米国 連邦取引委員会 (FTC) ブログ 健康情報のプライバシー保護： FTCの事例から得られる13の教訓 (2023.07.25)

こんにちは、丸山満彦です。

高齢化時代、健康に関する事業が注目されていると思います。また、ビッグデータ、AI等を活用して課題を解決できるだろうと思う人も多いと思います。

日本でも、いろいろとチャレンジしようという企業もあると思いますが、

「Smartに対応して、俺Coolだろう」ではなく、「Wisely」に行動することが重要かもですね。。。FTCのブログ記事を読むとそんな感じを受けました。。。

	Health Privacy: The Basics	健康プライバシー： 基本
1	Understand the breadth of “health information.”	「健康情報」の広さを理解する
2	Your obligation to protect the privacy of health information is a given. tions.	健康情報のプライバシーを保護する義務は、当然のことである。
3	Don’t use behind-the-scenes tracking technologies that contradict your privacy promises or otherwise harm consumers.	プライバシーの約束に反する、あるいは消費者に害を与えるような裏側の追跡技術を使わない。
4	Don’t share consumers’ health information improperly – and don’t receive it either.	消費者の健康情報を不適切に共有してはならない。
5	Insist your technology people and compliance staff communicate about your company’s privacy practices.	テクノロジー担当者とコンプライアンス担当者が、自社のプライバシー慣行についてコミュニケーションするよう主張すること。
	HIPAA-related claims	HIPAA関連の主張
6	“HIPAA Compliant,” “HIPAA Secure,” and similar claims may deceive consumers.	「HIPAA準拠」、「HIPAAセキュア」、および同様の主張は、消費者を欺く可能性がある。
7	Companies that provide HIPAA seals and certifications also may be liable for deceptive claims.	HIPAAシールや認証を提供する企業も、欺瞞的な主張に対して責任を負う可能性がある。
	Other Health Privacy Practices	その他の医療プライバシー慣行
8	Reserving the right to make big changes to your privacy policy isn’t real consent.	プライバシーポリシーを大きく変更する権利を留保することは、本当の同意ではない。
9	Hidden euphemisms don’t cut it.	隠された婉曲表現は通用しない
10	You may be liable under the FTC Act for what you say and for what you don’t say.	FTC法では、言ったことにも言わないことにも責任を負う可能性がある。
	Health privacy: A top priority for the FTC – and for your company	健康プライバシー： FTCにとって、そして貴社にとって最優先事項である。
11	The FTC Act protects biometric data.	FTC法は生体データを保護している。
12	Reproductive information should be protected from prying eyes.	保護情報は詮索好きな目から守られるべきである。
13	There’s a lot at stake.	多くの問題がある。

法体系や環境がちがうのでしょうが、日本でも参考になることは多いと思います。。。

● Federal Trade Commission; FTC

・2023.07.25 Protecting the privacy of health information: A baker’s dozen takeaways from FTC cases

Protecting the privacy of health information: A baker’s dozen takeaways from FTC cases	健康情報のプライバシー保護： FTCの事例から得られる12の教訓
In the past few months, the FTC has announced case after case involving consumers’ sensitive health data, alleging violations of both Section 5 of the FTC Act and the FTC’s Health Breach Notification Rule. The privacy of health information is top of mind for consumers – and so it’s top of mind for the FTC. Companies collecting or using health data, listen up. There are a number of key messages from BetterHelp, GoodRx, Premom, Vitagene, and other FTC matters that you need to hear.	ここ数ヶ月の間に、FTCは消費者のデリケートな健康データに関わるケースを次々と発表し、FTC法第5条とFTCの健康情報漏えい通知規則の両方に対する違反を主張している。健康情報のプライバシーは消費者にとって最重要事項であり、FTCにとっても最重要事項である。健康データを収集または使用している企業はよく聞いてほしい。BetterHelp、GoodRx、Premom、Vitagene、そしてその他のFTC事項から、あなたが聞くべき重要なメッセージがいくつかある。
Health Privacy: The Basics	健康プライバシー： 基本
Understand the breadth of “health information.”  Health information isn’t just about medications, procedures, and diagnoses. Rather, it’s anything that conveys information – or enables an inference – about a consumer’s health. Indeed, Premom, BetterHelp, GoodRx, and Flo Health make clear that the fact that a consumer is using a particular health-related app or website – one related to mental health or fertility, for example – or how they interact with that app (say, turning “pregnancy mode” on or off) may itself be health information. Our guidance on health and location highlights the fact that location data can convey health information. For example, repeated trips to a cancer treatment facility may convey highly sensitive information about an individual’s health. To stay on the right side of the FTC Act, take a broad view of what constitutes health data and protect it accordingly.	