Що перевірити, перш ніж застосунок для здоров’я побачить ваш рецепт
Дві речі, які більшість людей припускає про застосунок для здоров’я, не відповідають дійсності. Перша — що на нього поширюється закон про медичну таємницю: для переважної більшості застосунків це не так, і FTC прямо про це каже. Друга — що ярлик конфіденційності в App Store відповідає на запитання «чи поважає цей застосунок мою приватність»: він відповідає на вужче запитання, словами з конкретними визначеннями. Ось що ці слова означають і що перевіряти натомість.
HIPAA майже напевно не застосовується
Цю хибну думку варто розвіяти першою, бо на ній тримається решта. У власних роз’ясненнях FTC сказано, що багато компаній, які збирають інформацію про здоров’я («чи то фітнес-трекер, чи застосунок для дієти, чи підключений тонометр, чи щось інше»), не підпадають під HIPAA. HIPAA прив’язаний до відносин у сфері охорони здоров’я: ваша клініка, ваша лікарня, ваш страховик. Завантажений вами застосунок, як правило, не є жодним із них.
У США застосовується натомість Правило FTC про повідомлення щодо витоку медичних даних (Health Breach Notification Rule), яке існує саме для того, щоб закрити цю прогалину. Воно вимагає від організацій, що не підпадають під HIPAA, повідомляти своїх користувачів, FTC, а в деяких випадках і ЗМІ про витік незахищеної інформації про здоров’я, що ідентифікує особу, — «без необґрунтованої затримки» і не пізніше ніж за 60 днів після виявлення.
Зверніть увагу, чим це є, а чим ні. Це правило про те, щоб повідомити вас, коли щось уже пішло не так. Це не правило, яке обмежує, що застосунок може збирати, поки все гаразд.
Що насправді каже ярлик в App Store
Ярлик має три розділи, і смисл ховається в середньому.
- Дані, що використовуються для відстеження. Визначення відстеження в Apple конкретне: зв’язування даних про користувача чи пристрій, зібраних у застосунку, з даними третіх сторін (даними із застосунків, вебсайтів чи офлайн-джерел, які не належать розробнику) для таргетованої реклами чи вимірювання реклами або передача їх брокеру даних.
- Дані, пов’язані з вами. Зібрані й прив’язані до особи. Правило Apple: дані вважаються пов’язаними, якщо тільки розробник не видаляє прямі ідентифікатори до збору і не зв’язує їх знову пізніше. За замовчуванням — пов’язані.
- Дані, не пов’язані з вами. Зібрані, але цей зв’язок справді розірвано.
А ось положення, яке найбільше змінює прочитання ярлика. Власний список Apple того, що не є відстеженням, починається так: «Коли дані пов’язуються виключно на пристрої кінцевого користувача й не надсилаються з пристрою у спосіб, що дає змогу ідентифікувати кінцевого користувача чи пристрій».
Тож застосунок може мати майже порожній розділ про відстеження й при цьому надсилати кудись багато чого про вас. «Не відстежує» означає «не поєднує з даними третіх сторін для реклами й не передає брокеру»: це вужча обіцянка, ніж «ми цього не збираємо».
П’ять запитань, які варто поставити
- Чи потрібен обліковий запис? Обліковий запис — це механізм, який перетворює записи на записи про конкретну людину на чужому сервері. Відсутність облікового запису — не пункт у списку функцій, а форма всього продукту.
- Чи синхронізується він із хмарою і чи можна це вимкнути? «Резервна копія» і «синхронізація» — різні обіцянки. Перше — файл, який тримаєте ви; друге — копія, яку тримає хтось інший.
- Що ярлик конфіденційності вказує в категорії «Здоров’я»? Категорія «Здоров’я» в Apple охоплює «будь-які інші дані про здоров’я чи медичні дані, надані користувачем», тож назва препарату, введена в застосунок, належить сюди. Якщо ярлик мовчить про «Здоров’я», а застосунок записує препарати, одне з двох неправильне.
