La FTC afferma che Premom ha condiviso i dati altamente sensibili sulla salute riproduttiva degli utenti: può essere più personale di così?

I fatti intimi sull'ovulazione, la fertilità e altri problemi di salute sessuale e riproduttiva sono tanto personali quanto le informazioni personali possono essere. La FTC sostiene che Easy Healthcare Corporation – la società dietro l'app Premom Ovulation Tracker – ha infranto le sue promesse sulla privacy divulgando i dati sanitari sensibili degli utenti a Google e AppsFlyer e condividendo altre informazioni personali con due aziende in Cina. La denuncia, in cui si sostiene che Easy Healthcare ha violato la legge FTC e la Health Breach Notification Rule, è l'ultima azione contro un'azienda per aver gestito incautamente le informazioni sensibili dei consumatori.

L'imputato Easy Healthcare ha sviluppato e distribuito l'app Premom, che consentiva agli utenti di caricare informazioni sui loro cicli mestruali, sulle condizioni di salute riproduttiva e altri dati relativi alla fertilità. L'azienda vendeva anche strisce reattive per l'ovulazione che gli utenti potevano fotografare e caricare nel tentativo di prevedere quando avrebbero ovulato. Basandosi sulla descrizione dell'azienda secondo cui si trattava di "l'unica app di monitoraggio della fertilità e dell'ovulazione che offre una garanzia di gravidanza per aiutare le donne che stanno cercando di concepire (TTC) a realizzare i loro sogni di bambino", centinaia di migliaia di utenti hanno scaricato l'app Premom.

L'imputato ha inoltre incoraggiato gli utenti a connettere Premom ad app o prodotti di terze parti in modo che Premom potesse importare ancora più informazioni sanitarie. Di conseguenza, Premom ha raccolto numerosi dati sensibili dei consumatori, ad esempio le date dei loro cicli mestruali, i risultati dei test ormonali e persino l’inizio e la fine della loro gravidanza.

Secondo la denuncia, l'imputato ha fornito molteplici garanzie sulla privacy ai consumatori. Ad esempio, in un'informativa sulla privacy del 7 luglio 2020, l'imputato si è impegnato a:

PROMETTIAMO CHE NON CONDIVIDEREMO MAI LA TUA ETÀ ESATTA O I DATI CORRELATI ALLA TUA SALUTE CON TERZE PARTI SENZA IL TUO CONSENSO O LA TUA CONOSCENZA.

(Giusto per essere chiari, il formato tutto maiuscolo è stata una scelta di Easy Healthcare, non nostra.) Una politica sulla privacy del 2021 afferma questo: "Premom utilizza AppsFlyer, una piattaforma di marketing mobile con sede negli Stati Uniti, per gestire dati personali non sanitari" e che "i servizi di terze parti non hanno accesso alle tue informazioni sanitarie attraverso i Servizi a meno che tu non condivida tali informazioni direttamente con loro". Le persone condividerebbero tutte quelle informazioni altamente sensibili se sapessero che le garanzie sulla privacy dell'imputato erano false? Non la pensiamo così.

Questo è ciò che l'imputato ha promesso, ma la FTC afferma che Easy Healthcare ha violato le proprie dichiarazioni sulla privacy. Secondo l'accusa, la società ha integrato nell'app Premom kit di sviluppo software (SDK) provenienti da società di marketing e analisi di terze parti senza considerare la netta discrepanza tra le promesse sulla privacy fatte dall'imputato agli utenti e il modo in cui gli SDK nell'app funzionavano dietro. le scene per condividere le informazioni personali degli utenti. Ti consigliamo di leggere il reclamo per i dettagli, ma la FTC afferma che la società non ha mantenuto le sue promesse utilizzando gli SDK in modo da condividere i dati sensibili con terze parti.

Pensatelo dal punto di vista del consumatore. Si trattava di informazioni così personali che alcune persone potrebbero non averle condivise con le persone a loro più vicine – eppure l'imputato si volta e le consegna a Google e AppsFlyer? Veramente?

La FTC afferma che il tradimento da parte dell'imputato dei suoi impegni sulla privacy non è finito qui. Secondo la denuncia, Easy Healthcare ha anche integrato gli SDK di Umeng, un fornitore cinese di analisi di app mobili di proprietà di Alibaba, e Jiguang, uno sviluppatore mobile e fornitore di analisi mobile cinese. Attraverso i loro SDK, l'app Premom ha consegnato a quelle aziende altri dati sensibili, ad esempio le informazioni sugli account dei social media degli utenti e la loro precisa geolocalizzazione. Secondo la denuncia, Easy Healthcare lo ha fatto nonostante avesse detto ai consumatori tra il 2017 e il 2020 di aver raccolto "informazioni non identificabili allo scopo di monitorare l'analisi dell'utilizzo della [sua] applicazione". Attraverso l'utilizzo di servizi di terze parti da parte di Easy Healthcare, la FTC afferma che i dati possono essere ricondotti a una persona reale, rendendo l'affermazione dell'imputato sulle "informazioni non identificabili" completamente falsa.