Health Connect może ujawniać więcej danych zdrowotnych, niż sugerują uprawnienia Androida — badanie opublikowane podczas USENIX Security 2026 wykazało, że 19,6% przebadanych aplikacji wysyłało dane medyczne razem z identyfikatorami użytkownika

Użytkownik może zezwolić aplikacji na odczyt kroków, snu, masy ciała czy ciśnienia i odnieść wrażenie, że właśnie określił granicę dostępu do swoich danych. Problem zaczyna się chwilę później: uprawnienie kontroluje przede wszystkim to, co aplikacja może odczytać z Health Connect, ale nie daje użytkownikowi równie precyzyjnej kontroli nad tym, co aplikacja zrobi z informacją po jej pobraniu.

Badanie zaprezentowane podczas 35. USENIX Security Symposium w sierpniu 2026 r. pokazało skalę tego rozdźwięku. Naukowcy przeanalizowali 2 348 217 unikalnych aplikacji na etapie wstępnego wyszukiwania, ręcznie uruchomili 1068 programów deklarujących uprawnienia Health Connect, a ostateczny zbiór badawczy objął 351 aplikacji faktycznie korzystających z API Health Connect.

Wynik, który powinien zainteresować użytkowników Androida, jest prosty: 69 z 351 aplikacji, czyli 19,60%, przesyłało dane pochodzące z Health Connect przez sieć poza urządzenie. Jeszcze ważniejszy jest drugi wynik: w 56 aplikacjach badacze znaleźli transmisję danych zdrowotnych razem z informacjami pozwalającymi identyfikować lub profilować użytkownika, m.in. imieniem i nazwiskiem, adresem e-mail, Advertising ID czy numerem telefonu.

To nie jest zatem problem abstrakcyjnego „trackingu”. W jednym pakiecie sieciowym mogą spotkać się na przykład ciśnienie krwi, masa ciała, sen lub trasa treningu oraz identyfikator pozwalający powiązać te informacje z konkretną osobą.

Uprawnienie Health Connect nie mówi, dokąd później trafią dane

Health Connect miał uporządkować jeden z najbardziej chaotycznych obszarów Androida. Zamiast tworzyć osobne integracje między zegarkiem, aplikacją treningową, licznikiem kalorii, wagą i programem monitorującym zdrowie, aplikacje mogą korzystać ze wspólnej warstwy danych.

Od Androida 14 Health Connect jest elementem systemu. Dane są przechowywane lokalnie, a użytkownik przyznaje oddzielne uprawnienia do konkretnych kategorii i operacji odczytu lub zapisu. Aplikacja chcąca czytać tętno potrzebuje odpowiedniego uprawnienia; podobnie w przypadku snu, ciśnienia, masy ciała czy innych rekordów.

Na ekranie wygląda to sensownie. Techniczna granica jest jednak inna, niż może zakładać użytkownik.

Po przyznaniu aplikacji prawa do odczytania rekordu Health Connect system kontroluje dostęp do źródła. Nie oznacza to automatycznie, że dana pozostanie na telefonie. Jeżeli aplikacja pobierze informację, może następnie przetworzyć ją we własnym kodzie, przesłać do swojego serwera albo wykorzystać w połączeniu z innymi informacjami, o ile nie zatrzyma jej dodatkowy mechanizm techniczny lub regulaminowy.

Badacze stworzyli środowisko testowe oparte na Google Pixel 6 z Androidem 14. Monitorowali wywołania API i ruch sieciowy, korzystając m.in. z Burp Suite oraz Fridy. Eksperyment prowadzono w Europie. To istotne, bo nie była to analiza samych deklaracji deweloperów ani plików APK. Sprawdzano, co aplikacje rzeczywiście robią podczas działania.

