FTC对GoodRx的执法行动揭示新的监管威胁：数字健康应用应否担忧？

美国联邦贸易委员会（FTC）本月对数字健康公司GoodRx的执法行动，据合规专家称，可能只是针对滥用用户敏感医疗数据的公司的一系列行动的开端。该投诉指控GoodRx与广告商共享消费者健康数据，是首次依据《健康违规通知规则》（HBNR）这一执法机制，允许监管机构对违规者处以罚款。

但专家认为，这不太可能是最后一次，因为监管机构正试图阻止其他公司采取类似做法。

“我认为这是第一次，但不是最后一次”使用HBNR，Hunton Andrews Kurth律师事务所合伙人、曾在FTC工作近二十年的Phyllis Marcus表示，“我毫不怀疑。”

监管机构表示，他们正在对数字健康市场进行监控，打击那些从用户敏感健康信息中获利的公司，尤其是那些不受现有消费者保护法约束的健康应用。这类应用追踪从糖尿病、生育、心脏健康到睡眠等各类数据，日益收集消费者的敏感个人信息，但不受HIPAA隐私法的管辖。

尽管HBNR对数字健康公司的威胁程度尚不明朗，但专家指出，该命令表明FTC愿意动用其工具箱中的一切工具，在医疗保健日益线上化的背景下遏制数据共享。

“我认为这是开场炮，随着健康应用日益普及，这将成为常见案例，”商业律师事务所Stradling的隐私和数据安全律师Shawn Collins表示，“这是FTC在向所有收集大量敏感数据的应用和初创公司发出信号：我们有机制对你们执行数据隐私规则。”

健康违规通知规则

政府对GoodRx的投诉指控这家总部位于加利福尼亚的公司（提供处方药折扣、远程医疗和其他数字健康服务）非法与谷歌和Facebook等广告商共享用户信息。FTC的投诉称，因此，GoodRx的数百万客户遭受了实质性伤害。

FTC于2月1日向司法部提交的命令将禁止GoodRx为广告目的与第三方共享用户健康数据。GoodRx还同意支付150万美元罚款。该命令需经法院批准才能生效。律师表示，鉴于FTC和GoodRx已就条款达成一致，批准几乎确定无疑。

FTC的命令包含八项指控。前七项是FTC关于欺骗性陈述和不公平做法的一般法定权力的不同迭代。最后一项指控称GoodRx违反了HBNR。

HBNR于2009年最终确定，最初旨在强制公司在发生影响超过500名用户信息的数据泄露时通知消费者。然而，FTC在2021年9月发布意见，表示将开始将“泄露”解读为不仅是恶意入侵，还包括任何未经授权的数据共享。该政策声明还澄清，健康应用和健身追踪器受HBNR约束。然而，GoodRx表示不同意其行为违反该规则的说法。

“我们不同意FTC的指控，我们不承认任何不当行为。达成和解使我们能够避免长期诉讼的时间和费用，”GoodRx在回应执法时表示。

但根据FTC的投诉，HBNR适用，因为GoodRx是“个人健康记录的供应商”，并维护可识别健康信息的记录。FTC声称，至少从2017年到2020年，该公司经历了超过500名消费者未受保护的个人健康信息向第三方泄露的安全事件。

“他们不关注‘泄露’这个词。他们关注的是泄露的定义，即未经数据所有者同意或授权而分发数据，”Mayer Brown律师事务所合伙人、前FTC律师Chris Leach表示，他专注于数据隐私和虚假广告等消费者问题。“我认为，这比人们通常认为的泄露定义更为宽泛……但该机构正在审视规则的明文，”曾在FTC金融实践部门工作的Leach说。

执法权允许监管机构罚款

律师表示，FTC对HBNR的解释是对这项已有十年历史的规则的新颖解读，对任何被发现违规的公司都有重大影响。

“FTC之所以寻求这样的规则，而过去没有，可能与其失去金钱权力有很大关系，”Leach说。在2021年之前，FTC能够通过其法规的“创造性解读”获得金钱处罚，允许监管机构在联邦法院寻求公平金钱救济。但两年前，最高法院裁定FTC对法规的解释是错误的，限制了FTC对违规者施加经济处罚的能力。

此后，FTC一直试图找出如何在一些案件中实施罚款。一种策略是转向允许该机构获得金钱处罚的规则，即使是首次违规——如HBNR。“FTC寻求金钱救济并利用这一规则作为手段并不令人意外，”Marcus说。

对GoodRx来说可能更糟

网络安全公司ExtraHop安全响应服务副总裁Mark Bowling表示，FTC终于动用HBNR是时候了，尽管在起诉GoodRx方面本可以走得更远。Bowling曾在联邦调查局工作近二十年，他表示该命令表明GoodRx故意且有系统地出售用户数据，应该被处以更多罚款并要求承认错误。

“我认为他们未来应该更加积极，”Bowling说。Bowling并非唯一批评GoodRx处罚过轻的人。“我会支持更大的民事罚款，”FTC委员Christine Wilson在关于和解的同意意见中写道，“根据经济文献，我确信相当比例的消费者如果知道公司筛子般的数据实践，会放弃使用GoodRx优惠券和其他服务的好处，这表明公司的不当收益几乎肯定是150万美元民事罚款的许多倍。”

律师称，GoodRx同意的150万美元罚款本可能高达数十亿。不遵守HBNR的公司可能面临每天每次违规最高约44,000美元的罚款。将这一数额乘以数百万受影响用户，对任何被发现违规的公司来说都是可怕的数学计算，Marcus说——尽管FTC在确定罚款时会考虑其他因素，如公司的过错程度、支付能力和重复违规情况。

“我的预期是150万美元设定了下限，下一次民事罚款将更大，”Marcus说。GoodRx在和解中也不必承认不当行为——律师称，这可能是FTC的症结。再加上罚款金额较小，Collins认为这表明FTC对其在法庭上执行HBNR解释的能力并不确定。这种模糊性使这一新的执法威胁是否可能改变数字健康市场公司的行为变得复杂。在缺乏全面数据隐私立法的情况下，公司之间的许多数据共享仍然是合法的，尽管有争议。

但专家表示，从事健康数据交易的组织应予以关注。该执法行动，加上最近针对数字健康公司的其他高调行动，暗示了FTC计划如何限制敏感健康数据的共享。即使罚款威胁低于过去几年，最好还是避免陷入监管困境。因此，处理健康数据的公司应了解其在HBNR下的义务。

“开辟道路是困难的。但跟随更容易，”Leach说，“每个人都经历了解决他们对这一规则看法的过程。我猜从现在起这将成为一个常态。”