Avec l’amélioration de l’accessibilité des smartphones, les applications mobiles (ou applications) disponibles sur divers marchés ont connu une croissance exponentielle. En 2021, près de 2,87 millions d’applications étaient disponibles sur le seul Google Play Store.1 Deux applications populaires relèvent des catégories médical et santé et remise en forme. Appelées collectivement applications de santé mobile ou mHealth, ces applications englobent un large éventail de fonctions, de la gestion des problèmes de santé et de la vérification des symptômes aux compteurs de pas et de calories et aux suivis des menstruations.2 La santé mobile est un marché en plein essor qui cible non seulement les patients et les cliniciens mais aussi ceux qui s’intéressent à la santé et à la forme physique. Bien que le potentiel des applications mHealth pour améliorer l’accès à la surveillance en temps réel et aux ressources de soins de santé soit bien établi,34 elles posent des problèmes de confidentialité des données en raison des informations sensibles auxquelles elles peuvent accéder, la l’utilisation d’un modèle commercial centré sur la vente d’abonnements ou le partage des données des utilisateurs,5 et le manque d’application des normes de confidentialité dans le monde. Par exemple, le Règlement général sur la protection des données de l’Union européenne6 (RGPD) définit huit droits des utilisateurs individuels, et plusieurs règles mises en œuvre dans le cadre de la loi américaine sur la portabilité et la responsabilité en matière d’assurance-maladie7 (HIPAA) établissent une base de protection de la vie privée et des droits des patients. HIPAA, la Food and Drug Administration des États-Unis a publié des directives pour la gestion post-commercialisation de la cybersécurité dans les dispositifs médicaux en 2016.8 La FDA a recommandé que les fabricants de dispositifs médicaux (c’est-à-dire les développeurs d’applications) intègrent la gestion des risques dans le cycle de vie de leurs produits et mettent en œuvre des contrôles pour s’assurer que les appareils étaient des patients sécurisés et protégés. Plus précisément, les directives couvrent les facteurs de cybersécurité et de confidentialité et stipulent des programmes de gestion des risques qui « résolvent les vulnérabilités qui peuvent permettre l’accès non autorisé, la modification, l’utilisation abusive ou l’utilisation non autorisée d’informations stockées, consultées ou transférées d’un dispositif médical à un destinataire, et peut entraîner un préjudice pour le patient. »Cependant, la réglementation et les directives sont difficiles à appliquer dans la pratique. Plusieurs épisodes récents ont mis en évidence le problème de la collecte et du partage des données des applications de manière non autorisée. Par exemple, une organisation norvégienne à but non lucratif a découvert que 10 applications populaires, dont une sur la santé et la forme physique, partageaient des données avec des agences de publicité sans le consentement éclairé de l’utilisateur, en violation flagrante du RGPD.9 Quarante et une applications populaires, certaines développées par entreprises technologiques de premier plan, ont été interpellées par le ministère chinois de l’Industrie et des Technologies de l’information pour collecte illégale de données.10 Une décision de 2019 de la CNIL, l’autorité française de protection des données, a conclu que Google enfreignait le principe de transparence11 parce que les informations sur l’utilisation des données personnelles était présentée de manière vague et difficile à comprendre. En raison des divulgations inadéquates de la confidentialité des principales applications de santé mobile,412 nous avons utilisé une suite d’outils de collecte et d’analyse d’applications pour effectuer une analyse de confidentialité à grande échelle des applications de santé mobile. et réalisé un audit de confidentialité de plus de 20 000 applications mHealth disponibles sur le Google Play Store, le plus grand marché d’applications mobiles.13 Par rapport aux analyses précédentes,41 21415 notre étude couvre pratiquement toutes les applications mHealth du magasin Google Play accessibles depuis l’Australie, en tant que proxy pour le marché mondial des applications Google Play. Google Play Store16 fournit divers filtres et configurations aux développeurs, facilitant la localisation et la distribution des versions d’applications Android dans des pays ou des emplacements géographiques spécifiques.17 À partir de ces informations, nous avons déterminé que la plupart des données collectées (91,1 % (19 101)) et analysées ( 75,7% (15 983)) Les applications mHealth n’étaient pas spécifiques à l’Australie, mais sont également présentes et disponibles dans d’autres pays tels que l’Europe et les États-Unis. Notre étude était vaste et nous avons également affiné la granularité et la profondeur de notre analyse. Par exemple, Dehling et al ont classé les applications mHealth dans les groupes à risque faible, moyen et élevé pour la confidentialité18, sans tenir compte du type d’informations utilisateur divulguées, des destinataires des informations et du fait que cela ait été divulgué dans la politique de confidentialité de l’application. Nous avons pris en compte la sécurité des protocoles de communication utilisés par les applications, la présence de bibliothèques de publicité et de suivi dans le code de l’application et les avis des utilisateurs sur la conduite de l’application en matière de confidentialité.