Wśród 351 programów:

• 69 aplikacji, czyli 19,60%, wysyłało dane Health Connect przez sieć;

• 90 aplikacji, czyli 25,64%, nie informowało prawidłowo o zbieraniu lub udostępnianiu rekordów zdrowotnych;

• 60,96% nie spełniało wytycznych Health Connect dotyczących przejrzystości interfejsu;

• 100 aplikacji, czyli 28,49%, odczytywało rekordy utworzone przez inne aplikacje;

• 29 aplikacji pobierało dane należące do innych programów i przesyłało je do 42 domen;

• 13 aplikacji ujawniało przez metadane Health Connect informacje pozwalające poznać część innych zainstalowanych aplikacji.

Ten ostatni punkt jest szczególnie niewygodny. Android od lat ogranicza możliwość swobodnego sprawdzania, jakie aplikacje użytkownik ma zainstalowane. Tymczasem metadane Health Connect mogą zawierać nazwę pakietu programu, z którego pochodzi rekord. Sama nazwa potrafi zdradzić więcej, niż wygląda na pierwszy rzut oka. Pakiet aplikacji do monitorowania cukrzycy, płodności lub konkretnego schorzenia staje się informacją o potencjalnie bardzo wysokiej wrażliwości.

Z telefonu wychodziły ciśnienie, lokalizacja, sen i informacje pozwalające rozpoznać użytkownika

Sformułowanie „dane zdrowotne” jest zbyt ogólne, aby dobrze oddać wynik badania. Naukowcy wykryli transmisję 20 rodzajów rekordów Health Connect. Wśród najczęściej przesyłanych znajdowały się dane o sesjach treningowych, odżywianiu, śnie i masie ciała.

Lista obejmowała również informacje znacznie bardziej wrażliwe:

• glukozę i ciśnienie krwi,

• temperaturę ciała,

• procent tkanki tłuszczowej i beztłuszczową masę ciała,

• częstotliwość oddechu,

• nawodnienie,

• dane żywieniowe, w tym cholesterol, cukier, sód i tłuszcze,

• spalone kalorie i liczbę kroków,

• informacje o śnie,

• współrzędne geograficzne oraz przebieg tras treningowych.

Badacze znaleźli między innymi przypadek, w którym aplikacja uzyskała dostęp do lokalizacji zapisanych w rekordach tras ćwiczeń pochodzących z innych aplikacji i przesłała je do dwóch domen. Lokalizacja nie sprowadza się tu do nazwy miasta. Rekord ExerciseRoute może zawierać szerokość i długość geograficzną, wysokość oraz znaczniki czasu, czyli materiał pozwalający odtworzyć konkretny bieg, spacer albo trening rowerowy.

Jeszcze większe znaczenie ma łączenie takich rekordów z identyfikacją człowieka. Badacze wykryli 56 aplikacji przesyłających informacje takie jak imię, nazwisko, e-mail, Advertising ID, numer telefonu, wersja systemu czy identyfikatory sieci komórkowej razem z danymi zdrowotnymi.

To precyzyjniejsze stwierdzenie niż uproszczenie, że „19,6% aplikacji wysyłało dane medyczne z identyfikatorami”. 19,6% — 69 aplikacji — wysyłało dane Health Connect poza urządzenie. Osobna grupa 56 aplikacji łączyła takie dane z informacjami identyfikującymi lub profilującymi użytkownika. W odniesieniu do całej badanej grupy 351 programów daje to około 16%.

Przykład pokazany w badaniu dobrze ilustruje konsekwencje. Jedna z aplikacji odczytywała dane żywieniowe obejmujące m.in. sód, cholesterol, cukier i całkowitą zawartość tłuszczu, a także informacje o ćwiczeniach pochodzące z trzech różnych aplikacji. Następnie przesyłała te rekordy razem z pełnym imieniem i nazwiskiem oraz adresem e-mail.

Badacze znaleźli ponadto ruch do domen klasyfikowanych jako analityczne i reklamowe. W jednym z opisanych przypadków do infrastruktury Amplitude trafiała nazwa ćwiczenia razem z Advertising ID, Build ID, imieniem i nazwiskiem oraz e-mailem. Zespół wykrył również domenę powiązaną z systemem reklamowym DoubleClick.

