. உங்கள் மகளிர் மருத்துவரின் பதிவுகள் HIPAA-ஆல் பாதுகாக்கப்படுகின்றன; அதே தகவல் ஒரு மாதவிடாய் ஆப்பில் தட்டச்சு செய்யப்பட்டால் பொதுவாக அது பாதுகாக்கப்படாது.

இதற்குப் பதிலாக பொருந்துவது சட்டங்களின் ஒரு கலவை: ஏமாற்றும் நடைமுறைகளை தடை செய்யும் FTC சட்டம் (இதுதான் Flo-ஐ பிடித்தது — தனியுரிமையை உறுதியளித்து வழங்காமல் இருந்ததற்காக), FTC-இன் Health Breach Notification விதி (Premom-க்கு எதிராக அதன் இரண்டாவது அமலாக்கத்தில் பயன்படுத்தப்பட்டது), கலிபோர்னியாவின் CMIA போன்ற மாநிலச் சட்டங்கள், மற்றும் ஐரோப்பிய பயனர்களுக்கான EU-இன் GDPR. இவை நடந்த பின்னர் உடைந்த வாக்குறுதிகளைத் தண்டிக்கின்றன; ஒரு ஆப்பின் தனியுரிமைக் கொள்கை சிறிய எழுத்தில் அதை வெளிப்படுத்தினால், உங்கள் தரவைப் பகிர்வதிலிருந்து அவை எதுவும் அதைத் தடுக்காது.

நடைமுறை விளைவு: நீங்கள் பயன்படுத்தும் வேறு எந்த ஆப்பையும் விட, மாதவிடாய் ஆப்பிற்கு தனியுரிமைக் கொள்கையைப் படிப்பது மிக முக்கியமானது. “கூட்டாளர்கள்” அல்லது “சேவை வழங்குநர்களுடன்” என்ன பகிரப்படுகிறது, தரவு விளம்பரத்திற்காகப் பயன்படுத்தப்படுகிறதா, மற்றும் சட்ட வேண்டுகோள்கள் பற்றி கொள்கை என்ன கூறுகிறது என்பதைக் குறிப்பாகப் பாருங்கள்.

ஐந்து சரிபார்ப்புகள் பெரும்பாலான ஆபத்தை உள்ளடக்குகின்றன, மேலும் அவை அனைத்தும் ஆவணப்படுத்தப்பட்ட தோல்விகள் எப்படி நிகழ்ந்தன என்பதிலிருந்து நேரடியாக வருகின்றன.

1. தரவு எங்கே இருக்கிறது? சாதனத்திலேயே சேமிப்பது என்றால் சேவையக நகல் எதுவும் இல்லை என்று பொருள் — கிடைக்கும் மிகவும் வலுவான உத்தரவாதம் இது. தரவு கிளவுட்டிற்குச் சென்றால், இந்தப் பட்டியலில் உள்ள மற்ற அனைத்தும் அதிக முக்கியத்துவம் பெறும்.

2. மூன்றாம்-தரப்பு SDK-கள் உள்ளதா? இரண்டு FTC வழக்குகளும் (Flo, Premom) உட்பொதிக்கப்பட்ட பகுப்பாய்வு மற்றும் விளம்பர SDK-களை கசிவுப் பாதையாக விவரிக்கின்றன. ஆப் விளம்பரங்களைக் காட்டினால் அல்லது அதன் கொள்கை பகுப்பாய்வு கூட்டாளர்களைக் குறிப்பிட்டால், தரவு வெளியே பாய்கிறது என்று கருதுங்கள்.

3. கணக்கு தேவையா? மின்னஞ்சலுடன் இணைக்கப்பட்ட கணக்கு உங்கள் அடையாளத்தை உங்கள் சுழற்சி வரலாற்றுடன் இணைக்கிறது. கணக்கு இல்லை என்றால் அடையாள இணைப்பு இல்லை.

4. நீங்கள் நீக்கும்போது என்ன நடக்கும்? ஒரு ஆப்பை நீக்குவது சேவையக-பக்க தரவை நீக்காது. வெளிப்படையான நீக்கும் உரிமை உள்ளதா, மேலும் மூன்றாம் தரப்பினருக்கும் நீக்கும்படி நிறுவனம் அறிவுறுத்துவதாகக் கூறுகிறதா என்பதைப் பாருங்கள்.

5. சட்ட-அமலாக்கக் கொள்கை என்ன? நிறுவனம் சம்மன்களை எப்படி கையாளுகிறது என்பது பற்றிய தெளிவான மொழி ஒரு நல்ல அறிகுறி; மௌனம் அல்லது “நாங்கள் அதிகாரிகளுக்கு ஒத்துழைக்கிறோம்” என்ற பரந்த மொழி, ஆராய்ச்சியாளர்கள் குறிப்பாகச் சுட்டிக்காட்டிய ஒரு எச்சரிக்கை அறிகுறியாகும்.

