Blogi

Kuukautissovellukset ja nimenomainen suostumus: Millä ehdoilla intiimejä tietojamme jaetaan?

Kuukautissovellukset keräävät käyttäjiltään yksityisiä tietoja esimerkiksi seksin harrastamisesta ja mielialavaihteluista, mutta niiden tietosuojakäytännöt eivät täytä yleisen tietosuoja-asetuksen standardeja. Käyttäjiltä pitäisi pyytää tietojen käsittelyä varten nimenomainen suostumus arkaluonteisten tietojen käsittelyyn. Tutkitut sovellukset eivät sellaista vaatineet.

Jatkuvasti kehittyvä teknologia kerää ja jakaa yhä enemmän tietoa elämästämme esimerkiksi tarkkailemalla, mittaamalla ja arvioimalla kehoamme, fyysistä kuntoamme ja terveyttämme. Terveydentilaa mittaavat myös kuukautisten, hedelmällisyyden ja raskauden seurantaan keskittyvät sovellukset, jotka ovat kasvattaneet valtavasti suosiotaan viime vuosina erityisesti nuorten keskuudessa.

Kuukautissovellukset tarjoavat käyttäjille palvelun, jolla voi seurata omaa lisääntymis- ja seksuaaliterveyttä. Tällaisen seurannan tavoitteena voi olla esimerkiksi vähentää tai lisätä mahdollisuuksia tulla raskaaksi.

Samalla sovellukset keräävät hyvin intiimejä tietoja käyttäjistään. Kuukautisiin liittyvien tietojen lisäksi tietoja kerätään usein esimerkiksi yhdynnöistä ja asennoista, itsetyydytyksestä, orgasmeista, raskaudenkeskeytyksistä, unesta, stressistä, fyysisistä oireista sekä mielialasta.

Suuri osa sovelluksista käyttää samalla liiketoimintamalleja, joilla tuotetaan tuloja käyttäjien henkilötietojen myynnistä. Ne toimivat osana digitaalisen aikakauden markkinoita, joilla ihmisiltä kerättyjä henkilötietoja käytetään valuuttana. Tämä tarkoittaa, että sovelluksen tarjoajilla, analytiikkayrityksillä ja muilla kolmansilla osapuolilla on ihmisistä intiimejä yksityiskohtia, joita he eivät ehkä edes halua jakaa läheisten ystäviensä kanssa.

Henkilötietoja käytetään hyväksi erityisesti mainonnassa: jos käyttäjä yrittää tulla raskaaksi, näytetyt mainokset saattavat olla hedelmällisyysklinikoiden mainoksia ja raskaana olevalle käyttäjälle suunnataan äitiys- ja vauvatuotteiden mainoksia. Henkilötietojen jakaminen ja myynti on huolestuttavaa, koska käyttäjät jakavat erittäin intiimejä tietoja itsestään luottaen sovellusten turvallisuuteen.

Käyttäjän suostumus ja tietosuojalainsäädäntö

Tietojen kerääminen ja käsittely edellyttää lain mukaan pääsääntöisesti käyttäjän antamaa suostumusta. Eurooppalainen tietosuojalainsäädäntö ei ole kehittänyt erityistä kantaa nimenomaan kuukautissovelluksiin, mutta henkilötietojen käsittelyä on säännelty tarkoin. Henkilötietojen käsittelyn sääntelyn tarkoituksena on muun muassa yksityisyyden ja henkisen koskemattomuuden suojaaminen.

Euroopan unionin (EU) yleinen tietosuoja-asetus General Data Protection Regulation (GDPR) sisältää tarkat säännökset henkilötietojen käsittelyn oikeusperustasta, joista yksi on suostumus. Suostumus tarkoittaa GDPR:n määritelmän mukaan mitä tahansa vapaaehtoista, yksilöityä, tietoista ja yksiselitteistä tahdonilmaisua, ”jolla rekisteröity hyväksyy henkilötietojensa käsittelyn antamalla suostumusta ilmaisevan lausuman tai toteuttamalla selkeästi suostumusta ilmaisevan toimen”. Velvollisuus noudattaa asetusta on kaikilla yrityksillä, jotka käsittelevät Euroopan unionissa sijaitseviin ihmisiin liittyviä henkilötietoja.

