经期App，把你的数据送给了谁

奇点社区 ｜ 发表时间：2026-10-13 ｜ 栏目：个人信息保护

一个号称"数据只留给你自己"的经期与受孕追踪 App，最终把用户的生理周期、妊娠意图、身体症状一股脑传给了广告与分析公司。这件事里没有外部破坏者，系统也未遭外力破坏，问题的根源不在别处，就在它自己埋进 App 的那几行第三方代码里。

Flo Health 运营着全球使用量极大的经期与受孕追踪应用，月活数以千万计。用户在其中记录周期起止、症状表现、是否在尝试受孕、妊娠状态。据美国联邦贸易委员会（FTC）的指控与命令文件，Flo 把带有 "Pregnancy""R_Pregnancy_Week_Chosen" 这类字样的"应用事件"通过第三方分析工具，发给了 Facebook、Google、Flurry、Fabric、AppsFlyer 等接收方。公司对外承诺健康信息不会被分享，实际上却把带着健康含义的事件名一路传出。《华尔街日报》在 2019 年 2 月披露此事，次日 Flo 才停手。2021 年 1 月，FTC 正式定案。

两条追责线：监管先到，私人后到

笔者的判断是，这个案子最有价值的读法，是把它拆成"两条追责线"——一条来自监管，一条来自私人原告，二者叠加，才是企业真正要算的总账。

监管线（2021，FTC）。FTC 依据《联邦贸易委员会法》第 5 条（禁止欺骗性商业行为）处理。最终是一份同意令，没有金钱罚则，但约束极实：Flo 必须停止就数据共享做欺骗性陈述；必须通知受影响用户；必须要求已收到健康信息的第三方销毁这些数据；在向任何第三方披露用户健康信息之前，必须给出通知并取得用户的明示同意；还要接受独立合规审查、由高级管理者出具合规认证、未来任何未经同意的披露都要向 FTC 报告，且该命令有效期长达 20 年（来源：FTC 联邦公报，No. 2021-01697；FTC 新闻稿，2021-01）。

私人线（2021 提起，2025—2026 落定）。集体诉讼以 Frasco v. Flo Health, Inc. 为代表，后并入加州北区联邦法院 In re Period Tracker Data Privacy Litigation（案号 3:21-cv-00757-JD，主审法官 James Donato）。原告依据加州 1967 年《侵犯隐私法》（CIPA，California Invasion of Privacy Act）第 631(a) 条主张：App 内嵌的 SDK 在用户尚未提交或完成动作前，就把输入的生殖健康信息实时传给了 Meta、Google、Flurry，构成未经各方同意的"拦截"。一并提出的还有加州《健康信息保密法》（CMIA）、侵扰私人空间、违约、不当得利等诉由。Meta 拒绝和解、坚持庭审，2025 年 8 月 1 日陪审团认定 Meta 违反 CIPA，2025 年 9 月法院拒绝推翻 verdict，Meta 提起上诉，赔偿额尚未核定。Flo、Google、Flurry 则选择和解：Google 承担 4800 万美元、Flo 800 万、Flurry 350 万，合计 5.95 亿美元。该和解于 2026 年 4 月 16 日获初步批准，最终批准听证定在 2026 年 10 月 29 日，索赔截止日为 2026 年 10 月 15 日（来源：IBTimes UK，2026-10；HIPAA Times；法院公开案卷）。适格群体为 2016 年 11 月 1 日至 2019 年 2 月 28 日期间在美国使用 Flo 并录入月经或妊娠信息的用户，潜在规模约 1000 万人，人均预估 12.69 至 31.94 美元，加州子类约为双倍。

真正的风险在"长尾"

这里有个反直觉的要点：FTC 的同意令在 2021 年就已经落地，Flo 看似"结案"。可五年后，私人原告另开一条线，硬生生再追出 5.95 亿美元现金。监管那条线没有罚钱，私人这条线才真正放血。

