개인정보가 가장 안전한 생리 앱 — 무엇이 실제로 지켜 주는지

개인정보가 가장 안전한 생리 앱은 애초에 내 데이터를 갖지 않는 앱이에요. 모든 것을 기기에 두고, 계정이 필요 없고, 내 주기가 담긴 네트워크 요청을 하지 않는 앱은 그것을 흘리거나 팔거나 넘기도록 요구받을 수 없어요. 회사가 믿을 만해서가 아니라, 줄 것이 어디에도 없기 때문이에요. 다른 모든 종류의 개인정보 약속은 앞으로의 행동에 대한 약속이고, 약속은 그 회사가 계속 같은 회사로 남아 있는지에 기대요.

약속과 구조 사이의 그 구분이 이 글의 전부예요. 아래의 모든 것은 그 구분이 왜 중요한지에 대한 증거이거나, 지금 받고 있는 게 어느 쪽인지 가리는 방법이에요.

생리 앱이 나에 대해 볼 수 있는 것

생리 앱은 한 사람의 삶을 유난히 온전하게 담아요. 날짜만이 아니에요. 출혈, 통증, 기분, 성관계, 피임, 복용 약, 수면, 체중, 임신을 준비하고 있는지, 그만뒀는지까지요. 임신이나 유산, 진단, 관계를 추론하기에 충분하고, 주변 사람들이 알기 전인 경우도 많아요. 평범한 사람이 지니는 가장 민감한 데이터 가운데 하나인데, 우리 대부분은 가입 절차에서 그걸 넘겨줘요.

그게 문제인지 아닌지는 전적으로 그다음에 어디로 가느냐에 달려 있어요. 이 시장에는 세 가지 구조가 있고, 서로 비슷하지도 않아요.

• 기기에만. 앱이 휴대폰 안의 데이터베이스에 써요. 계정도, 동기화도, 서버도 없어요. 뚫릴 것도, 팔 것도, 소환할 것도, 회사가 팔렸을 때 물려받을 것도 없어요.
• 기기에 두고 클라우드에 백업. 누군가의 서버에 사본이 있고, 대개 저장 시 암호화돼 있고, 대개 계정 뒤에 있어요. 키는 회사가 갖고 있어요. 회사가 — 또는 회사에 강제할 수 있는 누구든 — 읽을 수 있다는 뜻이에요.
• 서버가 먼저. 휴대폰은 회사가 가진 데이터베이스를 들여다보는 창이에요. 가장 흔한 모델이에요. 동기화, 웹 접속, 집계 데이터로 돌아가는 기능, 그리고 광고를 가능하게 하니까요.

세 번째 모델에 본래 정직하지 않은 점은 없어요. 그저 다른 판돈일 뿐이에요. 내 데이터가 존재하는 내내 그 회사의 방침과 보안, 인수자들, 그리고 그 회사가 활동하는 관할권에 거는 거예요.

규제 당국이 실제로 확인한 것

여기서는 조심할 필요가 있어요. 이 주제는 근거보다 열기를 더 많이 끌어들이거든요. 아래는 공개 문서가 있는 공식 조치로만 한정했고, 표현이 중요해요.

2021년 1월 미국 연방거래위원회(FTC)는 널리 쓰이는 가임 관리 앱의 개발사와 합의했다고 발표했어요. FTC의 소장은 그 회사가 이용자의 건강 데이터를 비공개로 지키겠다고 약속하면서 외부 분석 업체에 제공했다고 주장했어요. 회사는 주장을 인정하지도 부인하지도 않은 채 합의했고, 앞으로 건강 정보를 공유하기 전에 명시적 동의를 받기로 했어요. FTC 자신의 소장에 있는 내용이라 덧붙이자면, 데이터를 받은 분석 업체들은 아무 혐의도 받지 않았고 그 데이터에 건강 정보가 들어 있다는 말을 듣지 못했어요.

2023년 5월 FTC는 한 배란 관리 앱의 개발사를 이용자의 민감한 개인정보를 제3자와 공유하고 이를 알리지 않아 Health Breach Notification Rule을 위반했다는 이유로 제소했어요. 그 사안도 합의 명령으로 끝났고, 이번에도 회사는 인정하지도 부인하지도 않았으며, 10만 달러의 민사 제재금이 붙었어요.

집행 조치 두 건이 한 산업에 대한 판결은 아니고, 정직한 균형추가 같은 문단에 있어야 해요. 영국 정보위원회(ICO)가 2024년에 생리·가임 앱을 살펴봤을 때 심각한 준수 문제나 피해의 증거는 확인되지 않았다고 보고하면서, 개발사들에 개인정보를 우선하라고 촉구했어요. 영국에서 생리 앱에 대한 집행 조치는 없었어요.

