Jūsų fitneso sekiklis žino viską apie jus. Kas dar žino?

2021 metais saugumo tyrinėtojas aptiko neapsaugotą duomenų bazę su 61 milijonu fitneso sekiklių įrašų iš Apple ir Fitbit naudotojų — vardai, gimimo datos, svoris, ūgis ir buvimo vietos duomenys, visa tai laikoma paprastu tekstu be jokios slaptažodžio apsaugos.

Duomenų bazė priklausė GetHealth — trečiosios šalies įmonei, apie kurią dauguma tų naudotojų niekada nebuvo girdėję. Jų duomenys buvo surinkti, agreguoti ir saugomi paslaugos, paslėptos naudojimo sąlygose tų programėlių, kuriomis jie pasitikėjo.

Tai nebuvo pavienė situacija. Būtent taip veikia fitneso sekiklių industrija.

Ką iš tikrųjų renka jūsų fitneso sekiklis

Šiuolaikiniai fitneso sekikliai ir sveikatos programėlės vidutiniškai renka 12 skirtingų duomenų tipų — daugiau nei trečdalį visų kategorijų, kurias Apple apibrėžia savo App Store privatumo etiketėse. Štai kas paprastai fiksuojama:

• Širdies ritmas — nepertraukiamas 24/7 stebėjimas, įskaitant ramybės, aktyvumo ir miego širdies ritmą
• Miego modeliai — kada užmiegate, kiek miegojote, per kokias miego stadijas praėjote
• GPS buvimo vieta — jūsų treniruočių maršrutai, kur bėgate, vaikštote ir važiuojate dviračiu
• Kūno metrikos — svoris, ūgis, kūno sudėtis, deguonies kiekis kraujyje
• Menstruacinio ciklo duomenys — menstruacijų datos, simptomai, vaisingumo langai
• Stresas ir atsigavimas — HRV pagrįsti streso balai, atsigavimo parengtis
• Neapdoroti jutiklių duomenys — akselerometro ir giroskopo duomenys, atskleidžiantys judėjimo modelius visą dieną

Surfshark tyrimas nustatė, kad Fitbit renka iki 24 unikalių duomenų tipų — daugiausiai iš visų fitneso programėlių. Strava naudoja 21 duomenų tipą tikslais, viršijančiais pagrindines programėlės funkcijas.

Sudėjus kartu, šie duomenys nupiešia neįtikėtinai detalų jūsų kasdienio gyvenimo paveikslą: kur einate, kada miegojote, koks jūsų streso lygis, fizinė būklė ir reprodukcinė sveikata.

---

HIPAA spraga: kodėl jūsų duomenys nėra apsaugoti

Štai ko dauguma žmonių nežino: jūsų fitneso sekiklio duomenys beveik garantuotai nėra apsaugoti medicinos privatumo įstatymais.

HIPAA — įstatymas, kuris, amerikiečių nuomone, saugo visus sveikatos duomenis — taikomas tik „padengtoms organizacijoms": ligoninėms, sveikatos draudimo planams, sveikatos priežiūros tarpininkams ir jų verslo partneriams. Vartotojų technologijų įmonės kaip Fitbit, Garmin, Oura, WHOOP ir Strava nėra padengtos organizacijos.

Tai reiškia, kad jos teisėtai gali:

• Dalintis jūsų sveikatos metrikomis su reklamos partneriais
• Parduoti agreguotus (o kartais ir individualius) duomenis duomenų brokeriams
• Perduoti jūsų duomenis naujiems savininkams, jei įmonė yra įsigyjama
• Teikti duomenis draudikams ar darbdaviams per partnerystes

Ir daugelis jų tai daro. Duke universiteto tyrimas nustatė, kad 79 % populiarių sveikatos ir fitneso programėlių dalinasi naudotojų duomenimis su trečiosiomis šalimis. Tik 28 % naudotojų žinojo, kad tai vyksta.

Atotrūkis tarp to, ko žmonės tikisi, ir to, kas iš tikrųjų vyksta, yra milžiniškas. Jūs niekada nesutiktumėte, kad gydytojas paduotų jūsų medicininius įrašus reklamuotojui — tačiau jūsų fitneso sekiklis gali daryti kažką funkciškai panašaus.

---

Duomenų nutekėjimų istorija

Fitneso ir sveikatos technologijų pramonės duomenų saugumo istorija niūri:

Pagrindiniai incidentai

GetHealth (2021) — 61 milijonas fitneso sekiklių įrašų (Apple ir Fitbit naudotojai) atskleista neapsaugotoje duomenų bazėje. Be slaptažodžio, be šifravimo, paprastas tekstas.

