Yksityisyyden suojaava kuukautiskalenteri Roe-päätöksen jälkeen

Ennen vuotta 2022, useimmat yhdysvaltalaiset käyttäjät eivät lukeneet kuukautiskierron seurantasovellusten tietosuojakäytäntöjä. Dobbs-päätöksen jälkeen moni luki, usein ensimmäistä kertaa. Kysymys ei ollut enää abstrakti: mitä tämä sovellus oikeastaan tallentaa, ja mitä noille tiedoille voisi tapahtua?

Tämä on tuoteopas, ei oikeudellinen neuvo. Se kertoo, mihin kannattaa kiinnittää huomiota, kun arvioit mitä tahansa kuukautiskalenteria. Se ei kuvaile, mikä on tai ei ole suojattu miltään tietyltä oikeudelliselta prosessilta. Jos sinulla on oikeudellisia huolia, keskustele asuinpaikkasi lainsäädäntöön perehtyneen lakimiehen kanssa.

Tämän pohjustuksen jälkeen tässä on, mitä kannattaa tarkistaa.

Lyhyesti

• 2022 Dobbs-päätöksen jälkeen yhdysvaltalaiset käyttäjät alkoivat lukea kuukautiskierron seurantasovellusten tietosuojakäytäntöjä ensimmäistä kertaa.
• Tässä oppaassa luetellaan seitsemän tuotekriteeriä minkä tahansa kuukautisseurannan arviointiin: AES-256-GCM-kuorisalaus käyttäjäkohtaisin avaimin, oikeus tietojen poistamiseen niin, että salausavain tuhotaan 24 tunnin kuluessa, ei lääketieteellisiä tai perhesuunnitteluun liittyviä väitteitä, ei kuukautisaiheista sisältöä push-ilmoituksissa, lainkäyttöalueen huomioiva tekstitys (yhdysvaltalaiset käyttäjät näkevät sanan ”body day” sanan ”period” sijaan), anonyymitilan vaihtoehto sekä GDPR:n 9 artiklan mukainen nimenomainen suostumus.
• Artikkelissa todetaan selvästi, että kyse on tuotekriteereistä, ei oikeudellisesta neuvonnasta – siinä ei kuvata, mikä on tai ei ole suojattu miltään tietyltä oikeudelliselta menettelyltä.

Mikä muuttui kehystyksessä, ei matematiikassa

Alla kuvatut kryptografiset ja ohjelmistokäytännöt ovat olleet olemassa jo vuosia. Dobbsin jälkeen muuttui näkyvyys. Käytännöt, jotka olivat ennen määrittelyn loppuviitteissä, ovat nyt sovelluksen etusivun lupauksia. Yksityisyyttä vakavasti ottavat sovellukset puhuvat niistä avoimesti; ne, jotka eivät ota, usein vaikenevat.

Tämän oppaan seitsemän kriteeriä ovat asioita, jotka yksityisyyttä kunnioittavan seurantasovelluksen tulisi pystyä toteamaan selkokielellä.

Seitsemän tarkistamisen arvoista kriteeriä

Käytännöllinen muistilista ennen kuin asennat minkään kiertokulun seurantasovelluksen. Tiukimmat sovellukset täyttävät kaikki seitsemän.

• AES-256-GCM-kuorisalaus. Jokaisella käyttäjällä on oma datan salausavain (DEK), jonka pääavain kääräisee avaintenhallintapalvelussa. Levyllä oleva data on salakirjoitusta; palvelinmurto paljastaa salakirjoituksen, ei luettavaa kiertokulkutietoa.
• Oikeus poistoon tuhoaa avaimen. Kun poistat tilisi, palveluntarjoaja tuhoaa DEK-avaimen, ei pelkkää tietokantariviä. Avaimen kadottua taustalla oleva salakirjoitus on pysyvästi lukukelvotonta, myös kaikissa varmuuskopioissa, jotka sen sisälsivät.
• 24 tunnin poistoaikaikkuna. Palveluntarjoaja sitoutuu kirjallisesti suorittamaan poiston 24 tunnin sisällä pyynnöstä, mukaan lukien tekoälyominaisuuksien käyttämät vektoriupotukset.
• Ei lääketieteellisiä väittämiä. Ei perhesuunnitteluennusteita, ei minkäänlaisia kliinisiä väittämiä, ei "RED day" -tekstejä. Kuluttajaseuranta, joka pysyy poissa lääketieteellisestä kehyksestä, kantaa paljon kapeampaa sääntely- ja tiedonantovastuuta.
• Ei kuukautissisältöä push-ilmoituksissa. Push-otsikot ja -leipätekstit eivät koskaan sisällä kiertokulkuun, kuukautisiin tai perhesuunnitteluun liittyvää sisältöä. Lukitusnäytön esikatselu on turvallinen.
• Maakohtaisuuden huomioiva teksti. Yhdysvaltalaiset käyttäjät näkevät oletuksena neutraalin sanaston ("body day", "log this"); sovellus ei oleta, että käyttäjä haluaa sanan "period" näkyviin.
• Nimenomainen, erikseen kerätty suostumus. GDPR:n artikla 9 on edellyttänyt tätä jo vuosia; Dobbs-päätöksen jälkeen yhdysvaltalaiset käyttäjät alkoivat pyytää samaa. Niputettu tai oletettu suostumus ei riitä.

