פרטיות

בהתחשב בהרגלי איסוף הנתונים הלא בריאים של כמה אפליקציות mHealth, מומלץ לנהוג בזהירות כשאתה בוחר עם מי אתה משתף חלק מהנתונים הרגישים ביותר שלך

פיל מונקסטר

במרץ 19 2024
 • 
,
5 דקות לקרוא

בכלכלה הדיגיטלית של היום יש אפליקציה כמעט לכל דבר. תחום אחד שפורח יותר מרובם הוא שירותי הבריאות. ממעקבי תקופה ופוריות ועד לבריאות נפשית ומיינדפולנס, יש יישומי בריאות ניידים (mHealth) זמינים כדי לעזור כמעט בכל מצב. למעשה, זה שוק שכבר חווה צמיחה דו ספרתית, ואמור להיות שווה מוערך 861 מיליארד דולר עד 2030.

אבל כשאתה משתמש באפליקציות האלה, ייתכן שאתה משתף כמה מהנתונים הרגישים ביותר שיש לך. למעשה, ה GDPR מסווג מידע רפואי כנתוני "קטגוריה מיוחדת", כלומר הוא עלול "ליצור סיכונים משמעותיים לזכויות היסוד ולחירויותיו של הפרט" אם ייחשף. זו הסיבה שהרגולטורים מחייבים ארגונים לספק הגנות נוספות עבורו.

למרבה הצער, לא כל מפתחי האפליקציות מתחשבים בטובת המשתמשים שלהם, או שתמיד יודעים כיצד להגן עליהם. הם עשויים לחסוך באמצעי הגנת מידע, או שלא תמיד להבהיר לגבי כמה מהמידע האישי שלך הם חולקים עם צדדים שלישיים. עם זאת בחשבון, בואו נסתכל על סיכוני הפרטיות והאבטחה העיקריים של שימוש ביישומים אלה, וכיצד תוכלו להישאר בטוחים.

מהם סיכוני הפרטיות והאבטחה העיקריים של אפליקציית הבריאות?

הסיכונים העיקריים בשימוש באפליקציות mHealth מתחלקים לשלוש קטגוריות: אבטחת מידע לא מספקת, שיתוף נתונים מוגזם ומדיניות פרטיות מנוסחת גרועה או מתחמקת במכוון.

1. דאגות אבטחת מידע

אלה נובעים לעתים קרובות מכך שמפתחים לא מצליחים לציית לכללי השיטות הטובות ביותר בנושא אבטחת סייבר. הם יכולים לכלול:

• אפליקציות שאינן נתמכות עוד או שאינן מקבלות עדכונים: ייתכן שלספקים אין תוכנית גילוי/ניהול של פגיעות, או שיתעניינו מעט בעדכון המוצרים שלהם. תהיה הסיבה אשר תהיה, אם התוכנה לא תקבל עדכונים, זה אומר שהיא עשויה להיות מלאת נקודות תורפה שתוקפים יכולים לנצל כדי לגנוב את הנתונים שלך.
• פרוטוקולים לא מאובטחים: אפליקציות המשתמשות בפרוטוקולי תקשורת לא מאובטחים עלולות לחשוף את המשתמשים לסיכון של האקרים שיירטו את הנתונים שלהם במעבר מהאפליקציה לשרתי הקצה האחורי או הענן של הספק, שם הם מעובדים.
• ללא אימות רב-גורמי (MFA): רוב השירותים המכובדים כיום מציעים MFA כדרך לחזק את האבטחה בשלב הכניסה. בלעדיה, האקרים יכולים להשיג את הסיסמה שלך באמצעות דיוג או הפרה נפרדת (אם תעשה שימוש חוזר בסיסמאות באפליקציות שונות) ולהיכנס כאילו הם אתה.
• ניהול סיסמאות לקוי: לדוגמה, אפליקציות המאפשרות למשתמשים לשמור על סיסמאות ברירת המחדל של היצרן, או להגדיר אישורים לא מאובטחים כגון "passw0rd" או "111111". זה משאיר את המשתמש חשוף למילוי אישורים ולנסיונות אכזריים אחרים לפצח את החשבונות שלו.
• אבטחה ארגונית: ייתכן שלחברות אפליקציות יהיו בקרות ותהליכי אבטחה מוגבלים בסביבת אחסון הנתונים שלהן. זה יכול לכלול הכשרה לקויה של מודעות המשתמש, מוגבל נגד תוכנות זדוניות וזיהוי נקודות קצה/רשת, ללא הצפנת נתונים, בקרות גישה מוגבלות וללא תהליכי ניהול פגיעות או תגובה לאירועים. כל אלה מגדילים את הסיכוי שהם עלולים לסבול מפרצת מידע.