「健康情報」の広さを理解する。  健康情報とは、投薬、処置、診断に関するものだけではない。むしろ、消費者の健康に関する情報を伝えるもの、あるいは推論を可能にするものすべてを指す。実際、Premom、BetterHelp、GoodRx、Flo Healthは、消費者が特定の健康関連のアプリやウェブサイト（例えば、メンタルヘルスや不妊に関連するもの）を利用しているという事実や、そのアプリとどのようにやりとりするか（例えば、「妊娠モード」のオン・オフ）自体が健康情報である可能性があることを明らかにしている。健康と位置情報に関する我々のガイダンスは、位置情報が健康情報を伝える可能性があることを強調している。例えば、がん治療施設に何度も通うことは、個人の健康状態に関する非常にセンシティブな情報を伝える可能性がある。FTC法を遵守するためには、何が健康データであるかを幅広く捉え、それに従って保護することである。
Your obligation to protect the privacy of health information is a given.  The need for privacy-by-design is (or should be!) axiomatic at this point, especially when it comes to sensitive personal information. If you’re collecting or using consumers’ health data, assess and document the risks to that data and implement robust safeguards to protect it, such as a written privacy program, privacy training and supervision, and data retention, purpose, and use limitations. Even if you don’t think that’s necessary, the FTC may say otherwise, as the complaints in BetterHelp and GoodRx show. In those actions, the FTC specifically alleged that the companies’ failure to have appropriate privacy policies and procedures contributed to the alleged unfair privacy practices. To comply with the law, interweave your tech decisions with privacy considerations.	健康情報のプライバシーを保護する義務は、当然のことである。  プライバシー・バイ・デザインの必要性は、特に機密性の高い個人情報に関しては、この時点で自明のことである（あるいはそうあるべきである！）。消費者の健康データを収集または使用している場合は、そのデータに対するリスクをアセスメントして文書化し、書面によるプライバシープログラム、プライバシーのトレーニングと監督、データの保持、目的、使用の制限など、データを保護するための強固なセーフガードを実施すること。たとえあなたがその必要がないと思っても、BetterHelpとGoodRxにおける苦情が示すように、FTCはそうでないと言うかもしれない。これらの訴訟において、FTCは特に、企業が適切なプライバシーポリシーと手続きを持たなかったことが、不公正なプライバシー慣行の一因であると主張している。法律を遵守するためには、技術的な決定とプライバシーへの配慮を織り交ぜること。
Don’t use behind-the-scenes tracking technologies that contradict your privacy promises or otherwise harm consumers.  In today’s surveillance economy, the consumer is often the product. Consumer data powers the advertising machine that goes right back to the consumer. But when companies use consumers’ sensitive health data for marketing and advertising purposes, such as by sending that data to marketing firms via tracking pixels on websites or software development kits on apps, watch out. BetterHelp, GoodRx, Premom, and Flo make clear that practices like that may run afoul the FTC Act if they violate privacy promises or if the company fails to get consumers’ affirmative express consent for the disclosure of sensitive health information. GoodRx and Premom underscore that this conduct may also violate the Health Breach Notification Rule, which requires notification to consumers, the FTC, and, in some cases, the media, of disclosures of health information without consumers’ authorization. Need to understand more about the implications of tracking? Check out FTC guidance on pixel tracking and FTC-HHS joint letters to hospitals and telehealth providers for more information on tracking-related privacy concerns.	プライバシーの約束に反する、あるいは消費者に害を与えるような裏側の追跡技術を使わない。  今日の監視経済では、消費者が商品であることが多い。消費者データは広告マシンの原動力となり、消費者に還元される。しかし、企業がマーケティングや広告の目的で消費者の機密性の高い健康データを使用する場合、例えばウェブサイト上のトラッキングピクセルやアプリ上のソフトウェア開発キットを通じてマーケティング会社にデータを送信する場合は、注意が必要だ。 BetterHelp、GoodRx、Premom、そしてFloは、このような行為がプライバシーに関する約束に違反する場合、あるいは機密性の高い健康情報の開示について消費者の積極的な明示的同意を得られなかった場合、FTC法に抵触する可能性があることを明らかにしている。 GoodRxとPremomは、このような行為は、消費者の承認なしに健康情報が開示された場合、消費者、FTC、そして場合によってはメディアへの通知を義務付ける健康情報漏洩通知規則にも違反する可能性があることを強調している。トラッキングの意味についてもっと理解する必要があるか？トラッキング関連のプライバシーに関する懸念については、ピクセルトラッキングに関するFTCのガイダンスや、病院や遠隔医療プロバイダに対するFTCとHHSの共同書簡をチェックしよう。
