GoodRx 因涉嫌出售用户健康数据被罚款 150 万美元

GoodRx 自 2011 年推出以来，已帮助数百万消费者找到处方药优惠和负担得起的远程医疗等医疗服务折扣。多年来，该公司的官方隐私政策规定，它只会与第三方分享消费者有限的个人数据，但绝不会分享用户的健康信息。

然而，根据联邦贸易委员会的最新指控，GoodRx 表面上向 5500 多万用户撒谎，秘密向 Facebook 和 Google 等大型公司出售高度私密的医疗信息。该公司只是在 2020 年消费者权益保护组织揭露细节后才改变了政策。

根据周三宣布的执法行动，美国联邦贸易委员会声称，早在 2017 年，GoodRx 就对用户的个人医疗信息（包括用户的处方和健康状况）进行了不当处理。联邦贸易委员会表示，尽管 GoodRx 明确承诺“绝不会与广告商或其他第三方分享个人健康信息”，但 GoodRx 却将这些数据出售给谷歌、Facebook、Branch 和 Twilio 等广告公司和平台，以制作个性化广告。

[相关：数据经纪人如何威胁你的隐私。]

例如，2019 年 8 月，美国联邦贸易委员会详细说明了 GoodRx 如何汇总购买特定药物的用户名单，然后将他们的电子邮件、电话号码和移动广告 ID 上传到 Facebook。然后，该公司将他们与账户资料进行匹配，并根据购买的药物对他们进行分类，然后针对这些用户投放个性化的健康相关广告。

这些协同欺骗策略还包括之前展示一个印章，据称该印章证明其遵守了 1996 年《健康保险流通与责任法案》（HIPAA）。据称，GoodRx 还误导公众相信其遵守了数字广告联盟的原则，该联盟禁止参与公司在未经消费者明确同意的情况下共享健康信息用于广告。这也是 FTC 根据《健康违规通知规则》采取的首次执法行动，因为 GoodRx 也未能向公众通报其未经授权向第三方广告商披露个人可识别健康信息的情况。

数字权利倡导组织 Fight for the Future 的活动总监 Caitlin Seeley George 在给PopSci 的邮件中写道：“GoodRx 一直在危害用户并滥用他们的信任，这种行为令人作呕。”除了道德问题之外，George 还将这种情况描述为“令人恐惧，尤其是在人们担心他们的个人健康信息可能被用来指控他们违反严苛的反堕胎或反跨性别法律的时候。”

[相关：Hive 勒索软件向受害者勒索 1 亿美元。司法部刚刚予以反击。]

GoodRx 的代表在向公众发布的回应中表示：“我们不同意 FTC 的指控，我们也不承认有任何不当行为”，并声称“达成和解让我们避免了旷日持久的诉讼所花费的时间和金钱。”代表们还声称，“与 FTC 达成的和解协议重点关注的是近三年前（在 FTC 调查开始之前）主动解决的一个老问题。”

GoodRx 在其网站上发布的一篇博客文章中写道，它在 2020 年（即 FTC 展开调查之前）解决了 FTC 的隐私问题，同时也强调了数据追踪策略的普遍性，例如备受争议的 Facebook“像素”追踪系统。

联邦贸易委员会提议的联邦法院命令包括 150 万美元的民事罚款，以及永久禁止向第三方披露用户健康信息用于广告。其他规定包括用户同意未来任何信息共享、命令第三方永久删除之前通过这些方法收集的任何数据、制定有限的数据保留政策以及强制性隐私计划。

[相关：Chewy 正在坚持不懈地尝试扩展到宠物远程医疗领域。]

乔治认为，对于像 GoodRx 这样规模庞大的公司来说，罚款相对较低，“对隐私受到侵犯的人来说毫无补偿”。相反，她重申了该组织敦促立法者通过全面的联邦数据隐私法，以防止此类侵权行为再次发生。

GoodRx 的官方隐私政策最新更新于一月份，目前包括关于其向第三方广告商出售用户信息的权利的免责声明。