Όταν διαβάζεις σε μια ιστοσελίδα τηλεϊατρικής τη φράση «100% ιδιωτικό και ασφαλές», συνήθως το πιστεύεις χωρίς δεύτερη σκέψη. Η Ομοσπονδιακή Επιτροπή Εμπορίου των ΗΠΑ (FTC) υποστηρίζει τώρα ότι η Hims & Hers, μία από τις πιο γνωστές πλατφόρμες online φαρμάκων στις ΗΠΑ, έστελνε στοιχεία υγείας των πελατών της στη Meta και σε άλλες διαφημιστικές πλατφόρμες χωρίς αυτοί να το γνωρίζουν. Σου εξηγούμε πώς λειτουργεί αυτό το τέχνασμα σε επίπεδο κώδικα, τι σημαίνει για όσους χρησιμοποιούν αντίστοιχες υπηρεσίες στην Ελλάδα, και γιατί το ευρωπαϊκό GDPR θα αντιδρούσε πολύ πιο σκληρά σε μια παρόμοια υπόθεση.
- Η FTC κατηγορεί την Hims & Hers ότι διοχέτευε ιατρικά δεδομένα 2,5 εκατομμυρίων πελατών σε Meta, Google, Snap, Microsoft και Reddit μέσω tracking pixels, ενώ διαβεβαίωνε ότι η πλατφόρμα ήταν «100% ιδιωτική».
- Παράλληλα καταγγέλλεται για dark patterns: κρυφά κουμπιά ακύρωσης συνδρομής και χρέωση πιστωτικών καρτών πριν καν γίνει η υποσχόμενη ιατρική αξιολόγηση.
- Στην Ευρώπη το GDPR κατατάσσει τα δεδομένα υγείας σε «ειδική κατηγορία» με αυστηρότερη προστασία, οπότε αντίστοιχη πρακτική εδώ θα σήμαινε πρόστιμο έως 4% του παγκόσμιου τζίρου μιας εταιρείας.
Πώς τα ιατρικά σου δεδομένα καταλήγουν στη Meta
Το «tracking pixel» δεν είναι κάτι μυστηριώδες. Είναι ένα κομμάτι κώδικα, αόρατο στο μάτι, που μια ιστοσελίδα τοποθετεί στις σελίδες της για να καταγράφει τι κάνεις πάνω τους: ποια σελίδα άνοιξες, ποιο κουμπί πάτησες, ποια φόρμα συμπλήρωσες. Η Meta το ονομάζει «Meta Pixel» και το προσφέρει δωρεάν σε κάθε επιχείρηση που θέλει να μετρήσει πόσο αποδοτικές είναι οι διαφημίσεις της στο Facebook και το Instagram.
Το πρόβλημα, σύμφωνα με την προσφυγή της FTC, είναι ότι η Hims & Hers χρησιμοποιούσε αυτά τα pixels όχι μόνο για γενικά στατιστικά επισκεψιμότητας, αλλά για να μεταφέρει πληροφορίες που συνδέονταν με συγκεκριμένες ιατρικές καταστάσεις: τι φάρμακο έψαχνε κάποιος, ποια θεραπεία επέλεξε, ποια σελίδα με συμπτώματα επισκέφθηκε. Αυτό είναι ακριβώς το είδος δεδομένων που η ίδια η Meta απαγορεύει ρητά στους όρους χρήσης του Pixel, καθώς αφορά υγεία, οικονομικά ή ανήλικους χρήστες.
Η εταιρεία δεν χρησιμοποιούσε μόνο το εργαλείο της Meta. Στην ίδια λίστα τεχνολογιών παρακολούθησης εμφανίζονται η Google, το Bing της Microsoft, το Reddit και το Snap, κάτι που σημαίνει ότι τα δεδομένα δεν έφευγαν προς μία μόνο κατεύθυνση, αλλά διαμοιράζονταν σε πολλαπλά διαφημιστικά οικοσυστήματα ταυτόχρονα.
Παραπλανητικές συνδρομές και κρυμμένα κουμπιά
Το δεύτερο σκέλος της καταγγελίας δεν αφορά δεδομένα, αφορά χρήματα. Η FTC λέει ότι εκατοντάδες χιλιάδες καταναλωτές βρέθηκαν να πληρώνουν συνδρομές σε συνταγογραφούμενα φάρμακα χωρίς να έχουν συνειδητά συμφωνήσει σε αυτές.