Don’t share consumers’ health information improperly – and don’t receive it either.  After cases like BetterHelp, GoodRx, Premom, and Flo, it’s pretty clear that unauthorized disclosure of consumers’ health information to other companies can land the sender of that data in hot water. But, depending on the facts, the recipient of that data could also face liability under Section 5. If you receive information from other companies for advertising or marketing purposes (for example), you may have a responsibility under Section 5 to take steps (such as procedural and technical measures) to ensure you don’t engage in the unauthorized receipt, use, or onward disclosure of sensitive information. Merely using a standard, out-of-the-box contract or terms of use to prohibit sending certain information may not be enough.	消費者の健康情報を不適切に共有してはならない。  BetterHelp、GoodRx、Premom、そしてFloのような事例を経て、消費者の健康情報を他社に不正に開示すると、そのデータの送信者が窮地に陥る可能性があることは明らかだ。しかし、事実関係によっては、データの取得者も第5条の責任を問われる可能性がある。広告やマーケティング目的で他社から情報を受け取る場合（例えば）、第5条に基づき、機密情報の不正な受領、使用、または外部への開示に関与しないようにするための措置（手続き的、技術的措置など）を講じる責任があるかもしれない。標準的な契約書や利用規約で特定の情報の送信を禁止するだけでは不十分かもしれない。
Insist your technology people and compliance staff communicate about your company’s privacy practices.  Does the right hand know what the left hand is doing? Companies using tracking technologies sometimes protest that their technical staff used pixels or software development kits without letting their compliance folks know. A key to compliance is to understand all of your data flows, regardless of which department or staff is in charge of the data. Start by mapping how data comes into your company and how it moves once it’s there. What are all of the sources of the personal information in your company’s possession? How are you using and disclosing it? Are your privacy safeguards keeping up with the data flows? Are your promises to consumers consistent with how your business actually uses their information?	テクノロジー担当者とコンプライアンス担当者が、自社のプライバシー慣行についてコミュニケーションするよう主張する。右手は左手が何をしているか知っているか？トラッキング技術を使用している企業は、技術スタッフがコンプライアンス担当者に知らせずにピクセルやソフトウェア開発キットを使用したと抗議することがある。コンプライアンスの鍵は、どの部署やスタッフがデータを担当しているかにかかわらず、すべてのデータの流れを理解することである。まず、データが社内にどのように入ってきて、社内に入った後どのように移動するかをマッピングすることから始めよう。貴社が保有する個人情報のソースは何か？それをどのように使用し、開示しているのか？プライバシー保護措置はデータの流れに対応しているか？消費者への約束と、貴社による実際の情報使用方法は一致しているか？
HIPAA-related claims	HIPAA関連の主張
“HIPAA Compliant,” “HIPAA Secure,” and similar claims may deceive consumers.  Compliance with HIPAA, the national law protecting the privacy of certain health information, has become a shorthand among patients and providers alike for health privacy protection. (Of course, businesses should keep in mind that Section 5 of the FTC Act also applies to most entities covered by HIPAA and requires companies to protect the privacy and security of consumers’ health information.) Not surprisingly, companies offering health-related products and services often want to tout HIPAA compliance to give consumers comfort – even if these companies aren’t actually covered by HIPAA or aren’t actually complying