La investigación de Mozilla, compartida exclusivamente con la BBC, expone cómo diferentes aplicaciones de seguimiento menstrual manejan los datos de salud de sus usuarios de formas que van desde prácticas responsables hasta comparticiones problemáticas de información sensible.

Stardust, una aplicación que combina el seguimiento del ciclo menstrual con astrología y horóscopos, promete en su sitio web que "tus datos son privados". Sin embargo, según el informe de Mozilla, la realidad es más compleja. La aplicación envía información detallada de salud reproductiva a RudderStack, una empresa de gestión de datos que no aparece mencionada en su política de privacidad. Estos datos incluyen estado de embarazo, uso de anticonceptivos, cambios de humor, consumo de alcohol y síntomas específicos como sensibilidad en los senos y calambres estomacales.

Un portavoz de Stardust explicó que la empresa utiliza RudderStack únicamente como un "conducto técnico" para enrutar datos hacia sus propios sistemas de análisis, y que la aplicación no comparte información que permita a RudderStack identificar el nombre o información de contacto del usuario. Además, afirmó que RudderStack está contractualmente prohibido de vender los datos o utilizarlos para sus propios fines, y que no almacena la información a largo plazo.

Shoshana Wodinsky, analista de investigación de privacidad que realizó las pruebas de Mozilla, señaló que "la gente merece algo mejor" y que, como mínimo, los usuarios deberían saber qué está sucediendo con sus datos.

Spot On, una aplicación creada por la organización de salud sexual Planned Parenthood, presenta sus propios problemas de privacidad relacionados con información de salud. Aunque la aplicación en sí no comparte datos con otras empresas ni intenta rastrear a los usuarios, acceder a ciertas funciones como un chatbot de inteligencia artificial llamado Roo o una herramienta de búsqueda de proveedores de atención médica abre el sitio web de Planned Parenthood en un navegador. Mozilla encontró que este sitio web es menos seguro.

El ejemplo más notable es que el sitio web de Planned Parenthood comparte información sobre qué tipo de atención médica busca el usuario con una empresa de análisis llamada AB Tasty. Esto incluye si está buscando pruebas de VIH o atención de afirmación de género. Wodinsky señaló que sería fácil configurar el sitio web para dificultar que servicios externos sepan qué está mirando el usuario, sugiriendo que "alguien probablemente podría arreglarlo en una tarde".

Muchas de las aplicaciones analizadas envían información básica del usuario a servicios de publicidad y análisis, incluyendo plataformas operadas por Google, Meta, Microsoft y TikTok. Típicamente, estos datos incluyen un número de identificación u otra información utilizada para identificar al usuario, que puede usarse para anuncios dirigidos y, en algunos casos, para ayudar a las empresas tecnológicas a rastrearlo en otras partes de internet.

Period Calendar, también conocida como "Period Tracker Period Calendar", envió números de identificación e información sobre el dispositivo del usuario a Google y a InMobi, una empresa de publicidad, según el informe de Mozilla. El reporte indica que no hay forma de prevenir esto.

Stardust comparte el mismo tipo de datos con Facebook y AppsFlyer, una empresa de análisis de publicidad, aunque los usuarios pueden optar por no participar usando la configuración de privacidad de su teléfono. Un portavoz de Stardust negó compartir datos de salud con plataformas publicitarias, afirmando que utiliza AppsFlyer y Meta únicamente para medir y optimizar sus campañas publicitarias.

Sara Geoghegan, directora del Programa de Privacidad del Consumidor del Centro de Información sobre Privacidad Electrónica, una organización de defensa, advirtió que simplemente revelar el hecho de que alguien usa una aplicación de salud reproductiva puede tener consecuencias. Podría permitir que las fuerzas del orden sepan que existe un depósito de datos de salud disponible para obtener.

"Los datos recopilados de una aplicación de seguimiento menstrual pueden ser parte de un tapiz completo tejido a partir de muchos hilos diferentes de vigilancia", dijo Geoghegan. "Eso puede ser muy revelador".

Euki es la única aplicación que Mozilla recomienda sin reservas. A diferencia de otras aplicaciones, Mozilla señala que Euki mantiene toda la información de salud almacenada en el dispositivo del usuario, sin enviarla siquiera a los servidores de la empresa. Los usuarios ni siquiera necesitan crear una cuenta, por lo que pueden permanecer completamente anónimos. Euki también ofrece una función de "señuelo" que muestra información falsa e inofensiva si alguien obtiene el teléfono e intenta fisgonear.

