แอปติดตามประจำเดือนปลอดภัยไหม? สิ่งที่ข้อมูลบันทึกแสดงให้เห็น

คำตอบที่ตรงไปตรงมาคือ ขึ้นอยู่กับว่าแอปนั้นถูกสร้างขึ้นมาอย่างไรทั้งหมด เพราะกฎหมายส่วนใหญ่จะไม่คุ้มครองคุณ แอปติดตามประจำเดือนสำหรับผู้บริโภคไม่อยู่ภายใต้ HIPAA — กฎหมายความเป็นส่วนตัวด้านสุขภาพของสหรัฐฯ นี้ใช้กับผู้ให้บริการด้านสุขภาพและบริษัทประกัน ไม่ใช่แอปเพื่อสุขภาวะทั่วไป นั่นหมายความว่าสถาปัตยกรรมของแอปเองและนโยบายความเป็นส่วนตัวคือทั้งหมดที่มีอยู่จริง

ความล้มเหลวที่มีการบันทึกไว้ทั้งหมดมีรูปแบบเดียวกัน ในปี 2021 FTC กล่าวหาว่า Flo แอปติดตามที่ได้รับความนิยมมากที่สุด ได้แชร์ข้อมูลสุขภาพของผู้ใช้ — รวมถึงสถานะการตั้งครรภ์ — กับฝ่ายวิเคราะห์ของ Facebook และ Google ระหว่างปี 2016 ถึง 2019 ผ่านชุดพัฒนาซอฟต์แวร์ (SDK) ที่ฝังอยู่ในแอป ซึ่งขัดกับคำมั่นสัญญาด้านความเป็นส่วนตัวของตนเอง ในปี 2023 FTC ได้ฟ้องแอปตกไข่ Premom ว่าแชร์ข้อมูลสุขภาพกับ Google, AppsFlyer และบริษัทวิเคราะห์ข้อมูลสองแห่งที่มีฐานอยู่ในจีนโดยไม่ได้รับความยินยอม ในปี 2016 Consumer Reports พบว่าขั้นตอนการเปลี่ยนรหัสผ่านของแอป Glow มีช่องโหว่ที่ทำให้ใครก็ตามสามารถเข้าควบคุมบัญชีใดก็ได้และอ่านข้อมูลการเจริญพันธุ์ของบัญชีนั้น

ไม่มีเหตุการณ์ใดในนี้เกิดขึ้นเพราะมีคนติดตามประจำเดือนของตัวเอง แต่เกิดขึ้นเพราะข้อมูลหลุดออกจากโทรศัพท์ — ไปยัง SDK โฆษณา หรือไปยังเซิร์ฟเวอร์ที่มีการควบคุมอ่อนแอ นั่นคือตัวแปรที่ควรพิจารณา ไม่ใช่ว่าจะติดตามหรือไม่ แต่คือข้อมูลของคุณอยู่ที่ไหนจริงๆ และมีใครอีกที่อยู่ในพื้นที่นั้นด้วย

ควรแยกกรณีที่มีการบันทึกไว้จริงออกจากข่าวลือในอินเทอร์เน็ต บันทึกมีเหตุการณ์หลักอยู่สี่เหตุการณ์

Flo Health: คำร้องเรียนของ FTC ในปี 2021 กล่าวหาว่า Flo แชร์ข้อมูลประจำเดือนและการตั้งครรภ์ของผู้ใช้กับบริษัทวิเคราะห์ข้อมูลบุคคลที่สามตั้งแต่ปี 2016 ถึง 2019 ทั้งที่ให้คำมั่นเรื่องความเป็นส่วนตัวไว้ Flo ยอมความโดยไม่ยอมรับว่าทำผิด คดีกลุ่มที่เกี่ยวข้องสิ้นสุดลงในปี 2025 โดย Google จ่าย 48 ล้านดอลลาร์ Flo จ่าย 8 ล้านดอลลาร์ และบริษัทวิเคราะห์ข้อมูล Flurry จ่าย 3.5 ล้านดอลลาร์ — รวมเป็นกองทุน 59.5 ล้านดอลลาร์ — ขณะที่คณะลูกขุนของรัฐบาลกลางแยกต่างหากตัดสินว่า Meta มีความผิดตามกฎหมายดักฟังของรัฐแคลิฟอร์เนียจากการเก็บข้อมูลผู้ใช้ Flo บริษัททั้งหมดที่ยอมความปฏิเสธว่าทำผิด