UnitedHealth / Change Healthcare (2024) — 190 milijonų sveikatos įrašų pavogta didžiausioje skaitmeninėje JAV medicininių įrašų vagystėje. Užpuolikas gavo prieigą naudodamas pavogtus prisijungimo duomenis be daugiafaktorinio autentifikavimo. UnitedHealth sumokėjo 22 milijonų dolerių išpirką.

MyFitnessPal (2018) — 150 milijonų naudotojų paskyrų pažeista, atskleisti naudotojų vardai, el. pašto adresai ir slaptažodžiai.

Garmin (2020) — Rusų hakerių grupė Evil Corp paleido WastedLocker išpirkos programą, sustabdydama visas Garmin internetines paslaugas kelioms dienoms. Pranešama, kad Garmin sumokėjo 10 milijonų dolerių išpirką per tarpininką.

Peloton (2021) — API pažeidžiamumas atskleidė asmeninę maždaug 3 milijonų naudotojų informaciją, įskaitant pilnus vardus, el. pašto adresus, amžius ir treniruočių statistiką. Peloton taisė klaidą daugiau nei 90 dienų po to, kai buvo informuota.

Strava ir karinė problema

Strava duomenų privatumo nesėkmės yra bene ryškiausias pavyzdys, kas gali nutikti. 2018 metais Strava Global Heatmap — sukurtas iš naudotojų treniruočių duomenų — netyčia atskleidė slaptų JAV ir sąjungininkių karinių bazių vietas Sirijoje, Afganistane ir Džibutyje. Kariai registravo bėgimus bazėse nesuvokdami, kad jų maršrutai yra skelbiami viešai.

Problema tęsėsi. 2022 metais Izraelio nevyriausybinė organizacija sukūrė fiktyvius Strava segmentus šešiuose ypatingai slaptuose kariniuose objektuose ir identifikavo daugiau nei 100 asmenų, įskaitant Mossad personalą. 2025 metais Prancūzijos branduolinio povandeninio laivo įgulos nariai nutekino patruliavimo pozicijas per Strava treniruotes. 2026 metų kovą jūreivis iš Prancūzijos lėktuvnešio Charles de Gaulle atskleidė laivo buvimo vietą užregistravęs bėgimą denio.

Buvimo vietos duomenys iš fitneso sekiklių turi realių pasekmių tikram pasaulio saugumui.

---

📱 Livity saugo visus jūsų sveikatos duomenis jūsų įrenginyje — niekas nėra siunčiama į išorinius serverius. Išbandykite nemokamai →

---

Kas perka jūsų sveikatos duomenis — ir kodėl?

Kai fitneso įmonės dalinasi jūsų duomenimis su „trečiosiomis šalimis", kas yra tos trečiosios šalys?

Reklamuotojai

2023 metų tyrimas nustatė, kad 78 % fitneso programėlių dalinosi duomenimis su Meta ir Google, net kai naudotojų paskyros buvo nustatytos kaip „privačios". Šie duomenys maitina tikslinę reklamą. Pastaruoju metu ieškojote bėgimo batelių? Jūsų fitneso programėlė galbūt pranešė Meta, kad esate bėgikas, dar prieš jums kam nors tai pasakant.

Draudimo bendrovės

Sveikatos draudikai pradėjo naudoti nešiojamų prietaisų duomenis įmokoms koreguoti. Kai kurie siūlo nuolaidas už žingsnių tikslų pasiekimą — tai skamba pozityviai, kol neapsvarstote atvirkštinės pusės: duomenys, rodantys mažą aktyvumą, blogą miegą ar didelį stresą, galų gale gali būti naudojami įmokoms didinti. Nėra jokio įstatymo, kuris tai draustų duomenims, gautiems ne per HIPAA apsaugotus kanalus.

Kaiser Family Foundation ataskaita nustatė, kad 21 % darbdavių, siūlančių sveikatos draudimą, jau rinkosi duomenis iš darbuotojų nešiojamų prietaisų.

Duomenų brokeriai

Jūsų fitneso duomenys gali patekti į duomenų brokerių rankas, kurie juos agreguoja ir perparduoda. Skirtingai nuo medicininių įrašų, fitneso sekiklių duomenys neturi jokios specialios teisinės apsaugos nuo perpardavimo. Kai duomenys palieka programėlę, stebėti, kur jie keliauja, yra beveik neįmanoma.

Nauji įmonės savininkai

Kai Google įsigijo Fitbit už 2,1 mlrd. dolerių 2019 metais, ji gavo prieigą prie 28 milijonų aktyvių naudotojų sveikatos duomenų. Google pažadėjo nenaudoti Fitbit duomenų reklamai. Tačiau precedentas kelia nerimą: kai Google įsigijo Nest 2014 metais, iš pradžių laikė duomenis atskirai, o tada per metus sujungė juos su platesnė Google ekosistema.

