违规传输用户隐私数据，这家地方医院赔偿超1.2亿元

混淆既是艺术

安全内参9月15日消息，美国地方非营利性医疗系统Adena Health System已同意支付1780万美元（约合人民币1.26亿元），以了结针对其通过MyChart患者门户使用追踪像素，非法向第三方披露患者数据的指控。该机构在美国俄亥俄州中区南部和南区为当地患者提供服务。

Adena Health是众多使用Meta Pixel和Google Analytics代码等工具来监测网站用户行为的医疗系统之一。然而，相关监测工具也被应用在需要用户登录的患者门户中。在这些网站和门户内，用户数据会被收集，其中可能包含个人可识别信息（PII）和受保护的健康信息（PHI）。这些信息会被自动传送至Meta和谷歌等公司。

针对这些信息披露行为，患者提起了诉讼，指控这些行为发生在数据主体不知情或未同意的情况下。使用患者门户的用户，可以预约就诊、查询病情、了解治疗方案，并与医疗服务提供者沟通。

诉讼称，患者的健康状况、偏好治疗方案、医生信息以及搜索记录等均被追踪工具收集并传输给第三方。如果用户当时已登录Facebook账号，诉讼称，独有的Facebook标识符也会被传输，从而实现对个人的精准识别。诉讼还声称，这些追踪工具是在明知情况下被嵌入网站的，而Adena Health通过这些信息披露行为获得了不当利益。

诉讼指控Adena Health存在过失、违反信任、违反受托责任、不当得利、侵犯隐私，以及违反《电子通信隐私法》，并主张其因明知将可识别的健康信息披露给第三方而需承担民事责任。

Adena Health否认一切不当行为和责任，并不认同诉讼中的指控和主张；但为了尽快了结诉讼、避免审判风险和不确定性，以及减少进一步的诉讼费用，Adena Health最终同意达成和解。

根据和解条款，2022年11月1日至2024年6月3日期间访问过患者门户的8.9万名集体成员，有权申请21美元的现金赔偿，并可获得为期1年的信用监控和身份盗窃保护服务，每份服务价值179美元。目前，该和解协议正等待法院批准。