2. שיתוף נתונים מוגזם

מידע בריאותי של משתמשים (PHI) עשוי לכלול פרטים רגישים ביותר על מחלות המועברות במגע מיני, הוספת חומרים או מצבים סטיגמטיים אחרים. אלה עשויים להימכר או לשתף לצדדים שלישיים, לרבות מפרסמים לשיווק ומודעות ממוקדות. בין הדוגמאות ציינה על ידי מוזילה הם ספקי mHealth ש:

• לשלב מידע על משתמשים עם נתונים שנרכשו מברוקרי נתונים, אתרי מדיה חברתית וספקים אחרים כדי לבנות פרופילי זהות מלאים יותר,
• אל תאפשר למשתמשים לבקש מחיקה של נתונים ספציפיים,
• להשתמש במסקנות שנעשו לגבי משתמשים כאשר הם ממלאים שאלוני הרשמה ששואלים שאלות חושפניות על נטייה מינית, דיכאון, זהות מגדרית ועוד,
• לאפשר קובצי Cookie של הפעלה של צד שלישי המזהים ועוקבים אחר משתמשים באתרים אחרים כדי להציג מודעות רלוונטיות,
• לאפשר הקלטת הפעלה, המנטרת את תנועות העכבר של המשתמש, גלילה והקלדה.

3. מדיניות פרטיות לא ברורה

ייתכן שחלק מספקי mHealth לא יהיו מעודכנים לגבי חלק מפרהלי הפרטיות שלעיל, משתמשים בשפה מעורפלת או מסתירים את הפעילויות שלהם באותיות הקטנות של התנאים וההגבלות. זה יכול לתת למשתמשים תחושת ביטחון/פרטיות מזויפת.

מה החוק אומר

• GDPR: חוק הדגל של אירופה להגנה על מידע הוא די חד משמעי לגבי ארגונים המטפלים בקטגוריה מיוחדת של PHI. מפתחים צריכים לערוך הערכות השפעה על הפרטיות, לעקוב אחר העקרונות של הזכות למחיקה ולמזעור נתונים, ולנקוט "אמצעים טכניים מתאימים" כדי להבטיח ש"אמצעי ההגנה הדרושים" יהיו אפויים, כדי להגן על נתונים אישיים.
• HIPAA: אפליקציות mHealth המוצעות על ידי ספקים מסחריים לשימוש על ידי אנשים אינן מכוסות על ידי HIPAA, מכיוון שספקים אינם "ישות מכוסה" או "שותף עסקי." עם זאת, חלקם - ודורשים אמצעי הגנה אדמיניסטרטיביים, פיזיים וטכניים מתאימים, כמו גם שנתי ניתוח סיכונים.
• CCPA ו-CMIA: לתושבי קליפורניה יש שני סעיפי חקיקה המגינים על אבטחתם ופרטיותם בהקשר של mHealth: חוק הסודיות של מידע רפואי (CMIA) וחוק פרטיות הצרכן של קליפורניה (CCPA). אלה דורשים סטנדרט גבוה של הגנה על נתונים והסכמה מפורשת. עם זאת, הם חלים רק על תושבי קליפורניה.

נקיטת צעדים כדי להגן על הפרטיות שלך

לכל אחד יהיה תיאבון סיכון שונה. חלקם ימצאו את ההחלפה בין שירותים/פרסום מותאמים אישית לפרטיות כזו שהם מוכנים לעשות. ייתכן שאחרים לא יטרידו אם נתונים רפואיים מסוימים נפרצו או יימכרו לצדדים שלישיים. זה עניין של מציאת האיזון הנכון. אם אתה מודאג, שקול את הדברים הבאים:

• בצע את המחקר שלך לפני ההורדה. ראה מה משתמשים אחרים אומרים ואם יש דגלים אדומים מסוקרים מהימנים
• הגבל את מה שאתה משתף באמצעות האפליקציות האלה והנח שכל מה שאתה אומר עשוי להיות משותף
• אל תחבר את האפליקציה לחשבונות המדיה החברתית שלך ואל תשתמש בהם כדי להיכנס. זה יגביל את הנתונים שניתן לשתף עם חברות אלה
• אל תיתן הרשאה לאפליקציות כדי לגשת למצלמת המכשיר, למיקום וכו'.
• הגבל את מעקב המודעות בהגדרות הפרטיות של הטלפון שלך
• השתמש תמיד ב-MFA היכן שמוצע וצור סיסמאות חזקות וייחודיות
• שמור על האפליקציה בגרסה העדכנית ביותר (המאבטחת ביותר).

מאז הפך רו נגד ווייד, הוויכוח על פרטיות mHealth קיבל תפנית מדאיגה. כמה העלו את האזעקה שניתן להשתמש בנתונים של עוקבי התקופה בתביעות נגד נשים המבקשות להפסיק את הריונן. עבור מספר הולך וגדל של אנשים שמחפשים אפליקציות mHealth המכבדות פרטיות, ההימור לא יכול להיות גבוה יותר.