- Політика називає, що збирається, чи лише описує? «Ми можемо збирати певну інформацію, щоб покращити ваш досвід» — це не список. Політика, яку можна перевірити, називає речі.
- Що стається, коли ви видаляєте застосунок? Для застосунку, що працює лише на пристрої, це і є видалення. Де є сервер, видалення застосунку й видалення облікового запису — окремі дії, і лише одна з них у ваших руках із головного екрана.
Власні відповіді Dozify — щоб ця сторінка не ставила запитань, від яких сама ухиляється. Без облікового запису, без хмарної синхронізації, без реклами в застосунку. Медичні записи зберігаються у власному сховищі застосунку на пристрої; резервна копія — це зашифрований файл, який зберігаєте ви. Анонімна статистика використання збирається (які екрани використовуються, чи щось аварійно завершилося) і ніколи не містить назви препарату, симптому чи ваги. Дещо ще залишає пристрій: вимірювання того, чи встановлення відбулося з однієї з наших власних кампаній в App Store або Meta, — воно працює лише з дозволом Apple на відстеження й не містить жодного з ваших записів. Видаліть застосунок — і записи зникнуть разом із ним. Подробиці — в політиці конфіденційності та повідомленні KVKK, а логіка — на сторінці про приватність.
Чого ця сторінка не робитиме
Називати інший застосунок і натякати на те, що він робить із даними. Ми не перевіряли чужих серверів, не можемо цього зробити, а звинувачення, перевдягнене в порівняння, — це маркетинг, а не інформація. Запитання вище працюють для будь-якого застосунку, зокрема й цього: саме тому їх сформульовано як запитання.
Жодного облікового запису, нічого не синхронізується
Ваші дози, вага й симптоми залишаються на телефоні. Застосунок відкривається одразу з вашими даними, а його видалення і є видаленням даних.
Завантажити застосунок Як тут працює приватність →Запитання
Хіба мої медичні дані не захищені законом?
Певний закон застосовується, але, ймовірно, не той, про який ви думаєте. FTC зазначає, що багато застосунків для здоров’я не підпадають під HIPAA; у США на них поширюється Health Breach Notification Rule, яке стосується повідомлення після витоку, а не обмеження збору даних заздалегідь.
На ярлику написано «Дані не збираються». Цього достатньо?
Це найсильніше, що може сказати ярлик, і це власна декларація розробника, а не аудит. Читайте його разом із політикою конфіденційності: політика, яка називає, що збирається, і ярлик, який каже, що нічого не збирається, мають узгоджуватися, а де вони розходяться, детальнішим документом є політика.
Чим резервна копія відрізняється від синхронізації?
Тим, хто тримає копію. Резервна копія — це файл, який ви створюєте і зберігаєте; синхронізація — копія на чийомусь сервері, щоб пристрої могли узгоджуватися між собою. Обидва корисні; лише одне з них означає, що ваші записи існують десь поза вашим контролем.
Чи означає «без реклами», що нічого пов’язаного з рекламою не відбувається?
Не обов’язково, і тут варто бути точними. Застосунок може не мати реклами всередині й водночас вимірювати, чи встановлення відбулося з реклами, яку він показував деінде. Це різні речі; політика, якій варто довіряти, каже, що саме вона має на увазі. Наша прямо каже про обидві.
Як мені самому(-ій) це перевірити?
Відкрийте сторінку в App Store і прочитайте розділ про конфіденційність, потім відкрийте політику конфіденційності застосунку й перевірте, чи обидва описують той самий застосунок. Потім практична перевірка: чи можна користуватися без облікового запису і чи забирає видалення застосунку дані разом із ним?
Освітня інформація, а не юридична чи медична порада. Dozify — застосунок для особистого відстеження, а не медичний виріб. Закони про приватність відрізняються залежно від країни й змінюються; ця сторінка описує загальнодоступні правила й визначення і не оцінює жодного конкретного застосунку, крім цього.