社名は GoodRx かもしれないが、消費者が個人の健康情報を Facebook や Google などの企業に許可なく開示するというプライバシーの約束に違反した様子を説明するのに「良い」という形容詞を使うとは考えにくい。 GoodRx はどのようにしてそれを達成したのでしょうか?自動「プラグ アンド プレイ」追跡ピクセルと、大量の消費者データを取得して広告目的に利用するように設計された Facebook、Google、およびその他の企業のソフトウェア開発キット (SDK) を使用します。 GoodRx の場合、これには消費者の個人情報や健康情報が含まれていました。
違反を主張するFTCの最初の訴訟を解決するため 健全性侵害通知ルールGoodRxは民事罰金150万ドルを支払うことになる。しかし、和解案には、アプリ開発者やプライバシー専門家など、急成長する医療技術業界の関係者の間で、さらに話題になること間違いなしの、この種では初めての条項がもうひとつある。詳細については、以下をお読みください。
GoodRx は、消費者が処方薬の価格を比較し、処方薬のクーポンを入手できるデジタル ヘルス プラットフォームを運営しています。また、有料の月額サブスクリプション サービスである GoodRx Gold も提供しています。これは、GoodRx Care と呼ばれる製品を通じて、より大きな割引と仮想遠隔医療訪問を提供すると主張しています。 GoodRx は、消費者および処方薬の給付を管理する企業である薬局給付管理者から、機密性の高い健康情報を含む大量の個人データを収集し、誰かが処方箋を受け取るために GoodRx クーポンを使用したことを確認します。
具体的な表現は長年にわたって変化してきましたが、GoodRx は消費者に対してプライバシーに関する数多くの約束を行ってきました。たとえば、GoodRx はサードパーティの追跡ツールの使用について説明する際に、「個人の健康状態や個人の健康情報を明らかにする情報を、広告主やその他のサードパーティに決して提供しない」と人々に保証しました。 GoodRx はまた、個人の健康情報を第三者と「めったに共有」しないこと、また、共有する場合には、「これらの第三者が、個人の健康情報に関連付けられた『医療データ』の取り扱い方法について連邦基準に準拠することを保証する」こともユーザーに約束しました。名前、連絡先情報、その他の個人識別情報。」さらに、GoodRx は、「ユーザーに直接サービスを提供するため」、「法律または法的手続きを遵守するため」、「ユーザーを保護するために緊急に行動するため」など、特定の限られた管理機能のためにのみユーザーの個人情報を共有すると述べました。誰かの安全のため」、または「顧客の要求に対応するため」。
最近のブログ投稿で気になるほど頻繁に繰り返さなければならなかったフレーズを使うと、それが同社の約束だったが、GoodRx が舞台裏で行っていたことはそれらの安心できる保証と矛盾していると FTC は述べている。訴状によると、GoodRx は少なくとも 2017 年から、ユーザーの処方薬、健康状態、連絡先情報や個人識別情報などの個人情報に関する情報を、デジタル広告業界の大手企業数社と共有することで、プライバシーの約束を破っていた。
GoodRx がどのようにプライバシーの約束を破ったのかについて FTC が述べている詳細については、訴状を読んでいただきたいと思いますが、ここではその簡略版を示します。 GoodRx は、Web サイトとモバイル アプリを構築する際に、Facebook、Google、Criteo などの企業のサードパーティ トラッカーを、通常は SDK またはトラッキング ピクセルと呼ばれる自動 Web ビーコンの形式で組み込みました。 GoodRx が消費者に伝えた内容にもかかわらず、トラッカーはマーケティングやその他の目的で情報をそれらの企業に送り返しました。
たとえば、GoodRx は、ユーザーがクーポンを受け取った薬の名前、その薬が治療する健康状態、ユーザーの携帯電話などの情報を Google と共有するために、ウェブサイト上に Google 追跡ピクセルを設定し、アプリ上に SDK を設定しました。番号、電子メール、郵便番号、IP アドレス。さらに、Google Android および iOS SDK は、ユーザーの緯度と経度の座標と一意の広告 ID を共有し、これを使用して個人を広告でターゲティングすることができます。
FTCによると、GoodRxはFacebookに同じ種類、あるいはそれ以上の情報を送信するために、一部のサイト上でFacebookピクセルを設定したという。訴状によると、GoodRx は Facebook と Instagram のアカウントを持つ顧客を特定し、その個人情報と健康情報を利用してそのプラットフォーム上の広告のターゲットを絞ることができたという。たとえば、バイアグラなどの GoodRx クーポンにアクセスした人には、Facebook や Instagram ページの広告に勃起不全治療薬の広告が表示されます。同様に、性感染症の治療を受けるためにGoodRxの遠隔医療サービスを利用した人には、性感染症検査サービスの広告が届くことになる。場合によっては、GoodRx は薬局の福利厚生管理者から受け取った医薬品購入データを Facebook に開示し、そのデータをターゲティング広告に使用したこともありました。
GoodRx の実践は現実世界にどのような影響を及ぼしましたか? GoodRx は、Facebook の広告ターゲティング プラットフォームを使用して、健康情報に基づいた広告で顧客をターゲティングするキャンペーンを設計しました。たとえば、顧客が勃起不全の問題の可能性を GoodRx に明らかにした場合、FTC の訴状の証拠 A のような広告が Facebook 上で表示された可能性があります。
