医療機関のウェブサイトを対象とした最近の分析により、大多数のサイトがマーケティング・分析ツールを使用しており、これらのツールが機密データを第三者に開示している可能性があることが判明しました。この調査は、プライバシー重視のウェブ分析プラットフォームを提供するPiwik PROと、組織の分析精度・データ品質・プライバシーコンプライアンスの検証を支援する自動監査プラットフォームのVerified Dataが共同で実施しました。
近年、医療機関がウェブサイトの追跡・分析ツールをどのように利用しているかについて、監視の目が厳しくなっています。これらのツールが医療機関のウェブサイトで日常的に使用されており、場合によっては認証済みページ上でも使われ、機密データを第三者に開示していることが複数の調査で明らかになったためです。これらのツールはウェブサイトの利用状況に関する情報を収集し第三者に送信しますが、その中にはHIPAAが規制対象事業体に保護を義務付けている、個人を特定できる医療情報である「保護対象保健情報」が含まれる場合があります。こうしたツールに関連する重大なHIPAA違反は、Advocate Aurora Health、Kaiser Permanente、Novant Health、Atrium Healthなどによって、HHS(米保健福祉省)の公民権局(OCR)に報告されています。
患者らは、医療機関によるこれらのツールの利用に対して法的措置を取るケースが増えています。過去2年間で、数十件の訴訟が和解によって解決されました。Piwik PROの報告によると、Meta Pixel、Google Analytics、Microsoft Advertisingのコードといった追跡・分析ツールに起因する医療プライバシー侵害を解決するため、2023年から2025年の間に1億ドル(100 million)以上が和解金として支払われています。
Piwik PROとVerified Dataによる今回の調査結果は、医療機関のウェブサイト追跡に関するレポートAre healthcare companies one audit away from a compliance crisis?にまとめられています。この調査では、米国の主要な病院・クリニックのウェブサイト59件をスキャンし、追跡、同意取得、データコンプライアンスの状況を評価しました。なお、この調査は保護対象保健情報が実際に第三者へ開示されているかどうかを調べたものではなく、追跡スクリプト、Cookie、広告ピクセル、同意管理システムの有無とその挙動を調べたものです。
懸念されるのは、スキャン対象となった医療機関のウェブサイトの実に4分の3近く(73%)が、Global Privacy Control(GPC)のオプトアウト信号が有効になっている状態でも、有効な広告・マーケティング用トラッカーを稼働させていたことです。GPCとは、ユーザーが自身の個人データの販売や共有を望まないという意思をウェブサイト運営者に伝える、ブラウザベースの信号です。さらに、サイトの3分の2以上(69%)がマーケティング広告用Cookieを使用しており、データが第三者のプラットフォームに送られている可能性が強く示唆されます。追跡ツールの利用率とCookieの利用率の差が小さいことから、一部のトラッカーはCookieを使わずに動作している可能性が高く、その場合Cookieのブロックだけでは情報漏えいを完全には防げないことになります。研究者らは、スキャン対象となった59サイト全体で、Google Analytics、Meta Pixel、Microsoft Advertising、セッションリプレイ技術など、75種類の固有の追跡ツールを確認しました。
これまでThe HIPAA Journalは、HIPAAに関する教育が進み、患者がHIPAAによって何が保護され何が保護されないのか、そしてHIPAAが患者に与える権利について、以前よりはるかによく理解するようになっている様子を見てきました。患者は医療機関を訪れる際にプライバシーが守られることを期待しており、その期待は医療機関のデジタル上の窓口にも及びます。患者が医療機関のウェブサイトを訪れて機微な健康上の問題について情報を検索したり、予約を取ったり、フォームに個人情報を入力したりする際、その情報が非公開に保たれ、ソーシャルメディア企業や広告ネットワークといった第三者に開示されないことを期待しています。しかし、これらのツールは何年もの間、まさにそうした開示を行ってきたのです。
「これは、無謀なマーケティング担当者や悪意によるものというお話ではありません。医療機関の多くは、自ら積極的に選んだというよりも、既存の分析設定をそのまま引き継いでいるケースがほとんどです。Google Analyticsが多くの機関にとってデフォルトの選択肢となったのは、無料で実績があり、広く理解されていたからです。今日の課題は、その利用範囲がなし崩し的に広がってしまっていることです。当初はウェブサイトの分析にすぎなかったものが、より広範な行動ターゲティング広告のプラットフォームへと変化してしまいました」と、Piwik PROのグローバルセールス責任者であるMagdalena Pawlitko氏は説明しています。「医療のような規制の厳しい分野では、これがより大きなコンプライアンス上のリスクを生み出しており、データ収集ツールがどのように設定・管理されているかを、これまで以上に厳しく精査する必要があります」。
医療機関にとって難しいのは、これらのツールが重要かつ有用な機能を提供している点です。これらのツールの利用を規制するルールは存在しますが、だからといって医療機関がデジタルマーケティング施策そのものを中止する必要はありません。ただし、自らの戦略を見直し、コンプライアンスを確保して患者のプライバシーを守るための適切な基盤が整っているかどうかを確認する必要があります。
「患者は、病院のウェブサイトを訪れた際、自身の健康に関わる行動が非公開に保たれることを期待しています。適切な設定を行えば、その期待に応えることは十分可能です。そしてそれを実現できた組織は、単に法的リスクを減らすだけでなく、より価値のあるもの、すなわち患者から本当に信頼されるデジタル上の窓口を築くことになります」と、Verified Dataの創業者でデジタル分析・プライバシーの専門家であるBrian Clifton氏は述べています。
研究者らは、まだ実施していない医療機関に対し、現行の追跡設定について監査を行うこと、保護対象保健情報に関連するページ上の広告ピクセルを削除すること、タグ管理層でオプトアウト信号を確実に反映させること、コンプライアンスに適合しない分析ツールを専用に設計されたプラットフォームに置き換えること、そしてコンプライアンスに適合した基盤を整えることを推奨しています。さらに研究者らは、コンプライアンス対応を一度きりの見直しではなく恒常的な要件として位置づけ、コンプライアンスに関するすべての判断を漏れなく文書化しておくことも推奨しています。
翻訳元: https://www.hipaajournal.com/study-healthcare-websites-tracking-analytics-tools-2026/