இந்தச் சரிபார்ப்புகளில் தேர்ச்சி பெற வடிவமைக்கப்பட்ட ஆப்கள் இருக்கின்றன. Mozilla-இன் 2022 ஆய்வு, எல்லாவற்றையும் உள்நாட்டில் சேமிக்கும் Euki-ஐ அதன் ஒரே “Best Of” தேர்வாகப் பெயரிட்டது, மேலும் PinkyBloom-ம் அதே கொள்கையை மையமாகக் கொண்டு வடிவமைக்கப்பட்டது: தரவு உங்கள் தொலைபேசியில் இருக்கும், கணக்கு இல்லை, மூன்றாம்-தரப்பு SDK-கள் இல்லை, எனவே சரிபார்ப்புகள் 1–4 கட்டமைப்பின் மூலமே தேர்ச்சி பெறுகின்றன.

ஒவ்வொரு விருப்பமும் ஆவணப்படுத்தப்பட்ட ஆபத்தில் எவ்வளவு நீக்குகிறது என்பதன் அடிப்படையில் தரவரிசைப்படுத்தப்பட்டுள்ளது:

சாதனத்திலேயே செயல்படும் ஆப்கள் இன்னும் வசதியாக இருக்கும் மிகவும் வலுவான விருப்பமாகும். சுழற்சி தரவு உங்கள் தொலைபேசியில் மட்டுமே சேமிக்கப்பட்டு செயலாக்கப்படும்போது, SDK பகிர்வு, மீறல்கள், நிறுவன சேவையகங்களுக்கான சம்மன்கள் போன்ற முழு வகை சேவையக-பக்க சம்பவங்களும், ஒப்பந்த ரீதியாக உறுதியளிக்கப்பட்டதற்குப் பதிலாக கட்டமைப்பு ரீதியாக சாத்தியமற்றதாகிவிடும். இது PinkyBloom-இன் கட்டமைப்பு, மேலும் தனியுரிமை மதிப்பாய்வாளர்கள் Euki-இன் உள்ளூர்-மட்டும் வடிவமைப்பை விரும்புவதற்கான காரணமும் இதுதான்; உத்தரவாதம் மாறக்கூடிய ஒரு கொள்கையிலிருந்து அல்ல, தரவு எங்கே இருக்கிறது என்பதிலிருந்து வருகிறது.

வலுவான நிர்வாகம் கொண்ட கிளவுட் ஆப்கள், பல-சாதன ஒத்திசைவு உங்களுக்குத் தேவைப்பட்டால் ஒரு நடைமுறைச் சாத்தியமான நடுநிலைப் புள்ளியாகும்: விளம்பரம் இல்லை, தரவு விற்பனை இல்லை என்ற வெளிப்படையான கொள்கைகள் மற்றும் சட்ட வேண்டுகோள்கள் குறித்த கூறப்பட்ட நிலைப்பாட்டைக் கொண்ட, GDPR அதிகார வரம்பில் உள்ள நிறுவனங்களை விரும்புங்கள். நீங்கள் வாக்குறுதிகளை நம்புகிறீர்கள், ஆனால் நன்கு ஒழுங்குபடுத்தப்பட்டவற்றை.

பேனா மற்றும் காகிதம் அல்லது ஒரு எளிய நாட்காட்டி உண்மையிலேயே தனிப்பட்டது, ஆனால் கண்காணிப்பை மருத்துவ ரீதியாகப் பயனுள்ளதாக்கும் விஷயங்களை — வடிவங்களைக் கண்டறிதல், முன்னறிவிப்பு, மருத்துவரிடம் காட்டக்கூடிய அறிகுறி வரலாறு ஆகியவற்றை — இழக்கிறது.

நீங்கள் செய்யக்கூடாதது, பயத்தால் கண்காணிப்பதை நிறுத்துவதுதான். சுழற்சி தரவு உங்களிடம் உள்ள மிகவும் பயனுள்ள சுகாதார சமிக்ஞைகளில் ஒன்று — அமெரிக்க மகளிர் மருத்துவ மற்றும் மகப்பேறியல் கல்லூரி (American College of Obstetricians and Gynecologists) மாதவிடாய் சுழற்சியை ஒரு உயிர் அறிகுறியாக (vital sign) கருதுகிறது. சான்று-ஆதரிக்கப்பட்ட நடவடிக்கை, தரவை வைத்திருப்பது, ஆனால் அது எங்கே இருக்கிறது என்பதை மாற்றுவதுதான்.