Méthodes
Depuis 2015, les marchés d’applications tels que Google Play et Apple Store ont augmenté d’environ 38 % et devraient générer 111,1 milliards d’applications d’ici 2025.19 Le nombre d’applications mHealth disponibles dans les magasins d’applications continue d’augmenter.20 Sur les 2,8 millions d’applications sur Google Play et les 1,96 million d’applications sur l’Apple Store, environ 99 366 appartiennent aux catégories médicales et santé et fitness. Ces applications représentent 2% (47 890) de celles disponibles via Google Play et 3% (51 476) disponibles via l’Apple Store.2122 Notre analyse s’est concentrée sur Google Play, le plus grand magasin d’applications, qui couvre pratiquement tous les services mobiles de Google Play. des applications accessibles depuis l’Australie, en tant que proxy pour le marché mondial des applications Google Play.
Ensemble de données de l’application mHealth
Google Play ne fournit pas une liste complète des applications mHealth et sa fonctionnalité de recherche n’affiche pas toutes les applications disponibles. Pour surmonter ce problème et détecter autant d’applications mHealth que possible, nous avons développé un robot d’exploration qui interagissait directement avec l’interface de l’App Store.23 À partir du top 100 des applications médicales, de santé et de fitness sur Google Play, le robot d’exploration a systématiquement recherché parmi d’autres applications. considéré comme similaire par Google Play. Pour chaque application, le robot d’exploration a collecté plusieurs métadonnées : catégorie et prix de l’application, emplacements où l’application est disponible, description de l’application, nombre d’installations, informations sur les développeurs, avis des utilisateurs et évaluation de l’application. Du 1er octobre au 15 novembre 2019, le robot d’exploration a effectué des recherches dans plus de 1,7 million d’applications. Nous avons sélectionné des applications appartenant aux catégories médical et santé et fitness sur Google Play. Au total, nous avons identifié 20 991 applications mHealth, dont 15 893 (75,7%) téléchargeables gratuitement, 3 228 (15,4 %) ont été achetées en magasin et 1 872 (8,9 %) ont été géobloquées (c’est-à-dire qu’elles n’ont pas pu être téléchargées dans Australie). En outre, nous avons utilisé le robot d’exploration pour échantillonner un ensemble aléatoire d’applications non-mHealth populaires à utiliser comme comparateur de référence. Cet ensemble contenait 8 468 applications des catégories outils, communication, personnalité et productivité. Le tableau 1 montre les caractéristiques de l’ensemble de données. Tableau 1 Caractéristiques des 20 991 applications mHealth et des 8468 applications de base (non mHealth), collectées à partir du Google Play Store
analyses statistiques
Nous avons analysé les fichiers et le code source de l’application mHealth (analyse statique), enquêté sur le trafic réseau généré pendant l’exécution de l’application (analyse dynamique) et inspecté les avis fournis par les utilisateurs des applications (fig 1). Applications (mHealth)Fichiers d’applications et analyse de code : sur l’ensemble initial de 20 991 applications, nous avons téléchargé les 15 893 (75,7%) applications gratuites et exclu celles pouvant être achetées en magasin et géobloquées. Pour accéder aux ressources des applications, nous avons traité les packages d’applications téléchargés à l’aide d’apktool, un outil qui procède à l’ingénierie inverse des applications Android et les décode pratiquement dans leur forme d’origine.24 De plus, pour toutes les 15 à 893 applications mHealth, nous avons extrait la confidentialité publique de l’application. politique, qui divulgue la collecte et l’utilisation des données personnelles et décrit les pratiques de confidentialité de l’application. En règle générale, le lien vers la politique de confidentialité est inclus dans la page de l’application sur Google Play. Si le lien était rompu ou dirigeait