Premom: ในปี 2023 FTC ฟ้องผู้ผลิตแอปนี้ว่าแชร์ข้อมูลสุขภาพที่ระบุตัวตนได้และข้อมูลตำแหน่งที่ตั้งที่แม่นยำกับบริษัทวิเคราะห์ข้อมูลบุคคลที่สาม รวมถึงสองแห่งที่มีฐานอยู่ในจีน โดยไม่ได้รับความยินยอมจากผู้ใช้ บริษัทจ่ายค่าปรับ 100,000 ดอลลาร์ และถูกห้ามแชร์ข้อมูลสุขภาพเพื่อการโฆษณาอย่างถาวร

Glow: อัยการสูงสุดของรัฐแคลิฟอร์เนียยอมความกับ Glow เป็นเงิน 250,000 ดอลลาร์ในปี 2020 จากความล้มเหลวด้านความปลอดภัยในช่วงปี 2013–2016 รวมถึงช่องโหว่ที่ทำให้ใครก็ตามสามารถเปลี่ยนรหัสผ่านของผู้ใช้คนใดก็ได้

ทั่วทั้งอุตสาหกรรม: การทบทวนของ Mozilla ในปี 2022 เกี่ยวกับแอปและอุปกรณ์ด้านสุขภาพการเจริญพันธุ์ 25 รายการ ได้ให้ป้ายเตือน *Privacy Not Included* กับ 18 รายการ และ 8 รายการไม่ผ่านมาตรฐานความปลอดภัยขั้นต่ำ นี่คือภาพรวม ณ ปี 2022 — แนวปฏิบัติเปลี่ยนแปลงได้ — แต่ก็แสดงให้เห็นว่าการตั้งค่าเริ่มต้นที่อ่อนแอนั้นแพร่หลายเพียงใด

ความกลัวนี้แพร่หลายมากขึ้นหลังคำตัดสินคดี Dobbs ในปี 2022 จึงสมควรได้รับคำตอบที่ชัดเจน กลุ่มสิทธิดิจิทัลที่ติดตามการดำเนินคดีจริง รวมถึง Electronic Frontier Foundation รายงานว่าข้อมูลจากแอปประจำเดือนไม่เคยเป็นหลักฐานสำคัญในคดีที่เกี่ยวข้องกับการทำแท้ง — ข้อความ ประวัติการค้นหา และข้อความในโซเชียลมีเดียต่างหากที่เป็น ดังนั้นความเสี่ยงที่มีการบันทึกไว้จริงจึงต่ำกว่าที่พาดหัวข่าวสื่อถึง

แต่ "ไม่เคยเป็น" ไม่ได้แปลว่า "เป็นไปไม่ได้" ข้อมูลใดก็ตามที่มีอยู่บนเซิร์ฟเวอร์ของบริษัทสามารถถูกเรียกด้วยหมายศาลได้ในหลักการ และแอปแต่ละตัวก็ตอบสนองต่อเรื่องนี้แตกต่างกันมาก MIT Technology Review รายงานในเดือนมิถุนายน 2022 ว่านโยบายความเป็นส่วนตัวของ Stardust ในตอนนั้นระบุว่าจะแชร์ข้อมูลกับเจ้าหน้าที่ "ไม่ว่าจะถูกกฎหมายกำหนดให้ทำหรือไม่ก็ตาม" (ถ้อยคำนี้ภายหลังบริษัทได้แก้ไข) ขณะที่ Clue ซึ่งมีฐานอยู่ในเบอร์ลิน ระบุว่าจะไม่ตอบสนองต่อหมายศาลของสหรัฐฯ สำหรับข้อมูลสุขภาพภายใต้ GDPR

ประเด็นเชิงโครงสร้างยังคงเป็นจริงไม่ว่าถ้อยคำในนโยบายจะเป็นอย่างไร นั่นคือหมายศาลจะเข้าถึงได้เฉพาะข้อมูลที่มีอยู่ที่ใดที่หนึ่งเท่านั้น หากประวัติรอบเดือนของคุณถูกเก็บไว้เฉพาะในโทรศัพท์ของคุณเท่านั้น — ไม่อยู่บนเซิร์ฟเวอร์ใด ไม่ผูกกับบัญชีใด — ก็จะไม่มีสำเนาของบุคคลที่สามให้คำร้องขอทางกฎหมายเล็งเป้าได้ นี่คือคำตอบในระดับสถาปัตยกรรมต่อความกังวลในระดับกฎหมาย

