您的健康数据在预约应用程序中会发生什么?隐私指南
发现预约应用程序如何处理您的健康数据。数据收集、存储和第三方共享的综合隐私指南。
作者:Paul - 专门从事医疗实践软件和患者体验的医疗保健技术顾问。
您下载了一个预约跟踪应用程序。它请求访问您的日历、照片、位置。您接受是因为应用程序看起来很有用。您上传预约确认的屏幕截图。应用程序处理它、提取详细信息、将其添加到您的日历。很方便。
但您的健康数据刚刚发生了什么?
包含您医生姓名、正在治疗的病症、保险信息的屏幕截图——它去了哪里?它存储在公司服务器上吗?是否被机器学习系统分析?会用于广告定位吗?与数据经纪人共享?您不知道。
大多数使用健康应用程序的人不了解他们的数据会发生什么。他们假设隐私政策保护他们。他们相信医疗保健应用程序是安全的。他们相信公司负责任地处理健康信息。
这些假设通常是错误的。健康应用程序经常收集、存储和共享超出用户意识的信息,保护也少于用户假设的。
了解您的健康数据在预约应用程序中实际会发生什么可以帮助您就使用哪些应用程序以及如何保护您的隐私做出明智的选择。
预约应用程序收集什么数据?
大多数预约应用程序收集的远不止预约详细信息。
明显的数据收集:
- 预约日期和时间
- 医疗服务提供者名称和专业
- 医疗设施的位置
- 准备说明
- 您输入的病史
- 保险信息
不太明显的数据收集:
- 设备标识符(广告ID、设备ID)
- 位置数据(当前位置、位置历史记录)
- 联系人列表
- 应用程序内的使用模式
- 您设备上的其他应用程序
- 您上传的屏幕截图中的照片元数据
- 网络信息
- 有关您设备的系统信息
这种元数据收集在后台静默进行。您认为您只是输入预约。应用程序正在收集您、您的设备和您行为的详细资料。
仔细审查应用程序权限。当核心功能不需要这些权限时,请求访问联系人、位置或照片的应用程序正在收集超出声明目的的数据。
收集的数据去哪里?
一旦收集,您的健康数据通常会流向多个目的地。
公司服务器: 大多数应用程序将您的数据上传到应用程序公司运营的服务器。这些服务器"安全地"(据说)存储您的信息并在您的设备之间同步它。
云服务提供商: 应用程序通常不运营自己的服务器。他们使用AWS、Google Cloud或Microsoft Azure的云托管。您的数据位于这些科技巨头运营的基础设施上。
分析服务: 应用程序通常集成Google Analytics、Mixpanel或Amplitude等分析平台来跟踪用户行为。您的预约模式和应用程序使用流向这些第三方服务。
广告网络: 免费或广告支持的应用程序与广告平台共享数据以进行定位。即使"匿名化"的数据也有助于构建用于广告的资料。
数据汇总商: 一些健康应用程序将"去标识化"或"汇总"数据出售给医疗保健研究公司、制药公司或数据经纪人。
合作伙伴服务: 具有合作伙伴集成的应用程序与这些合作伙伴共享数据。日历集成、保险验证者、远程医疗平台——每个合作伙伴都获得您的一些数据。
您的信息不仅仅停留在应用程序公司。它分散在第三方生态系统中。为什么您的医疗保健数据应该保留在您的设备上解释了替代方法。
数据如何存储?
应用程序之间的存储方法差异很大,并显著影响隐私。
静态加密: 好的应用程序加密存储的数据,因此如果服务器被破坏,数据不会立即可读。但加密密钥由公司控制,允许他们(以及任何有权访问密钥的人)解密。
端到端加密: 更好的应用程序使用端到端加密,只有您持有解密密钥。即使公司想要,也无法读取您的数据。很少有健康应用程序实施真正的端到端加密。
未加密或弱加密: 一些应用程序以弱加密或无加密方式存储数据。违规会立即暴露所有内容。
备份系统: 数据被备份——有时到多个位置,有时在您删除帐户后维护多年。这些备份可能与主存储具有不同的安全性。
大多数隐私政策对确切的存储方法含糊不清。"我们使用行业标准加密"并不能告诉您加密是否强大、是否正确实施或是否提供有意义的保护。了解设备端AI显示了本地处理如何消除这些存储风险。
数据保留多长时间?