les utilisateurs vers une page sans texte, nous avons considéré que l’application n’avait aucune politique de confidentialité. Nous avons analysé les ressources extraites comme suit : Présence de tiers dans les ressources de l’application : pour récupérer et classer toutes les bibliothèques tierces incluses dans l’application, nous avons effectué une recherche basée sur un dictionnaire du dossier contenant les fichiers d’application décodés et les bibliothèques intégrées. Pour y parvenir, nous avons utilisé un dictionnaire complet de bibliothèques tierces25, qui comprend 338 tiers, y compris des publicités (par exemple, GoogleAds) ; analytique (par exemple, GoogleAnalytics) ; utilitaires (par exemple, Github) ; et d’autres services sociaux, bancaires et de jeux (par exemple, Facebook ou PayPal). Opérations de collecte de données dans le code de l’application : nous avons extrait l’ensemble des fonctions du système d’exploitation Android associées à l’accès aux données personnelles des utilisateurs. Par exemple, la présence de la fonction android.telephony.TelephonyManager.getLine1Number dans le code de l’application indique la récupération du numéro de téléphone de contact de l’utilisateur. De plus, nous avons extrait l’ensemble des autorisations demandées par l’application pour accéder aux composants du système d’exploitation tels que la liste de contacts ou la localisation du système de positionnement global (GPS). À l’aide des autorisations, nous avons vérifié si chaque fonction de collecte de données disposait de toutes les autorisations requises pour l’exécution et, si ce n’était pas le cas, elle a été supprimée. L’ensemble final de fonctions représentait toute la collecte de données potentielle dans l’application : en pratique, il s’agit d’un sur-ensemble de la collecte de données utilisateur réelle, car certaines parties du code de l’application peuvent rarement (ou jamais) être déclenchées pendant l’exécution de l’application. Analyse de la politique de confidentialité : la divulgation des pratiques de confidentialité est une exigence légale fixée par les réglementations en matière de confidentialité (par exemple, le RGPD), et Google Play Store impose l’inclusion de politiques de confidentialité des applications depuis 2018. Il n’est pas possible de réviser et d’annoter manuellement les politiques de confidentialité de l’application. en raison de l’échelle de l’ensemble de données. Pour surmonter cela, nous avons analysé la politique de confidentialité automatique à l’aide de l’apprentissage automatique supervisé pour prédire la divulgation de données personnelles dans le texte de la politique de confidentialité.26 Nous avons formé l’apprentissage automatique avec un grand ensemble de données publiques de politiques de confidentialité annotées, APP-350.27 Ceci est un ensemble de 350 politiques de confidentialité d’applications mobiles populaires annotées par des experts juridiques. La précision de cette méthode a été validée à plus de 97 % pour tous les types de divulgation, une précision moyenne de 87 % et un rappel moyen de 77 %. L’annexe B supplémentaire présente les performances de prédiction détaillées. Analyse du trafic : nous avons intercepté et analysé tout le trafic réseau généré par les applications lors de l’exécution des tests automatisés des applications.28 Pour y parvenir, nous avons construit un banc d’essai dédié composé d’un smartphone qui se connecte au Internet via un ordinateur configuré en point d’accès WiFi, qui exécute un outil29 interceptant tout le trafic transmis vers Internet. Chacune des 15 893 applications gratuites téléchargées a été testée individuellement (les applications achetées en magasin ou géobloquées ont été exclues) : pour chaque application, nous avons effectué en moyenne 35 activités différentes (par exemple, une application ouverte, un menu ouvert, un clic sur un bouton) dans un 180 deuxième session de test. Le trafic intercepté a été analysé