經期追蹤程式安全嗎？資料紀錄告訴我們甚麼

老實講：呢件事完全取決於程式係點樣建構嘅，因為法律大致上唔會保護你。消費者用嘅經期追蹤程式並唔受 HIPAA 規管——呢條美國健康私隱法適用於醫療服務提供者同保險公司，而唔係適用於保健類應用程式。呢即係話，程式本身嘅架構同私隱政策，實際上就係全部嘅保障。

有紀錄嘅失誤事件全部都有一個共同嘅模式。喺 2021 年，FTC 指控最受歡迎嘅追蹤程式 Flo，喺 2016 年至 2019 年間透過內嵌嘅軟件開發套件（SDK），將用戶嘅健康資料——包括懷孕狀態——分享畀 Facebook 同 Google 嘅分析部門，違反咗佢自己嘅私隱承諾。喺 2023 年，FTC 指控排卵應用程式 Premom 喺未經同意嘅情況下，將健康資料分享畀 Google、AppsFlyer，以及兩間總部設喺中國嘅分析公司。喺 2016 年，Consumer Reports 發現 Glow 應用程式嘅密碼更改流程有漏洞，令任何人都可以佔用任何帳號，讀取當中嘅生育資料。

呢啲事件冇一宗係因為有人追蹤自己嘅經期而發生嘅。佢哋發生，係因為資料離開咗手機——去到廣告 SDK，或者去到防護薄弱嘅伺服器。呢個先係應該評估嘅變數：唔係應唔應該追蹤，而係你嘅資料實際上存放喺邊度，以及仲有邊個共處同一空間。

值得將有紀錄嘅案例同網上傳聞分開嚟講。紀錄入面有四宗核心事件。

Flo Health：FTC 喺 2021 年嘅投訴指控，Flo 喺承諾保護私隱嘅同時，喺 2016 年至 2019 年間將用戶嘅經期同懷孕資料分享畀第三方分析公司；Flo 喺冇承認過失嘅情況下和解。相關嘅集體訴訟喺 2025 年結束，Google 支付 4,800 萬美元、Flo 支付 800 萬美元、分析公司 Flurry 支付 350 萬美元——合共成立一個 5,950 萬美元嘅基金——同時一個聯邦陪審團另外裁定 Meta 因為收集 Flo 用戶嘅資料，而根據加州嘅竊聽法要負上責任。所有和解嘅公司都否認有過失。

Premom：喺 2023 年，FTC 指控呢間程式嘅開發商喺未經用戶同意嘅情況下，將可識別身份嘅健康資料同精確位置資料分享畀第三方分析公司，當中包括兩間設喺中國嘅公司。呢間公司支付咗 10 萬美元罰款，並被永久禁止為咗廣告目的而分享健康資料。

Glow：加州檢察總長喺 2020 年就 2013 年至 2016 年間嘅安全漏洞，同 Glow 達成 25 萬美元嘅和解，當中包括一個令任何人都可以更改任何用戶密碼嘅漏洞。

整個行業：Mozilla 喺 2022 年檢視咗 25 款生殖健康相關嘅應用程式同裝置，當中 18 款被列入佢哋嘅《Privacy Not Included》警告名單，8 款未能符合最低安全標準。呢個係 2022 年嘅一個快照——實際做法會隨時間改變——但佢反映出，薄弱嘅預設設定當時係幾咁普遍。

呢個憂慮喺 2022 年 Dobbs 裁決之後變得非常普遍，所以值得一個準確嘅答案。追蹤實際檢控案件嘅數碼權利組織，包括 Electronic Frontier Foundation，都報告話喺涉及墮胎嘅案件入面，經期程式嘅資料從來都唔係關鍵證據——真正嘅關鍵，係短訊、搜尋紀錄，同社交媒體訊息。所以有紀錄嘅風險，其實比新聞標題所暗示嘅要低。

不過「未曾發生過」唔等於「唔可能發生」。任何存在於公司伺服器嘅資料，原則上都可以被傳票要求提供，而唔同嘅程式喺應對方式上差異好大。MIT Technology Review 喺 2022 年 6 月報道，Stardust 當時嘅私隱政策寫明會「無論法律是否要求」都將資料分享畀當局（呢個措辭之後被公司修改咗），相反總部設喺柏林嘅 Clue 就表明，根據 GDPR，佢哋唔會回應美國就健康資料發出嘅傳票。

不論政策措辭如何，結構性嘅重點都係一樣：傳票只可以觸及某處實際存在嘅資料。如果你嘅經期紀錄只儲存喺你自己嘅手機——唔喺任何伺服器上，亦冇連結任何帳號——咁就唔會有第三方副本可以畀法律要求瞄準。呢個就係對法律層面嘅憂慮，喺架構層面提供嘅答案。

