Vụ kiện ứng dụng theo dõi chu kỳ kinh nguyệt Flo, giải thích chi tiết

Hai thủ tục tố tụng có liên quan, thường bị nhập nhằng với nhau trên các tiêu đề báo chí.

Thứ nhất, vụ việc của FTC. Vào tháng 1 năm 2021, Ủy ban Thương mại Liên bang (FTC) cáo buộc rằng từ tháng 6 năm 2016 đến tháng 2 năm 2019, Flo Health đã chia sẻ dữ liệu sức khỏe của hàng triệu người dùng — bao gồm chi tiết về kinh nguyệt và tình trạng mang thai — với các công ty phân tích và tiếp thị bên thứ ba, trong đó có các bộ phận phân tích của Facebook và Google, AppsFlyer, và Flurry. Cơ chế sử dụng là các bộ công cụ phát triển phần mềm (SDK) được nhúng sẵn: Flo chuyển thông tin nhạy cảm như “mang thai” bên trong dữ liệu sự kiện ứng dụng tùy chỉnh. Chính sách bảo mật của Flo vào thời điểm đó cam kết dữ liệu này sẽ không được chia sẻ. Flo đã ngừng chia sẻ với Facebook một ngày sau khi một bài điều tra của Wall Street Journal vào tháng 2 năm 2019 phát hiện các lượt truyền dữ liệu này.

Thứ hai, vụ kiện tập thể: Frasco kiện Flo Health, được nộp năm 2021 tại tòa án liên bang California chống lại Flo, Google, Meta, và Flurry, bao gồm những người dùng đã nhập dữ liệu kinh nguyệt hoặc mang thai vào ứng dụng trong khoảng thời gian từ 1 tháng 11 năm 2016 đến 28 tháng 2 năm 2019. Các yêu cầu trong vụ kiện bao gồm vi phạm luật bảo mật y tế và luật nghe lén của California. Vụ việc này đã dẫn đến các thỏa thuận năm 2025 và phán quyết của bồi thẩm đoàn đối với Meta được mô tả dưới đây.

Điểm chính xác quan trọng: Flo đã dàn xếp cả hai vụ việc mà không có bất kỳ tòa án nào kết luận rằng họ đã vi phạm pháp luật, và họ phủ nhận mọi cáo buộc.

Cả hai con số đều chính xác; chúng chỉ tính những thứ khác nhau. Ba bị đơn đã dàn xếp vụ kiện tập thể vào năm 2025: Google đồng ý trả 48 triệu đô la, Flo trả 8 triệu đô la, và công ty phân tích Flurry trả 3,5 triệu đô la. Vì vậy tổng quỹ dàn xếp là 59,5 triệu đô la.

Con số “56 triệu đô la” được báo chí đề cập rộng rãi vào tháng 9 năm 2025 (qua Reuters và các nguồn khác) là tổng số tiền dàn xếp của Google và Flo — được công bố cùng lúc — không bao gồm thỏa thuận 3,5 triệu đô la trước đó của Flurry. Vì vậy: 56 triệu là Google cộng Flo; 59,5 triệu là toàn bộ quỹ. Phần của riêng Flo, để rõ ràng, là 8 triệu đô la.

Hai điều mà các con số không nói rõ. Tất cả các công ty dàn xếp đều phủ nhận sai phạm — thông báo dàn xếp chính thức nêu rõ rằng tòa án không hề quyết định liệu Flo, Google, hay Flurry có vi phạm pháp luật hay không; họ dàn xếp để chấm dứt vụ kiện. Và Meta không thuộc vào bất kỳ con số nào trong số này: họ từ chối dàn xếp, ra tòa, và thay vào đó đã thua trong phán quyết của bồi thẩm đoàn, với mức bồi thường vẫn chưa được giải quyết.