comme suit : Publicités et trackers dans le trafic des applications : nous avons extrait les communications avec des services de publicité et de suivi externes, très probablement des tiers destinataires de données personnelles.30 Pour isoler les composants de trafic associés aux publicités et aux trackers, nous avons utilisé deux listes de filtres complètes : EasyList31, une liste de blocage des publicités, et EasyPrivacy,32 une liste de blocage supplémentaire pour le suivi. Transmission de données personnelles dans le trafic des applications : nous avons identifié les transmissions de données utilisateur effectuées par les applications lors des tests. Une méthode d’apprentissage automatique33 a été utilisée pour trouver des informations personnellement identifiables dans le trafic des applications considérées comme l’identifiant spécifique de l’appareil (par exemple, l’identifiant Android), l’identifiant de l’utilisateur (par exemple, le nom ou l’adresse e-mail), les informations d’identification (par exemple, le mot de passe) ou l’emplacement. L’apprentissage automatique a été formé sur un vaste ensemble de données publiques de flux de trafic d’applications mobiles annotées34 et a donné une précision de validation de 97 %, avec une précision de 97 % et un rappel de 96 %. Le résultat n’inclut que les pratiques de collecte de données qui sont réellement effectuées lorsque l’application est utilisée ; cet ensemble n’est cependant pas complet en raison des limitations de couverture des tests d’applications dynamiques, qui peuvent ne pas déclencher certains menus, vues ou fonctionnalités de l’application. Pour cette raison, nous avons étudié la collecte de données utilisateur dans les applications mHealth en exploitant à la fois le code de l’application et le trafic de l’application. Transmission sécurisée des données utilisateur : à l’aide du protocole HTTP/HTTPS, nous avons mesuré les fractions des transmissions de données utilisateur. Alors que les communications basées sur HTTP ne sont pas cryptées, HTTPS crypte tous les messages pour protéger les utilisateurs de l’application contre l’interception malveillante des données et la falsification du contenu. À la lumière des récents rapports faisant état d’une surveillance Internet généralisée35 et de la législation autorisant les fournisseurs de services Internet à vendre des informations sur les utilisateurs extraites du trafic réseau36, l’adoption du protocole HTTPS est essentielle pour protéger la vie privée des utilisateurs30. critiques pour chaque application, nous avons téléchargé le contenu de la page de l’application dans le Google Play Store. Après avoir exclu ces avis sans texte, nous avons obtenu un ensemble de données de 2 130 684 avis pour 6 938 applications mHealth, dont 366 198 (17,2%) faisaient référence à des applications médicales et 1 764 486 (82,8 %) à des applications de santé et de remise en forme. Nous avons classé ces avis comme positifs (4 ou 5 étoiles), négatifs (1 ou 2 étoiles) ou neutres (3 étoiles), ce qui a donné 1 788 463 (83,9%) avis positifs et 235 210 (11,0%) avis négatifs.
Participation des patients et du public
Aucun patient ou membre du public n’a été directement impliqué dans l’étude. Le sujet de l’étude était les applications mobiles mHealth accessibles au public sur Google Play. Les méthodes de collecte et d’analyse des données ont tiré parti d’une plate-forme de test automatisée conçue par les auteurs, ne nécessitant pas l’implication des utilisateurs ou des développeurs d’applications mHealth. De même, nous avons analysé les avis publics sur les applications de Google Play, qui ont été volontairement fournis par les utilisateurs de l’application. Pour sensibiliser aux risques liés à la vie privée dans la santé mobile, nous prévoyons de partager les ensembles de données collectés, la bibliothèque d’analyses et nos résultats avec les cliniciens, les patients, les développeurs d’applications et le public.