Kuukautissovellusten käsittelemä tieto koskee käyttäjien seksuaali- ja lisääntymisterveyttä. Tällaiset intiimit ja erityisen arkaluontoiset tiedot kuuluvat GDPR:n 9 artiklassa säänneltyihin ”erityisiin henkilötietoryhmiin”, joita ei pääsääntöisesti saa käsitellä ollenkaan.

Poikkeuksia sallitaan vain tietyillä ehdoilla, esimerkiksi jos rekisteröity on antanut nimenomaisen suostumuksensa kyseisten henkilötietojen käsittelyyn yhtä tai useampaa tiettyä tarkoitusta varten. Nimenomainen suostumus voidaan antaa esimerkiksi lähettämällä sähköpostia, antamalla suullinen lausunto tai lataamalla skannattu allekirjoitus, jolla henkilö nimenomaisesti ilmoittaa suostuvansa arkaluonteisten ja intiimien tietojen käsittelyyn.

Tietosuojakäytännöt usein epämääräisiä

Mutta täytetäänkö oikeudelliset standardit käytännössä? Tutkimme joitakin markkinoiden suosituimpia kuukautissovelluksia ja sitä, miten ne käsitteellistävät suostumuksen. Tutkimme erityisesti sovellusten tietosuojakäytäntöjä, mutta sovellukset myös ladattiin ja niitä käytettiin. Kaikki seitsemän tutkittua sovellusta ovat maksuttomia, ja niitä on ladattu yli miljoona kertaa Google Play -kaupan kautta. Tutkitut sovellukset olivat Clue (palveluntarjoajalta BioWink), Period Tracker (Simple Design Ltd), Flo: Period Tracker (Flo Health), Period Tracker (Leap Fitness Group), Period Tracker (GP International LLC), Period Calendar, Cycle Tracker (SimpleInnovation) ja Period Tracker (Amila).

Kun kuukautissovelluksia tutkittiin Euroopan oikeudellisten normien ja erityisesti GDPR:n valossa, huomattiin, että rekisteröidyn suostumuksen ja nimenomaisen suostumuksen pätevyyteen liittyvät käytännöt eivät yleensä täytä edes vähimmäisvaatimuksia. Niiden tietosuojakäytäntöjen perusteella on usein epäselvää, millaisia henkilötietoja sovellukset käsittelevät ja mahdollisesti jakavat kolmansille osapuolille. Esimerkiksi SimpleInnovationin sovelluksen tietosuojakäytäntö toteaa epämääräisesti, että sovelluksen kautta automaattisesti kerätyt tiedot saattavat sisältää käyttötietoja, metatietoja ja reaaliaikaisia tietoja laitteen sijainnista.

Mahdollisia kolmansia osapuolia yksilöidään harvoin riittävällä tavalla. Kun kolmansien osapuolten henkilöllisyys ja yksityiskohdat henkilötietojen tarkoituksesta, käytöstä sekä käsiteltyjen tietojen luonteesta jäävät määrittelemättömiksi ja ilmoittamatta, annettua suostumusta tuskin voidaan pitää tietoisena, yksilöitynä tai yksiselitteisenä. Kun suostumusta pyydettiin, vaihtoehtoina oli usein vain tietosuojakäytäntöjen hyväksyminen tai hylkääminen kokonaisuudessaan.

Milloin suostumus on vapaaehtoinen?

Vaikka jotkin tutkituista sovelluksista pyysivät nimenomaisesti käyttäjien suostumusta henkilötietojen käsittelyyn, oli myös yleistä, että tällainen suostumus oletettiin. Kolmessa tutkituista sovelluksista käyttäjän suostumus oletettiin. Simple Designin ja Leap Fitness Groupin sovelluksissa käytettiin ennalta rastitettuja ruutuja, ja GP Internationalin sovellus puolestaan oletti käyttäjän antavan suostumuksen luodessaan tilin.

