Twoje dane treningowe należą do ciebie — dlaczego to nie jest oczywiste
150 milionów kont skompromitowanych. Bazy wojskowe widoczne na heatmapie. Dane o cyklu udostępnione Facebookowi. To nie są hipotetyczne scenariusze — to naprawdę wydarzyło się w ostatnich latach, w aplikacjach fitness, z których korzystają codziennie miliony ludzi.
Kiedy szukasz aplikacji do treningu siłowego, prawdopodobnie porównujesz funkcje: logowanie, timer, analizy, plany. Czego większość nie porównuje: co właściwie dzieje się z moimi danymi?
Co aplikacje fitness wiedzą o tobie
Przeciętna aplikacja fitness zbiera 12 z 35 możliwych kategorii danych — wynika to z analizy Surfshark obejmującej 16 popularnych aplikacji fitness z początku 2026 roku. Najbardziej zachłanne aplikacje gromadzą do 24 kategorii. 80% badanych aplikacji udostępnia dane użytkowników stronom trzecim.
Brzmi abstrakcyjnie. Konkretnie oznacza to: twoja masa ciała, objętość treningowa, kiedy trenujesz, jak często, jak długo. W połączeniu z danymi lokalizacyjnymi, adresem e-mail i identyfikatorem urządzenia. W niektórych aplikacjach dochodzą dane żywieniowe, wzorce snu czy zdjęcia postępów.
Trzy przypadki, które to unaoczniają
MyFitnessPal (2018): Aplikacja dietetyczna i fitness firmy Under Armour została zhakowana. Poszkodowanych 150 milionów kont — nazwy użytkowników, adresy e-mail, zahaszowane hasła. Gdyby incydent wydarzył się 12 tygodni później, obowiązywałoby już RODO, umożliwiające kary do 4% rocznych obrotów.
Heatmapa Strava (2018): Globalna heatmapa Strava ujawniła trasy biegowe na bazach wojskowych w Syrii, Afganistanie i Iraku. Australijski badacz bezpieczeństwa Nathan Ruser odkrył, że trasy patroli i obwody baz były wyraźnie widoczne. Ministerstwo Obrony USA ograniczyło następnie korzystanie z trackerów fitness.
Flo Health (2021): FTC ustaliła, że aplikacja do śledzenia cyklu Flo Health udostępniała wrażliwe dane zdrowotne — dane o cyklu, zamiary zajścia w ciążę, objawy — Facebookowi, Google i innym stronom trzecim. Mimo odmiennych zapewnień w polityce prywatności.
To nie są odosobnione przypadki. Privacy International zbadało aplikację odchudzającą Noom i stwierdziło, że dane zdrowotne z kwestionariusza onboardingowego (wzrost, waga, choroby współistniejące takie jak cukrzyca czy depresja) były przekazywane w czasie rzeczywistym do pięciu zewnętrznych dostawców.
Dane treningowe są danymi zdrowotnymi
Często pomijany punkt: Europejski Trybunał Sprawiedliwości wyjaśnił w październiku 2024 roku, że pojęcie “danych dotyczących zdrowia” na gruncie RODO należy interpretować szeroko. Dane, z których można wyciągnąć wnioski na temat stanu zdrowia, podlegają art. 9 RODO — najsurowszej kategorii ochrony.
Masa ciała, tętno, objętość treningowa, czasy regeneracji — to wszystko może być uznane za dane zdrowotne szczególnej kategorii. Ich przetwarzanie wymaga wyraźnej zgody wykraczającej poza zwykłe “Akceptuję regulamin”.
W praktyce wiele aplikacji fitness nie traktuje tych danych odpowiednio. Bo dotychczas rzadko ponosiło z tego tytułu konsekwencje.
Dlaczego wymuszanie konta jest problemem
Większość aplikacji fitness wymaga rejestracji, zanim w ogóle możesz zalogować serię. Interaction Design Foundation klasyfikuje “Forced Registration” jako Dark Pattern: dostęp do podstawowych funkcji jest ograniczony, choć rejestracja nie jest konieczna dla funkcjonalności.
Dlaczego aplikacje tak robią? Nie dlatego, że twój trening potrzebuje serwera. Lecz dlatego, że konto z adresem e-mail i profilem użytkowania można spieniężyć — przez reklamy, partnerstwa danych lub kampanie upsellingu.
Zadaj sobie pytanie: czy aplikacja, która zapisuje serie, powtórzenia i ciężary, naprawdę potrzebuje twojego adresu e-mail, daty urodzenia i lokalizacji?
Co się dzieje, gdy dostawca przestaje działać?
Aplikacje oparte na chmurze mają datę ważności. Nie teoretycznie — praktycznie.
Jawbone był producentem trackerów fitness wartym miliardy. Gdy firma zakończyła działalność, użytkownicy utracili dostęp do całej swojej historii treningów. Urządzenia były jeszcze sprzedawane na Amazonie, gdy aplikacja już nie działała.
Google Fit zostanie wyłączone w 2026 roku na rzecz Google Health. Narzędzie do migracji zapowiedziano na “później w tym roku”. Kto przegapi komunikat, ryzykuje utratę danych.