Oura Ring 2024 metų partnerystė su Palantir dėl „populiacijos lygio rizikos ir parengties analizės" — skirtos JAV Gynybos departamentui — sukėlė naudotojų nepasitenkinimą, nes jie nebuvo užsiregistravę prisidėti prie karinės sveikatos analitikos.

---

Duomenys įrenginyje prieš debesį: kodėl architektūra svarbi

Esminis privatumo klausimas yra: kur gyvena jūsų sveikatos duomenys ir kas gali juos pasiekti?

Dauguma fitneso sekiklių taiko „pirmiausia debesis" modelį. Jūsų laikrodis ar apyrankė surenka neapdorotus jutiklių duomenis, siunčia juos į telefoną, kuris juos įkelia į įmonės serverius apdorojimui. Įžvalgos, kurias matote programėlėje, buvo apskaičiuotos jų infrastruktūroje, naudojant jūsų duomenis, jų sąlygomis.

Šis modelis sukuria daugelį pažeidžiamumo taškų:

• Duomenys kelyje gali būti perimti (Bluetooth perėmimas, neapsaugotas WiFi)
• Debesijos serveriai gali būti netinkamai sukonfigūruoti arba pažeisti (GetHealth, UnitedHealth)
• Serveriuose esamus duomenis gali pasiekti darbuotojai, subrangovai ar teisėsauga
• Naudojimo sąlygos gali keistis, išplečiant duomenų naudojimą po to, kai jau pasidalinote jais

Alternatyva — apdorojimas įrenginyje. Apple parodė šio požiūrio gyvybingumą su Apple Health: visos sveikatos metrikos — tendencijos, svarbiausi rodikliai, ciklo prognozės, ramybės širdies ritmo analizė — apskaičiuojamos jūsų iPhone arba Apple Watch. Duomenys, sinchronizuojami per iCloud, naudoja visapusį šifravimą, kurio net Apple negali iššifruoti.

Skaičiai tai patvirtina. Tyrimai apie kraštinį DI nešiojamuose prietaisuose rodo, kad apdorojimas įrenginyje sumažina duomenų perdavimą 97,4 % — nuo 4,2 GB neapdorotų jutiklių duomenų per dieną iki vos 217 kilobaitų apdorotų įžvalgų. Neapdoroti duomenys niekada nepalieka jūsų riešo.

Tai ne tik privatumo funkcija. Tai iš esmės kitokia architektūra. Duomenys, kurie niekada nepalieka jūsų įrenginio, negali būti:

• Atskleisti serverio pažeidimo metu
• Parduoti duomenų brokeriams
• Perduoti reklamuotojams
• Paimti teismo šaukimu be fizinės prieigos prie jūsų įrenginio
• Perduoti naujam įmonės savininkui

---

Kokie įstatymai vejasi paskui?

Reguliavimo aplinka keičiasi, tačiau lėtai:

FTC Sveikatos duomenų pažeidimo pranešimo taisyklė (atnaujinta 2024) — Dabar aiškiai apima fitneso sekiklius, sveikatos programėles ir prijungtus įrenginius. Įmonės privalo pranešti naudotojams per 60 dienų apie pažeidimą, paveikusį 500 ir daugiau asmenų.

Vašingtono „Mano sveikata, mano duomenys" įstatymas (2024) — Pirmasis JAV valstijos įstatymas, specialiai saugantis sveikatos duomenis už HIPAA ribų. Reikalauja išankstinio sutikimo prieš dalinantis sveikatos duomenimis ir atskiro pasirašyto leidimo prieš juos parduodant.

Ilinojaus BIPA — Biometrinės informacijos privatumo įstatymas buvo naudojamas teisti fitneso įmones dėl biometrinių duomenų rinkimo be sutikimo. Vien 2025 metais buvo pateikti daugiau nei 107 BIPA grupiniai ieškiniai, su baudomis iki 5 000 dolerių už kiekvieną tyčinį pažeidimą.

WHOOP, Fitbit ir Oura — visos susidūrė su teisiniais veiksmais pagal šias sistemas. Tačiau vis dar nėra jokio visapusio federalinio įstatymo, saugančio vartotojų sveikatos duomenis iš fitneso sekiklių Jungtinėse Valstijose.

Kol tai nepasikeis, geriausia jūsų apsauga — rinktis įrankius, kurie iš viso nerenka jūsų duomenų.

---

Kaip apsaugoti savo sveikatos duomenis

Jei naudojate fitneso sekiklį, štai ką galite padaryti jau dabar:

1. Patikrinkite privatumo etiketę — Prieš atsisiųsdami bet kokią sveikatos programėlę, perskaitykite App Store privatumo etiketę. Ieškokite „Data Not Collected" arba „Data Not Linked to You." Jei programėlė nurodo „Data Used to Track You", pagalvokite du kartus.

