FTC verhängt Geldstrafe in Höhe von 1,5 Millionen US-Dollar gegen Arzneimitteldiscounter, weil sie Benutzerdaten mit Microsoft und Google geteilt hat

In den letzten Monaten ist die US-amerikanische Federal Trade Commission (FTC) hart gegen Mega-Tech-Konzerne vorgegangen und hat Google nicht nur wegen bezahlter Unterstützung mit einer Geldstrafe belegt, sondern auch öffentlich ihr Misstrauen gegenüber Microsoft wegen der Übernahme von Activision und Blizzard zum Ausdruck gebracht. Heute hat die FTC bekannt gegeben, dass sie eine Geldbuße in Höhe von 1,5 Millionen US-Dollar gegen den Arzneimitteldiscounter GoodRx verhängt hat, weil er die unbefugte Offenlegung der persönlichen Gesundheitsdaten von Verbrauchern nicht an Unternehmen wie Google, Facebook, Criteo, Branch und Twilio gemeldet hat.

Dieser Schritt ist eine einzigartige Durchsetzung gemäß der Health Breach Notification Rule der FTC. Zusätzlich zu der Geldbuße verbietet diese Aktion GoodRx, Gesundheitsdaten von Benutzern mit entsprechenden Dritten zu teilen, selbst nur zu Werbezwecken, und erfordert auch die Zustimmung des Benutzers für jede andere Datenfreigabe.

Die FTC erläuterte ausdrücklich die Art und Weise, wie der Arzneimitteldiscounter gegen seine Verbraucherdatenschutzgesetze verstoßen hat, und stellte fest, dass GoodRx Folgendes getan hat:

• Weitergabe personenbezogener Gesundheitsdaten an Facebook, Google, Criteo und andere
• Verwendete persönliche Gesundheitsinformationen, um seine Benutzer mit Anzeigen anzusprechen
• Die Nutzung personenbezogener Gesundheitsdaten durch Dritte konnte nicht eingeschränkt werden
• Hat seine HIPAA-Konformität falsch dargestellt

Samuel Levine, Direktor des Verbraucherschutzbüros der FTC, kommentierte den Präzedenzfall, der durch diese Durchsetzung geschaffen wurde:

„Digitale Gesundheitsunternehmen und mobile Apps sollten nicht mit den äußerst sensiblen und persönlich identifizierbaren Gesundheitsinformationen der Verbraucher Geld verdienen. Die FTC teilt mit, dass sie ihre gesamte gesetzliche Befugnis einsetzen wird, um die sensiblen Daten der amerikanischen Verbraucher vor Missbrauch und illegaler Ausbeutung zu schützen.“

Die Kommission hat den endgültigen Beschluss an das Justizministerium zur Einreichung weitergeleitet, nachdem die Beschwerde mit 4:0 einstimmig angenommen wurde. Insbesondere muss die vorgeschlagene Anordnung jedoch zunächst vom Bundesgericht genehmigt werden, um in Kraft zu treten.