Wzorzec jest zawsze ten sam: twoje dane leżą na serwerach, których nie kontrolujesz. Gdy usługa zostaje wycofana, danych nie ma. Lata historii treningów, rekordy osobiste, dane o postępach — wszystko przepada.
Offline-First to coś więcej niż funkcja
Informatycy Martin Kleppmann, Adam Wiggins, Peter van Hardenberg i Mark McGranaghan opisali w 2019 roku na konferencji ACM Onward! zasadę, którą nazywają “Local-First Software”: oprogramowanie, w którym dane żyją przede wszystkim na twoim urządzeniu — nie w chmurze.
Ich główny argument: aplikacje chmurowe czynią użytkowników dzierżawcami własnych danych. Local-First odwraca to. Posiadasz swoje dane, bo są na twoim urządzeniu. Chmura staje się opcją, nie warunkiem.
Dla aplikacji treningowej Offline-First oznacza konkretnie:
- Brak potrzeby internetu. Bez ładowania, bez kółka, bez “Błąd połączenia” w piwnicy siłowni.
- Brak potrzeby konta. Instalujesz aplikację i trenujesz. Tyle.
- Brak ryzyka dostawcy. Jeśli deweloper jutro przestanie działać, twoje dane nadal są na twoim urządzeniu.
- Brak możliwości śledzenia. Tego, co nie leży na serwerze, nie można analizować, sprzedawać ani hakować.
Zdjęcia postępów: najbardziej wrażliwy punkt danych
Body tracking ze zdjęciami postępów jest oferowany w wielu aplikacjach. Rzadko mówi się o tym, co to oznacza dla prywatności: zapisujesz zdjęcia siebie w minimalnym ubraniu w aplikacji. Gdzie one trafiają?
W aplikacjach opartych na chmurze: na serwery dostawcy. Przy wycieku danych — jak w przypadku MyFitnessPal — te zdjęcia mogłyby trafić w niepowołane ręce. Privacy Rights Clearinghouse ustaliło, że wielu deweloperów aplikacji fitness nie posiada polityki prywatności, wysyła dane do nieujawnionych stron trzecich, a tylko nieliczni szyfrują wszystkie połączenia.
To nie jest porównanie funkcji. To fundamentalny problem architektoniczny: zdjęcia leżące na obcych serwerach to ryzyko, którego nie możesz kontrolować.
Jak hitPR to rozwiązuje
Tworzę hitPR. Zbudowałem tę aplikację, bo sam nie znalazłem żadnej, która łączy Offline-First, prywatność i kompletne śledzenie treningu siłowego, nie chowając podstawowych funkcji za paywallem.
Oto co to konkretnie oznacza — do weryfikacji w naszej polityce prywatności:
Offline-First. Aplikacja działa w pełni bez internetu. Konto nie jest potrzebne. Wszystkie dane treningowe — ćwiczenia, serie, ciężary, rekordy — są przechowywane wyłącznie lokalnie na twoim urządzeniu.
Brak śledzenia. Żadnego śledzenia użytkowników, żadnych SDK reklamowych, żadnej analityki stron trzecich. Żadnego Firebase Analytics, żadnego Mixpanel, żadnego Segment. Nie wiem, co trenujesz — i nie chcę wiedzieć.
Zdjęcia postępów zostają na twoim urządzeniu. Zawsze. Są szyfrowane AES-256, zabezpieczone biometrycznie i wykluczone z kopii zapasowej w chmurze. Zrzuty ekranu są blokowane. Żadnych przesyłek, żadnej synchronizacji, żadnego ryzyka.
Kopia zapasowa w chmurze jest opcjonalna. Kto ją włączy, otrzymuje szyfrowanie AES-256-GCM z indywidualnym kluczem na użytkownika. Przechowywane na Cloudflare R2 przez Supabase w UE (Frankfurt). Ale aplikacja działa równie dobrze bez tego.
Wszystkie podstawowe funkcje za darmo. Logowanie, timer, 8 systemów progresji, Muscle Heatmap, rozpoznawanie rekordów, kalkulator talerzy, ponad 20 programów, body tracking z sejfem na zdjęcia, 1300+ ćwiczeń. Pro rozszerza okresy analizy i dodaje kopię zapasową w chmurze oraz Watch Companion. Nic z tego nie jest potrzebne do kompletnego treningu.
Eksport danych w dowolnym momencie. Pełny eksport i import. Twoje dane należą do ciebie — nawet jeśli jutro usuniesz hitPR.
Na co zwracać uwagę
Niezależnie od tego, jakiej aplikacji używasz — zadaj te pytania przed wprowadzeniem swoich danych:
- Gdzie są moje dane? Na moim urządzeniu czy na obcych serwerach?
- Czy potrzebuję konta? Jeśli tak — dlaczego? Co dzieje się z moim adresem e-mail?
- Czy mogę wyeksportować swoje dane? Kompletnie, w dowolnym momencie, bez ograniczeń?
- Co się dzieje przy wycieku danych? Czy moje dane treningowe są szyfrowane? Moje zdjęcia?
- Co się dzieje, gdy aplikacja zostanie wycofana? Czy nadal będę mieć dostęp do moich danych?
Odpowiedzi na te pytania zazwyczaj nie znajdziesz na stronie z funkcjami. Lecz w polityce prywatności. Warto ją przeczytać.
Więcej na ten temat:
