Чи безпечні застосунки для відстеження циклу? Що показують факти

Чесна відповідь: усе повністю залежить від того, як побудований застосунок, бо закон здебільшого вас не захищає. На споживчі застосунки для відстеження циклу не поширюється дія HIPAA — американський закон про конфіденційність медичних даних застосовується до постачальників медичних послуг і страховиків, а не до застосунків для здоров'я та добробуту. Це означає, що архітектура застосунку та його політика конфіденційності — це, по суті, все, на що можна покладатися.

Усі задокументовані випадки мають одну й ту саму форму. У 2021 році FTC заявила, що Flo, найпопулярніший трекер, передавав дані про здоров'я користувачів — включно зі статусом вагітності — аналітичним підрозділам Facebook і Google в період з 2016 по 2019 рік через вбудовані набори засобів розробки програмного забезпечення (SDK), всупереч власним обіцянкам щодо конфіденційності. У 2023 році FTC висунула звинувачення застосунку для відстеження овуляції Premom у передачі даних про здоров'я компаніям Google, AppsFlyer та двом аналітичним компаніям із Китаю без згоди користувачів. У 2016 році Consumer Reports виявила, що процес зміни пароля в застосунку Glow дозволяв будь-кому заволодіти будь-яким обліковим записом і читати дані про фертильність.

Жоден із цих інцидентів не стався через те, що хтось відстежував свій цикл. Вони сталися тому, що дані залишали телефон — потрапляючи в рекламні SDK або на сервери зі слабким захистом. Саме це і варто оцінювати: не сам факт відстеження, а те, де фізично перебувають ваші дані і хто ще має до них доступ.

Варто відокремити задокументовані випадки від чуток з інтернету. В історії є чотири ключові інциденти.

Flo Health: у скарзі FTC 2021 року стверджувалося, що Flo передавав дані користувачів про менструації та вагітність стороннім аналітичним компаніям з 2016 по 2019 рік, попри обіцянки конфіденційності; Flo врегулював справу, не визнаючи провини. Пов'язаний колективний позов завершився у 2025 році: Google виплатила 48 млн доларів, Flo — 8 млн доларів, а аналітична компанія Flurry — 3,5 млн доларів — сукупний фонд становив 59,5 млн доларів, — тоді як федеральне журі окремо визнало Meta відповідальною за каліфорнійським законом про прослуховування за збір даних користувачів Flo. Усі компанії, що врегулювали справи, заперечують будь-які порушення.

Premom: у 2023 році FTC звинуватила розробника у передачі ідентифікованої інформації про здоров'я та точних даних про місцезнаходження стороннім аналітичним компаніям, включно з двома компаніями з Китаю, без згоди користувачів. Компанія сплатила штраф у розмірі 100 000 доларів і назавжди позбавлена права передавати дані про здоров'я для рекламних цілей.

Glow: генеральний прокурор Каліфорнії врегулював справу з Glow на 250 000 доларів у 2020 році через порушення безпеки у 2013–2016 роках, включно з вразливістю, яка дозволяла будь-кому змінити пароль будь-якого користувача.

У масштабах галузі: під час огляду Mozilla 2022 року, що охопив 25 застосунків і пристроїв для репродуктивного здоров'я, 18 із них отримали попереджувальне маркування *Privacy Not Included*, а 8 не відповідали мінімальним стандартам безпеки. Це знімок стану на 2022 рік — практики змінюються, — але він показує, наскільки поширеними були слабкі налаштування за замовчуванням.

Цей страх набув значного поширення після рішення у справі Dobbs у 2022 році, тож він заслуговує на точну відповідь. Організації із захисту цифрових прав, які відстежують реальні судові переслідування, включно з Electronic Frontier Foundation, повідомляють, що дані застосунків для відстеження циклу не були ключовим доказом у справах, пов'язаних з абортами, — таким доказом ставали текстові повідомлення, історія пошуку та повідомлення в соціальних мережах. Тож задокументований ризик нижчий, ніж припускали заголовки новин.

Але «не були» — це не те саме, що «не можуть бути». Будь-які дані, які існують на сервері компанії, у принципі можуть бути витребувані повісткою, і застосунки сильно різняться в тому, як вони б на це відреагували. MIT Technology Review повідомило в червні 2022 року, що тодішня політика конфіденційності Stardust стверджувала, що компанія передаватиме дані владі «незалежно від того, чи вимагається це за законом» (формулювання, яке компанія згодом переглянула), тоді як берлінська Clue заявила, що не відповідатиме на американські повістки щодо надання даних про здоров'я, посилаючись на GDPR.

Структурний висновок залишається вірним незалежно від формулювань політики: повістка може стосуватися лише тих даних, які десь існують, щоб їх можна було витребувати. Якщо історія вашого циклу зберігається лише на вашому телефоні — не на жодному сервері, не прив'язана до жодного облікового запису, — то не існує копії у третьої сторони, на яку міг би бути спрямований юридичний запит. Це відповідь на рівні архітектури на занепокоєння юридичного рівня.