この訴状では、GoodRx が FTC 法第 5 条と健全性侵害通知規則に違反したとして告発されています。訴状によると、GoodRxは、とりわけ、企業が実際にそうしたことを実行した場合、個人の健康情報を広告主やその他の第三者に開示しないと消費者に告げたことで、第5条に違反したという。 FTCは、GoodRxがマーケティング目的でユーザーの名前、住所、電子メールアドレス、電話番号、その他の個人識別情報を広告主に開示したため、限られた目的でのみユーザーの個人情報を開示するというGoodRxの約束も虚偽または欺瞞であったと主張している。訴状ではまた、GoodRx が個人の健康情報を受け取った第三者がその情報を使用する方法を制限すると欺瞞的に約束したが、それを怠ったとも主張している。その結果、Facebook、Google、Criteo などの企業は、広告を含む自社のビジネス目的で情報を自由に使用できるようになりました。
さらにFTCは、GoodRx社が健康情報の不正開示を防止できなかったことは、広告目的で健康情報を使用および開示する前に消費者の同意を得ることができなかったことと同様、不当行為であると主張した。
訴状はまた、GoodRx が法規制の対象となる「個人の健康記録のベンダー」であるとも主張している。 健全性侵害通知ルール。消費者は同社のサービスを利用して、処方薬履歴の詳細などの健康情報を追跡できる。 FTCは、GoodRxがFacebook、Google、Criteoなどの企業に個人を特定できる健康情報を不正に開示したことについて顧客、FTC、メディアに通知しなかったことにより規則に違反したと主張している。
提案された命令には、規則違反に対する150万ドルの民事罰金に加え、FTCの訴訟で初めて見られる救済策が含まれている。簡単に言えば、この命令は、GoodRx が広告目的でユーザーの健康データを該当する第三者と共有することを全面的に禁止するものです。これは斬新な救済策だが、FTCは将来、同様の違法行為から消費者を守るために作られたものだと考えている。さらに、GoodRx は、他の目的で該当する第三者と健康データを共有する前にユーザーの同意を得る必要があり、Facebook などとの不正共有について消費者に通知する必要があります。
GoodRx に対する法執行措置からあなたの会社は何を得ることができますか?
顧客の健康データをどのように使用する予定であるかについて真実を伝えてください。 健康情報を収集、使用、共有する前に、自社の実践について透明性を保ち、適切なタイミングで説明を行い、消費者の明確な肯定的な同意を得てください。しかし、約束だけでは十分ではありません。企業は、自社の実践がこれらの約束を確実に遂行するためのプログラムを導入する必要があります。
機密の健康データがビジネスの一部である場合は、そのセキュリティとプライバシーを確保するための条件を引き上げていることを理解してください。 高速道路で可燃物を運ぶトラックと同様に、消費者の機密データを収集する企業は特に注意する必要があります。これには、その情報を不正な開示から保護するための適切なポリシーを維持および実装すること、正当なビジネス上の必要性があるデータのみを収集すること、データを所有しているときに慎重に取り扱うようにスタッフをトレーニングすること、データを所有しなくなったときに安全に廃棄することが含まれます。それを維持する十分な理由があります。
会社から取得した情報を第三者がどのように使用するかについて契約上の境界を設定します。 第三者との契約に、データの共有方法に関する条項を追加することを検討してください。 「クリックスルー」契約のように見えるものを無視したくなるかもしれません。しかし、より賢明なビジネスの進め方は、消費者データに関する他の企業とのすべての合意と、消費者に対するプライバシーの約束および実際の慣行を調和させることです。さらに、サービスプロバイダーによる消費者データの使用方法を契約上制限するサービスプロバイダー契約を締結します。
サイトまたはアプリが SDK またはその他のインターフェイスを介して接続されている可能性があるすべてのサードパーティへのデータ フローを監視します。 アドテク ツールは使いやすく、アプリや Web サイトに簡単に統合できます (おそらくボタンを切り替えるだけで済みます) が、非常に機密性の高い情報の開示を促進する可能性もあります。実際、これらのツールを開発している企業は、ターゲットを絞った広告を目的としてできるだけ多くのユーザー データを収集することで利益を得ていることがよくあります。個人情報をどのように使用する予定であるかを人々に事前に理解してもらうのはあなたの責任であり、その場合でも、アドテクツールがどのように機能するかを正確に理解し、適切に構成する準備ができていない限り、アドテクツールを使用しないでください。アプリのイベントには、機密情報を伝えない匿名の名前を付けます。また、自分自身のプライバシーに関する約束を決して破らないでください。
あなたは健康侵害通知規則の対象となっていますか?これはコンプライアンスに対するクラリオンの呼びかけであると考えてください。 FTCの 健康プライバシー サイト 始めるのに良い場所です。相談する FTC の健全性侵害通知ルールの遵守 基礎のために。読書リストの次は 2021 年です ヘルスケアアプリおよびその他の接続デバイスによる侵害に関する委員会の声明。次の重要な文をお見逃しなく。
(T) 委員会は、規則の対象となるサービスを提供する事業体に対して、「侵害」がサイバーセキュリティ侵入や不正行為に限定されないことを思い出させます。個人の許可なしに対象情報を共有するなどの不正アクセスが発生した場合、規則に基づく通知義務が課せられます。
