Penelitian terbaru dari Mozilla mengungkap bahwa aplikasi pelacak siklus haid Stardust membagikan informasi kesehatan sensitif milik pengguna kepada perusahaan analitik pihak ketiga, RudderStack. Temuan ini langsung mempertanyakan janji privasi aplikasi tersebut yang selama ini selalu menyatakan data pengguna sepenuhnya rahasia.
Data yang dikirimkan mencakup tanggal lahir, jenis kontrasepsi, tujuan reproduksi, hingga gejala spesifik yang sedang dialami pengguna. Stardust memang tidak menyertakan nama asli, melainkan menggunakan pengenal unik sebagai pengganti identitas. Namun, Komisi Perdagangan Federal (FTC) Amerika Serikat sejak lama memperingatkan bahwa praktik tersebut tidak membuat data menjadi anonim maupun kebal dari pelacakan balik ke individu.
Mozilla melakukan uji coba terhadap enam aplikasi pelacak siklus haid dengan cara menganalisis lalu lintas jaringan di dalamnya. Dari semua aplikasi yang diuji, Stardust menjadi satu-satunya yang mengirimkan data kesehatan sensitif ke perusahaan lain. Metode yang dipakai peneliti keamanan Mozilla, Shoshana Wodinsky, serupa dengan teknik yang digunakan TechCrunch pada 2022 saat aplikasi itu melonjak unduhannya pasca pencabutan hak konstitusional aborsi di AS.
Kala itu, Stardust menklaim sistemnya menggunakan enkripsi end-to-end sehingga perusahaan pun tidak bisa mengakses data pengguna. Analisis lalu lintas jaringan membuktikan klaim tersebut tidak benar. Kasus terbaru ini menambah daftar panjang ketidaksesuaian antara promosi privasi dan praktik teknis di aplikasi kesehatan perempuan.
Berbagi data dengan pihak ketiga lazim dilakukan aplikasi untuk keperluan penyimpanan, analitik, hingga pembayaran. Risikonya nyata: kebocoran, kelalaian keamanan, hingga permintaan data oleh aparat penegak hukum. Mengingat Stardust dan RudderStack berbasis di AS, penyimpanan data di server mereka membuka potensi penyitaan informasi kesehatan pengguna melalui perintah pengadilan.
Bagi pengguna Indonesia, isu ini relevan karena Stardust tersedia secara global di toko aplikasi dan digunakan sebagian perempuan lokal. Meski berbasis di luar negeri, aplikasi serupa banyak diunduh di Tanah Air tanpa kesadaran penuh soal alur data. Pembocoran data kesehatan reproduksi berpotensi memicu diskriminasi, stigma, hingga ancaman hukum di negara dengan regulasi yang belum ramah privasi.
Indonesia sendiri belum memiliki aturan spesifik yang mewajibkan aplikasi kesehatan melindungi data sensitif secara berbeda dari data umum. Undang-Undang Pelindungan Data Pribadi baru berjalan, namun pengawasan terhadap praktik transfer data lintas negara masih minim. Pengguna lokal kerap tidak membaca kebijakan privasi karena bahasanya teknis dan panjang.
Juru bicara Stardust kepada BBC News menyatakan RudderStack secara kontrak dilarang menjual atau memakai data untuk kepentingan sendiri. Pernyataan itu tidak menjawab mengapa data bisa keluar dari perangkat pengguna sejak awal. Founder Stardust, Rachel Moranis, tidak merespons permintaan komentar TechCrunch pada Kamis lalu maupun pertanyaan soal kemungkinan permintaan data dari aparat.
Dari enam aplikasi yang diuji, Mozilla menyebut Euki sebagai yang paling bersih karena fitur intinya tidak membagikan data ke pihak mana pun dan seluruh informasi kesehatan tetap tersimpan di perangkat. Rekomendasi itu memberi gambaran bahwa privasi sesungguhnya masih bisa diwujudkan tanpa bergantung pada server eksternal.
Ke depan, tekanan publik dan regulator diperkirakan memaksa pengembang aplikasi kesehatan memperbaiki transparansi alur data. Pengguna perlu beralih ke aplikasi yang menyimpan data secara lokal atau membuka kode sumber agar bisa diaudit komunitas. Tanpa itu, janji privasi di halaman depan aplikasi hanya akan menjadi jargon pemasaran belaka.
Pemerintah dan komunitas sipil di Indonesia juga perlu mendorong literasi privasi digital khusus topik kesehatan reproduksi. Mengingat banyak aplikasi luar negeri mengambil data warga tanpa sepengetahuan, penguatan regulasi dan pengawasan wajib dilakukan sebelum kerugian lebih besar terjadi.