Résultats
Pratiques de collecte de données personnelles
mais aussi pour générer des profils d’utilisateurs en ligne. Les autres types de données courants étaient l’adresse e-mail de l’utilisateur et l’emplacement actuel de la tour de téléphonie cellulaire (33,0 % (6927) et 25,0 % (5248) des applications, respectivement). Des transmissions de données utilisateur ont été observées dans 3,9% (616) des applications mHealth, principalement pour les applications de santé et de fitness (fig 3). Ce pourcentage est substantiel et doit être considéré comme une limite inférieure pour les transmissions de données réelles effectuées par les applications, car certaines transmissions peuvent ne pas être déclenchées lors des tests automatisés des applications. Les transmissions les plus courantes concernaient le contact (nom ou prénom de l’utilisateur) et l’emplacement (par exemple, code postal ; fig 3). Par rapport aux applications de base (non mHealth), les applications mHealth, en particulier les applications médicales, étaient considérablement moins susceptibles de collecter des données personnelles (fig 2).Fig 2 Opérations de collecte de données dans les fichiers et le code des applications de santé mobile (mHealth). IMEI=identité internationale de l’équipement mobile ; SSID BSSID = identifiant d’ensemble de services de base identifiant d’ensemble de services ; MAC=contrôle d’accès aux médias ; SIM=module d’identité d’abonné ; IMSI = identité de l’abonné mobile internationalFig 3 Transmissions de données personnelles des utilisateurs dans le trafic des applications de santé mobile (mHealth). MAC=contrôle d’accès aux médias ; GPS = système de positionnement global Les tiers pouvant accéder aux données personnelles ont également été étudiés en distinguant la collecte pour le compte de la première partie (entités et domaines propres à l’application) et la collecte pour le compte de services tiers (par exemple, publicités externes, analyses et suivi fournisseurs). Les résultats montrent un rôle prédominant des tiers (fig 4) ; 54 155 des 61 920 opérations de collecte de données dans les codes d’application (87,5%, fig 4) étaient liées à des services tiers, c’est-à-dire qu’elles provenaient de bibliothèques tierces intégrées dans les applications. Le résultat pourrait en partie surestimer le rôle réel de ces services, car certaines bibliothèques intégrées peuvent ne jamais être utilisées. La forte présence de tiers a toutefois été confirmée par le trafic des applications, où 1756 des 3148 transmissions de données utilisateur détectées (55,8%, fig 5) étaient vers des serveurs tiers.Fig 4 Destinataires de données personnelles en santé mobile (mHealth) fichiers et code de l’application. IMEI=identité internationale de l’équipement mobile ; SSID BSSID = identifiant d’ensemble de services de base identifiant d’ensemble de services ; MAC=contrôle d’accès aux médias ; SIM=module d’identité d’abonné ; IMSI = identité d’abonné mobile internationalFig 5 Transmission de données personnelles de première partie et de tiers dans le trafic des applications de santé mobile (mHealth). MAC=contrôle d’accès aux médias ; GPS=système de positionnement global
Destinataires de données tiers
netFig 6 Bibliothèques tierces dans les catégories d’applications de santé mobile (mHealth) et les applications non mHealth tandis que les transmissions de localisation et d’identifiant d’appareil étaient principalement destinées à des publicités (par exemple, Liftoff app marketing) et des services de notification de smartphone (par exemple, Pushwoosh). Tableau 3 Principaux tiers impliqué dans les pratiques de collecte de données des utilisateurs à partir des applications de santé mobile (mHealth)
Problèmes de conduite en matière de confidentialité
chaque transmission de données était classée comme conforme si la pratique de collecte de données associée était divulguée dans la politique de confidentialité, violait si l’application avait une politique de confidentialité mais que la pratique n’était pas divulguée, et aucune politique de confidentialité si l’application n’avait pas de politique de confidentialité. Les cas de non-respect et d’absence de politique de confidentialité sont potentiellement illégaux en raison de violations des réglementations en matière de confidentialité telles que le RGPD, qui requiert un consentement éclairé et sans ambiguïté.37 Dans l’ensemble, 55,0 % (437) et 38,0 % (894) des transmissions de données d’utilisateurs dans les domaines médicaux et les applications de santé et de fitness, respectivement, étaient conformes aux politiques de confidentialité des applications respectives (tableau 5). La proportion d’infractions (> 24,0 %, 756) était cohérente dans les deux catégories d’applications. Une plus grande proportion d’applications dans la catégorie santé et remise en forme n’avaient pas de politique de confidentialité : 36,0 % (847) contre 17,0 % (135) pour la catégorie médicale. Les applications avaient tendance à se conformer entièrement à la politique de confidentialité ou à ne pas se conformer du tout. Dans l’ensemble, 34,0% (7136) des applications ont montré une conformité totale et 49,0% (10 286) n’ont montré aucune conformité soit indisponible parce qu’une politique de confidentialité n’était pas présente (21,0%, 4408) ou toutes les transmissions de données d’utilisateur ont violé la politique de confidentialité (28,1%, 5903). L’annexe D fournit des exemples de comportements d’applications conformes et non conformes pour les applications mHealth populaires. Tableau 5 Cohérence de la divulgation de la collecte de données dans la politique de confidentialité avec les transmissions de données utilisateur dans le trafic des applications. Les valeurs sont des nombres (pourcentages), sauf indication contraire. Transmission non sécurisée des données utilisateur : jusqu’à 23,0% (724) des transmissions ont eu lieu sur du trafic HTTP non crypté, les transmissions non cryptées étant particulièrement courantes pour les données sensibles telles que le mot de passe de contact et la localisation GPS. L’annexe E supplémentaire fournit une ventilation détaillée de la transmission de données non sécurisée par type de données utilisateur.