To ważna granica. Aktualne zasady Google Play dotyczące danych zdrowotnych zabraniają wykorzystywania danych uzyskanych dzięki uprawnieniom zdrowotnym Androida do obsługi reklam, w tym reklam personalizowanych i opartych na zainteresowaniach.

Z perspektywy użytkownika z Polski dochodzi jeszcze RODO. Dane dotyczące zdrowia są szczególną kategorią danych osobowych, objętą podwyższoną ochroną. Sam fakt posiadania technicznego dostępu do rekordu na Androidzie nie jest podstawą prawną pozwalającą firmie robić z nim dowolne rzeczy. Administrator nadal musi mieć odpowiednią podstawę przetwarzania, jasno określony cel, stosować minimalizację danych i realizować obowiązki informacyjne.

Nie należy przy tym automatycznie zakładać, że każda transmisja poza telefon jest naruszeniem RODO. Aplikacja synchronizująca historię treningów z własnym kontem może potrzebować serwera do wykonania funkcji, o którą prosi użytkownik. Ryzyko rośnie gwałtownie wtedy, gdy zakres przesyłanych informacji jest większy niż niezbędny, dane trafiają do podmiotów trzecich albo deklaracje w Google Play i polityce prywatności nie odpowiadają zachowaniu aplikacji.

Największy problem leży między „zezwalam na odczyt” a „zgadzam się na dalsze wykorzystanie”

Ekran uprawnień Health Connect zachęca do myślenia kategoriami: „ta aplikacja może czytać sen”, „ta może czytać wagę”, „ta ma dostęp do ciśnienia”. To jednak tylko pierwszy etap przepływu informacji.

Badanie pokazało, że aplikacja może uzyskać dostęp również do rekordów zapisanych przez inne programy, jeżeli mieszczą się w przyznanej kategorii. W testach 100 aplikacji odczytało łącznie 2334 rekordy pochodzące od innych aplikacji, a 25 z tych programów nie informowało o takim zbieraniu danych w sekcji Data Safety.

W praktyce prowadzi to do sytuacji, której przeciętny użytkownik nie musi przewidzieć. Można zezwolić aplikacji treningowej na dostęp do masy ciała, aby wyliczała spalanie kalorii, a po pewnym czasie ta sama kategoria może zawierać rekord masy zapisany przez inteligentną wagę lub inny program. Zgoda na typ danych nie musi być intuicyjnie odbierana jako zgoda na wszystkie źródła danych tego typu.

Do tego dochodzą metadane. Health Connect przechowuje przy rekordach między innymi identyfikator UUID, źródło danych i informacje o urządzeniu, które rekord utworzyło. W badaniu 120 aplikacji sięgało po nazwę pakietu źródłowej aplikacji, a kolejnych 120 uzyskiwało informacje o urządzeniu tworzącym rekord, np. jego typie, modelu i producencie.

Takie dane osobno mogą wyglądać niewinnie. Połączone z masą ciała, wzrostem, historią snu, modelem zegarka i Advertising ID tworzą jednak bardzo charakterystyczny profil.

Z punktu widzenia użytkownika najważniejsza zasada brzmi więc: nie oceniaj aplikacji wyłącznie po liczbie żądanych uprawnień. Aplikacja prosząca tylko o jeden typ danych może być bardziej problematyczna niż program wymagający pięciu kategorii, jeżeli pierwsza wysyła uzyskane informacje do kilku zewnętrznych usług.

Przed pozostawieniem dostępu do Health Connect dobrze wykonać trzy kontrole:

1. Wejdź w Ustawienia → Bezpieczeństwo i prywatność → Prywatność → Health Connect lub bezpośrednio do ustawień Health Connect i sprawdź listę aplikacji mających dostęp.