Miksi salauksen yksityiskohdat todella merkitsevät

Osa yllä olevista kriteereistä kuulostaa tekniseltä. Ne ovat tärkeitä, koska ne vaikuttavat siihen, mitä on mahdollista palauttaa.

Jos palveluntarjoaja tallentaa kiertotiedot selkokielisinä, jokainen varmuuskopio, jokainen replika ja jokainen analytiikkaputki voi lukea ne. Poistopyyntö voi poistaa yksittäisen rivin, mutta tieto voi säilyä varmuuskopioissa kuukausia tai vuosia.

Jos palveluntarjoaja käyttää kuorisalausta käyttäjäkohtaisilla avaimilla, levyllä oleva tieto on lukukelvotonta ilman käyttäjän DEK-avainta. Kun DEK tuhotaan poiston yhteydessä, varmuuskopioihin jäävä salateksti on niin ikään lukukelvotonta, vaikka varmuuskopio palautettaisiin. Poisto on matemaattisesti todellinen, ei vain käyttöliittymässä näkyvä.

Tämä ei ole "murtovarma". Kryptografialla on rajansa, ja jokainen palveluntarjoaja, joka väittää tarjoavansa täydellistä turvallisuutta, on joko väärin informoitu tai valehtelee. Vahva salaus ja huolellinen avaintenhallinta tekevät yhden asian: ne määrittävät selkeän virhetilan. Tieto on lukukelvotonta niin kauan kuin avaimet ovat suojattuja, ja lukukelvotonta ikuisesti heti kun avaimet on tuhottu.

Mitä "ei kuukautissisältöä push-ilmoituksissa" oikeasti tarkoittaa

Lukitusnäytön esikatselu on hiljainen paljastuspinta. Sovellukset, jotka lähettävät push-viestin "Kuukautisesi alkavat huomenna", ovat paljastaneet kiertotietosi kenelle tahansa, joka vilkaisee puhelinta.

Vakavasti otettava seurantasovellus varmistaa CI:ssä, ettei push-ilmoituksissa ole kuukautissisältöä. Soulwisen koontiputki tarkistaa push-otsikoiden ja -tekstien merkkijonot kiellettyjen sanojen listaa vasten; mikä tahansa koonti, joka sisältää kuukautis- tai perhesuunnittelusisältöä push-ilmoituksessa, hylätään ennen julkaisua. Käyttäjä saa päivärituaaleihin liittyviä kehotteita, jotka sanovat esimerkiksi "Pehmeä aloitus. Mitä sinulla on tänään ohjelmassa?" – ei kiertovaihetta, ei viittausta kuukautisiin, ei lääketieteellistä kehystä.

Vain laitteella vs. salattu pilvi: valitse oma kompromissisi

Kaksi pätevää arkkitehtuuria, erilaiset uhkamallit.

Vain laitteella toimivat sovellukset (Drip, Euki). Tiedot ovat laitteellasi. Pilvessä ei ole kopiota, jota voitaisiin vaatia oikeuteen, mutta tietoja ei myöskään synkronoida laitteiden välillä ja tekoälyominaisuudet ovat rajalliset. Varmuuskopiointi on sinun vastuullasi; samoin laitteen varastaminen ja käyttöjärjestelmän varmuuskopiot (jotka voivat olla tai olla olematta salattuja käyttöjärjestelmän tasolla).

Salattua pilveä käyttävät sovellukset (Soulwise, Clue ja muut). Tiedot synkronoituvat laitteiden välillä ja mahdollistavat tekoälyominaisuudet. Yksityisyys riippuu palveluntarjoajan salaus- ja poistokäytännöistä. Uhkamalli olettaa pätevän palveluntarjoajan ja vahvan avaintenhallinnan.

Kumpikaan ei ole yleisesti "turvallisempi". Oikea vastaus riippuu siitä, mistä olet huolissasi. Vain laitteella toimiminen on vaikeampi valinta käyttökokemuksen kannalta ja yksinkertaisempi valinta tietojen leviämispinnan kannalta. Salattu pilvi on päinvastainen.