건강 앱 전반의 더 넓은 그림은 덜 편안해요. 동료 심사를 거친 건강 앱 스코핑 리뷰는 살펴본 앱 대부분 — 스물셋 중 스물 — 이 이용자 데이터를 제3자와 공유했다고 밝혔어요. 이 장르가 속한 분야가 그렇고, 특정한 이름에 대해 최악을 가정하는 대신 구조를 물어야 하는 이유가 그거예요.

법은 아마 생각보다 덜 지켜 줘요

대부분은 앱 안의 건강 데이터가 의료 개인정보 보호법의 적용을 받는다고 생각해요. 미국에서는 대체로 그렇지 않아요. FTC 자신의 안내가 분명히 말해요. 사람들의 건강 정보를 수집하는 많은 회사 — 피트니스 트래커, 식단 앱, 통신 기능이 있는 혈압계 — 는 HIPAA의 적용을 받지 않아요. HIPAA는 의료 제공자와 보험, 그 위탁업체를 규율해요. 내가 직접 찾아서 내려받은 앱은 대개 그중 어느 것도 아니에요.

적용되는 건 일반 소비자 보호법이에요. FTC법, 그리고 건강 데이터를 다루는 앱이 권한 없이 제공된 경우 이용자에게 알리도록 요구하는 Health Breach Notification Rule이요. 진짜 보호이고, 위의 두 조치 모두 그에 근거해 이뤄졌어요. 그리고 나중에 알려 주는 것에 대한 규칙이기도 한데, 데이터가 애초에 휴대폰을 벗어나지 않는 것과는 다른 종류의 보호예요.

약속인가, 구조인가

개인정보 처리방침을 충분히 읽다 보면, 그것들이 명확하게 쓰이기보다 참이 되게 쓰인다는 걸 알게 돼요. "우리는 데이터를 팔지 않아요"는 광고를 위해 공유하는 것과 함께 있을 수 있어요. 공유는 판매가 아니니까요. "데이터는 암호화돼 있어요"는 보통 전송 구간, 그리고 회사가 복호화할 수 있는 서버에 저장된 상태에서의 암호화를 뜻해요. "믿을 수 있는 파트너와 공유할 수 있어요"가 실제로 일을 하는 문장이고, 그 파트너의 이름은 절대 나오지 않아요.

이 중 어느 것도 반드시 거짓말은 아니에요. 회사가 어떻게 행동하려 하는지에 대한 약속이고, 약속에는 의도와 아무 상관 없는 세 가지 고장 방식이 있어요. 회사가 인수되어 새 주인의 방침이 적용되는 것, 회사가 뚫리는 것, 법원이 회사에 강제하는 것이에요. 약속은 그중 어느 것도 견디지 못해요. 데이터가 애초에 기기를 떠나지 않은 구조는 셋 다 견뎌요. 새 주인도 공격자도 법원도 닿을 사본이 없으니까요.

물어볼 만한 질문은 "그들이 공유할까?"가 아니라 "원하거나 강제당한다면 그들이 공유할 수 있을까?"예요.

어떤 생리 앱이든 따져 보는 일곱 가지 질문

이 목록은 5분쯤이면 돌려 볼 수 있어요. 대부분 앱의 스토어 소개와 개인정보 처리방침에서요. 날짜 하나 입력하기 전에요.

1. 계정 없이 쓸 수 있나요? 계정은 데이터가 내 휴대폰이 아닌 곳에 살 수 있게 하려고 있어요. 이메일도 가입 벽도 없이 곧바로 기록 화면이 열린다면, 내가 아무것도 입력하기 전에 구체적인 무언가를 말해 준 거예요.
2. 비행기 모드에서 작동하나요? 연결을 끄고 하루 써 보세요. 전부 그대로 된다면 — 기록하기, 예측, 지난 기록 — 계산이 기기에서 일어나고 있는 거예요. 멈춘다면 아니고요.
3. 방침에 건강 데이터가 따로 이름 붙어 있나요? 좋은 방침은 내 주기 데이터를 오류 로그나 사용 분석과 구분해요. 두루뭉술한 방침은 전부를 "우리가 수집하는 정보"로 묶고, 흥미로운 부분은 그 틈에 숨어요.
4. 제3자가 이름으로 적혀 있나요, 분류로 적혀 있나요? "분석 파트너"는 무엇이든 뜻할 수 있어요. 회사 이름을 적은 방침이라야 실제로 확인할 수 있어요.
5. 회사가 팔리면 어떻게 되나요? 거의 모든 방침에 이 조항이 있고 거의 아무도 읽지 않아요. 보통 내 데이터가 사업과 함께 넘어간다고 쓰여 있고, 그게 위의 모든 것을 조용히 덮어써요.
6. 전부를, 내가 읽을 수 있는 형식으로 내보낼 수 있나요? 이게 출구예요. 자기 가치에 자신 있는 앱은 지난 기록을 들고 떠나게 해 줘요. 내 데이터를 붙잡아 두는 앱은 그 데이터를 어떻게 여기는지 이미 말한 거예요.
7. 앱을 지우면 데이터도 지워지나요? 기기에만 두는 앱은 그래요. 다른 곳이 없으니까요. 계정 기반 앱은 지우면 휴대폰의 사본이 사라지고 서버의 사본은 남아요. 서버 사본을 콕 집어 말하는 앱 안의 삭제 기능을 찾아보세요.