ไม่ — และนี่อาจเป็นความเข้าใจผิดที่ส่งผลกระทบมากที่สุดในเรื่องนี้ HIPAA ครอบคลุม "หน่วยงานที่อยู่ภายใต้กฎหมาย" (covered entities) ได้แก่ ผู้ให้บริการด้านสุขภาพ แผนประกันสุขภาพ และคู่ค้าทางธุรกิจของหน่วยงานเหล่านั้น แอปสำหรับผู้บริโภคที่คุณดาวน์โหลดจาก App Store ไม่ใช่หน่วยงานเหล่านี้เลยสักอย่าง บันทึกของสูตินรีแพทย์ของคุณได้รับการคุ้มครองโดย HIPAA แต่ข้อมูลเดียวกันที่พิมพ์ลงในแอปประจำเดือนโดยทั่วไปแล้วจะไม่ได้รับการคุ้มครองนั้น

สิ่งที่บังคับใช้แทนคือกฎหมายหลายฉบับที่ปะติดปะต่อกัน ได้แก่ ข้อห้ามการปฏิบัติที่หลอกลวงตาม FTC Act (นี่คือสิ่งที่จับ Flo ได้ — สัญญาเรื่องความเป็นส่วนตัวแต่ไม่ได้ทำตาม) กฎการแจ้งเตือนการละเมิดข้อมูลสุขภาพของ FTC (Health Breach Notification Rule ซึ่งใช้เอาผิด Premom ในการบังคับใช้ครั้งที่สองเท่านั้นในประวัติศาสตร์ของกฎนี้) กฎหมายระดับรัฐอย่าง CMIA ของแคลิฟอร์เนีย และ GDPR ของสหภาพยุโรปสำหรับผู้ใช้ในยุโรป กฎหมายเหล่านี้ลงโทษคำมั่นสัญญาที่ถูกละเมิดหลังเกิดเหตุแล้วเท่านั้น ไม่มีข้อใดเลยที่ป้องกันไม่ให้แอปแชร์ข้อมูลของคุณ หากนโยบายความเป็นส่วนตัวของแอปเปิดเผยเรื่องนี้ไว้ในตัวอักษรเล็กๆ

ผลที่ตามมาในทางปฏิบัติคือ การอ่านนโยบายความเป็นส่วนตัวสำคัญกว่าสำหรับแอปประจำเดือน มากกว่าแอปอื่นๆ เกือบทุกตัวที่คุณใช้ ให้มองหาโดยเฉพาะว่าอะไรถูกแชร์กับ "พาร์ทเนอร์" หรือ "ผู้ให้บริการ" ข้อมูลถูกนำไปใช้เพื่อการโฆษณาหรือไม่ และนโยบายพูดว่าอย่างไรเกี่ยวกับคำร้องขอทางกฎหมาย

การตรวจสอบห้าข้อครอบคลุมความเสี่ยงส่วนใหญ่ และทั้งหมดมาจากวิธีที่ความล้มเหลวที่มีการบันทึกไว้เกิดขึ้นโดยตรง

1. ข้อมูลอยู่ที่ไหน? การจัดเก็บบนอุปกรณ์หมายความว่าไม่มีสำเนาบนเซิร์ฟเวอร์ — เป็นการรับประกันที่แข็งแกร่งที่สุดที่มีอยู่ ถ้าข้อมูลถูกส่งขึ้นคลาวด์ ทุกข้อที่เหลือในรายการนี้ก็ยิ่งสำคัญมากขึ้น

2. มี SDK ของบุคคลที่สามหรือไม่? คดี FTC ทั้งสองคดี (Flo, Premom) อธิบายว่า SDK การวิเคราะห์และโฆษณาที่ฝังอยู่ในแอปคือช่องทางการรั่วไหล หากแอปแสดงโฆษณาหรือนโยบายของแอปกล่าวถึงพาร์ทเนอร์ด้านการวิเคราะห์ ให้สันนิษฐานว่าข้อมูลไหลออกไปข้างนอก

3. ต้องมีบัญชีหรือไม่? บัญชีที่ผูกกับอีเมลจะเชื่อมตัวตนของคุณเข้ากับประวัติรอบเดือน ไม่มีบัญชีก็หมายถึงไม่มีการเชื่อมโยงตัวตน

4. เกิดอะไรขึ้นเมื่อคุณลบ? การลบแอปไม่ได้ลบข้อมูลฝั่งเซิร์ฟเวอร์ ให้มองหาสิทธิ์การลบข้อมูลที่ชัดเจน และดูว่าบริษัทระบุหรือไม่ว่าจะสั่งให้บุคคลที่สามลบข้อมูลด้วยเช่นกัน