Meta là bị đơn duy nhất không dàn xếp. Vụ xet xử bắt đầu vào tháng 7 năm 2025, và vào ngày 1 tháng 8 năm 2025, một bồi thẩm đoàn liên bang nhất trí xác định rằng Meta đã vi phạm Đạo luật Xâm phạm Quyền riêng tư California (California Invasion of Privacy Act, CIPA) — luật nghe lén của bang này — bằng cách thu thập dữ liệu kinh nguyệt của người dùng Flo thông qua SDK của mình mà không có sự đồng ý. Đây là vụ CIPA lớn đầu tiên đi đến phán quyết của bồi thẩm đoàn, và nó áp dụng cho nhóm người dùng con thuộc bang California.

Số tiền cụ thể là bao nhiêu vẫn còn để ngỏ. CIPA quy định mức bồi thường theo luật định là 5.000 đô la cho mỗi vi phạm; nguyên đơn đã yêu cầu mức này cho mỗi thành viên tập thể, và báo chí cho biết thẩm phán đã ám chỉ rằng tổng mức rủi ro có thể lên tới hàng tỷ đô la — chính Meta đã nói với tòa rằng mức rủi ro của họ có thể là “nhiều lần hàng tỷ đô la”. Tính đến giữa năm 2026, mức bồi thường cuối cùng vẫn chưa được ấn định, thẩm phán đã bác đơn của Meta sau phiên tòa, và Meta cho biết họ “phản đối mạnh mẽ” kết quả này và ám chỉ sẽ kháng cáo, đồng thời khẳng định rằng điều khoản của họ cấm hoàn toàn các nhà phát triển gửi dữ liệu sức khỏe cho họ.

Vì vậy, tóm tắt chính xác là: một bồi thẩm đoàn đã xác định Meta phải chịu trách nhiệm về việc nghe lén dữ liệu người dùng Flo; Meta sẽ phải trả bao nhiêu, nếu phán quyết đứng vững sau kháng cáo, vẫn chưa được quyết định.

Có, tính đến thời điểm trang này được cập nhật lần cuối. Trang web dàn xếp chính thức là PeriodTrackerDataPrivacyLitigation.com, do A.B. Data quản lý (điện thoại 1-866-778-9626). Hãy cảnh giác với các trang web giả mạo — nộp yêu cầu bồi thường là miễn phí và không bên nào hợp pháp yêu cầu bạn trả tiền.

Ai đủ điều kiện: bất kỳ ai ở Hoa Kỳ đã sử dụng ứng dụng Flo trong khoảng thời gian từ 1 tháng 11 năm 2016 đến 28 tháng 2 năm 2019 và đã nhập thông tin kinh nguyệt và/hoặc mang thai trong giai đoạn đó.

Các mốc thời gian quan trọng: yêu cầu bồi thường phải được nộp trực tuyến trước ngày 15 tháng 10 năm 2026 (trước 23:59 giờ Thái Bình Dương) hoặc được đóng dấu bưu điện trước ngày đó; phiên điều trần phê duyệt cuối cùng được lên lịch vào ngày 29 tháng 10 năm 2026 tại San Francisco. Các khoản thanh toán được chia theo tỷ lệ — số tiền cho mỗi người phụ thuộc vào số lượng yêu cầu hợp lệ nhận được — và các thành viên tập thể California nộp tài liệu chứng minh sẽ nhận được gấp đôi phần cơ bản, phản ánh các yêu cầu theo luật bang.

Một điểm tế nhị khác cần biết: bất kỳ khoản tiền nào từ phán quyết Meta đều tách biệt với quỹ dàn xếp này. Những người dùng California đủ điều kiện sẽ được liên hệ sau về quy trình đó, và việc nộp yêu cầu bồi thường dàn xếp bây giờ không từ bỏ quyền liên quan đến phán quyết Meta. Hãy kiểm tra trang web chính thức để biết tình trạng hiện tại, vì thời hạn và chi tiết có thể thay đổi.