Oletetun suostumuksen ei voida katsoa täyttävän GDPR:n vaatimuksia yksiselitteisestä suostumuksesta. Sitä ei voi saada valmiiksi rastitettujen ruutujen kautta, vaan sen on oltava rekisteröidyn aktiivisen valinnan tulos. Rekisteröidyn hiljaisuutta tai passiivisuutta ei voida tulkita hyväksymisen merkiksi. Siksi sovellukset, jotka eivät pyytäneet suostumusta, eivät noudata EU:n tietosuojalainsäädäntöä tältä osin.

Monien sovellusten käytön edellytys on suostua henkilötietojen käsittelyyn ja jopa näiden tietojen jakamiseen kolmansien osapuolten kanssa. Esimerkiksi GP Internationalin sovellus tarjosi käyttäjälle mahdollisuuden rajoittaa tietojen jakamista kolmansille osapuolille, mutta ei mahdollisuutta kieltää sitä kokonaan. Palvelun tarjoamisen sitominen suostumukseen jakaa tietoa kolmansille osapuolille jättää käyttäjälle kaksi vaihtoehtoa: joko olla käyttämättä sovellusta ollenkaan tai suostua henkilötietojen jakamiseen.

GDPR:n mukainen pätevän suostumuksen vaatimus on, että suostumus annetaan vapaaehtoisesti. Suostumusta voidaan pitää vapaaehtoisena vain silloin, jos rekisteröidyllä on todellinen kontrolli ja mahdollisuus valita, antaako jakaa henkilötietojaan. Tilanteessa, jossa palvelun tarjoamisen edellytyksenä on suostumus tietojen jakamiseen kolmansille osapuolille, suostumusta ei voida pitää vapaaehtoisesti annettuna.

Aito ja pätevä suostumus?

Vaikka kaikki tutkituista sovelluksista käsittelevät intiimejä henkilötietoja, yksikään niistä ei vaadi nimenomaista suostumusta tai erityisiä toimia käyttäjiltään varmistaakseen, että he ovat ymmärtäneet sovelluksen sopimusehdot ennen suostumuksen antamista. Tutkitut sovellukset edustavat vain muutamaa suosituimmista kuukautissovelluksista. On todennäköistä, että ongelma ei rajoitu tutkittuihin sovelluksiin, tai edes kuukautissovelluksiin. Samantyyppisiä ongelmia näkyy todennäköisesti monien terveyttä koskevien sovelluksien kohdalla. Se herättää vakavaa huolta, täyttävätkö sovellukset arkaluonteisten tietojen käsittelyä koskevat EU:n tietosuojalainsäädännön oikeudelliset vaatimukset. Tilanne herättää myös kysymyksiä siitä, kuinka hyvin suostumus ja nimenomainen suostumus toimivat oikeudellisina standardeina.

Digitaalisilla markkinoilla digitaalinen syrjäytyminen on usein ainoa vaihtoehto sopimusten ehtoihin suostumiselle. Sovellusten käyttäjät ovat mahdollisesti lukeneet ehdot ja ymmärtäneet ne, mutta todennäköisemmin eivät ole.

Jos käyttäjä suostuu intiimien henkilötietojensa jakamiseen vain voidakseen käyttää kuukautissovellusta, kuinka vapaaehtoisena tällaista valintaa voidaan pitää? Kuinka aito ja pätevä tällainen suostumus on?

***

Tämän artikkelin kirjoittajat ovat Daniela Alaattinoğlu (OTT) ja Saara Monthan (ON). Artikkeli perustuu käsikirjoitukseen ”Rethinking Explicit Consent and Intimate Data: The Case of Menstruapps”.


Kirjoitus on julkaistu Ilmiössä.