2. Peržiūrėkite savo leidimus — Eikite į Nustatymai → Privatumas → Sveikata savo iPhone. Patikrinkite, kurios programėlės turi prieigą prie jūsų sveikatos duomenų, ir atšaukite prieigą toms, kurių nebenaudojate.

3. Išjunkite buvimo vietą treniruotėms — Jei jums nereikia GPS sekimo, išjunkite jį. Buvimo vietos duomenys yra jautriausias fitneso duomenų tipas (paklauskite Prancūzijos karinio jūrų laivyno).

4. Naudokite įrankius, veikiančius įrenginyje — Rinkitės programėles, kurios apdoroja duomenis lokaliai, o ne siunčia juos į debesijos serverius. Apple Health architektūra yra aukso standartas.

5. Perskaitykite sąlygas — Konkrečiai ieškokite skyrių apie „duomenų dalinimąsi", „trečiųjų šalių partnerius" ir „duomenų saugojimą". Jei įmonė pasilieka teisę dalintis jūsų sveikatos duomenimis su neįvardytais partneriais, tai pavojaus signalas.

6. Apsvarstykite, kuo mokate — „Nemokama" fitneso programėlė, kuri uždirba iš jūsų sveikatos duomenų, iš tikrųjų nėra nemokama. Jūs mokate pačiais intymiais duomenimis, kuriuos generuojate.

---

DUK

Ar fitneso sekiklio duomenys yra apsaugoti HIPAA?

Ne, daugeliu atvejų. HIPAA apima tik sveikatos priežiūros teikėjus, sveikatos planus ir jų verslo partnerius. Vartotojų fitneso įmonės kaip Fitbit, Garmin, Oura ir WHOOP nėra HIPAA padengtos organizacijos. Jūsų fitneso sekiklio duomenys turi mažiau teisinės apsaugos nei jūsų medicininiai įrašai.

Ar draudimo bendrovės gali naudoti mano fitneso sekiklio duomenis?

Taip. Kai kurie draudikai jau siūlo programas, kuriose nešiojamų prietaisų duomenys daro įtaką įmokoms — paprastai pateikiamos kaip nuolaidos už sveiką elgesį. Šiuo metu nėra jokio federalinio įstatymo, draudžiančio draudikams naudoti fitneso duomenis, gautus ne per HIPAA, tarifams koreguoti.

Kas nutinka mano sveikatos duomenims, jei fitneso įmonę įsigyja kita įmonė?

Jūsų duomenys paprastai perduodami naujam savininkui pagal esamas naudojimo sąlygas. Google Fitbit įsigijimas, pavyzdžiui, suteikė Google prieigą prie 28 milijonų naudotojų sveikatos duomenų. Nors įmonės dažnai duoda privatumo pažadus įsigijimų metu, šie pažadai paprastai nėra teisiškai privalomi ilguoju laikotarpiu.

Kurie fitneso sekikliai saugo duomenis įrenginyje?

Apple Health apdoroja visus sveikatos duomenis įrenginyje ir naudoja visapusį šifravimą iCloud sinchronizacijai. Livity laikosi tokio pat požiūrio — visos sveikatos metrikos apskaičiuojamos jūsų iPhone naudojant Apple Health duomenis, ir niekas nėra siunčiama į išorinius serverius. Dauguma kitų pagrindinių platformų (Fitbit, Garmin Connect, WHOOP, Oura) remiasi debesijos apdorojimu.

Ar fitneso sekiklio duomenys gali būti naudojami teisme?

Taip. Fitneso sekiklių duomenys buvo naudojami kaip įrodymai baudžiamosiose bylose, draudimo ginčuose ir asmeninės žalos ieškiniuose. 2023 metais žmogžudystės įtariamojo Fitbit duomenys buvo panaudoti nustatyti jo buvimo vietą ir aktyvumą nusikaltimo metu. Įmonių serveriuose saugomi duomenys gali būti gauti per teismo šaukimus.

---

Pradėkite stebėti sveikatą neatsisakydami privatumo

Jūsų sveikatos duomenys yra vieni asmeniškiausios informacijos, kurią generuojate. Kur jie saugomi ir kas gali juos pasiekti — svarbu.

Livity stebi jūsų miegą, HRV, atsigavimą, stresą ir fitneso amžių visiškai jūsų įrenginyje — be debesijos serverių, be duomenų brokerių, be dalinimosi su trečiosiomis šalimis. Jūsų sveikatos duomenys lieka jūsų iPhone, kur jiems ir vieta. Nemokama bandymui App Store.