Menštruačná aplikácia dávno nie je len digitálny kalendár na odpočítavanie dní. Používateľky do nej bežne zapisujú, kedy majú pohlavný styk, kedy sa snažia otehotnieť, kedy prekonali potrat, aké hormonálne ťažkosti pociťujú alebo ako silná je bolesť pri menštruácii. Pre mnohé ženy s chronickým ochorením, napríklad s endometriózou či syndrómom polycystických vaječníkov, je takáto aplikácia dokonca hlavným nástrojom, ktorým dlhodobo sledujú priebeh svojej choroby a jeho výsledky potom nosia na kontrolu k lekárovi. Práve preto ide o údaje s výnimočne vysokou citlivosťou, ktorých únik alebo nekontrolované zdieľanie môže mať oveľa väčší dosah na človeka než únik bežného mena, adresy či telefónneho čísla.
Keď sa citlivé údaje dostanú k reklamným partnerom
Holandský Úrad na ochranu osobných údajov (Autoriteit Persoonsgegevens – AP), pred niekoľkými týždňami preto verejne varoval poskytovateľov aplikácií na sledovanie menštruácie a plodnosti. Dôvod je jednoduchý a zároveň znepokojujúci.
Tieto aplikácie môžu podľa úradu zdieľať mimoriadne citlivé zdravotné a reprodukčné údaje s reklamnými partnermi bez toho, aby o tom používateľky boli vopred a jasne informované. Podľa prieskumu agentúry Ipsos pre občiansku organizáciu Bits of Freedom pritom cyklickú alebo tehotenskú aplikáciu používa takmer 25 % holandských žien. Ak by sa podobný pomer potvrdil aj v strednej Európe, hovorí sa tu o miliónoch žien, ktoré si do telefónu denne zapisujú jedny z najsúkromnejších informácií, aké o sebe človek vôbec môže mať. Podobné otázky si čoraz častejšie kladú aj ďalšie európske dozorné úrady, pretože zdravotné a wellness aplikácie patria medzi odvetvia s najrýchlejšie rastúcim počtom používateľov, no zároveň aj s jednými z najcitlivejších údajov, aké sa dnes spracúvajú.
Podpredsedníčka AP Monique Verdier k tomu uviedla, že dievčatá a ženy si do týchto aplikácií zapisujú veľmi intímne informácie, čo ich robí zraniteľnými, napríklad vtedy, keď sa takéto údaje nechcene dostanú k inzerentom. Pri bezplatných aplikáciách sa totiž často platí práve vlastnými údajmi, aj keď si to používateľka pri jedinom kliknutí na tlačidlo súhlasím nemusí vôbec uvedomiť. Toľko už ale vieme, že aplikácia je zadarmo, ale zadarmo nie je nikdy naozaj zadarmo, niekto za ňu vždy platí, len nie vždy priamo peniazmi. Rovnako citlivé údaje sú zaujímavé aj pre útočníkov, ktorí sa pri vydieraní čoraz častejšie zameriavajú práve na najintímnejšie osobné informácie. Prieskum navyše ukázal, že veľká časť žien presne nevie, čo sa s ich údajmi deje, a väčšinou sa tým ani netrápi. To je presne ten bod, v ktorom sa ľahostajnosť stáva najväčším rizikom, pretože nikto neprotestuje proti niečomu, o čom vôbec nevie.
Menštruačný cyklus ako nástroj vo vrcholovom športe
Téma sa ale čoraz viac dotýka aj športu. V posledných rokoch viacero vrcholových športovkýň z vytrvalostných disciplín verejne pochválilo, že sledovanie cyklu im pomohlo lepšie naplánovať tréning aj samotný pretekový výkon, pretože výkonnosť aj regenerácia sa počas cyklu prirodzene menia. Hormonálne výkyvy totiž ovplyvňujú nielen náladu, ale aj hladinu energie, kvalitu spánku či riziko zranenia, takže presné dáta môžu tréningový proces skutočne zlepšiť. Paralelne s tým vznikajú aj tímové nástroje, cez ktoré tréneri a zdravotnícki pracovníci sledujú menštruačný cyklus športovkýň na spoločnom prehľade a podľa fázy cyklu upravujú tréningovú záťaž alebo mieru regenerácie. A toto je presne situácia, v ktorej otázka, kto všetko vidí najintímnejšie dáta športovkyne, prestáva byť teoretická. Tieto dáta totiž nevidí len ona sama, ale potenciálne aj klub, realizačný tím, poisťovňa, a v najhoršom prípade aj tretia strana, ktorá s jej športovým výkonom nemá vôbec nič spoločné.