with HIPAA. FTC enforcement actions like GoodRx, BetterHelp, Henry Schein, and SkyMed make clear that HIPAA claims like that may deceive consumers, whether those consumers are health care providers (like the dentists in Henry Schein) or regular people (like the therapy patients in BetterHelp). Also, keep in mind that only one government agency – the Department of Health & Human Services’ Office for Civil Rights (OCR) – can determine if a company is compliant with HIPAA. Be careful about loose language suggesting some government imprimatur that doesn’t exist. Falsely conveying that kind of approval expressly or by implication violates the FTC Act.	「HIPAA準拠」、「HIPAAセキュア」、および同様の主張は、消費者を欺く可能性がある。  特定の医療情報のプライバシーを保護する国内法であるHIPAAへの準拠は、患者やプロバイダの間で、医療プライバシー保護の略語となっている。(もちろん、企業はFTC法第5条もHIPAAの対象となるほとんどの事業体に適用され、消費者の健康情報のプライバシーとセキュリティの保護を企業に求めていることを念頭に置くべきである)。当然のことながら、健康関連の製品やサービスを提供する企業は、消費者に安心感を与えるために、しばしばHIPAAに準拠していることを誇示したがる。たとえ、これらの企業が実際にはHIPAAの適用を受けていなかったり、HIPAAを遵守していなかったりしても、である。GoodRx、BetterHelp、Henry Schein、SkyMedのようなFTCの強制措置は、消費者が医療プロバイダ（Henry Scheinの歯科医のような）であろうと一般人（BetterHelpのセラピー患者のような）であろうと、このようなHIPAAクレームが消費者を欺く可能性があることを明らかにしている。また、企業がHIPAAを遵守しているかどうかを判断できるのは、厚生省市民権局（OCR）というたった一つの政府機関だけであることも覚えておこう。存在しない政府のお墨付きを示唆するような緩い表現には注意すること。その種の承認を明示的または暗示的に偽って伝えることは、FTC法に違反する。
Companies that provide HIPAA seals and certifications also may be liable for deceptive claims. Companies that provide certifications and seals about HIPAA compliance to other businesses should be aware of FTC precedent holding purported certifiers liable for deceptive representations. For example, in Tested Green, the FTC alleged that the seller of “green” seals and certifications provided other companies with the means to deceive consumers, because those seals weren’t backed up with evidence about real environmental practices. In ECM, the FTC proved in court that a company that gave its business customers labels and certificates bearing false claims about biodegradability had provided “the means and instrumentalities” to deceive downstream consumers. The same principles apply in the health context. If a company provides a health-related seal or certification to others that falsely implies that the recipient is covered by HIPAA, is complying with HIPAA, has been reviewed by a government agency, or has received government approval, both the certifier and the user of that false certification could be subject to FTC enforcement action.	HIPAAシールや認証を提供する企業も、欺瞞的な主張に対して責任を負う可能性がある。 HIPAAコンプライアンスに関する認証やシールを他の企業に提供する企業は、認証者と称する者が欺瞞的表示に対して責任を負うとしたFTCの判例に注意すべきである。例えば、Tested Greenでは、FTCは、「グリーン」シールや認証の販売者が、それらのシールが実際の環境慣行に関する証拠に裏付けられていないため、消費者を欺く手段を他社に提供したと主張した。ECMでは、FTCは、生分解性に関して虚偽の主張が記載されたラベルや証明書を企業顧客に与えた企業が、川下の消費者を欺く「手段と手段」を提供したことを法廷で証明した。同じ原則が健康面でも適用される。取得者がHIPAAの対象である、HIPAAを遵守している、政府機関の審査を受けている、政府の承認を受けている、などと偽った健康関連のシールや証明書を企業が他人に提供した場合、証明者とその偽の証明書の使用者の両方がFTCの強制措置の対象となる可能性がある。
Other Health Privacy Practices	その他の医療プライバシー慣行
