Калифорнийская компания занимающаяся услугами в сфере здравоохранения, Kaiser Permanente, недавно сообщила миллионам своих клиентов о том, что их личная информация была неправомерно передана технологическим компаниям.

Анализ, проведенный агентством Bloomberg News, показал, что аналогичные онлайн-трекеры все еще присутствуют на сайтах ведущих медицинских компаний США, о чем миллионы их пациентов даже не догадываются.

По данным исследования, трекеры Facebook (Meta) могли получить доступ к датам рождения и номерам телефонов пациентов на сайте аптечного подразделения Cigna Group. Пользователи, регистрирующие учетные записи в аптечном подразделении UnitedHealth Group Inc., могли случайно раскрыть свои номера социального страхования маркетинговой службе Adobe Inc. Сайты подразделений CVS Health Corp. позволяли аналитической компании Quantum Metric считывать номера социального страхования, пароли и даты рождения.

«Использование трекеров, подобных трекеру Facebook, на вашем сайте вызывает серьезные вопросы в отношении конфиденциальности,» — говорит Джастин Шерман, основатель консалтинговой компании Global Cyber Strategies.

На сайтах девяти из десяти крупнейших компаний, занимающихся медицинским страхованием, больницами и лабораториями, были установлены рекламные и аналитические трекеры на страницах регистрации или входа пользователей. Эти трекеры могут предоставлять персональные данные сторонним компаниям. Bloomberg News проверил эти сайты с помощью инструмента для браузера от компании Feroot Security, которая помогает компаниям находить и удалять веб-трекеры.

Медицинские компании с наибольшим количеством трекеров

Количество трекеров на страницах входа и регистрации. Трекеры могут передавать личную информацию сторонним компаниям.

Представитель Meta подчеркнул, что их система запрещает рекламодателям передавать конфиденциальные персональные данные через инструменты компании, и что система разработана для их фильтрации при обнаружении. В CVS Health сообщили, что компания применяет меры контроля, которые ограничивают или шифруют идентифицируемую информацию перед передачей сторонним поставщикам.

Представители компаний Cigna, UnitedHealth, Adobe и Quantum Metric не представили комментарии или отказались от них.

Эксперты по конфиденциальности предупреждают, что трекеры на медицинских сайтах и в приложениях могут передавать рекламодателям и брокерам данных личную информацию, такую как получение рецептов на виагру, беременность или лечение психических заболеваний, без согласия пациентов.

В рамках более обширного исследования, проведенного компанией Feroot в прошлом году, выяснилось, что 86 % веб-сайтов, связанных с здравоохранением и телемедициной, собирают данные без согласия пользователей и передают их крупным технологическим компаниям. Другое исследование, опубликованное в журнале JAMA в этом году, показал, что из 100 больничных сайтов 96 передавали информацию третьим сторонам, и большинство из них не указывали в своих политиках конфиденциальности, куда направляются эти данные.

Федеральные регулирующие органы уже несколько лет пытаются остановить сбор персональных данных на медицинских сайтах. Федеральная торговая комиссия США (FTC) оштрафовала несколько компаний за обмен пользовательскими данными. Министерство здравоохранения и социальных служб (HHS) выпустило руководство, указывающее, что онлайн-трекеры могут нарушать федеральные правила конфиденциальности.

В ответ медицинские компании обратились в суд, оспаривая позицию HHS и заявляя, что оно превысило свои полномочия. Они также отметили, что некоторые правительственные сайты используют аналогичную технологию. В июне судья из Техаса вынес решение против HHS, ограничив его полномочия штрафовать медицинские компании за использование трекеров.

Рынок стоимостью 250 миллиардов долларов

Трекеры, собирающие персональные данные, широко распространены в Интернете. Их также называют пикселями, и для большинства пользователей они остаются незаметными. Однако технологические компании и брокеры данных используют их для сбора информации о поведении пользователей в Интернете.

Эксперты оценивают объём рынка этих данных в США примерно в 250 миллиардов долларов.

Иногда детали указываются мелким шрифтом. Например, в политике конфиденциальности подразделения Aetna компании CVS говорится, что компания собирает номера социального страхования, интернет-адреса, демографические данные и другую информацию. Ее трекеры могут фиксировать такие действия, как «просмотры страниц, движения мыши, прокрутка, ввод текста» и другие данные о просмотре сайтов.

По мнению Шермана и других специалистов по кибербезопасности, использование трекеров на медицинских сайтах, где обрабатываются конфиденциальные данные, вызывает серьёзные опасения по поводу конфиденциальности и может противоречить федеральным правилам, направленным на защиту медицинской информации пациентов.

Согласно прошлогоднему отчету компании Feroot, примерно 15% веб-сайтов, связанных со здравоохранением, могли считывать точные нажатия клавиш на страницах входа. Это означает, что они могли собирать номера социального страхования, имена пользователей, пароли, адреса электронной почты, время приема, информацию о счетах и медицинские диагнозы.

Рост числа судебных исков

В иске против Kaiser Permanente утверждается, что трекеры собирали имена, интернет-адреса и поисковые запросы, отправляя их в Google (Alphabet Inc), социальную сеть X и поисковую систему Bing (Microsoft Corp). Эти трекеры были размещены на страницах, защищенных паролем, что позволяло технологическим компаниям создавать более целенаправленную рекламу на основе поведения пользователей. Жалоба была подана в федеральный суд Северного округа Калифорнии в июне 2023 года.

В Kaiser сообщили, что компания провела внутреннее расследование и удалила трекеры с веб-сайтов и мобильных приложений. Компания добилась прекращения дела и отказалась комментировать судебный процесс. Microsoft заявила, что ее политика запрещает использование медицинской информации в рекламных целях.

В Google заявили, что клиенты ее измерительных инструментов, таких как Google Analytics, владеют собранными данными, и сама компания не использует их для таргетинга рекламы поисковой системы. Политика компании запрещает клиентам использовать Google Analytics для сбора защищенной медицинской информации, а также запрещает рекламу, основанную на данных о здоровье или другой конфиденциальной информации, сообщил представитель Google.

В другом иске против ассоциации Blue Cross Blue Shield Association, поданном в ноябре в федеральный суд в Иллинойсе, утверждается, что веб-сайт, используемый для федеральных служащих, отправлял данные в TikTok компании ByteDance Ltd. и другим технологическим компаниям. Эти данные включали поисковые запросы пользователей на такие темы, как психическое здоровье или беременность. В жалобе также отмечается, что сам TikTok запрещен на телефонах федеральных властей по соображениям национальной безопасности.

Ассоциация добилась отклонения иска и воздержалась от комментариев. Представитель TikTok также не стал комментировать иск, сославшись на политику компании, согласно которой пиксель не должен устанавливаться на сайтах, которые могут содержать личную медицинскую информацию.

По словам Ивана Царынного, генерального директора компании Feroot, некоторые медицинские компании убрали трекеры со своих сайтов из-за возросшего давления. Он также отметил, что ожидает, что больше компаний будут раскрывать информацию об утечках данных, связанных с использованием трекеров, как это сделала Kaiser Permanente.

Не всегда ясно, куда поступают данные, собранные трекерами.

«Мы не всегда знаем, каковы цели такой слежки,» — отмечает Шарлотта Тшидер, профессор права кибербезопасности в Университете Лойолы в Чикаго. «Возможно, что даже медицинские организации сами не до конца понимают свои действия.»

Другие материалы по этой теме:

• Вечные куки
• Сайты передают данные о вас в сотни компаний
• Исследование распространения адаптеров Yandex Header Bidding в Рунете