Réclamations des utilisateurs dans les avis sur les applications
Les principales plaintes soulevées par les utilisateurs de l’application mHealth ont été extraites d’avis négatifs sur l’application (notes avec deux étoiles). L’annexe F supplémentaire répertorie 41 mots-clés associés à six catégories de plaintes qui ont été recherchées dans les textes d’examen. Par exemple, le mot-clé « crash » a été associé à la catégorie de plainte « bugs », tandis que le mot-clé « privé » a été associé à « confidentialité ». Une analyse des 235 210 avis négatifs a donné lieu à un ensemble de 288 238 plaintes d’utilisateurs, dont 58 349 concernaient des applications médicales et 229 889 des applications de santé et de remise en forme. une corrélation a été observée entre la présence des plaintes et le comportement réel de l’application. Plus précisément, les applications associées aux plaintes concernant les publicités ou les trackers ont intégré davantage de bibliothèques tierces, ce qui suggère une pénétration croissante des publicités et des trackers. Lorsque les examens comprenaient des plaintes directes concernant la confidentialité, les applications intégraient davantage d’opérations de collecte de données personnelles dans leur code (l’annexe G supplémentaire fournit plus de détails).
Discussion
Notre analyse, réalisée sur un ensemble de 20 991 applications mHealth, a montré que la plupart des applications (88,0 %, 18 472) pouvaient accéder et potentiellement partager des données personnelles. La transmission d’informations utilisateur dans le trafic des applications a été détectée pour 3,9 % (616) des applications ; cependant, la transmission obtenue lors des tests d’applications automatisés était une limite inférieure du partage réel des données par les applications. Nous avons également observé que, par rapport aux applications de base non mHealth, les applications mHealth incluaient moins d’opérations de collecte de données dans leur code, transmettaient moins de données utilisateur et présentaient une pénétration réduite des services tiers. Les applications de santé et de remise en forme étaient généralement plus susceptibles de collecter et de partager des informations sur les utilisateurs que les applications médicales, et l’intégration de publicités et de services de suivi était également plus prononcée (fig 6 et fig 7). Parmi les données que les applications mHealth pourraient collecter, nous avons trouvé une présence importante d’identifiants d’appareils persistants et d’informations de contact des utilisateurs. Les identifiants d’appareil persistants permettaient de suivre les individus au fil du temps et à travers différents services, tandis que les informations de contact affectaient directement la vie privée d’un individu. Le rôle des tiers était prédominant : plus de 87,0 % (54 155) des pratiques de collecte de données ont été effectuées sur pour le compte de services externes. Notamment, 50 services de premier plan étaient responsables d’environ 70,0% (43 344) des opérations de collecte de données dans le code des applications et des transmissions de données dans le trafic des applications. Dans l’ensemble d’applications analysé, les services appartenant à Google étaient les plus courants. Cela est probablement lié à la position dominante des services d’analyse et de publicité de Google et reflète le choix de Google Play Store comme source de notre ensemble de données d’applications. Les applications Android exploitent des outils d’assistance (par exemple, pour signaler des bogues) qui rapportent directement à Google, qui peut partager des informations supplémentaires sur les appareils. Par conséquent, nous nous attendrions à un rôle légèrement moins prononcé de Google pour les applications mHealth dans l’Apple Store. Bien que la récupération et le partage des informations des utilisateurs par les applications mHealth aient été routiniers, les pratiques de collecte de données étaient loin d’être transparentes. Notre analyse comparative des politiques de confidentialité des