唔會——而呢個大概係呢個領域入面最影響深遠嘅誤解。HIPAA 涵蓋嘅係「受規管實體」：醫療服務提供者、健康保險計劃，以及佢哋嘅業務夥伴。你喺 App Store 下載嘅消費者程式，並唔屬於呢啲類別入面任何一種。你嘅婦科醫生所持有嘅紀錄受 HIPAA 保護；但同一份資料，如果係直接輸入喺經期程式入面，一般嚟講就冇呢種保護。

實際適用嘅係一系列拼湊出嚟嘅法規：FTC 法案對欺騙性行為嘅禁止（呢個正正就係令 Flo 出事嘅原因——承諾保護私隱卻做唔到），FTC 嘅健康資料外洩通報規則（曾經用嚟對付 Premom，係呢條規則歷來第二次執法），州份層面嘅法律例如加州嘅 CMIA，以及歐盟用戶適用嘅 GDPR。呢啲法規都係事後懲處被違反嘅承諾；當中冇一條可以阻止一個程式喺私隱政策細字入面披露之後，就分享你嘅資料。

實際嘅結果係：閱讀私隱政策對經期程式嚟講，比起你用嘅幾乎任何其他程式都更加重要。要特別留意同「合作夥伴」或者「服務供應商」分享咗啲乜嘢、資料有冇用作廣告用途，以及政策對法律要求有咩講法。

五項檢查已經涵蓋咗大部分風險，而呢五項全部都直接源自有紀錄嘅失誤事件係點樣發生嘅。

1. 資料存放喺邊？裝置內儲存代表唔存在伺服器副本——呢個係目前可以得到嘅最強保證。如果資料會上傳去雲端，咁清單上其餘嘅每一項就變得更加重要。

2. 有冇第三方 SDK？兩宗 FTC 案件（Flo、Premom）都指出，內嵌嘅分析同廣告 SDK 就係洩漏嘅途徑。如果程式會顯示廣告，或者政策提及分析合作夥伴，就應該假設資料會向外流出。

3. 需唔需要帳號？一個連結電郵嘅帳號，會將你嘅身份同你嘅經期紀錄綁定埋一齊。冇帳號就代表冇身份連結。

4. 刪除之後會點？刪除一個程式並唔會刪除伺服器端嘅資料。要留意有冇明確嘅刪除權利，以及公司有冇講會指示第三方一同刪除。

5. 執法方面嘅政策係點？公司對於如何處理傳票有清晰嘅講法，係一個好嘅跡象；相反，沉默或者籠統咁講「我哋配合當局」，就係研究人員特別指出嘅一個警號。

設計嚟通過呢啲檢查嘅程式係實際存在嘅。Mozilla 喺 2022 年嘅檢視，將所有資料都只儲存喺本機嘅 Euki 選為佢哋唯一嘅「Best Of」推薦，而 PinkyBloom 亦都係按照同一個原則設計嘅：資料留喺你部手機、唔需要帳號、亦冇第三方 SDK，所以第 1 至第 4 項檢查係喺架構層面自然通過嘅。

按照每個選項可以消除幾多有紀錄嘅風險嚟排列：

裝置內處理嘅程式，係依然方便之下最強嘅選擇。當經期資料只喺你部手機儲存同處理，整一類伺服器端嘅事件——SDK 分享、資料外洩、對公司伺服器嘅傳票——就會喺結構上變成不可能，而唔單止係合約上嘅承諾。呢個就係 PinkyBloom 嘅架構，亦都係點解私隱評論者會偏好 Euki 嗰種只喺本機運作嘅設計；呢種保證嘅來源，係資料實際喺邊度，而唔係一份可以隨時改變嘅政策。

如果你需要跨裝置同步，一個有強力管治嘅雲端程式係一個可行嘅折衷方案：應該優先選擇受 GDPR 司法管轄嘅公司，佢哋要明確表明唔做廣告、唔出售資料，並且對法律要求有清楚立場。呢種情況下，你係喺信任承諾，但至少係受到良好規管嘅承諾。

用紙筆，或者一個普通嘅日曆，係真正私隱嘅，但會失去令追蹤喺臨床上有用嘅嗰啲元素——模式偵測、預測，同可以畀醫生睇嘅病徵紀錄。

你唔應該做嘅，係因為恐懼而完全停止追蹤。經期資料係你所擁有最有用嘅健康訊號之一——美國婦產科醫學會（American College of Obstetricians and Gynecologists）將月經週期視為一項生命表徵（vital sign）。有實證支持嘅做法，係繼續保存呢啲資料，但改變佢存放嘅地方。