为什么私人线更值得怕？关键在 CIPA 的赔偿机制：法定每人次 5000 美元，或实际损失的三倍，且不要求证明实际金钱损失。只要"未经同意拦截/传出"这个行为成立，金额就按用户数机械累加。按约 160 万加州用户、每人次 5000 美元粗算，Meta 一方的理论敞口可达约 80 亿美元（来源：Bloomberg Law，2026-10）。这对消费者类 App 是个结构性信号：一旦嵌入了会外传敏感信息的第三方代码，"我们已和监管和解"并不等于翻篇，私人原告律师随时可能补上第二刀，而且是用不要求举证损失的制定法去累加。

沉默的外传通道：SDK 不是"缺陷"，是设计

第二个体会：这次外传并非来自一次外部安全事件，而是 App 日常就嵌着第三方分析/广告 SDK，在敏感输入发生之前就把它传出。问题的根子在于"代码本身带着健康含义"——Flo 把事件命名为 "R_Pregnancy_Week_Chosen" 而不是中性的 "Event 1"，于是连传出的字段都带着健康语义。这一点在 FTC 委员的附议意见里被点名。

落到实务上，一份笼统的隐私政策写"我们可能与合作伙伴共享信息"，在 CIPA 这类制定法下并不足以构成"采集前的有效同意"。Mason LLP 与 Bloomberg Law 的分析都指向同一句：隐私政策里的承诺，不等于用户在第三方工具启动前真正给出过具体、可证明的同意。笔者的看法很直接——对消费者 App 而言，第三方 SDK 供应链就是一条沉默的外传通道，它比一次来自外部的安全事件更隐蔽，因为"传出去"是产品自己设计的一部分。

盲区：不在 HIPAA 覆盖内，反而更危险

第三个体会，恰恰和很多人的直觉相反。Flo 这类经期、健康类应用，通常不属于 HIPAA 所规制的实体，因此 HIPAA 这道大家熟悉的合规网根本罩不住它。填补空白的，是各州那些年代久远的反窃听、侵犯隐私制定法——CIPA 就是 1967 年的产物，原本是用来管电话搭线的。

换句话说，"我们不在 HIPAA 的规制范围，所以 HIPAA 不适用"不仅不是护身符，反而把这类 App 直接暴露在了更古老的普通法风险之下。把产品称作"健康生活类应用"同样帮不上忙：Flo 就游离于 HIPAA 之外，但 CIPA 照样找上门。真正关键的是——只要 App 收了健康相关信息，又把它传给第三方，无论你叫自己什么，都可能踩中另一条线。

不止加州：州法正在扩散

别把这当成加州一地的事。CIPA 这类"全方同意"逻辑正在外溢：佛州、伊利诺伊、宾州、华盛顿州都有类似的各方同意要求，原告已经在用同样的拦截理论起诉。第三巡回法院 2022 年在 Popa v. Harriet Carter Gifts 中放行了网站追踪类的拦截诉讼；佛州一家健康服务机构的网站相关索赔 2025 年获准推进；华盛顿州最高法院 2026 年也接下了同类案件。对做健康、心理、症状自查、远程问诊类产品的团队，这条线已经从"加州特例"变成"多州常态"。

对中国出海 App 的启示：把 SDK 供应链攥回自己手里

把镜头转回境内出海团队。一款面向海外市场的健康、运动类 App，如果在美国等法域上线，Flo 这个案子几乎是一份现成的反面教材。对照中国法，个保法早已把同类风险写进了规则里：

• ▪敏感个人信息口径
  （个保法第 28 条）：健康、行踪等信息属敏感个人信息，处理门槛远高于一般个人信息。
• ▪向第三方提供需单独同意
  （第 23 条）：向他人提供个人信息，须向个人告知接收方身份、目的、方式，并取得单独同意——这和 FTC 命令里"披露前取得明示同意"是同一思路。
• ▪委托处理须签协议
  （第 21 条）：SDK 供应商在法律上就是你的受托处理者，你无权以"那是第三方工具"脱责，协议里必须约清目的、期限、处理方式与安全保障。
• ▪影响评估
  （第 55 条）：处理敏感个人信息前须做个人信息保护影响评估并留档。
• ▪出境另行加条件
  ：若涉及跨境，还需叠加单独同意、影响评估与标准合同/认证路径。