applications mHealth analysées et des transmissions réelles d’informations sur les utilisateurs était préoccupante car 28,1 % (5903) des applications mHealth ne proposaient aucun texte de politique de confidentialité, et au moins 25 % (15480) des les transmissions de données d’utilisateurs ont violé ce qui était indiqué dans les politiques de confidentialité. Une autre préoccupation était la transmission d’informations utilisateur sensibles, telles que la géolocalisation fine des utilisateurs (c’est-à-dire les coordonnées GPS, 42 % (26 006)) ou le mot de passe (75 % (46 440)), en utilisant des canaux de communication non sécurisés. Ces résultats sont inquiétants compte tenu des récents rapports sur la surveillance d’Internet et la commercialisation non désirée des données des utilisateurs.8 26 Bien que ces problèmes soient d’actualité, notre analyse des revues d’applications mHealth a montré que les utilisateurs d’applications semblent avoir une conscience limitée de la conduite des applications en matière de confidentialité. Par rapport aux commentaires des utilisateurs dans la catégorie des bogues, les plaintes des utilisateurs liées à la confidentialité étaient moins courantes (tableau 6). Les raisons sont cependant difficiles à démêler. Nous ne pouvons pas expliquer en toute confiance le nombre limité de plaintes relatives à la « vie privée » avec la sensibilisation réduite des utilisateurs (ou leur intérêt pour) les aspects de confidentialité, car les critiques d’applications peuvent ne pas être la seule ni la destination privilégiée des préoccupations des utilisateurs en matière de confidentialité. D’autres canaux existaient, tels que les formulaires de contact ou les coordonnées fournies dans la politique de confidentialité de l’application, ou les régulateurs de la confidentialité tels que l’Office of the Australian Information Commissioner38. Tableau 6 Répartition des plaintes des utilisateurs trouvées dans les examens des applications de santé mobile (mHealth). Les valeurs sont des nombres (pourcentages) sauf indication contraire
Forces et limites de cette étude
Les points forts de notre étude comprenaient la taille de l’échantillon et la comparaison entre le comportement des applications mHealth et celui des applications non mHealth (baseline). Nous avons également déterminé le type d’informations utilisateur que les applications mHealth peuvent récupérer et partager, notre analyse s’appuyant à la fois sur les ressources d’applications statiques (code et fichiers de l’application) et sur le trafic d’applications généré dynamiquement. Pour intensifier l’étude et faire face à un grand nombre d’applications mHealth, nous avons utilisé des outils d’analyse automatisés ainsi que des techniques modernes d’apprentissage automatique. Bien que la validité de l’exactitude de ces techniques soit élevée (> 96 % pour la détection des transmissions de données des utilisateurs et la divulgation des pratiques de confidentialité), ces techniques peuvent encore générer un nombre limité de faux positifs. Pour faire face à l’échelle de l’ensemble d’applications, nos tests en direct d’applications mHealth se sont fortement appuyés sur des interactions aléatoires étendues par opposition aux modèles et profils d’utilisation des applications conçus à la main, avec l’inconvénient que certaines parties des applications (par exemple, les onglets, les vues, les menus ) n’a peut-être pas été déclenché pendant le test. En raison du nombre d’applications disponibles, nous avons limité nos analyses aux applications gratuites. Cette restriction a peut-être introduit un biais, car les modèles économiques des applications achetables en magasin dépendent moins de la vente de données utilisateur5, et récupèrent donc moins de données utilisateur, avec une présence réduite de publicités et de trackers. Cependant, nous pensons que cela n’aurait pas dû affecter la généralisation de nos résultats, car jusqu’à 15,4% (3228) des applications mHealth trouvées sur Google Play pourraient être achetées (tableau 1).
