Gdzie naprawdę trafiają dane z aplikacji zdrowotnych

Twoje pomiary są w jednym z dwóch miejsc: wyłącznie w telefonie albo na serwerze należącym do tego, kto napisał aplikację. Nic w aplikacji do ciśnienia czy do snu nie potrzebuje tego drugiego. Rok pomiarów to kilka kilobajtów, a arytmetyka to średnia, więc aplikacja, która upiera się przy koncie, dokonała wyboru, a nie spełniła ograniczenia. Oba sklepy każą producentom zadeklarować, które z tych dwóch, a deklaracja leży na karcie aplikacji.

Wypełniamy te formularze dla własnej aplikacji zdrowotnej, więc poniżej jest opis dokumentów, które sami składaliśmy, a nie domysł na ich temat.

Dlaczego „potrzebuje konta” jest sygnałem

Zapytaj, do czego jest ten serwer. Bywają uczciwe odpowiedzi: synchronizacja między urządzeniami, wspólny widok dla lekarza, kopia zapasowa do odtworzenia po utracie telefonu. Każda z nich jest realną funkcją i każda jest opcjonalna.

Przechowywanie nie jest uczciwą odpowiedzią. Telefon od piętnastu lat trzyma listy liczb bez niczyjej pomocy. Kiedy więc aplikacja do pomiarów żąda konta, zanim zapisze choć jeden wynik, konto jest tam w jakimś innym celu — a tym celem jest zwykle rekord użytkownika, który przeżyje twoje zainteresowanie aplikacją.

Jak czytać deklaracje

Google Play — Bezpieczeństwo danych. Karta na stronie aplikacji, nad opiniami. Trzy rzeczy do przeczytania, po kolei:

• Dane zbierane kontra dane udostępniane. Zbierane znaczy, że opuszczają urządzenie i trafiają do producenta; udostępniane znaczy, że idą dalej, do strony trzeciej. To udostępnianie jest poważne.
• Czy w ogóle pojawia się zdrowie i fitness. To osobna kategoria, więc nie da się jej ukryć pod ogólniejszym nagłówkiem.
• Danych nie można usunąć jako wpisana pozycja. Jeśli dane są zbierane i nie ma ścieżki do żądania usunięcia, to połączenie warto potraktować poważnie.

App Store — Prywatność aplikacji. Ta sama myśl w trzech koszykach:

• Dane wykorzystywane do śledzenia — najmocniejszy sygnał na całej stronie. W aplikacji zdrowotnej powinien być pusty.
• Dane powiązane z tobą — zbierane i związane z twoją tożsamością.
• Dane niepowiązane z tobą — zbierane, ale niezwiązane z tobą. Raporty o awariach i zbiorcze liczniki użycia zwykle siedzą tutaj, w pełni zasadnie.

Jedno i drugie to samodeklaracje, sprawdzane wyrywkowym audytem, a nie inspekcją. To i tak coś znaczy, bo fałszywa deklaracja jest naruszeniem regulaminu z realnymi konsekwencjami. Ale czytaj je jak oświadczenie, które ktoś podpisał, a nie jak fakt, który ktoś zweryfikował. Test trybu samolotowego to ta połowa, którą da się sprawdzić samodzielnie.

Szukać należy nie długości listy. Szukać należy tego, czy pojawia się na niej kategoria, na której ci zależy, i czy cokolwiek jest oznaczone jako udostępniane, a nie zbierane.

Prawo o tajemnicy medycznej prawdopodobnie nie działa

To zaskakuje, więc warto powiedzieć to wprost. Przepisy pisane dla dokumentacji medycznej — HIPAA w Stanach Zjednoczonych i jej odpowiedniki gdzie indziej — obejmują podmioty lecznicze i firmy przetwarzające dane w ich imieniu. Nie obejmują aplikacji znalezionej w sklepie i zainstalowanej samodzielnie.

Zamiast nich działają ogólne przepisy o ochronie danych i regulaminy samych sklepów. Jedne i drugie są zauważalnie słabsze niż reżim medyczny, w którym większość ludzi zakłada, że się znajduje. W praktyce oznacza to, że ochrona bierze się ze sposobu zbudowania aplikacji, a nie z przepisów, poza którymi ona stoi.

Synchronizacja z Health albo Fit to co innego

Słowa „synchronizacja” używa się do dwóch niepowiązanych zachowań.

Zapis do Apple Health albo Google Fit wkłada dane do magazynu na twoim własnym urządzeniu, z którego inne aplikacje mogą czytać po twojej zgodzie. Producent nie widzi z tego nic. To ten dobry rodzaj i warto go mieć, bo dzięki niemu pomiar pojawia się obok wszystkiego innego, co telefon o tobie wie.

Synchronizacja z firmową chmurą wysyła dane na ich serwery. Jest zupełnie w porządku, jeśli poprosiłeś o kopię zapasową. Znaczy natomiast coś zupełnie innego.

Kiedy karta aplikacji mówi „synchronizuje”, nie mówiąc dokąd, to jest to pytanie, na które warto znaleźć odpowiedź przed wpisaniem czegokolwiek.

Co robimy my

Blood Pressure Diary trzyma pomiary na urządzeniu. Nie ma logowania ani niczego do zakładania, a cała aplikacja działa przy telefonie w trybie samolotowym. Ta ostatnia część to wersja obietnicy, którą da się sprawdzić samodzielnie w minutę.

Jej deklaracja Bezpieczeństwa danych to ta z powyższego pytania: historia zakupów, dzienniki awarii, interakcje z aplikacją i identyfikator urządzenia, wszystko zbierane, nic udostępniane, bez zakładania konta i ze ścieżką do żądania usunięcia. Danych zdrowotnych i fitness nie zadeklarowano, bo żadne nie są zbierane. To cała lista i leży ona na karcie w Play, a nie tylko w tym akapicie.

Somnia nie ma czego wysyłać: piętnaście pętli dźwiękowych przychodzi wewnątrz pobrania, a miks jest ustawieniem lokalnym.

Żadna z nich nie udostępnia niczego stronie trzeciej i nic nie jest łączone między naszymi aplikacjami. Nie ma wspólnego identyfikatora, który pozwoliłby to połączyć. Szersze stwierdzenie tego, co będziemy i czego nie będziemy deklarować, jest na stronie o nas.

Jeśli składasz pomiary na wizytę, dzienniczek ciśnienia, z którego lekarz naprawdę skorzysta opisuje, co notować i jak to przedstawić, a jak zmieszać dźwięki do snu, które maskują hałas robi to samo dla aplikacji Somnia. Reszta tego, co robimy do monitorowania zdrowia i snu, jest na stronie Zdrowie i sen.