5. นโยบายเกี่ยวกับการบังคับใช้กฎหมายเป็นอย่างไร? ถ้อยคำที่ชัดเจนเกี่ยวกับวิธีที่บริษัทจัดการกับหมายศาลเป็นสัญญาณที่ดี ส่วนความเงียบหรือถ้อยคำกว้างๆ อย่าง "เราให้ความร่วมมือกับเจ้าหน้าที่" เป็นสัญญาณเตือนที่นักวิจัยชี้ให้เห็นโดยเฉพาะ

แอปที่ถูกสร้างขึ้นเพื่อผ่านการตรวจสอบเหล่านี้มีอยู่จริง การทบทวนของ Mozilla ในปี 2022 เลือก Euki — ซึ่งเก็บทุกอย่างไว้ในเครื่องเท่านั้น — เป็นตัวเลือกเดียวที่ได้รับป้าย "Best Of" และ PinkyBloom ก็ถูกออกแบบขึ้นตามหลักการเดียวกัน: ข้อมูลอยู่ในโทรศัพท์ของคุณ ไม่มีบัญชี ไม่มี SDK ของบุคคลที่สาม ดังนั้นการตรวจสอบข้อ 1–4 จึงผ่านได้โดยโครงสร้างของมันเอง

จัดอันดับตามว่าแต่ละทางเลือกขจัดความเสี่ยงที่มีการบันทึกไว้ได้มากเพียงใด

แอปที่ประมวลผลบนอุปกรณ์เท่านั้นเป็นตัวเลือกที่แข็งแกร่งที่สุดที่ยังคงสะดวกอยู่ เมื่อข้อมูลรอบเดือนถูกจัดเก็บและประมวลผลเฉพาะบนโทรศัพท์ของคุณ เหตุการณ์ฝั่งเซิร์ฟเวอร์ทั้งประเภท — ไม่ว่าจะเป็นการแชร์ผ่าน SDK การรั่วไหลของข้อมูล หมายศาลต่อเซิร์ฟเวอร์ของบริษัท — จะกลายเป็นสิ่งที่เป็นไปไม่ได้ในเชิงโครงสร้าง แทนที่จะเป็นเพียงคำมั่นสัญญาตามสัญญา นี่คือสถาปัตยกรรมของ PinkyBloom และเป็นเหตุผลที่ผู้ตรวจสอบด้านความเป็นส่วนตัวชื่นชอบการออกแบบแบบเก็บข้อมูลในเครื่องเท่านั้นของ Euki การรับประกันมาจากตำแหน่งที่ข้อมูลอยู่ ไม่ใช่จากนโยบายที่สามารถเปลี่ยนแปลงได้

แอปคลาวด์ที่มีการกำกับดูแลที่เข้มแข็งเป็นทางเลือกกลางที่ใช้ได้ผล หากคุณต้องการซิงค์ข้ามหลายอุปกรณ์ ควรเลือกบริษัทที่อยู่ภายใต้เขตอำนาจ GDPR ที่มีนโยบายชัดเจนว่าไม่มีโฆษณา ไม่ขายข้อมูล และมีจุดยืนที่ระบุไว้ชัดเจนเกี่ยวกับคำร้องขอทางกฎหมาย คุณกำลังไว้ใจคำมั่นสัญญา แต่เป็นคำมั่นสัญญาที่ถูกกำกับดูแลอย่างดี

ปากกาและกระดาษ หรือปฏิทินธรรมดา เป็นส่วนตัวอย่างแท้จริง แต่จะสูญเสียสิ่งที่ทำให้การติดตามมีประโยชน์ทางคลินิก — การตรวจจับรูปแบบ การพยากรณ์ ประวัติอาการที่คุณสามารถนำไปให้แพทย์ดูได้

สิ่งที่คุณไม่ควรทำคือหยุดติดตามเพราะความกลัว ข้อมูลรอบเดือนเป็นหนึ่งในสัญญาณสุขภาพที่มีประโยชน์ที่สุดที่คุณมี — วิทยาลัยสูตินรีแพทย์และนรีเวชวิทยาแห่งสหรัฐอเมริกา (American College of Obstetricians and Gynecologists) ถือว่ารอบเดือนเป็นสัญญาณชีพ (vital sign) แนวทางที่มีหลักฐานสนับสนุนคือเก็บข้อมูลไว้ต่อไป แต่เปลี่ยนที่ที่ข้อมูลนั้นอยู่