Ít hơn nhiều so với hầu hết mọi người giả định — điều này tự nó cho thấy quy định về ứng dụng sức khỏe tại Mỹ yếu kém như thế nào. Lệnh thỏa thuận, được hoàn tất vào tháng 6 năm 2021, không kèm theo bất kỳ khoản phạt tiền nào. Nó yêu cầu Flo phải: ngừng trình bày sai lệch các hoạt động xử lý dữ liệu của mình; nhận được sự đồng ý rõ ràng của người dùng trước khi chia sẻ thông tin sức khỏe với bất kỳ ai, kèm theo công bố rõ ràng về những gì được chia sẻ, với ai, và tại sao; yêu cầu các bên thứ ba đã nhận dữ liệu người dùng phải hủy dữ liệu đó; thông báo cho những người dùng bị ảnh hưởng; và trải qua một cuộc xem xét độc lập về các hoạt động bảo mật của mình.

Hai ủy viên FTC đã phản đối một phần, cho rằng Flo cũng nên bị truy tố theo Quy tắc Thông báo Vi phạm Sức khỏe (Health Breach Notification Rule) — quy tắc mà sau này cơ quan này thực sự đã áp dụng đối với ứng dụng theo dõi rụng trứng Premom vào năm 2023, thu được khoản phạt 100.000 đô la tại đó.

Bài học mang tính cấu trúc nằm dưới bài học pháp lý: mọi cơ chế trong đơn khiếu nại đều liên quan đến việc dữ liệu chảy từ điện thoại đến máy chủ và SDK. Quy định chỉ trừng phạt lời hứa bị phá vỡ sau khi sự việc đã xảy ra; nó không thể và không bao giờ “thu hồi” lại dữ liệu đã chia sẻ. Một kiến trúc không bao giờ gửi dữ liệu chu kỳ ra khỏi thiết bị là phiên bản duy nhất của “sự riêng tư” không phụ thuộc vào việc một công ty có giữ lời hứa hay không.

Công bằng đòi hỏi phải lắng nghe cả hai phía. Flo liên tục phủ nhận mọi cáo buộc. Lập trường của họ: họ chưa bao giờ bán dữ liệu người dùng; các SDK liên quan là các công cụ phân tích tiêu chuẩn được sử dụng cho hiệu suất ứng dụng, không phải cho quảng cáo; và vụ kiện là về tính minh bạch trong cách các công cụ này hoạt động. Khi công bố thỏa thuận năm 2025, Flo cho biết họ dàn xếp “chỉ nhằm loại bỏ sự không chắc chắn, gánh nặng, chi phí, và sự trì hoãn” của vụ kiện, và các tuyên bố công khai của họ khẳng định rằng “bất kỳ cáo buộc nào” cho rằng họ chia sẻ dữ liệu trái phép “không có cơ sở”.

Flo cũng chỉ ra những thay đổi đã thực hiện kể từ năm 2019: họ đã loại bỏ các SDK liên quan, đã ủy quyền cho một cuộc kiểm toán bảo mật độc lập vào năm 2022, đã đạt chứng nhận bảo mật ISO 27001, ra mắt “Chế độ Ẩn danh” tách biệt việc sử dụng khỏi danh tính (sau này được mã nguồn mở), và thành lập một hội đồng tư vấn về quyền riêng tư. Đó là những cải thiện thực sự, và câu chữ trong chính thông báo dàn xếp cũng áp dụng: không có tòa án nào kết luận rằng Flo đã vi phạm pháp luật.

Hai lưu ý để đầy đủ: Chế độ Ẩn danh vẫn lưu trữ dữ liệu chu kỳ trên máy chủ của Flo — nó loại bỏ liên kết danh tính, chứ không phải bản sao trên máy chủ — và các báo cáo báo chí vào tháng 6 năm 2026 lưu ý rằng một nhóm quyền kỹ thuật số của Hà Lan đã nộp đơn khiếu nại về cách Flo xử lý dữ liệu lên cơ quan quản lý quyền riêng tư Hà Lan, vì vậy việc giám sát vẫn chưa kết thúc. Người dùng đang chuyển sang ứng dụng khác có thể xem hướng dẫn chuyển đổi từng bước của chúng tôi tại /leave-flo.