隐私保护处方：使用移动健康应用时需谨慎

隐私政策

鉴于某些移动医疗应用程序存在不健康的数据收集习惯，我们强烈建议您在选择与谁共享一些最敏感数据时谨慎行事

菲尔·芒卡斯特

19 Mar 2024
 • 
,
5分钟读

在当今的数字经济中，几乎所有事情都有一个应用程序。医疗保健是最蓬勃发展的领域之一。从经期和生育追踪器到心理健康和正念，移动健康 (mHealth) 应用程序几乎可以帮助解决任何问题。事实上，这个市场已经经历了两位数的增长，并且价值不菲。 估计 861：2030亿美元。

但在使用这些应用程序时，您可能会共享您拥有的一些最敏感的数据。事实上， GDPR 分类 医疗信息被视为“特殊类别”数据，这意味着如果披露它可能“对个人的基本权利和自由造成重大风险”。这就是监管机构要求组织为其提供额外保护的原因。

不幸的是，并非所有应用程序开发人员都考虑到用户的最大利益，或者始终知道如何保护他们。他们可能会吝惜数据保护措施，或者他们可能并不总是 讲清楚 他们与第三方分享了多少您的个人信息。考虑到这一点，让我们看一下使用这些应用程序的主要隐私和安全风险，以及如何保持安全。

最重要的健康应用程序隐私和安全风险是什么？

使用移动医疗应用程序的主要风险分为三类：数据安全性不足、数据共享过度以及措辞不当或故意回避隐私政策。

1. 数据安全问题

这些通常源于开发人员未能遵循网络安全最佳实践规则。它们可能包括：

• 不再受支持或不接收更新的应用程序：供应商可能没有适当的漏洞披露/管理计划，或者对更新其产品兴趣不大。无论出于何种原因，如果软件没有收到更新，则意味着它可能充满漏洞，攻击者可以利用这些漏洞窃取您的数据。
• 不安全协议：使用不安全通信协议的应用程序可能会让用户面临黑客拦截其数据从应用程序传输到提供商后端或云服务器（在其中进行处理）的风险。
• 无多重身份验证 (MFA)：当今大多数信誉良好的服务都提供 MFA 作为增强登录阶段安全性的一种方式。如果没有它，黑客可以通过网络钓鱼或单独的违规行为（如果您在不同的应用程序中重复使用密码）获取您的密码，并像您一样登录。
• 密码管理不善：例如，应用程序允许用户保留出厂默认密码，或设置不安全的凭据，例如“passw0rd”或“111111”。这使得用户面临撞库和其他暴力尝试破解其帐户的风险。
• 企业安全：应用程序公司在自己的数据存储环境中也可能拥有有限的安全控制和流程。这可能包括用户意识培训不佳、反恶意软件和端点/网络检测有限、没有数据加密、访问控制有限以及没有到位的漏洞管理或事件响应流程。这些都增加了他们遭受数据泄露的可能性。

2. 过多的数据共享

用户的健康信息 (PHI) 可能包括有关性传播疾病、物质添加或其他污名化状况的高度敏感的详细信息。这些可能会出售或共享给第三方，包括用于营销和定向广告的广告商。示例中 Mozilla 注意到 移动医疗提供商是否：

• 将用户信息与从数据经纪人、社交媒体网站和其他提供商处购买的数据相结合，以构建更完整的身份资料，
• 不允许用户请求删除特定数据，
• 使用用户在填写注册调查问卷时做出的推论，这些调查问卷询问有关性取向、抑郁、性别认同等的揭示性问题，
• 允许第三方会话 cookie 识别和跟踪其他网站上的用户以提供相关广告，
• 允许会话记录，监视用户鼠标移动、滚动和打字。

3、隐私政策不明确

一些移动医疗提供商可能不会坦率地说明上述某些隐私做法，使用含糊的语言或在条款和条件的小字中隐藏其活动。这可能会给用户一种安全/隐私的错误感觉。

什么法律说

• GDPR： 欧洲的旗舰数据保护法对于处理特殊类别 PHI 的组织非常明确。开发者需要进行隐私影响评估，遵循删除权和数据最小化原则，并采取“适当的技术措施”以确保“必要的保障措施”得到落实，以保护个人数据。
• HIPAA： 商业供应商提供的供个人使用的移动医疗应用程序不受 HIPAA 保护，因为供应商不是“涵盖实体“ 或者 ”商业伙伴”。然而，有些是——并且需要适当的行政、物理和技术保障措施，以及年度 风险分析.
• CCPA 和 CMIA： 加州居民有两项立法保护其在移动医疗背景下的安全和隐私：《医疗信息保密法》(CMIA) 和《加州消费者隐私法》(CCPA)。 这些需求 高标准的数据保护和明确同意。然而，它们仅适用于加利福尼亚人。

采取措施保护您的隐私

每个人都会有不同的风险偏好。有些人会发现他们愿意在个性化服务/广告和隐私之间做出权衡。如果某些医疗数据被泄露或出售给第三方，其他人可能不会担心。这是为了找到适当的平衡。如果您担心，请考虑以下事项：

• 下载之前先进行研究。看看其他用户怎么说，以及是否有来自可信评论者的任何危险信号
• 限制您通过这些应用程序分享的内容，并假设您所说的任何内容都可能被分享
• 请勿将应用程序连接到您的社交媒体帐户或使用它们登录。这将限制可以与这些公司共享的数据
• 不授予应用程序权限 访问您设备的摄像头、位置等。
• 在手机的隐私设置中限制广告跟踪
• 始终使用提供的 MFA 并创建强而独特的密码
• 使应用程序保持最新（最安全）版本

自从罗伊诉韦德案被推翻以来，关于移动医疗隐私的争论发生了令人担忧的转变。一些 已拉响警报 来自经期追踪器的数据可用于起诉寻求终止妊娠的妇女。对于越来越多寻求尊重隐私的移动医疗应用程序的人来说，风险再大不过了。