Dove vanno a finire i dati inseriti nelle app che tracciano il ciclo mestruale

Stardust, Flo, Clue, Spot On: un'indagine sulle app per il ciclo mestruale svela quali condividono i dati più intimi con Google, Meta e aziende sconosciute. Dietro le promesse di privacy si nasconde infatti un mercato di dati sanitari che vale miliardi e, che in certi casi, può mettere le donne a rischio. Tutti i dettagli

Le app che tracciano il ciclo mestruale sono usate ogni giorno da centinaia di milioni di donne, ma un’indagine della Mozilla Foundation pubblicata a metà luglio dimostra che non tutte proteggono davvero i dati che raccolgono. Su sei app testate, Stardust – popolare tra le utenti più giovani per il suo taglio astrologico – è risultata l’unica a condividere dati sanitari dettagliati con una società di analytics esterna, nonostante dichiari sul proprio sito che i dati restano privati. All’estremo opposto, Euki ha ottenuto il punteggio massimo per non condividere praticamente nulla con terzi. Nel mezzo si muove un settore, quello della “femtech”, che vale già oltre 40 miliardi di dollari e continua a crescere a doppia cifra.

COSA HA SCOPERTO L’INDAGINE DI MOZILLA

La ricercatrice Shoshana Wodinsky, in collaborazione con il Berkman Klein Center di Harvard e l’Università dell’Illinois, ha analizzato per mesi sei app molto diffuse: Euki, Clue, Flo, Period Calendar, Spot On (di Planned Parenthood) e Stardust. I punteggi assegnati vanno da un ottimo 10/10 per Euki fino a un preoccupante 2/10 per Stardust, passando per Clue (8/10), Flo (7/10), Period Calendar (6/10) e Spot On (5/10).

Secondo quanto riportato da Bbc, che ha avuto accesso in anteprima al report, Stardust invia dati come stato di gravidanza, tipo di contraccettivo, umore, consumo di alcol e sintomi specifici alla società RudderStack, non citata nella sua informativa sulla privacy. Non solo. Wired aggiunge un dettaglio inquietante: l’app comincerebbe a comunicare con i tracker di terze parti già all’apertura, prima ancora che l’utente inserisca qualsiasi informazione, e non offrirebbe alcun modo per disattivare la condivisione dei dati.

CHI SA CHE USI L’APP, ANCHE SENZA VEDERE I TUOI DATI SANITARI

Oltre ai dati clinici veri e propri, Bbc evidenzia un secondo livello del problema: la maggior parte delle app invia comunque informazioni di base – in pratica un identificativo che permette di riconoscere l’utente – a piattaforme pubblicitarie gestite da Google, Meta, Microsoft e TikTok, sfruttando il consenso “nascosto” nelle informative sulla privacy. Questi identificativi servono soprattutto per pubblicità mirata, e in certi casi permettono di seguire l’utente anche fuori dall’app.

Period Calendar, per esempio, invia a Google e alla società InMobi l’ID utente e dati sul dispositivo, senza possibilità di bloccarlo; Stardust condivide informazioni simili con Facebook e con AppsFlyer, ma qui la condivisione si può disattivare dalle impostazioni privacy del telefono; Spot On, quando l’utente apre il sito integrato nell’app, trasmette dati a Google, Microsoft, TikTok e Pinterest, di nuovo senza possibilità di impedirlo.

Anche se nessuno di questi dati riguarda direttamente sintomi o diagnosi, sapere semplicemente che una persona usa un’app di salute riproduttiva può bastare, secondo una fonte del settore privacy citata da Bbc, a indicare alle autorità dove cercare informazioni più sensibili.

LE RISPOSTE DELLE AZIENDE E I PRECEDENTI

Un portavoce di Stardust ha dichiarato che RudderStack viene usata solo come infrastruttura tecnica e che i dati condivisi non permetterebbero di risalire all’identità della persona. Ma secondo la Federal Trade Commission americana, un identificativo al posto del nome non basta a garantire un vero anonimato. Inoltre, non è la prima volta che Stardust finisce sotto accusa: TechCrunch ricorda che nel 2022 l’app dichiarava una crittografia end-to-end che un’analisi del traffico di rete ha poi smentito, portando la dicitura “criptato” a sparire silenziosamente dal marketing. Anche l’app Spot On di Planned Parenthood presenta criticità: pur non condividendo dati con terzi al suo interno, alcune funzioni aprono il sito dell’organizzazione in un browser meno sicuro, che secondo Bbc trasmette a un’azienda di analytics persino il tipo di prestazione sanitaria cercata dall’utente, comprese richieste relative a test HIV o cure di affermazione di genere.

UN PROBLEMA CHE VIENE DA LONTANO

Il caso Stardust si inserisce in un dibattito ben più ampio. Già un anno fa Il Post ricordava che una giuria californiana aveva condannato Meta per aver usato a scopo pubblicitario dati sulla salute riproduttiva acquistati dall’app Flo senza il consenso degli utenti, un caso nato nel 2021 come class action collettiva. Anche un’indagine del 2024 del King’s College London aveva analizzato venti app di fertilità e ciclo mestruale, scoprendo che tutte condividono dati con inserzionisti terzi – inclusi, in un caso, indirizzi di casa – ma solo in circa la metà dei casi lo ammettono chiaramente. Il modello di business, del resto, si regge in gran parte proprio sulla vendita o condivisione di questi dati, oltre che su abbonamenti e pubblicità.

UN’ALTRA FORMA DI SORVEGLIANZA

Ma il problema non è solo pubblicitario. Dal ribaltamento della sentenza Roe v. Wade negli Stati Uniti, gli esperti temono che i dati dei period tracker possano finire in mano alle forze dell’ordine in stati dove l’aborto è vietato. Alcuni datori di lavoro includono queste app nei benefit aziendali, aprendo la porta a un possibile controllo sulle dipendenti. Per le persone trans, poi, la semplice presenza di un’app di questo tipo sul telefono può rivelare involontariamente informazioni sensibili. Come ha sottolineato un’esperta di privacy interpellata da Bbc, questi dati possono intrecciarsi con altre forme di sorveglianza fino a diventare estremamente rivelatori.

(Giulia Alfieri su StartMag del 08/08/2026)