Wat je controleert voordat een gezondheidsapp je recept ziet
Twee dingen die de meeste mensen aannemen over een gezondheidsapp, kloppen niet. Het eerste is dat medische privacywetgeving erop van toepassing is; voor het overgrote deel van de apps is dat niet zo, en de FTC zegt dat ronduit. Het tweede is dat het privacylabel in de App Store de vraag beantwoordt "respecteert deze app mijn privacy": het beantwoordt een smallere vraag, in woorden met specifieke definities. Dit is wat die woorden betekenen en wat je in plaats daarvan controleert.
HIPAA is vrijwel zeker niet van toepassing
Dit is het misverstand dat je als eerste uit de weg moet ruimen, omdat er zoveel op rust. De eigen richtlijnen van de FTC stellen dat veel bedrijven die gezondheidsinformatie verzamelen ("of het nu gaat om een fitnesstracker, een dieetapp, een verbonden bloeddrukmeter of iets anders") niet onder HIPAA vallen. HIPAA volgt de zorgrelatie: je kliniek, je ziekenhuis, je verzekeraar. Een app die je hebt gedownload, is over het algemeen geen van die drie.
Wat in de Verenigde Staten wel van toepassing is, is de Health Breach Notification Rule van de FTC, die juist bestaat om dat gat te vullen. Die verplicht organisaties die niet onder HIPAA vallen hun gebruikers, de FTC en in sommige gevallen de media te informeren als er een lek is geweest van onbeveiligde, persoonlijk identificeerbare gezondheidsinformatie — "zonder onredelijke vertraging" en uiterlijk 60 dagen na de ontdekking.
Let op wat dat wel en niet is. Het is een regel over het informeren van jou nadat er iets mis is gegaan. Het is geen regel die beperkt wat een app mag verzamelen zolang alles goed gaat.
Wat het label in de App Store echt zegt
Het label heeft drie onderdelen, en in het middelste zit de betekenis verstopt.
- Gegevens die worden gebruikt om je te volgen. Apples definitie van tracking is specifiek: gegevens die in de app over een gebruiker of apparaat worden verzameld, koppelen aan gegevens van derden (gegevens uit apps, websites of offline bronnen die niet van de ontwikkelaar zijn) voor gerichte advertenties of het meten van advertenties, of ze delen met een databroker.
- Gegevens die aan je zijn gekoppeld. Verzameld en verbonden aan een identiteit. Apples regel is dat gegevens als gekoppeld gelden, tenzij de ontwikkelaar directe identificatiegegevens vóór het verzamelen verwijdert en ze daarna niet opnieuw koppelt. De standaard is: gekoppeld.
- Gegevens die niet aan je zijn gekoppeld. Verzameld, maar met die koppeling echt verbroken.
En dan de bepaling die het meest verandert aan hoe je een label leest. Apples eigen lijst van wat geen tracking is, begint met: "Wanneer de gegevens uitsluitend op het apparaat van de eindgebruiker worden gekoppeld en niet zo van het apparaat worden verstuurd dat de eindgebruiker of het apparaat te identificeren is."
Een app kan dus een bijna leeg trackingonderdeel tonen en toch heel veel over je ergens naartoe sturen. "Geen tracking" betekent "niet gecombineerd met gegevens van derden voor advertenties en niet doorgegeven aan een broker": een smallere belofte dan "we verzamelen dit niet".
De vijf vragen die de moeite waard zijn
- Is er een account nodig? Een account is het mechanisme dat gegevens verandert in gegevens-over-een-persoon op de server van iemand anders. Geen account is geen punt op een lijstje functies; het is de vorm van het geheel.
- Synchroniseert de app met een cloud, en kun je dat uitzetten? "Back-up" en "synchronisatie" zijn verschillende beloftes. De ene is een bestand dat jij bewaart; de andere is een kopie die iemand anders bewaart.
- Wat staat er op het privacylabel onder Gezondheid? Apples categorie Gezondheid omvat "alle andere door de gebruiker verstrekte gezondheids- of medische gegevens", dus een medicijnnaam die je in een app typt, hoort daar. Zwijgt het label over Gezondheid terwijl de app medicijnen vastlegt, dan klopt een van de twee niet.