Ні — і це, ймовірно, найважливіше непорозуміння в цій сфері. HIPAA поширюється на «охоплювані організації»: постачальників медичних послуг, медичні страхові плани та їхніх ділових партнерів. Споживчий застосунок, який ви завантажили з App Store, не належить до жодної з цих категорій. Записи вашого гінеколога захищені HIPAA; та сама інформація, введена в застосунок для відстеження циклу, зазвичай не захищена.

Натомість застосовується клаптикове регулювання: заборона FTC Act на оманливі практики (саме на цьому спіймали Flo — обіцяючи конфіденційність і не виконуючи обіцянку), Правило повідомлення про порушення у сфері охорони здоров'я FTC (застосоване проти Premom, що стало лише другим за всю історію застосуванням цього правила), закони штатів, як-от каліфорнійський CMIA, і європейський GDPR для користувачів з ЄС. Усі вони карають за порушені обіцянки постфактум; жоден із них не заважає застосунку ділитися вашими даними, якщо це розкрито дрібним шрифтом у політиці конфіденційності.

Практичний наслідок: читання політики конфіденційності важливіше для застосунку відстеження циклу, ніж для майже будь-якого іншого застосунку, яким ви користуєтесь. Звертайте особливу увагу на те, що передається «партнерам» або «постачальникам послуг», чи використовуються дані для реклами, і що йдеться в політиці про юридичні запити.

П'ять перевірок охоплюють більшу частину ризику, і всі вони прямо випливають із того, як відбувалися задокументовані інциденти.

1. Де зберігаються дані? Зберігання на пристрої означає, що серверної копії не існує — це найнадійніша гарантія з можливих. Якщо дані йдуть у хмару, все інше в цьому списку стає важливішим.

2. Чи є сторонні SDK? В обох справах FTC (Flo, Premom) вбудовані аналітичні та рекламні SDK описуються як канал витоку. Якщо застосунок показує рекламу або в його політиці згадуються аналітичні партнери, вважайте, що дані йдуть назовні.

3. Чи потрібен обліковий запис? Обліковий запис, прив'язаний до email, пов'язує вашу особу з історією вашого циклу. Відсутність облікового запису означає відсутність зв'язку з особою.

4. Що відбувається при видаленні? Видалення застосунку не видаляє дані на стороні сервера. Шукайте чітко прописане право на видалення та вказівку компанії про те, чи доручає вона видалення даних також третім сторонам.

5. Яка політика щодо запитів правоохоронних органів? Чітке формулювання того, як компанія обробляє повістки, — хороша ознака; мовчання або загальні фрази на кшталт «ми співпрацюємо з владою» — тривожний сигнал, на який дослідники вказували окремо.

Застосунки, побудовані так, щоб проходити ці перевірки, існують. В огляді Mozilla 2022 року єдиним вибором у категорії «Best Of» став застосунок Euki, який зберігає все локально, а PinkyBloom спроєктований за тим самим принципом: дані залишаються на вашому телефоні, обліковий запис не потрібен, сторонніх SDK немає, тож перевірки 1–4 виконуються вже самою конструкцією.

У порядку того, наскільки кожен варіант усуває задокументований ризик:

Застосунки, що працюють на пристрої, — найнадійніший варіант, який при цьому залишається зручним. Коли дані про цикл зберігаються й обробляються лише на вашому телефоні, весь клас інцидентів на боці сервера — передача через SDK, витоки, повістки на адресу серверів компанії — стає структурно неможливим, а не просто обіцяним за договором. Це архітектура PinkyBloom, і саме тому фахівці з конфіденційності віддавали перевагу виключно локальному дизайну Euki: гарантія забезпечується тим, де перебувають дані, а не політикою, яку можна змінити.

Хмарні застосунки з надійним управлінням — робочий компроміс, якщо вам потрібна синхронізація між кількома пристроями: віддавайте перевагу компаніям, що підпадають під юрисдикцію GDPR, з явними політиками відмови від реклами та продажу даних і заявленою позицією щодо юридичних запитів. Ви довіряєте обіцянкам, але обіцянкам, підкріпленим належним регулюванням.

Папір і ручка або звичайний календар справді забезпечують приватність, але втрачають те, що робить відстеження клінічно корисним, — виявлення закономірностей, прогнозування, історію симптомів, яку можна показати лікарю.

Чого точно не варто робити — це припиняти відстеження зі страху. Дані про цикл — один із найкорисніших показників здоров'я, які у вас є: Американський коледж акушерів і гінекологів (ACOG) розглядає менструальний цикл як життєво важливий показник. Підхід, підкріплений доказами, — зберігати дані та змінювати те, де вони зберігаються.