2. Odbierz uprawnienia programom, których już nie używasz lub które nie potrzebują danej kategorii do funkcji, z której faktycznie korzystasz.

3. Porównaj żądane dane z funkcją aplikacji. Kalkulator treningowy potrzebujący historii ćwiczeń jest logiczny. Prosta aplikacja z minutnikiem prosząca o ciśnienie, sen, masę ciała i dane żywieniowe powinna zapalić czerwoną lampkę.

Trzeba też zaakceptować niedogodność: Android nie pokazuje użytkownikowi prostego, systemowego raportu „ta aplikacja wysłała dziś twoje ciśnienie do domeny X”. Ekran Health Connect dobrze nadaje się do kontrolowania dostępu do źródła, ale nie jest pełnym monitorem późniejszego ruchu sieciowego. To właśnie luka między kontrolą dostępu a kontrolą dalszego wykorzystania danych stanowi sedno problemu opisanego przez badaczy.

W praktyce przydatnym uzupełnieniem informacji o prywatności i sposobach ograniczania ekspozycji danych jest [ANCHOR].

FAQ

Czy Health Connect sam wysyła moje dane zdrowotne do reklamodawców?
Nie. Badanie dotyczyło zachowania aplikacji korzystających z Health Connect. Problem pojawia się po tym, gdy aplikacja uzyska uprawnienie, odczyta rekord i następnie sama prześle informację przez sieć.

Czy wynik 19,6% oznacza, że co piąta aplikacja na Androidzie wycieka dane medyczne?
Nie. 19,60% dotyczyło 69 aplikacji z końcowego zbioru 351 programów faktycznie korzystających z Health Connect, a nie wszystkich aplikacji dostępnych w Google Play. Badanie nie daje podstaw do przenoszenia tego odsetka na cały sklep.

Czy 19,6% aplikacji wysyłało dane razem z imieniem, e-mailem lub Advertising ID?
Nie dokładnie. 69 aplikacji, czyli 19,60%, wysyłało dane Health Connect poza urządzenie. 56 aplikacji transmitowało dane zdrowotne razem z informacjami pozwalającymi identyfikować lub profilować użytkownika.

Czy odwołanie uprawnienia Health Connect wystarczy?
Odwołanie uprawnienia zatrzymuje przyszły dostęp aplikacji do danych chronionych tym uprawnieniem. Nie powoduje jednak automatycznego usunięcia informacji, które aplikacja wcześniej skopiowała na własny serwer. W takim przypadku trzeba sprawdzić ustawienia konta, możliwość usunięcia historii oraz politykę prywatności operatora usługi.

Czy samo przesłanie danych zdrowotnych na serwer jest nielegalne?
Nie. Synchronizacja z serwerem może być uzasadniona funkcją aplikacji. W Polsce i UE przetwarzanie danych dotyczących zdrowia wymaga jednak spełnienia wymogów RODO dotyczących szczególnych kategorii danych, odpowiedniej podstawy prawnej, konkretnego celu i właściwego zabezpieczenia informacji.

Czy bezpieczniej całkowicie wyłączyć Health Connect?
Nie zawsze ma to sens. Jeżeli korzystasz z jednej lub dwóch zaufanych integracji, Health Connect daje wygodny sposób zarządzania dostępem w jednym miejscu. Rozsądniejszą reakcją jest ograniczenie liczby aplikacji z uprawnieniami i pozostawienie tylko tych kategorii danych, które są rzeczywiście potrzebne.

Co sprawdzić jako pierwsze?
Najpierw otwórz listę aplikacji mających dostęp do Health Connect i usuń dostęp programom, których już nie używasz. Dopiero potem ogranicz poszczególne kategorie w pozostałych aplikacjach. Największym błędem jest pozostawianie starego, szerokiego dostępu „na wszelki wypadek”, bo to zwiększa liczbę programów, które mogą pobierać rekordy utworzone przez inne źródła.