GDPR chráni zdravotné a reprodukčné údaje osobitne
Právne je pritom celá záležitosť pomerne jasná. Nariadenie GDPR, teda Všeobecné nariadenie o ochrane osobných údajov, zaraďuje údaje o zdraví a údaje o sexuálnom živote medzi takzvané osobné údaje osobitnej kategórie podľa článku 9. Netreba sa tohto pojmu báť. Stačí si iba predstaviť rozdiel medzi recepciou v nemocnici, kam môže prísť ktokoľvek a nahlásiť sa na vyšetrenie, a uzamknutou zdravotnou dokumentáciou za dvomi dverami a plechovou skriňou so zámkom (v ideálnom prípade), ku ktorej má prístup len málokto a ak predsa, tak iba so súhlasom pacientky.
Menštruačné a reprodukčné údaje patria jednoznačne za tie druhé uzamknuté dvere a uzamknutú skrinku. Článok 13 GDPR zároveň ukladá prevádzkovateľom povinnosť jasne a vopred informovať, na čo sa údaje použijú a s kým sa prípadne zdieľajú, nie schovať túto informáciu niekde na tridsiatej strane všeobecných podmienok používania. A práve vďaka článku 58 GDPR, ktorý dáva dozorným úradom právomoc vydávať verejné varovania a v prípade potreby aj vyšetrovať, mohla AP so svojím upozornením vôbec verejne vystúpiť.
Prípad aplikácie Flo: sťažnosť pre zdieľanie citlivých údajov
Že nejde o teoretické strašenie, potvrdzuje aj konkrétny prípad. Občianska organizácia Bits of Freedom koncom mája podala na obľúbenú aplikáciu Flo, ktorú len v Holandsku využíva viac než 200-tisíc žien, sťažnosť priamo na úrade AP. Úrad následne všetkým poskytovateľom podobných aplikácií pripomenul tri jasné povinnosti. Musia vedieť zdôvodniť, prečo sa na zber alebo zdieľanie citlivých údajov vôbec vzťahuje výnimka zo všeobecného zákazu spracúvania. Musia jasne a vopred informovať používateľky, čo s ich údajmi robia. A musia zabezpečiť primeranú digitálnu odolnosť, teda technické a organizačné opatrenia proti úniku dát. AP zároveň nevylučuje, že sa z verejného varovania stane aj formálne vyšetrovanie.
Pre bežnú čitateľku z toho vyplýva niekoľko jednoduchých návykov. Oplatí sa minimálne pozrieť, či aplikácia niekde jasne uvádza, že:
údaje nepredáva ani nezdieľa s reklamnými sieťami,
kde má sídlo, teda či jednoznačne spadá pod pôsobnosť GDPR,
ponúka aj anonymný alebo čisto lokálny režim, v ktorom dáta zostávajú len v telefóne, či
zmluvné podmienky spomínajú slovo reklama alebo tretie strany,
aplikácia umožňuje údaje kedykoľvek jednoducho a natrvalo vymazať,
žiada aplikácia Súhlas so spracovaním citlivých údajov a či to tam nie je len formalita, ktorú vybaví jedno veľké tlačidlo súhlasím, ale právny základ, ktorý musí byť rovnako informovaný ako dobrovoľný, teda daný slobodne a s plným vedomím dôsledkov.
Aplikácia, ktorá pozná dátum poslednej menštruácie, plánované tehotenstvo aj bolesť pri chronickej chorobe, pozná o človeku viac než väčšina jeho blízkych. Zaobchádzať s touto dôverou ľahkovážne nie je len právne riziko podľa GDPR, je to predovšetkým strata dôvery, ktorú si žiadna aplikácia späť nekúpi, nech investuje do reklamy čokoľvek.