Mitä emme tietoisesti lupaa

Tässä on lista asioista, joihin sinun kannattaa suhtautua epäluuloisesti missä tahansa markkinointitekstissä:

• "Murtumaton." Mikään järjestelmä ei ole murtumaton. Jokainen, joka väittää näin, yrittää myydä sinulle jotain.
• "Tietosi ovat turvassa viranomaisilta." Tämä on oikeudellinen väite, ei tekninen. Tekninen väite on "tietosi salataan levossa ja avain tuhotaan poiston yhteydessä." Minkä tahansa tietyn menettelyn oikeudellisiin seurauksiin voi vastata vain lakimies.
• "100% turvallinen." Katso edellä. Turvallisuus on uhkamallien ominaisuus, ei absoluuttinen asia.
• "Taattu yksityisyys." Yksityisyys on käytäntö, ei takuu.

Soulwisen yksityisyyssitoumukset ovat konkreettisia ja todennettavissa. AES-256-GCM levossa. Käyttäjäkohtainen DEK, jonka KMS:n pääavain kietoo. 24 tunnin poisto, mukaan lukien vektoriupotukset. Ei kuukautissisältöä push-ilmoituksissa. GDPR:n 9 artiklan mukainen nimenomainen suostumus. Soulwisen yksityisyyssivu listaa jokaisen niistä siihen liittyvine teknisine viittauksineen.

Miksi tämä on tärkeää pahinta tapausta laajemmin

Dobbs-päätöksen jälkeinen keskustelu ohjaa ihmisiä miettimään kierronseurannan yksityisyyttä äärimmäisten tilanteiden kautta. Samat kriteerit ovat tärkeitä paljon tavallisemmissakin: puhelin on yhteinen kämppiksen kanssa, väkivaltainen kumppani lainaa laitetta, utelias työnantaja näkee ilmoituksen tai varmuuskopio päätyy perheen yhteiseen iCloud-tiliin.

Vahva yksityisyys oletuksena ei ole vain pahinta tapausta varten. Se on jokaista päivää varten.

Lyhyemmin: oikea sovellus on se, jonka yksityisyyslupaukset ovat täsmällisiä, testattavissa ja kerrottu selkeällä kielellä. Kysy miltä tahansa sovellukselta nuo seitsemän kriteeriä. Jos toimittaja ei osaa vastata napakasti, sekin on vastaus. Vertailun suosituimpaan vakiintuneeseen vaihtoehtoon löydät Flo'n vaihtoehto – yksityisyys edellä -oppaasta; samoista periaatteista seuraaviin osallistaviin oletuksiin voit tutustua artikkelissa Kierronseuranta muunsukupuolisille käyttäjille.

Usein kysytyt kysymykset

Onko tämä artikkeli oikeudellista neuvontaa?

Ei. Tämä on tuotekriteeristö kuluttajasovellusten arviointiin. Jos sinulla on tarkkoja oikeudellisia huolia kiertotiedoista, käänny lainkäyttöalueellasi toimiluvan saaneen asianajajan puoleen. Mikään tässä artikkelissa ei kuvaa, mikä on tai ei ole suojattu joltakin tietyltä oikeudelliselta prosessilta.

Miksi yksityisyyden näkökulma muuttui Dobbs-päätöksen jälkeen?

Vuoden 2022 Dobbs-päätös siirsi aborttisääntelyn takaisin yksittäisille Yhdysvaltain osavaltioille, joista useat rajoittavat tai kriminalisoivat nyt abortin tietyissä tilanteissa. Se muutti sen, miten ihmiset suhtautuvat kuukautis- ja raskaustietojen digitaalisiin jälkiin, ja teki kiertonseurannan yksityisyydestä monelle käyttäjälle tietoisen ostokriteerin ensimmäistä kertaa.

Mitä on "kuoriavausriippumaton salaus" (envelope encryption) ja miksi sillä on merkitystä?

Kuorisalaus kietoo jokaisen käyttäjän tietosalausavaimen (DEK) pääavaimen sisään, jota säilyttää avaintenhallintapalvelu. Käyttäjän tiedot levyllä on salattu hänen DEK-avaimellaan; palvelinmurto paljastaa salatekstin, ei luettavia kiertotietoja. DEK-avaimen tuhoaminen poiston yhteydessä tekee salatekstistä pysyvästi lukukelvotonta.

Ovatko vain laitteella toimivat seurantasovellukset turvallisempia kuin salatut pilviseurantasovellukset?

Erilaisia kompromisseja. Vain laitteella toimivat seurantasovellukset (Drip, Euki) pitävät tiedot laitteellasi, mikä rajoittaa altistumista pilvelle mutta ei suojaa itse laitetta. Salatut pilviseurantasovellukset (Soulwise) mahdollistavat synkronoinnin ja tekoälyominaisuudet sillä hinnalla, että luotat palveluntarjoajan salaus- ja poistokäytäntöihin. Kumpikaan ei ole yleisesti "turvallisempi" – kysymys on siitä, mikä uhka huolettaa sinua eniten.