米連邦取引委員会(FTC)は、ユタ州およびカリフォルニア州とともに、遠隔医療プロバイダーのHims & Hersを提訴しました。
FTCの主張によると、同社は強固なプライバシー保護を約束していたにもかかわらず、消費者の機密性の高い健康情報を第三者の広告プラットフォームと共有していたとされています。
Hims & Hersは、オンライン診療、処方薬、パーソナルケア製品を通じてユーザーを免許を持つ医療提供者に結びつける、遠隔医療・デジタルヘルスプラットフォームです。
訴状では、Hims & Hersが、ユーザーが料金の発生を避けたりサブスクリプションを解約したりすることを困難にする、欺瞞的な請求・サブスクリプション運用を行っていたことも指摘されています。
カリフォルニア州の連邦裁判所に提出されたFTCの訴状によると、Hims & Hersは次のような行為を行っていたとされています。
- プライバシーに関する約束をしていたにもかかわらず、病状などの詳細を含む機密性の高い健康データを、MetaやSnapといった広告プラットフォームと共有していた。
- 診察前に課金していた。同社はユーザーに対し、医療提供者の診察を受けてから課金される旨を約束していましたが、FTCによると、多くの消費者は問診票を提出した直後に、実際の診察を受けないまま定期的な処方薬サブスクリプションに登録されていました。
- 解約を困難にしていた。2023年以前は、解約するには電話・メール・チャットでカスタマーサービスに連絡する必要があったとされています。その後オンラインでの解約手段が導入された後も、FTCによれば、解約ボタンは複数の手順やわかりにくい選択肢の裏に隠されていました。
サイバーセキュリティおよびプライバシー研究の観点から見ると、これは単一の遠隔医療ブランドだけの問題ではありません。消費者向けサービス全般で繰り返し見られる、より広範な3つの傾向を浮き彫りにしています。
プライバシーポリシーと実態の乖離。企業はプライバシー重視を謳いながら、機密情報を漏洩させる第三者の広告・分析用ソフトウェア開発キット(SDK)を組み込んでいる場合があります。健康関連のイベントがユーザーアカウントや追跡用クッキーに紐付けられている場合、これは特に深刻な問題となります。
「手間」を武器にする手法。見つけにくい解約フローや不明瞭な請求方法は、あらゆる関連情報を把握していれば選ばなかったであろうサービスにユーザーを誘導する「ダークパターン」の一例です。
規制強化の流れ。健康関連サービスは、機密データを扱いそれを広告プラットフォームと組み合わせている場合には特に、規制当局の監視が強まっています。
Hims & Hersが法律に違反したかどうかは最終的に裁判所が判断することになりますが、今回のFTCの措置は、規制当局が健康関連サービスによる機密データの収集・利用・共有のあり方に強い関心を寄せていることを明確に示しています。
オンラインプライバシーを重視する人にとって、今回のHims & Hersの件は、「ヘルステック」だからといって自動的に「プライバシー最優先」を意味するわけではないという教訓になります。
身を守るために
多くの場合、プライバシー上の抜け穴はプライバシーポリシーのどこかに隠されています。
ちょっとしたコツとして、AIが得意とすることの一つに「行間を読む」作業があります。AIチャットボットにプライバシーポリシーの要約を依頼し、自分の情報が第三者と共有される可能性のある箇所を specifiedしてもらいましょう。AIを使えば、長大なプライバシーポリシーを一言一句自分で読まなくても、はるかに理解しやすくなります。企業が自社のプライバシーポリシーを守らない場合、規制当局や消費者はその責任を追及できます。
そのほかにも、以下の点に注意してください。
- サービス提供に本当に必要な場合を除き、機密性の高い情報は共有しないようにしましょう。
- 強力かつ一意のパスワードと多要素認証(MFA)を利用しましょう。企業がコンプライアンスを遵守していたとしても、侵害は起こり得ます。一意のパスワードと二要素認証を使っていれば、アカウント情報が漏洩した場合の被害を抑えられます。
- ブラウザやアプリの権限設定を確認しましょう。可能な限り不要な追跡機能を無効化し、プライバシー重視のブラウザ設定や、第三者クッキーやトラッカーを制限する拡張機能の利用も検討してください。
あなたの氏名、住所、電話番号は、すでに販売されているかもしれません。
データブローカーは、対価を払う相手であれば誰にでもあなたの個人情報を収集・販売します。Malwarebytes Personal Data Removerはそうしたデータブローカーを見つけ出し、あなたの情報の削除を実行したうえで、その状態を維持できるよう継続的に監視します。
