Sötét kép az mHealth alkalmazások adatbiztonságáról
Egyre többen használnak okostelefonjukon egészségügyi applikációkat, azonban ezek nagy része nem védi megfelelően a felhasználók adatait. A rossz adatbiztonság akadályozhatja a klinikailag hasznos eszközök elterjedését is.
A JAMA-ban elemzés jelent meg arról, hogy milyen az Androidon alkalmazható diabétesz-applikációk adatvédelemmel kapcsolatos politikája (Privacy Policies of Android Diabetes Apps and Sharing of Health Information). Sarah Blenner és munkatársainak (Illinois Institute of Technology Chicago-Kent College of Law) tanulmánya jelentős biztonsági veszélyekre figyelmeztet.
Mint írják, 2012-es adatok szerint az okostelefon-használók egyötöde használ egészségügyi applikációkat, és ezek az appok érzékeny személyes adatokat, egészség- és betegségstátusszal, valamint beteg-compliance-szel kapcsolatos információkat közvetítenek az interneten, és juttatnak el igen nagy arányban harmadik félhez, ennek ellenére világszerte igen kevéssé vizsgálják ezen applikációk adatvédelmi politikáját és titoktartási nyilatkozataik minőségét.
Jelen vizsgálatban Blenner és munkatársai annak jártak utána, hogy az Androidon alkalmazható diabétesz-applikációknak milyen minőségű az adatvédelemmel kapcsolatos politikája. A kutatók a diabetes keresőszót alkalmazva azonosították valamennyi Google Play-en hozzáférhető diabétesz-applikációt (211 db), és elemezték titoktartási nyilatkozataik minőségét, továbbá egy random kiválasztott alcsoportjukat (65 db) installálták is, és meghatározták, hogy továbbítanak-e adatot harmadik félnek (olyan webszájt, ami nem áll az app fejlesztőjének direkt kontrollja alatt, pl. adat-aggregátorok és hirdetési hálózatok).
Az eredmények lesújtóak: a 211 diabétesz-applikáció 81%-a esetében semmilyen titoktartási–adatkezelési nyilatkozat nincsen, és csak négy app jelentette ki, hogy a felhasználó engedélyét kérik adatai megosztásához. Az adatátviteli elemzésben részt vett 65 applikáció túlnyomó többsége rutinszerűen megosztotta harmadik féllel a gyűjtött szenzitív egészségügyi információt (pl. inzulin- és vércukorszintek): 86%-uk használt netes tevékenységet figyelő nyomkövető sütiket (tracking cookie), és 76%-uk nem rendelkezett titoktartási nyilatkozattal. A 65 közvetlenül vizsgált applikációból 19 olyan volt, amelyik rendelkezett titoktartási nyilatkozattal és megosztott adatokat harmadik féllel, és közülük csak 11 applikáció közölte ezt a tényt, míg 8 applikáció meg sem említette titoktartási nyilatkozatában.
Az egyesült államokbeli kutatók kifejtik: sajnálatos módon az USA-ban sincs jogi védelem az ellen, hogy az orvosi-egészségügyi applikációk ki-, illetve eladják felhasználóik adatait harmadik félnek, és a vizsgálat tanúsága szerint a diabétesz-applikációk veszélyeztetik az adatbiztonságot, felhasználóik adatait megosztják harmadik féllel. A betegek tévesen azt hihetik, hogy egészségügyi adataikat bizalmasan kezelik, különösen akkor, ha az app rendelkezik titoktartási nyilatkozattal, azonban legtöbbször nem ez a helyzet. Az orvosoknak számításba kell venniük az adatvédelmi problémákat is, mielőtt egészségügyi applikációk használatára bíztatják pácienseiket.
Adatok a hirdetőknek
A BMC Medicine szabadon hozzáférhető tanulmánya nemcsak a diabétesz-applikációkat vizsgálja, hanem valamennyi egészségügyi és wellness-alkalmazást, és hasonlóan sötét képest fest az mHealth alkalmazások adatbiztonságáról (Unaddressed privacy risks in accredited health and wellness apps: a cross-sectional systematic assessment).
Szisztematikus áttekintésükben Kit Huckvale és munkatársai 79 olyan appot tanulmányoztak (gyűjtenek-e személyes információt, hol tárolják azt, hogyan továbbítják), amelyeket a nagy-britanniai National Health Service szervezete (UK NHS Health Apps Library) megvizsgált, és klinikailag biztonságosnak talált (a hivatal a gyártó cégek által benyújtott adatokból dolgozik, nem ellenőrzi azok valóságtartalmát, ahogy azt sem ellenőrzi, hogy a termék adatvédelemmel kapcsolatos megoldásai megfelelnek-e a törvényi előírásoknak).
Huckvale és munkatársai megállapítják: az appok 89%-a továbbít információt online szolgáltatóhoz. A helyben tárolt információt egyetlen app sem titkosítja, sőt az azonosító információt interneten továbbító applikációk 66%-a sem használ titkosítást és 20%-uk nem rendelkezik titoktartási nyilatkozattal (az összes app 67%-a rendelkezik valamilyen formában titoktartási nyilatkozattal – 53/79). Bár egyetlen app sem gyűjtött vagy továbbított olyan információt, amiről a titoktartási nyilatkozatában kijelentette, hogy nem fogja gyűjteni és továbbítani, azoknak az appoknak a 78%-a, amelyek rendelkeztek titoktartási nyilatkozattal és továbbítottak információt (38/49) nem közölte, hogy milyen személyes információt továbbít és hová. Négy applikáció az azonosító és egészségügyi adatokat egyaránt titkosítás nélkül továbbította. Az applikációk hatoda küldött információt hirdetőknek, marketingcégeknek és olyan adat-elemzőknek, akiket nem tüntettek fel az adatkezelési nyilatkozatban.
A tanulmány megállapításai szerint a legnagyobb veszélyt az jelenti, hogy a legtöbb app esetében lehetőség van a személyes adatok ellopására, holott az azonosított biztonsági problémák legtöbbje jól ismert, valamint megoldásuk nem igényel nagy technikai tudást. Minimális követelményként jó lenne, ha az akkreditáció során legalább azt ellenőriznék, hogy az appok adatvédelme legalább az információ-ipar saját standardjainak megfelel-e, szögezik le a kutatók.