笔者的主张是：SDK 供应链尽调，应当被抬到董事会级别的风险项，而不是交给研发顺手接个包。具体要做到三件事——先把 App 内每一个 SDK、每一个追踪像素实际传出的字段测绘清楚（尤其健康、位置、设备号）；再把"明示同意"前置到第三方工具启动之前，用具体、可证明的单独同意替代笼统隐私政策；并在供应商合同里写死"接收方只能为功能所必需处理、不得另作广告或再转移"，并约定违约下的删除与赔偿。Flo 的代价说明：你以为自己只是"用了个分析工具"，法院看到的是你把用户的健康信息交了出去。

企业行动清单

• ▪清点 SDK 与数据流
  ：把 App 内所有第三方 SDK、追踪像素逐一列出，逐项确认它们实际传出哪些字段，重点盯健康、位置、设备号三类。
• ▪把明示同意前置到 SDK 启动前
  ：敏感个人信息在第三方工具采集前，必须取得具体、可证明的单独同意，而非靠一份笼统隐私政策兜底。
• ▪与 SDK 供应商签"限制使用"条款
  ：合同写死接收方仅可为提供功能所必需处理、不得另作广告或再转移，并约定违规下的删除与赔偿。
• ▪做一次"外流/重识别"压力测试
  ：推演编码与多维信息组合下，数据能否被单独识别或重新关联回个人。
• ▪留存同意与配置证据
  ：用户选择记录、SDK 关闭状态下的行为截图、版本变更日志单独归档，出问题时有据可查。
• ▪出海前画一张州法地图
  ：目标市场若属全方同意州（加州、佛州、伊利诺伊、宾州、华盛顿等），按从严口径对齐，别赌"只是分析工具"。
• ▪境内同步按个保法自查
  ：第 21、23、55 条对应的委托协议、单独同意、影响评估三件套齐备，避免境内外双重踩线。

一句话总结：监管命令止不住风险的长尾，沉默的第三方代码才是经期 App 真正的外传通道；把"数据传给谁、经谁同意"攥回自己手里，比任何事后补救都便宜。

⚖️ 免责声明：本文为「数字科技说」基于公开信息的独立分析与解读，仅供研究与交流之用，不构成任何法律、投资或专业建议。文中观点不代表本号立场，引用法规与案例以官方正式文本为准，如有偏差请以监管机构发布为准。

🤖 本文由人工智能技术辅助创作，相关内容仅供研究参考，不构成专业意见。

💬 你的 App 里，是否也藏着一个"悄悄对外说话"的第三方代码？欢迎在评论区与作者「奇点社区」聊聊——尤其想听在一线做 App 合规的朋友讲讲真实踩坑。欢迎在评论区留下您的观点与线索，我们会持续跟进。

⭐ 把「数字科技说」设为星标，前沿合规动向每天准时送达。

📚 参考来源

1. U.S. Federal Trade Commission, "FTC Finalizes Order with Flo Health…", 新闻稿与同意令，2021-01（援引 FTC Act § 5）。

2. FTC, Analysis of Proposed Consent Order To Aid Public Comment, Federal Register No. 2021-01697（命令八项义务、20 年有效期）。

3. In re Period Tracker Data Privacy Litigation（Frasco v. Flo Health, Inc.）, No. 3:21-cv-00757-JD, U.S. District Court, N.D. Cal.（主审法官 James Donato）。

4. IBTimes UK, "Millions of Flo Period Tracker Users Can Claim Share of $59.5M Settlement…", 2026-10（Google $48M、Flo $8M、Flurry $3.5M；索赔截止 2026-10-15，最终批准 2026-10-29）。

5. HIPAA Times, "Flo, Google, and Flurry to pay $59.5M in fertility app privacy settlement"（SDK 实时传出生殖健康信息；Meta 拒和解、CIPA 陪审团认定）。

6. Bloomberg Law, "Flo Case Shows Privacy Law May Cover Health App Makers"（CIPA $5,000/人次、跨州扩散、HIPAA 盲区）。

7. Mason LLP, "Your Period Tracker Was Talking to Meta the Whole Time"（CIPA 拦截理论、SDK 外传机制、健康类 App 普适风险）。

8. 《中华人民共和国个人信息保护法》第 21、23、28、55 条（委托处理、单独同意、敏感个人信息、影响评估）。