O rețetă pentru protecția vieții private: Fiți precauți când utilizați o aplicație de sănătate mobilă

Privacy

Având în vedere obiceiurile nesănătoase de culegere de date ale unor aplicații mHealth, vă recomandăm să mergeți cu atenție atunci când alegeți cu cine partajați unele dintre cele mai sensibile date.

Phil Muncaster

19 Mar 2024
 • 
,
5 min. citit

În economia digitală actuală, există o aplicație pentru aproape orice. Un domeniu care este în plină expansiune mai mult decât majoritatea este asistența medicală. De la instrumente de urmărire a menstruației și a fertilității până la sănătate mintală și mindfulness, există aplicații mobile de sănătate (mHealth) disponibile pentru a ajuta aproape orice afecțiune. De fapt, este o piață care se confruntă deja cu o creștere de două cifre și care urmează să merite un estimat 861 miliarde de dolari până în 2030.

Dar atunci când utilizați aceste aplicații, ați putea partaja unele dintre cele mai sensibile date pe care le dețineți. De fapt, cel GDPR clasifică informațiile medicale ca date de „categorie specială”, ceea ce înseamnă că ar putea „crea riscuri semnificative pentru drepturile și libertățile fundamentale ale individului” dacă sunt divulgate. De aceea, autoritățile de reglementare impun organizațiilor să ofere protecție suplimentară.

Din păcate, nu toți dezvoltatorii de aplicații au în vedere interesul superior al utilizatorilor lor sau știu întotdeauna cum să-i protejeze. Ei pot zgâri cu măsurile de protecție a datelor sau nu întotdeauna face clar în ceea ce privește cantitatea de informații personale pe care le partajează cu terțe părți. Având în vedere acest lucru, haideți să aruncăm o privire la principalele riscuri de confidențialitate și securitate ale utilizării acestor aplicații și cum puteți rămâne în siguranță.

Care sunt cele mai importante riscuri pentru confidențialitatea și securitatea aplicației de sănătate?

Principalele riscuri ale utilizării aplicațiilor mHealth se împart în trei categorii: securitate insuficientă a datelor, partajare excesivă a datelor și politici de confidențialitate prost formulate sau evazive în mod deliberat.

1. Preocupări privind securitatea datelor

Acestea provin adesea din faptul că dezvoltatorii nu respectă regulile de bune practici privind securitatea cibernetică. Acestea ar putea include:

• Aplicații care nu mai sunt acceptate sau care nu primesc actualizări: este posibil ca furnizorii să nu aibă un program de gestionare/dezvăluire a vulnerabilităților sau să fie puțin interesați de actualizarea produselor lor. Indiferent de motiv, dacă software-ul nu primește actualizări, înseamnă că poate fi plin de vulnerabilități pe care atacatorii le pot exploata pentru a vă fura datele.
• Protocoale nesigure: aplicațiile care folosesc protocoale de comunicații nesigure pot expune utilizatorii riscului ca hackerii să le intercepteze datele în tranzit de la aplicație către serverele de back-end ale furnizorului sau cloud, unde sunt procesate.
• Fără autentificare multi-factor (MFA): cele mai multe servicii de renume astăzi oferă MFA ca o modalitate de a consolida securitatea în etapa de conectare. Fără aceasta, hackerii ar putea să vă obțină parola prin phishing sau printr-o încălcare separată (dacă reutilizați parolele în diferite aplicații) și să se conecteze ca și cum ar fi dvs.
• Gestionare slabă a parolelor: de exemplu, aplicații care permit utilizatorilor să păstreze parole implicite din fabrică sau să stabilească acreditări nesigure, cum ar fi „passw0rd” sau „111111”. Acest lucru îl lasă pe utilizator expus la umplerea acreditărilor și la alte încercări de forță brută de a-și sparge conturile.
• Securitatea întreprinderii: companiile de aplicații pot avea, de asemenea, controale și procese de securitate limitate în propriul mediu de stocare a datelor. Aceasta ar putea include o pregătire slabă de conștientizare a utilizatorilor, anti-malware limitată și detectarea punctelor finale/rețelei, lipsa de criptare a datelor, controale limitate de acces și lipsa proceselor de gestionare a vulnerabilităților sau de răspuns la incidente. Toate acestea cresc șansele de a suferi o breșă de date.