许多健康应用程序无限期保留您的数据,除非您明确请求删除——即使那样,删除可能也不完整。
活跃帐户保留: 当您使用应用程序时,您的数据显然会被保留。这是预期的。
删除后保留: 删除帐户后,许多应用程序出于"业务目的"、"法律合规"或"分析"而保留数据。这个保留期可能是几个月或几年。
备份保留: 删除的数据可能保留在备份系统中。一些公司维护多年前的备份。您"删除的"数据可能仍然存在于档案中。
汇总数据保留: 即使删除了个人数据,从您的信息派生的汇总或匿名数据也可能被永久保留。
仔细阅读隐私政策以了解保留语言。查找特定的"数据保留"或"数据删除"部分,并验证具有时间表的明确删除承诺(例如,"在帐户关闭后30天内删除"),而不是像"只要必要就保留"这样的模糊承诺。记录您找到的特定政策部分以供将来参考。
谁可以访问您的数据?
多方可能访问您的健康数据,每方都有不同的动机和可信度。
应用程序公司员工: 开发人员、客户支持、数据科学家和高管可能出于各种目的访问用户数据。公司声称访问是有限和受监控的,但您无法验证这一点。
服务提供商: 应用程序使用的云托管、分析服务、支付处理器和其他供应商可能有权访问您的数据。
法律请求: 政府机构、执法部门、民事诉讼可以强迫公司提供用户数据。这种情况发生的频率比大多数人意识到的要高。
收购方: 如果应用程序公司被收购,您的数据将转移到具有可能不同隐私做法的新所有者。
黑客: 尽管有安全措施,违规仍会定期发生。当应用程序被破坏时,攻击者访问所有内容。
数据合作伙伴: 应用程序共享或出售数据的公司可以访问共享的内容,构建自己的资料和数据库。
您对谁实际访问您的数据或如何使用它的可见性有限。
数据如何共享或出售?
"我们不出售您的数据"是隐私政策中的常见声明。这通常在技术上是真实的,但毫无意义。
公司可能不会直接出售数据,但会:
- 为了相互利益与合作伙伴共享数据
- 将数据授权给研究组织
- 向广告商提供数据以进行定位(无需直接付款)
- 内部使用数据开发新产品或服务
- 汇总数据并出售汇总分析
隐私政策使用谨慎的语言来隐藏数据共享。查找诸如以下短语:
- "与合作伙伴共享"
- "第三方服务提供商"
- "用于研究的汇总数据"
- "改进我们的服务"
- "合法的业务目的"
这些模糊的短语涵盖了用户不期望或不了解的广泛数据共享。
一些健康应用程序更透明,明确列出接收数据的每个第三方。这些应用程序很少见,但值得寻找。
"去标识化"数据的神话
许多应用程序声称他们只共享"去标识化"或"匿名化"数据,暗示这可以保护隐私。这在很大程度上是虚假的保证。
去标识化通常涉及删除明显的标识符,如姓名和ID。但研究反复证明,"匿名化"的健康数据通常可以通过与其他数据集交叉引用而重新识别。
您的预约模式——您看到哪些专家、多久一次、在哪些设施——通常足够独特,可以识别您,即使没有姓名。结合诸如邮政编码或年龄之类的公共信息,去标识化提供的保护很少,而没有有意义的保护。
一些复杂的匿名化技术可以保护隐私。但大多数应用程序使用基本的去标识化,提供虚假的安全感,而没有有意义的保护。
不要相信"匿名化"数据共享的声明。它通常不如所述的那样匿名。
应用程序更新期间会发生什么?