시간을 재 가며 돌리면 그 목록은 내 휴대폰에서 직접 해 보는 10분짜리 점검이 되고, 앱이 애초에 무엇을 담고 있는가는 생리 앱이 실제로 수집하는 것에서 답해요. 그 뒤에 어디로 갈 수 있는지에 대한 지도를 원한다면 내 생리 데이터를 볼 수 있는 사람이에요.

방침에 물을 질문은 아니지만 확인할 만한 게 둘 더 있어요. 첫째, 앱에 잠금이 있는지 — PIN이나 Face ID요. 생리 기록이 남에게 읽히는 가장 흔한 방식이 잠금이 풀린 내 휴대폰을 집어 드는 거니까요. 둘째, 알림이 잠금 화면에 무엇을 말하는지요. 도움이 되는 알림은 동시에 공지이기도 하니까요.

"광고 없음, 구독 없음, 계정 없음"은 실제로 얼마나 값진가

이 세 표현은 검색에서 한 덩어리로 묶이는데, 떼어 놓을 가치가 있어요.

광고 없음이 가장 중요해요. 광고가 데이터를 공유할 이유를 만드는 사업 모델이니까요. 광고로 먹고사는 앱은 나에게서 멀어지는 쪽을 가리키는 유인을 가져요. 한 번의 구매나 선택적 업그레이드로 먹고사는 앱은 그렇지 않고요.

구독 없음은 개인정보가 아니라 비용에 대한 이야기이고, 둘은 때로 서로 당겨요. 광고도 구독도 없는 무료 앱도 어떻게든 비용을 대야 하고, 어떻게 대는지 묻는 건 정당해요.

계정 없음은 유인이 아니라 구조를 바꾸는 것이고, 그래서 위 목록의 첫 질문이에요.

Athena는 어디에 서 있나요

Athena는 이 사이트가 존재하는 이유인 앱이에요. It is on the App Store and Google Play. 이 사이트에서 파는 건 없고, 가입할 것도 없어요. 아래는 앱이 어떻게 만들어졌는지에 대한 서술이고, 그걸 맞춰 볼 대상은 앱 자체예요.

이 페이지의 첫 번째 구조로 만들어졌어요. 생리와 증상, 메모, 체온은 휴대폰 안의 비공개 데이터베이스에 쓰여요. 예측은 기기에서 계산돼요. 계정이 없으니 로그인할 것도 없고, 뚫리거나 팔리거나 넘어갈 서버 위의 것도 없어요. 전부 내보낼 수 있고, 앱을 지우면 데이터도 지워져요. 두 번째 사본이 없으니까요. 이 전부를 확인하는 방법은 두 번째 질문이에요. 연결을 끄고 멈추는 게 있는지 보세요.

그동안 이 사이트의 도구들은 기록 없이 계산을 해 줘요. 생리 주기 길이 계산기는 시작일 몇 개로 내 평균과 그 퍼짐을 읽어 주고, 생리 예정일 계산기는 그걸 날짜가 아니라 범위로 바꿔 줘요. 소프트웨어를 아예 믿고 싶지 않다면 인쇄용 생리 달력이 종이 한 장을 만들어 줘요. 동기화될 수도, 뚫릴 수도, 누가 달라고 할 수도 없는 종이요.

세 페이지가 사람들이 실제로 검색창에 치는 앱들에 이 확인 목록을 적용해요. Clue 대신 쓸 앱과 Flo 대신 쓸 앱은 각 회사가 스스로 공개한 내용으로 쓰였고, 첫 생리 앱 고르기는 열세 살이고 앱을 한 번도 써 본 적 없는 독자를 위해 같은 일을 해요.