Protezione della privacy delle informazioni sanitarie: una dozzina di insegnamenti da parte di un fornaio dai casi FTC

Negli ultimi mesi, la FTC ha annunciato casi su casi riguardanti dati sanitari sensibili dei consumatori, presunte violazioni sia della Sezione 5 della legge FTC che della Health Breach Notification Rule della FTC. La privacy delle informazioni sanitarie è una priorità per i consumatori, così come per la FTC. Le aziende che raccolgono o utilizzano dati sanitari, ascoltate. Ci sono una serie di messaggi chiave di BetterHelp, GoodRx, Premom, Vitagene e altre questioni FTC che devi ascoltare.

Comprendere l’ampiezza delle “informazioni sanitarie”. Le informazioni sanitarie non riguardano solo farmaci, procedure e diagnosi. Piuttosto, è tutto ciò che trasmette informazioni – o consente un'inferenza – sulla salute del consumatore. In effetti, Premom, BetterHelp, GoodRx e Flo Health chiariscono che il fatto che un consumatore utilizzi una particolare app o sito Web relativo alla salute, ad esempio relativo alla salute mentale o alla fertilità, o il modo in cui interagisce con tale app (ad esempio , attivazione o disattivazione della “modalità gravidanza”) potrebbe essere essa stessa un'informazione sanitaria. Le nostre indicazioni su salute e posizione evidenziano il fatto che i dati sulla posizione possono trasmettere informazioni sanitarie. Ad esempio, viaggi ripetuti in una struttura per la cura del cancro possono trasmettere informazioni altamente sensibili sulla salute di un individuo. Per rimanere dalla parte giusta della legge FTC, bisogna avere una visione ampia di ciò che costituisce i dati sanitari e proteggerli di conseguenza.

Il vostro obbligo di proteggere la riservatezza delle informazioni sanitarie è un dato di fatto. La necessità di privacy fin dalla progettazione è (o dovrebbe essere!) assiomatica a questo punto, soprattutto quando si tratta di informazioni personali sensibili. Se raccogli o utilizzi dati sanitari dei consumatori, valuta e documenta i rischi per tali dati e implementa solide misure di salvaguardia per proteggerli, come un programma scritto sulla privacy, formazione e supervisione sulla privacy e limitazioni di conservazione, scopo e utilizzo dei dati. Anche se non ritieni che sia necessario, la FTC potrebbe dire il contrario, come mostrano i reclami in BetterHelp e GoodRx. In tali azioni, la FTC ha specificamente affermato che l'incapacità da parte delle società di disporre di politiche e procedure sulla privacy adeguate ha contribuito alle presunte pratiche sleali in materia di privacy. Per rispettare la legge, intreccia le tue decisioni tecnologiche con considerazioni sulla privacy.

Non utilizzare tecnologie di tracciamento dietro le quinte che contraddicono le tue promesse sulla privacy o che danneggiano in altro modo i consumatori. Nell'economia della sorveglianza di oggi, il consumatore è spesso il prodotto. I dati dei consumatori alimentano la macchina pubblicitaria che torna direttamente al consumatore. Ma quando le aziende utilizzano i dati sanitari sensibili dei consumatori per scopi di marketing e pubblicitari, ad esempio inviando tali dati a società di marketing tramite pixel di tracciamento su siti Web o kit di sviluppo software su app, fai attenzione. BetterHelp, GoodRx, Premom e Flo chiariscono che pratiche del genere potrebbero entrare in conflitto con la legge FTC se violano le promesse sulla privacy o se la società non riesce a ottenere il consenso esplicito affermativo dei consumatori per la divulgazione di informazioni sanitarie sensibili. GoodRx e Premom sottolineano che questa condotta potrebbe anche violare la Health Breach Notification Rule, che richiede la notifica ai consumatori, alla FTC e, in alcuni casi, ai media, della divulgazione di informazioni sanitarie senza l'autorizzazione dei consumatori. Hai bisogno di saperne di più sulle implicazioni del monitoraggio? Consulta le linee guida della FTC sul tracciamento dei pixel e le lettere congiunte FTC-HHS agli ospedali e ai fornitori di telemedicina per ulteriori informazioni sui problemi di privacy relativi al tracciamento.

Non condividere in modo improprio le informazioni sanitarie dei consumatori e non riceverle nemmeno. Dopo casi come BetterHelp, GoodRx, Premom e Flo, è abbastanza chiaro che la divulgazione non autorizzata delle informazioni sanitarie dei consumatori ad altre società può mettere il mittente di tali dati nei guai. Ma, a seconda dei fatti, anche il destinatario di tali dati potrebbe essere responsabile ai sensi della Sezione 5. Se ricevi informazioni da altre società per scopi pubblicitari o di marketing (ad esempio), potresti avere la responsabilità ai sensi della Sezione 5 di adottare misure (ad esempio come misure procedurali e tecniche) per garantire di non essere coinvolti nella ricezione, nell'utilizzo o nella divulgazione successiva non autorizzati di informazioni sensibili. Il semplice utilizzo di un contratto o di termini di utilizzo standard e predefiniti per vietare l’invio di determinate informazioni potrebbe non essere sufficiente.