- Noemt het beleid wat er wordt verzameld, of omschrijft het dat alleen? "We kunnen bepaalde informatie verzamelen om je ervaring te verbeteren" is geen lijst. Een beleid dat te controleren is, noemt dingen bij naam.
- Wat gebeurt er als je de app verwijdert? Bij een app die alleen op het apparaat werkt, is dat de verwijdering. Als er een server is, zijn de app verwijderen en het account verwijderen twee aparte handelingen, en maar één ervan heb je vanaf je beginscherm in de hand.
De eigen antwoorden van Dozify, zodat deze pagina geen vragen stelt die ze zelf ontwijkt. Geen account, geen cloudsynchronisatie, geen advertenties in de app. Gezondheidsgegevens blijven in de eigen opslag van de app op het apparaat; een back-up schrijft een versleuteld bestand dat jij bewaart. Er worden anonieme gebruiksstatistieken verzameld (welke schermen worden gebruikt, of er iets is gecrasht) en die bevatten nooit een medicijnnaam, een klacht of een gewicht. Er gaat nog één ding de deur uit: een meting of een installatie afkomstig is van een van onze eigen App Store- of Meta-campagnes, die via Apples toestemming voor tracking loopt en geen van je gegevens bevat. Verwijder je de app, dan gaan de gegevens mee. De details staan in het privacybeleid en de KVKK-verklaring, en de redenering staat op de privacypagina.
Wat deze pagina niet doet
Een andere app noemen en iets suggereren over wat die met gegevens doet. We hebben niemands servers gecontroleerd, dat kunnen we ook niet, en een beschuldiging verpakt als vergelijking is marketing, geen informatie. De vragen hierboven werken bij elke app, ook bij deze: daarom zijn ze als vragen geschreven.
Geen account om te maken, niets om te synchroniseren
Je doses, gewicht en klachten blijven op je telefoon. De app opent meteen in je eigen gegevens, en verwijderen is ook echt verwijderen.
Download de app Zo werkt privacy hier →Vragen
Worden mijn gezondheidsgegevens niet door de wet beschermd?
Er is wel wetgeving van toepassing, maar waarschijnlijk niet de wet waar je aan denkt. De FTC stelt dat veel gezondheidsapps niet onder HIPAA vallen; wat in de VS op hen van toepassing is, is de Health Breach Notification Rule, en die gaat over geïnformeerd worden na een lek, niet over het vooraf beperken van wat er wordt verzameld.
Op het label staat "Geen gegevens verzameld". Is dat genoeg?
Het is het sterkste wat een label kan zeggen, en het is een eigen verklaring van de ontwikkelaar, geen audit. Lees het samen met het privacybeleid: een beleid dat noemt wat er wordt verzameld en een label dat zegt dat er niets wordt verzameld, moeten met elkaar overeenkomen, en als ze dat niet doen, is het beleid het gedetailleerdere document.
Wat is het verschil tussen een back-up en synchronisatie?
Wie de kopie bewaart. Een back-up is een bestand dat jij maakt en opslaat; synchronisatie is een kopie die op iemands server wordt bewaard, zodat apparaten met elkaar overeenkomen. Beide zijn nuttig; maar bij één ervan bestaan je gegevens ergens waar jij geen controle over hebt.
Betekent "geen advertenties" dat er niets met advertenties gebeurt?
Niet per se, en het is goed om daar precies in te zijn. Een app kan geen advertenties in de app hebben en toch meten of een installatie afkomstig is van een advertentie die elders liep. Dat zijn verschillende dingen; een beleid dat je kunt vertrouwen, zegt welke van de twee het bedoelt. Het onze noemt ze allebei, met zoveel woorden.
Hoe controleer ik dit allemaal zelf?
Open de pagina in de App Store en lees het privacyonderdeel, open dan het privacybeleid van de app en kijk of beide dezelfde app beschrijven. Doe daarna de praktische test: kun je de app gebruiken zonder een account te maken, en gaan de gegevens mee als je hem verwijdert?
Informatie ter educatie, geen juridisch of medisch advies. Dozify is een persoonlijke app om dingen bij te houden, geen medisch hulpmiddel. Privacywetgeving verschilt per land en verandert; deze pagina beschrijft openbaar gepubliceerde regels en definities en beoordeelt geen enkele specifieke app behalve deze.