应用程序更新会改变功能——但它们也会改变隐私做法。
更新可能:
- 添加共享更多数据的新第三方集成
- 更改分析提供商
- 修改数据保留政策
- 引入需要额外权限的新功能
- 更改具有不同隐私影响的服务条款
大多数用户自动接受更新,而不审查更改。隐私政策可能同时更新,在用户不注意的情况下减少保护。
如果可能,启用手动应用程序更新。在更新之前审查更改的内容,特别是对于处理敏感健康信息的应用程序。
当公司被收购或关闭时
应用程序公司被收购、合并或倒闭。在这些转换期间,您的数据会发生什么?
收购: 您的数据通常转移到收购公司。他们的隐私做法——可能更糟——现在适用于在以前的政策下收集的数据。
合并: 来自多个应用程序的数据可能会被合并,创建比任何单个应用程序拥有的更全面的资料。
关闭: 当公司倒闭时,用户数据通常作为资产出售或转移给收购方。您可能不会收到通知。
隐私政策通常为这些情况保留权利。您同意您的数据可以转移到具有不同做法的新所有者。
评估应用程序隐私做法
您如何评估特定应用程序中您的健康数据实际发生的情况?
批判性阅读隐私政策: 寻找具体承诺,而不是模糊承诺。注意提到的所有第三方。检查数据保留期。
审查应用程序权限: 请求超出其核心功能的权限的应用程序可能正在收集额外数据。质疑为什么预约应用程序需要位置、联系人或麦克风访问。
检查公司声誉: 研究公司的历史。他们有违规吗?消极地改变了政策?因隐私问题而被调查?
寻找透明度: 更好的公司清楚地解释他们收集什么数据、它去哪里、保留多长时间以及谁可以访问它。
优先考虑开源: 开源应用程序允许安全研究人员验证隐私声明。闭源应用程序需要信任。
考虑商业模式: 免费应用程序以某种方式货币化——通常通过数据。付费应用程序不太有动机利用用户数据。
评估加密: 应用程序使用端到端加密吗?谁持有加密密钥?加密是否正确实施?
关于预约应用程序要问的问题
在使用应用程序处理健康数据之前,请问:
- 我的数据存储在哪里?(他们的服务器、我的设备或两者?)
- 谁可以访问我存储的数据?
- 删除帐户后数据保留多长时间?
- 我的数据是与第三方共享还是出售给第三方?
- 如果公司被出售,我的数据会发生什么?
- 数据是否加密,谁持有加密密钥?
- 应用程序在没有互联网连接的情况下工作吗?(如果是,建议本地处理)
- 是否有隐私认证或审计?
- 我可以导出我的数据吗?
- 我可以永久删除我的数据吗?
如果应用程序公司无法或不愿意清楚地回答这些问题,那就是一个危险信号。门户网站隐私问题显示了当隐私没有被优先考虑时会发生什么。
设备端替代方案
最私密的选择是在您的设备上处理所有内容而没有云存储的应用程序。
设备端应用程序:
- 仅在您的设备上存储数据
- 在本地处理信息
- 永远不要将任何内容上传到服务器
- 即使公司被破坏也保持私密
- 允许您通过简单卸载来删除
- 不为共享或出售创建数据
设备端处理消除了大多数隐私问题。您的数据永远不会离开您的控制。没有要破坏的服务器。没有员工访问您的信息。没有与合作伙伴的数据共享。
这种方法牺牲了一些便利(跨设备没有自动同步)以获得实质性的隐私收益。
保护自己
使用健康应用程序时,采取措施限制数据暴露:
- 最小化输入的信息——只有必要的
- 尽可能使用在本地处理的应用程序
- 定期审查和限制应用程序权限
- 对非必要字段使用虚假信息
- 使用完应用程序后删除帐户
- 帐户关闭后请求数据删除
- 避免将健康应用程序链接到社交媒体帐户
- 应用程序必须传输数据时使用VPN
请记住,完全的隐私保护可能意味着不使用某些应用程序。有时,隐私最优选择是使用不收集数据的更简单、不太方便的工具。为什么隐私优先的医疗保健工具很重要解释了这一理念。
监管保护(有限)
