健康情報のプライバシーの保護: FTC 訴訟からパン屋が得た十数の教訓

過去数か月間、FTC は消費者の機密健康データに関連する事件を次々と発表し、FTC 法第 5 条と FTC の健康侵害通知規則の両方に違反していると主張しました。 健康情報のプライバシーは消費者にとって最優先事項であり、FTC にとっても最優先事項です。 健康データを収集または使用している企業の皆さん、よく聞いてください。 BetterHelp、GoodRx、Premom、Vitagene、およびその他の FTC 事項からの重要なメッセージが数多くありますので、耳を傾ける必要があります。

「健康情報」の幅広さを理解する。 健康情報は、薬、処置、診断だけではありません。 むしろ、それは消費者の健康に関する情報を伝える、または推測を可能にするものすべてです。 実際、Premom、BetterHelp、GoodRx、および Flo Health は、消費者が特定の健康関連のアプリや Web サイト (たとえば、メンタルヘルスや生殖能力に関連するもの) を使用しているという事実、または消費者がそのアプリとどのようにやり取りしているか (たとえば、 、「妊娠モード」のオンまたはオフ）それ自体が健康情報である可能性があります。 健康と位置に関する当社のガイダンスでは、位置データが健康情報を伝達できるという事実を強調しています。 たとえば、がん治療施設への繰り返しの訪問により、個人の健康に関する非常に機密性の高い情報が伝えられる可能性があります。 FTC 法の正しい立場を保つには、健康データの構成要素について広い視野を持ち、それに応じてデータを保護する必要があります。

健康情報のプライバシーを保護する義務は当然のことです。 プライバシー・バイ・デザインの必要性は、現時点では、特に機密性の高い個人情報に関しては、当然のことです (またはそうあるべきです!)。 消費者の健康データを収集または使用している場合は、そのデータに対するリスクを評価して文書化し、書面によるプライバシー プログラム、プライバシーのトレーニングと監督、データの保持、目的、および使用の制限など、データを保護するための堅牢な保護措置を実装してください。 BetterHelp や GoodRx の苦情が示すように、たとえそれが必要ないと思われる場合でも、FTC が別の意見を言う可能性があります。 これらの訴訟においてFTCは、企業が適切なプライバシーポリシーと手続きを怠ったことが、不当なプライバシー慣行の疑いの一因となったと具体的に主張した。 法律を遵守するには、技術上の決定にプライバシーへの考慮を織り交ぜてください。

プライバシーの約束に反する、または消費者に害を及ぼすような舞台裏の追跡テクノロジーを使用しないでください。 今日の監視経済では、多くの場合、消費者が製品となります。 消費者データは、消費者に直接還元される広告マシンを強化します。 しかし、企業が消費者の機密健康データをマーケティングや広告の目的で使用する場合、たとえば Web サイト上の追跡ピクセルやアプリ上のソフトウェア開発キットを介してマーケティング会社にデータを送信する場合には、注意が必要です。 BetterHelp、GoodRx、Premom、および Flo は、そのような行為がプライバシーの約束に違反した場合、または企業が機密性の高い健康情報の開示について消費者の積極的な明示的な同意を得ることができなかった場合、FTC 法に違反する可能性があることを明確にしています。 GoodRxとPremomは、この行為が健康侵害通知規則に違反する可能性があることを強調し、この規則は消費者の許可なしに健康情報を開示することを消費者、FTC、場合によってはメディアに通知することを義務付けている。 追跡の影響についてさらに理解する必要がありますか? 追跡関連のプライバシー問題の詳細については、ピクセル追跡に関する FTC のガイダンスと、病院および遠隔医療提供者に宛てた FTC-HHS の共同書簡をご覧ください。

消費者の健康情報を不適切に共有しないでください。また、情報を受け取らないでください。 BetterHelp、GoodRx、Premom、Flo のような事件の後、消費者の健康情報を不正に他の企業に開示すると、そのデータの送信者がひどい目に遭う可能性があることは明らかです。 ただし、事実によっては、そのデータの受信者も第 5 条に基づいて責任を問われる可能性があります。広告またはマーケティング目的で他の企業から情報を受け取った場合、(たとえば)、第 5 条に基づいて措置を講じる責任がある可能性があります。手続き的および技術的措置として)、機密情報の不正な受信、使用、またはその後の開示に関与しないようにします。 特定の情報の送信を禁止するために、標準的なすぐに使用できる契約または利用規約を使用するだけでは十分ではない場合があります。