Klaim privasi itu ternyata cuma tagline. Stardust, aplikasi pelacak menstruasi bertema astrologi yang menempel slogan "Your data is private. Period," justru tertangkap membagikan data kesehatan reproduksi penggunanya ke perusahaan analitik RudderStack.
Temuan ini bukan sekadar rumor. Mozilla Foundation, bekerja sama dengan peneliti dari Berkman Klein Center Harvard dan University of Illinois, melakukan evaluasi teknis menyeluruh terhadap enam aplikasi period tracker populer. Metodologinya cukup serius: kombinasi tinjauan kebijakan privasi dan analisis lalu lintas jaringan secara langsung. Hasilnya dipublikasikan dalam bentuk peringkat 1-10. Stardust mendapat angka yang memalukan, eh, tunggu, tidak ada em dash di sini, 2 dari 10.
Apa saja yang bocor? Bukan data sembarangan. Status kehamilan, jenis kontrasepsi, tujuan reproduksi, kondisi suasana hati, konsumsi alkohol, hingga gejala fisik seperti kram dan nyeri payudara, semuanya mengalir ke RudderStack. Data itu pun dikaitkan dengan pengidentifikasi unik perangkat, teknik yang menurut Federal Trade Commission tidak membuat data menjadi anonim dan tetap bisa ditelusuri kembali ke individu tertentu.
Proses ini terjadi di latar belakang, tidak terlihat pengguna. Sama sekali. Peneliti keamanan Mozilla, Shoshana Wodinsky, membuktikannya lewat analisis lalu lintas jaringan. Dari enam aplikasi yang diuji, hanya Stardust yang terbukti mengirimkan data kesehatan sensitif ke pihak eksternal. Klaim enkripsi end-to-end yang sempat dipromosikan perusahaan pun gugur setelah dianalisis secara teknis.
Pihak Stardust tidak tinggal diam. Juru bicaranya, sebagaimana dikutip BBC News, menyatakan bahwa RudderStack "secara kontraktual dilarang menjual atau menggunakan data tersebut untuk kepentingannya sendiri" dan hanya berfungsi sebagai perantara teknis ke sistem analitik internal. Klaim yang masih perlu dibuktikan, mengingat kedua perusahaan berbasis di Amerika Serikat dan tetap rentan terhadap permintaan data dari aparat penegak hukum. Pendiri Stardust, Rachel Moranis, tidak merespons permintaan komentar dari berbagai media. Seorang juru bicara mengakui menerima email, tapi tidak memberikan komentar.
Konteks lonjakan unduhan Stardust penting untuk dipahami. Aplikasi ini meledak popularitasnya tepat setelah Mahkamah Agung AS membatalkan hak konstitusional aborsi pada 2022. Artinya, jutaan perempuan yang khawatir soal hak reproduksi justru berlindung di balik aplikasi yang abai terhadap privasi mereka sendiri. Ironis, kalau tidak mau dibilang berbahaya.
Di ujung lain spektrum, ada Euki. Aplikasi nirlaba dan open-source ini meraih skor sempurna 10/10. Prinsipnya sederhana: semua data tersimpan di perangkat pengguna, tidak butuh akun, tidak ada yang dikirim ke mana pun. Benar-benar bersih, kata Mozilla. Di posisi kedua, Clue dari Jerman mendapat 8/10 karena memberi pengguna kendali granular atas pilihan berbagi data.
Aplikasi lain menempati posisi tengah dengan catatan masing-masing. Flo (7/10) paling rakus data, tapi hasil pengujian menunjukkan data kesehatan tetap terpisah dari pengiklan. Flo sempat menyelesaikan kasus hukum dengan FTC pada 2021 atas dugaan pembagian data ke Meta dan Google, sebelum memperbaiki praktiknya. Period Calendar (6/10) langsung mengirim data perangkat ke Google dan InMobi begitu dibuka. Spot On dari Planned Parenthood (5/10) aman di dalam aplikasi, tapi bocor melalui browser in-app.
Sejumlah aplikasi juga terdeteksi mengirimkan identitas unik perangkat ke layanan milik Microsoft, Google, Meta, bahkan TikTok, yang dimanfaatkan untuk iklan bertarget. Sara Geoghegan dari Electronic Privacy Information Center mengingatkan bahwa informasi sesederhana kepemilikan aplikasi period tracker di ponsel sudah cukup untuk mengungkap sisi paling personal seseorang. "Data dari aplikasi pelacak haid dapat menjadi bagian dari rangkaian pengawasan yang sangat mengungkap informasi pribadi," tegasnya.
Pesannya buat pengguna cukup jelas: jangan percaya tagline. Baca rekam jejak pengembangnya, bukan cuma kebijakan privasi yang bisa berubah kapan saja.