2. Partajarea excesivă a datelor

Informațiile de sănătate ale utilizatorilor (PHI) pot include detalii extrem de sensibile despre bolile cu transmitere sexuală, adăugarea de substanțe sau alte afecțiuni stigmatizate. Acestea pot fi vândute sau partajate unor terți, inclusiv agenților de publicitate pentru marketing și reclame direcționate. Printre exemple remarcat de Mozilla sunt furnizori de mHealth care:

• combina informațiile despre utilizatori cu datele cumpărate de la brokerii de date, site-urile de social media și alți furnizori pentru a construi profiluri de identitate mai complete,
• nu permiteți utilizatorilor să solicite ștergerea anumitor date,
• Folosește inferențe făcute despre utilizatori atunci când acceptă chestionare de înscriere care pun întrebări revelatoare despre orientarea sexuală, depresie, identitatea de gen și multe altele;
• permite cookie-urilor de sesiune terță parte care identifică și urmăresc utilizatorii pe alte site-uri web pentru a difuza reclame relevante,
• permite înregistrarea sesiunii, care monitorizează mișcările mouse-ului utilizatorului, derularea și tastarea.

3. Politici de confidențialitate neclare

Este posibil ca unii furnizori de mHealth să nu fie sinceri cu privire la unele dintre practicile de confidențialitate de mai sus, folosind un limbaj vag sau ascunzându-și activitățile în caracterele mici ale T&C. Acest lucru poate oferi utilizatorilor un fals sentiment de securitate/confidențialitate.

Ce spune legea

• GDPR: Legea emblematică a Europei privind protecția datelor este destul de clară cu privire la organizațiile care gestionează PHI de categorie specială. Dezvoltatorii trebuie să efectueze evaluări ale impactului asupra confidențialității, să urmeze principiile privind dreptul la ștergere și minimizarea datelor și să ia „măsuri tehnice adecvate” pentru a se asigura că sunt incluse „garanțiile necesare”, pentru a proteja datele personale.
• HIPAA: Aplicațiile mHealth oferite de furnizorii comerciali pentru utilizare de către persoane fizice nu sunt acoperite de HIPAA, deoarece vânzătorii nu sunt un „entitate acoperită” sau ”asociat de afaceri.” Cu toate acestea, unele sunt și necesită garanții administrative, fizice și tehnice adecvate, precum și o perioadă anuală Analiza riscurilor.
• CCPA și CMIA: Rezidenții din California au două acte legislative care le protejează securitatea și confidențialitatea într-un context mHealth: Legea privind confidențialitatea informațiilor medicale (CMIA) și Legea privind confidențialitatea consumatorilor din California (CCPA). Acestea cer un standard ridicat de protecție a datelor și consimțământ explicit. Cu toate acestea, ele se aplică doar californilor.

Luați măsuri pentru a vă proteja confidențialitatea

Fiecare va avea un apetit pentru risc diferit. Unii vor găsi schimbul dintre serviciile/publicitatea personalizate și confidențialitate unul pe care sunt dispuși să îl facă. Alții ar putea să nu fie deranjați dacă unele date medicale sunt încălcate sau vândute către terți. Este vorba despre găsirea echilibrului potrivit. Dacă sunteți îngrijorat, luați în considerare următoarele:

• Cercetați-vă înainte de a descărca. Vedeți ce spun alți utilizatori și dacă există semnale roșii din partea recenzenților de încredere
• Limitați ceea ce distribuiți prin aceste aplicații și presupuneți că orice spuneți poate fi distribuit
• Nu conectați aplicația la conturile de rețele sociale și nu le folosiți pentru a vă conecta. Acest lucru va limita datele care pot fi partajate cu aceste companii
• Nu acordați permisiunea aplicațiilor pentru a accesa camera dispozitivului, locația etc.
• Limitați urmărirea anunțurilor în setările de confidențialitate ale telefonului dvs
• Folosiți întotdeauna MFA acolo unde este oferit și creați parole puternice și unice
• Păstrați aplicația pe cea mai recentă versiune (cea mai sigură).

De când Roe vs Wade a fost răsturnată, dezbaterea privind confidențialitatea mHealth a luat o turnură îngrijorătoare. niste au tras un semnal de alarmă că datele de la urmăritorii menstruației ar putea fi folosite în urmărirea penală împotriva femeilor care doresc să-și întrerupă sarcina. Pentru un număr tot mai mare de persoane care caută aplicații mHealth care să respecte confidențialitatea, miza nu ar putea fi mai mare.