Reserving the right to make big changes to your privacy policy isn’t real consent.  It may be tempting to use your privacy policy to reserve the right to change your health data practices, so that any continued use of your service constitutes “consent” to the changes. Not so fast. The FTC’s action in Vitagene makes clear that’s not a lawful means for obtaining consent for material retroactive privacy policy changes. Importantly, the Vitagene complaint, which builds on (and goes beyond) the Gateway Learning and Facebook complaints, says the company’s material retroactive changes were unfair even though the company had not yet implemented them. Vitagene underscores that announcing future broad data-sharing practices in that way can create a likelihood of substantial injury to consumers who never agreed to that sharing. Remember that a touchstone of FTC Act compliance is that consumers – not you – should be in control of their data and empowered to make real decisions about it.	プライバシーポリシーを大きく変更する権利を留保することは、本当の同意ではない。 プライバシー・ポリシーを利用して、健康データ慣行を変更する権利を留保し、サービスの継続的な利用がその変更に対する「同意」となるようにすることは、魅力的かもしれない。そうはいかない。VitageneにおけるFTCの措置は、重要な遡及的プライバシーポリシーの変更に対する同意を得るための合法的な手段ではないことを明確にしている。重要なのは、ゲートウェイ・ラーニングとフェイスブックの訴えを基礎とする（そしてそれを超える）Vitageneの訴えは、同社がまだ実施していないにもかかわらず、同社の重大な遡及的変更が不公正であるとしていることだ。 Vitagene社は、このような形で将来の広範なデータ共有慣行を発表することは、その共有に同意していない消費者に実質的な損害を与える可能性があることを強調している。FTC法遵守の試金石は、消費者-あなたではなく-が自分のデータを管理し、それについて真の決定を下す権限を与えられるべきであるということであることを忘れてはならない。
Hidden euphemisms don’t cut it.  Rather than living up to their legal obligation to tell consumers the whole truth, some companies hide key terms about data practices in dense privacy policies or terms of service filled with ambiguous language that cloaks how they really use consumers’ health information. For example, too many companies make enigmatic references in privacy policies to the “disclosure of information about the use of the services” when they should be laying their cards on the table by saying prominently (think front-and-center on the home page) “We share your health information with third-party advertising companies so that we can target you with ads.” Euphemisms hidden in privacy policies can be unfair and deceptive. Even if you slip one past consumers, the FTC isn’t fooled. The orders in our recent health privacy cases uniformly require affirmative express consent – consent that can be obtained only following a clear and conspicuous disclosure of all material facts. Hiding the ball and “clear and conspicuous” don’t mesh.	隠された婉曲表現は通用しない。  消費者に真実をすべて伝えるという法的義務を果たすどころか、一部の企業は、消費者の健康情報を実際にどのように利用しているかを隠蔽する曖昧な表現で埋め尽くされた緻密なプライバシーポリシーや利用規約の中に、データ実務に関する重要な用語を隠している。例えば、プライバシーポリシーの中で、"サービスの利用に関する情報の開示 "という謎めいた表現をしている企業が多すぎる。本来であれば、"あなたの健康情報をサードパーティーの広告会社と共有します。プライバシーポリシーに隠された婉曲表現は、不公正で欺瞞的なものになりかねない。たとえ消費者の目をすり抜けたとしても、FTCは騙されない。最近の健康プライバシーに関する訴訟における命令は、一様に肯定的な明示的同意を要求している。同意は、すべての重要な事実について明確かつ目立つように開示された後にのみ得ることができる。ボールを隠すことと「明確かつ目立つ」ことはかみ合わない。
You may be liable under the FTC Act for what you say and for what you don’t say.  You may think the FTC won’t come your way because you aren’t saying anything wrong, so there’s no “deception.” Not necessarily so. The FTC’s complaints against BetterHelp, Practice Fusion, and PaymentsMD make clear that you may be deceiving consumers not only by what you say, but also by what you fail to say. It’s crucial to disclose all material information to consumers about how you’re using and disclosing their sensitive health information. And BetterHelp, Premom, and GoodRx make clear that if your practices harm consumers, you may face FTC enforcement action, regardless of who said what.	FTC法では、言ったことにも言わないことにも責任を負う可能性がある。  間違ったことは言っていないから、「欺瞞」はないのだから、FTCがあなたのところに来ることはないと思うかもしれない。必ずしもそうではない。BetterHelp、Practice Fusion、PaymentsMDに対するFTCの苦情は、あなたが言ったことだけでなく、言わなかったことでも消費者を欺いている可能性があることを明らかにしている。消費者に対し、機密性の高い医療情報をどのように使用し、開示しているかについて、すべての重要な情報を開示することは極めて重要である。そして、BetterHelp、Premom、GoodRxは、消費者に危害を加えるような行為を行った場合、誰が何を言ったかに関係なく、FTCの強制措置に直面する可能性があることを明らかにしている。
