Что проверить, прежде чем медицинское приложение увидит ваш рецепт
Две вещи, которые большинство людей предполагают о медицинском приложении, неверны. Первая — что на него распространяется закон о медицинской тайне: для подавляющего большинства приложений это не так, и FTC говорит об этом прямо. Вторая — что ярлык конфиденциальности в App Store отвечает на вопрос «уважает ли это приложение мою приватность»: он отвечает на более узкий вопрос, словами с конкретными определениями. Вот что означают эти слова и что проверять вместо этого.
HIPAA почти наверняка не применяется
Это заблуждение стоит развеять первым, потому что на нём многое держится. В собственных рекомендациях FTC сказано, что многие компании, собирающие медицинскую информацию («будь то фитнес-трекер, приложение для диеты, подключённая манжета для измерения давления или что-то ещё»), не подпадают под HIPAA. HIPAA следует за отношениями в системе здравоохранения: ваша клиника, ваша больница, ваша страховая. Скачанное вами приложение, как правило, ни то, ни другое, ни третье.
В США применяется другое — правило FTC об уведомлении об утечках медицинских данных (Health Breach Notification Rule), которое существует именно для того, чтобы закрыть этот пробел. Оно обязывает организации, не подпадающие под HIPAA, уведомлять пользователей, FTC, а в некоторых случаях и СМИ, если произошла утечка незащищённой медицинской информации, позволяющей установить личность, — «без необоснованной задержки» и не позднее 60 дней после обнаружения.
Обратите внимание, чем это является, а чем нет. Это правило о том, чтобы сообщить вам, когда что-то уже пошло не так. Это не правило, ограничивающее, что приложение может собирать, пока всё идёт хорошо.
Что на самом деле говорит ярлык в App Store
В ярлыке три раздела, и смысл прячется в среднем.
- Данные, используемые для отслеживания. Определение отслеживания у Apple конкретное: связывание данных о пользователе или устройстве, собранных в приложении, с данными третьих сторон (данными из приложений, сайтов или офлайн-источников, которые не принадлежат разработчику) для таргетированной рекламы или измерения эффективности рекламы либо передача их брокеру данных.
- Данные, связанные с пользователем. Собраны и привязаны к личности. Правило Apple таково: данные считаются связанными, если только разработчик не удаляет прямые идентификаторы до сбора и не связывает их снова потом. По умолчанию — связанные.
- Данные, не связанные с пользователем. Собраны, но эта связь действительно разорвана.
И оговорка, которая сильнее всего меняет то, как читается ярлык. Собственный список Apple того, что отслеживанием не является, начинается так: «Когда данные связываются исключительно на устройстве конечного пользователя и не отправляются с устройства способом, позволяющим идентифицировать конечного пользователя или устройство».
Так что приложение может показывать почти пустой раздел отслеживания и при этом отправлять куда-то очень многое о вас. «Не отслеживает» значит «не объединяет с данными третьих сторон для рекламы и не передаёт брокеру» — это более узкое обещание, чем «мы этого не собираем».
Пять вопросов, которые стоит задать
- Нужен ли аккаунт? Аккаунт — это механизм, который превращает записи в записи о конкретном человеке на чужом сервере. Отсутствие аккаунта — не пункт в списке функций, а форма всей конструкции.
- Синхронизируется ли оно с облаком и можно ли это отключить? «Резервная копия» и «синхронизация» — разные обещания. Первое — файл, который храните вы; второе — копия, которую хранит кто-то другой.
- Что ярлык конфиденциальности указывает в категории «Здоровье»? Категория «Здоровье» у Apple охватывает «любые другие данные о здоровье или медицинские данные, предоставленные пользователем», так что название препарата, введённое в приложение, относится именно туда. Если ярлык молчит о здоровье, а приложение записывает препараты, одно из двух неверно.
- Политика называет то, что собирается, или описывает это? «Мы можем собирать определённую информацию для улучшения вашего опыта» — это не список. Политика, которую можно проверить, называет вещи своими именами.
- Что происходит, когда вы удаляете приложение? В приложении, где всё хранится только на устройстве, это и есть удаление. Там, где есть сервер, удаление приложения и удаление аккаунта — разные действия, и с главного экрана в ваших руках только одно из них.
Собственные ответы Dozify — чтобы эта страница не задавала вопросов, от которых сама уклоняется. Ни аккаунта, ни облачной синхронизации, ни рекламы внутри приложения. Медицинские записи остаются в собственном хранилище приложения на устройстве; резервная копия — это зашифрованный файл, который храните вы. Собирается анонимная статистика использования (какие экраны используются, было ли падение), и она никогда не содержит названия препарата, симптома или веса. Уходит ещё одно: измерение того, пришла ли установка из одной из наших собственных кампаний в App Store или Meta, — оно работает только с разрешения на отслеживание от Apple и не содержит ваших записей. Удалите приложение — и записи уйдут вместе с ним. Подробности — в политике конфиденциальности и уведомлении KVKK, а логика — на странице о приватности.
Чего эта страница делать не будет
Называть другое приложение и намекать на то, что оно делает с данными. Мы не проверяли чужие серверы, не можем этого сделать, а обвинение, замаскированное под сравнение, — это маркетинг, а не информация. Вопросы выше работают для любого приложения, включая это: именно поэтому они написаны как вопросы.
Не нужно создавать аккаунт, нечего синхронизировать
Ваши дозы, вес и симптомы остаются на телефоне. Приложение открывается сразу на ваших данных, а его удаление — это и есть удаление.
Скачать приложение Как здесь устроена приватность →Вопросы
Разве мои медицинские данные не защищены законом?
Какой-то закон применяется, но, скорее всего, не тот, о котором вы думаете. FTC указывает, что многие медицинские приложения не подпадают под HIPAA; в США на них распространяется правило об уведомлении об утечках медицинских данных, которое касается того, чтобы вам сообщили после утечки, а не ограничения сбора заранее.
В ярлыке написано «Данные не собираются». Этого достаточно?
Это самое сильное, что может сказать ярлык, и это собственное заявление разработчика, а не аудит. Читайте его вместе с политикой конфиденциальности: политика, называющая собираемые данные, и ярлык, говорящий, что ничего не собирается, должны совпадать, а если не совпадают — политика более подробный документ.
Чем резервная копия отличается от синхронизации?
Тем, у кого хранится копия. Резервная копия — файл, который вы создаёте и храните сами; синхронизация — копия на чьём-то сервере, чтобы устройства могли согласовываться друг с другом. Полезно и то, и другое, но только одно означает, что ваши записи существуют где-то, что вы не контролируете.
«Без рекламы» значит, что ничего связанного с рекламой не происходит?
Не обязательно, и здесь стоит быть точными. В приложении может не быть рекламы внутри приложения, и при этом оно может измерять, пришла ли установка из рекламы, которую оно размещало в другом месте. Это разные вещи; политика, которой стоит доверять, говорит, что именно имеется в виду. Наша прямо говорит и о том, и о другом.
Как проверить всё это самому?
Откройте страницу в App Store и прочитайте раздел о конфиденциальности, затем откройте политику конфиденциальности приложения и посмотрите, описывают ли они одно и то же приложение. Потом проведите практический тест: можно ли пользоваться им без создания аккаунта и уходят ли данные вместе с удалённым приложением?
Образовательная информация, а не юридический или медицинский совет. Dozify — приложение для личного учёта, а не медицинское изделие. Законы о конфиденциальности различаются по странам и меняются; на этой странице описаны общедоступные правила и определения, и она не оценивает никакое конкретное приложение, кроме этого.