Comparaison avec les études précédentes
Les applications mHealth et les risques associés à la vie privée ont reçu beaucoup d’attention de la communauté des chercheurs. Huckvale et al investigated the privacy of 79 health and wellness mobile apps accredited by the UK’s national health service15 and found that most of the apps (78%, 62) that transmitted user information did not describe their data collection practices in the privacy policies. When the researchers assessed the privacy practices of 36 top ranked apps for smoking cessation and depression, they found that only a small fraction (12 of 29) disclosed the transmission of data to Facebook or Google in their privacy policies.4 While these studies focused on consistency between the data collection practices and privacy policies of mHealth apps, the study by Grundy et al focused on the recipients of user information collected by 24 medical apps.14 Their findings on the prevalence of analytics and advert services among user data recipients is in line with our results.Our study analysed more than 20 000 mHealth apps on Google Play, 15 838 in detail, rather than the tens of apps assessed in previous studies.4121415 The only other study to analyse a comparable range of mHealth apps was conducted in 2015.18 That study, however, only categorised mHealth apps into classes of potential risk (low, medium, high risk of privacy leaks), while not providing any results on the type of user information collected, recipients of the information, and consistency of the app practices with the disclosed privacy policies.Our study presents a broad assessment of mHealth apps compared with previous studies. In previous studies, the analysis was generally restricted to the data transmitted by mHealth apps14 or to the consistency of the apps with their privacy policies.1215 We analysed the privacy risks associated with mHealth apps by considering the information the apps transmit or can access through their code, the potential recipients of this information, and the correct disclosure of data sharing practices.Considering the concentration of user data transmission towards dominant third party services, our findings on mHealth apps are aligned with recent large scale analyses of tracking and data sharing ecosystem in mobile apps.394041 An analysis of 959 426 apps found that most trackers embedded in the apps were linked to a small number of commercial entities, with Google the most prominent.39 Similarly, traffic analysis of 14 599 Android apps found that despite owning just 3.9% (616) of all third party tracking services, Google was present in 50.8% (10 657) of the analysed apps.40
Recommandations
Under these conditions, clinicians should resort to checking the permissions requested by the apps to access sensitive resources such as cameras, microphones, or locations; examine the app’s privacy policy; or review the app’s privacy behaviour. Previous studies suggest that privacy policies often remain unread because of their length and complicated and confusing language.42 However, we noticed increasing research efforts towards using question answering systems to search for answers in long and verbose policy documents.4344 We suggest that such tools, which leverage artificial intelligence for querying privacy policies in natural language, can support clinicians in identifying relevant app privacy practices and explaining them to patients.Besides the need for medical practitioners to familiarise themselves with the privacy aspects of mHealth apps, we believe that mobile app marketplaces, such as Google Play and the Apple store, should examine the privacy statements of apps thoroughly before the apps are available. Through a vetting process, mobile app marketplaces should ensure that a valid and meaningful privacy policy document is always provided, unlike the current situation, where we observed that the links to privacy policy pages accessible from Google Play were often broken or led to empty webpages.
Conclusion
For most of the 20 000 medical and health and fitness apps analysed, we found that most can collect and potentially share data with third parties, including advertising and tracking services. The apps collected user data on behalf of hundreds of third parties, with a small number of service providers accounting for most of the collected data. The analysis also revealed that mHealth apps were far from transparent when dealing with user data, with only about half being compliant with their declared privacy policies (if available at all).Mobile apps are fast becoming sources of information and decision support tools for both clinicians and patients. Such privacy risks should be articulated to patients and could be made part of app usage consent. We believe the trade-off between the benefits and risks of mHealth apps should be considered for any technical and policy discussion surrounding the services provided by such apps.What is already known on this topic
- Mobile applications (apps) often collect user data and share it with developers’ controlled servers as well as external third party, commercial entities
- Mobile health (mHealth) apps pose concerns about privacy owing to the sensitive user information they can access
- Inadequate privacy disclosures have been repeatedly identified for top mHealth apps, preventing users from making informed choices around the data
What this study adds
- 88% of the 20 991 mHealth apps included in this study could access and potentially share personal data
- mHealth apps collected less user data than other types of mobile apps
- Data collection in mHealth apps was found to be far from transparent and secure, and often exceeded what is publicly disclosed by app developers