Health privacy: A top priority for the FTC – and for your company	健康プライバシー： FTCにとって、そして貴社にとって最優先事項である。
The FTC Act protects biometric data.  Since announcing its Biometric Policy Statement in May, the FTC has brought enforcement actions about voice data (Amazon/Alexa), video data (Ring), and DNA information (Vitagene). DNA data is particularly sensitive because it conveys information not only about you, but also people you’re related to. The FTC has also issued guidance about selling genetic testing kits, and Vitagene shows that the FTC will back guidance up with enforcement action. As these cases demonstrate, it’s of paramount importance that companies collecting this sensitive data keep it safe.	FTC法は生体データを保護している。  5月に生体データに関する政策声明を発表して以来、FTCは音声データ（Amazon/Alexa）、ビデオデータ（Ring）、DNA情報（Vitagene）について強制措置を取っている。DNAデータは、あなた自身に関する情報だけでなく、あなたの血縁関係のある人々に関する情報でもあるため、特に注意が必要だ。FTCは遺伝子検査キットの販売に関するガイダンスも発表しており、VitageneはFTCがガイダンスを強制措置でバックアップすることを示している。これらの事例が示すように、このようなセンシティブなデータを収集する企業は、その安全を守ることが最も重要である。
Reproductive information should be protected from prying eyes.  It’s no coincidence that the FTC has brought two actions focused on fertility apps (Premom and Flo) and issued guidance on reproductive privacy (among other issues). This is an area of crucial importance to consumers – and so it’s of crucial importance to us. Companies dealing with this data are on notice that half-measures to protect privacy and security aren’t enough.	保護情報は詮索好きな目から守られるべきである。  FTCが不妊治療アプリ（PremomとFlo）に焦点を当てた2つの訴訟を起こし、生殖に関するプライバシーに関するガイダンス（他の問題の中で）を発表したのは偶然ではない。これは消費者にとって極めて重要な分野であり、我々にとっても極めて重要である。このデータを扱う企業は、プライバシーとセキュリティを保護するための中途半端な対策では不十分であることに気づいている。
There’s a lot at stake. There’s always been a lot at stake for consumers whose health data is exposed or misused. But some stakeholders have said there hasn’t been enough at stake for the companies responsible. That argument doesn’t hold water in the wake of the FTC’s recent series of health and other cases. The BetterHelp, GoodRx, and Premom orders banned those companies from disclosing health data for advertising purposes – a sea change in the current advertising ecosystem. Recent orders have also required companies to pony up major money – from tens of thousands to millions of dollars in consumer redress (BetterHelp, Vitagene) or civil penalties (GoodRx, PreMom) – and to instruct recipients to delete data (BetterHelp, GoodRx, Premom, Flo) or DNA specimens (Vitagene). Other orders have held individuals liable for their companies’ security practices (Drizly) or required companies to delete models and algorithms based on ill-gotten data (Amazon/Alexa, Ring, Weight Watchers/Kurbo). The upshot? Violating the law can be an expensive proposition for your company. Think twice (or thrice or more) before making decisions that could harm your customers and land you in legal hot water.	多くの問題がある。 健康データが流出したり悪用されたりする消費者にとっては、常に多くの問題がある。しかし、一部の利害関係者は、責任を負う企業には十分な危機がないと述べてきた。FTCの最近の一連の健康事件やその他の事件を受けて、その主張は通用しない。ベターヘルプ（BetterHelp）、グッドレックス（GoodRx）、プレモム（Premom）の各命令は、これらの企業が広告目的で健康データを開示することを禁止した。最近の命令はまた、企業に対し、数万ドルから数百万ドルの消費者救済金（ベターヘルプ、ビタジーン）や民事罰（グッドレックス、プレママ）、データの削除（ベターヘルプ、グッドレックス、プレママ、フロ）やDNA検体（ビタジーン）を取得者に指示するよう求めている。その他の命令では、企業のセキュリティ慣行について個人に責任を負わせたり（Drizly）、不正に入手したデータに基づくモデルやアルゴリズムを削除するよう企業に求めたり（Amazon/Alexa、Ring、Weight Watchers/Kurbo）している。結局のところ？法律に違反することは、企業にとって高くつく可能性がある。顧客に危害を加え、法的な問題に発展する可能性のある決定を下す前に、二度（あるいは三度以上）考えることだ。