健康应用程序隐私在大多数司法管辖区的监管不力。
美国的HIPAA仅适用于医疗保健提供者及其业务伙伴——不直接适用于消费者健康应用程序。一些健康应用程序声称符合HIPAA,但这通常仅限于他们如何处理从受保实体接收的信息,而不是他们如何处理用户提供的数据。
欧洲的GDPR围绕同意、数据访问和删除权提供更强的保护。但即使在GDPR下,确定您的健康数据在应用程序中究竟发生了什么仍然很困难。
不要假设法规会保护您。它们提供公司必须满足的最低要求——而不是全面保护。
底线
您的健康数据在预约应用程序中会发生什么?通常比您想要的更多,比您被告知的更少。
数据被广泛收集、集中存储、长期保留、由多方访问、与合作伙伴共享,并可能以您不期望且无法控制的方式出售或分析。
隐私政策使用模糊的语言来隐藏这些做法。公司将数据收集定位为功能所必需的,而实际上它通常为他们的商业利益服务。
您最好的保护是仔细选择应用程序、了解他们的做法,并优先考虑首先不收集数据的设备端解决方案。
您的健康信息过于敏感,不能随意信任。在应用程序处理您的数据之前,了解您的数据会发生什么。
常见问题
健康预约应用程序必须遵循HIPAA隐私规则吗? 通常不是。HIPAA适用于医疗保健提供者、保险公司及其业务伙伴——不直接适用于消费者健康应用程序。连接到您患者门户网站的应用程序可能是受HIPAA约束的"业务伙伴",但大多数独立预约应用程序不受保护。应用程序可以声称"符合HIPAA"作为营销术语,而没有有意义的法律义务。这意味着预约应用程序通常比您假设的隐私保护更少。
如果我删除帐户,我的健康数据实际上是从应用程序的服务器中删除的吗? 不一定。许多应用程序在帐户删除后出于"业务目的"、"分析"或"法律合规"而保留数据。备份系统可能会维护副本几个月或几年。从您的信息派生的"汇总"或"匿名化"数据可能被永久保留。仔细阅读隐私政策的数据保留部分。更好的应用程序提供明确的删除承诺;模糊的应用程序可能无限期保留数据。
预约应用程序可以将我的健康信息出售给广告商或数据经纪人吗? 可能是的,尽管声称他们"不出售数据"。应用程序可能与广告合作伙伴共享数据以进行定位,将"去标识化"数据授权给研究公司或制药公司,或向数据经纪人提供汇总分析。隐私政策使用谨慎的语言:"与合作伙伴共享"或"用于研究的汇总数据"通常意味着数据流向可能货币化的第三方。消费者健康应用程序的限制远少于HIPAA覆盖的实体。
我如何判断预约应用程序是在本地处理数据还是将其发送到服务器? 将手机置于飞行模式并测试应用程序。如果核心功能离线工作,处理可能是本地的。注意:在任何首次运行下载完成后执行此测试,并注意某些操作系统可能通过豁免允许有限的连接——此测试是指示性的,但不是确定的证明。检查隐私政策以查找诸如"设备端处理"或"在您的手机上本地处理数据"等短语。不要依赖权限列表,而是测试应用程序是否在飞行模式下运行并验证开发人员的数据处理披露,因为iOS和Android通常在安装应用程序后允许网络访问。大应用程序大小(20MB+)建议设备端AI模型。需要持续互联网的小应用程序可能使用云处理。
如果应用程序公司被出售或倒闭,我的预约数据会发生什么? 您的数据通常转移到收购公司或新所有者,他们可能有完全不同的隐私做法。隐私政策通常保留此权利:您的数据被视为在收购或破产期间转移的公司资产。您可能不会收到通知。使用设备端应用程序,无论公司发生什么,您的数据都保留在您的设备上——本地处理的另一个主要优势。
相关文章
想知道您的预约数据会发生什么?使用Appointment Adder即将推出的设备端处理,您的数据永远不会离开您的手机——永远。没有服务器,没有共享,没有暴露。在appointmentadder.com免费试用