Flo y Clue no estaban tan aseguradas como Euki, pero obtuvieron puntuaciones relativamente buenas gracias a transparencia real y controles de privacidad granulares. Según lo que Mozilla puede determinar, ninguna de estas aplicaciones comparte información de salud con terceros bajo ninguna circunstancia. Flo y Clue sí informan a sus socios de publicidad y análisis cuando los usuarios utilizan sus aplicaciones, como explican en sus políticas de privacidad y ventanas emergentes de consentimiento, pero los usuarios pueden desactivar fácilmente esto usando la configuración de privacidad.

Sin embargo, Mozilla criticó a Flo y Clue por recopilar mucha más información de salud que otras aplicaciones y luego almacenarla en sus propios servidores. Esto contrasta con Euki, que simplemente mantiene esos datos en el dispositivo del usuario.

Incluso si Flo y Clue nunca comparten esta información, el hecho de que mantengan una copia podría exponerlo a violaciones de datos o solicitudes legales de gobiernos, según Wodinsky. Eso es un compromiso que los usuarios necesitan evaluar.

Samantha Wannemacher, portavoz de Flo, rechazó la idea de un compromiso, diciendo que almacenar esta información en la nube es necesario para sus servicios y que tienen salvaguardas en su lugar para mantenerla segura. Señaló que los usuarios preocupados por solicitudes gubernamentales de datos pueden usar el "Modo Anónimo" de la aplicación, que garantiza que nadie, ni siquiera Flo, tenga "tanto la identidad de un usuario como sus datos de salud al mismo tiempo". Afirmó que Flo nunca ha recibido una citación para datos de usuario, que la empresa combatiría.

Rhiannon White, directora ejecutiva de Clue, declaró que "nunca hemos divulgado datos de salud privados a ninguna autoridad, y nunca lo haremos". Ambas empresas están basadas en Europa, lo que haría que las solicitudes legales de Estados Unidos fueran más desafiantes.

El historial de privacidad de estas aplicaciones también es relevante. Flo, por ejemplo, llegó a un acuerdo con la Comisión Federal de Comercio de Estados Unidos en 2021 por acusaciones de que la empresa compartía información sensible del usuario con Meta, Google y otros después de prometer mantener los datos privados. Según Mozilla, las prácticas de Flo mejoraron dramáticamente ante esta crítica. Sin embargo, después de asegurar inicialmente sus datos, la política de privacidad de Flo se expandió para incluir nuevas asociaciones publicitarias con servicios operados por Google, Meta y otros, aunque nuevamente, los usuarios pueden desactivar esto con la configuración de privacidad.

Un portavoz de Flo dijo que el acuerdo de la FTC involucraba prácticas que terminaron hace cinco años y que la empresa no admitió irregularidades. Flo afirma que sus prácticas de privacidad y transparencia superan los estándares de la industria.

Una investigación de 2022 encontró listas de dispositivos individuales que utilizan Clue, Period Calendar y otras aplicaciones de seguimiento menstrual a la venta en línea. White dijo que los datos provenían del ecosistema de publicidad móvil, no de la aplicación de Clue, y que Clue "nunca ha vendido y nunca venderá datos de usuario a terceros".

Stardust inicialmente pareció prometer cifrado de extremo a extremo, que hace que los datos sean particularmente seguros y privados, pero la empresa eliminó estas referencias de su sitio web después de preguntas de reporteros. El portavoz de Stardust no abordó este punto.

Los riesgos de privacidad son particularmente preocupantes en el contexto de Estados Unidos, donde la Corte Suprema anuló las protecciones federales de aborto en 2022. Las fuerzas del orden ya han obtenido otros tipos de datos de empresas tecnológicas y los han utilizado para encarcelar a mujeres. Geoghegan señaló que "la gente está justificadamente preocupada, porque vivimos en un mundo que ha combinado la vigilancia ubicua con la criminalización del aborto".

Los problemas de privacidad también tienen otras consecuencias, según Geoghegan, como causar miedo y ansiedad que impiden que las personas utilicen herramientas destinadas a mejorar su salud. Los riesgos subrayan la necesidad de regulación en Estados Unidos, donde, a diferencia de Europa, no existe una ley nacional de privacidad.