Δύο πρακτικές ξεχωρίζουν στην καταγγελία:
- Dark patterns στην ακύρωση: το κουμπί για διακοπή της συνδρομής ήταν σκόπιμα κρυμμένο ή δυσεύρετο μέσα στο περιβάλλον της εφαρμογής.
- Χρέωση πριν την αξιολόγηση: η πιστωτική κάρτα χρεωνόταν αμέσως μόλις κάποιος συμπλήρωνε τη φόρμα εγγραφής, πολύ πριν γίνει η ιατρική αξιολόγηση που δικαιολογούσε τη χρέωση.
Το αποτέλεσμα, όπως το περιγράφει η ίδια η προσφυγή, είναι ότι ο καταναλωτής δεν έχει καμία ουσιαστική δυνατότητα να δει ή να εγκρίνει τη θεραπεία που του προτείνεται πριν πληρώσει γι’ αυτήν. Αν έχεις εγγραφείς ποτέ σε υπηρεσία με ένα κλικ και μετά ψάχνεις μάταια το κουμπί ακύρωσης, ξέρεις ήδη πώς νιώθεις.
Η αγωγή της FTC και η απάντηση της εταιρείας
Η προσφυγή κατατέθηκε στο Ομοσπονδιακό Δικαστήριο της Βόρειας Περιφέρειας της Καλιφόρνιας, με τις πολιτείες της Γιούτα και της Καλιφόρνιας να προσχωρούν στην υπόθεση ως συνενάγουσες. Η αμερικανική ρυθμιστική αρχή ζητά τρία πράγματα: άμεση διακοπή των πρακτικών, χρηματικά πρόστιμα και αποζημίωση στους πελάτες που επηρεάστηκαν.
Η Hims & Hers απαντά με πλήρη άρνηση. Σε ανάρτησή της στο X, η εταιρεία χαρακτήρισε την υπόθεση προσπάθεια εντυπωσιασμού και όχι γνήσια προστασία καταναλωτών, τονίζοντας ότι θα υπερασπιστεί σθεναρά τη θέση της στο δικαστήριο. Σε ξεχωριστή δήλωση, επανέλαβε τη δέσμευσή της για την προστασία της ιδιωτικότητας των χρηστών της.
Αξίζει να σημειωθεί ότι η έρευνα της FTC κράτησε περίπου τρία χρόνια πριν καταλήξει σε αυτή την προσφυγή, κάτι που δείχνει πόσο σύνθετη ήταν η τεκμηρίωση του «ίχνους» των δεδομένων ανάμεσα στην πλατφόρμα και τις διαφημιστικές εταιρείες.
Τι θα γινόταν αν συνέβαινε στην Ελλάδα
Εδώ βρίσκεται το κομμάτι που λείπει από τα περισσότερα ρεπορτάζ για την υπόθεση: η διαφορά ανάμεσα στο αμερικανικό και το ευρωπαϊκό νομικό πλαίσιο είναι τεράστια, και όχι μόνο σε επίπεδο προστίμων.
Στην Ευρωπαϊκή Ένωση, ο Γενικός Κανονισμός Προστασίας Δεδομένων (GDPR) κατατάσσει τα δεδομένα υγείας στην κατηγορία των «ειδικών κατηγοριών δεδομένων» του άρθρου 9, μαζί με φυλετική καταγωγή, θρησκευτικές πεποιθήσεις και σεξουαλικό προσανατολισμό. Η επεξεργασία τους απαγορεύεται εξ ορισμού, εκτός αν υπάρχει ρητή, ενημερωμένη συγκατάθεση του χρήστη ή άλλη συγκεκριμένη νομική βάση. Ένα tracking pixel που στέλνει «ο χρήστης Χ αναζήτησε θεραπεία για στυτική δυσλειτουργία» δεν καλύπτεται από γενικό cookie banner τύπου «Αποδοχή όλων».
Στην πράξη αυτό σημαίνει ότι μια ελληνική ή ευρωπαϊκή πλατφόρμα τηλεϊατρικής που έκανε το ίδιο θα κινδύνευε με πρόστιμο έως 20 εκατομμύρια ευρώ ή 4% του παγκόσμιου ετήσιου τζίρου της, όποιο από τα δύο είναι μεγαλύτερο, από την Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα. Αν χρησιμοποιείς ελληνικές ή ευρωπαϊκές υπηρεσίες τηλεϊατρικής, ασφάλισης υγείας ή διατροφικής παρακολούθησης, καλό είναι να ελέγχεις πάντα την ενότητα «κοινοποίηση σε τρίτους» της πολιτικής απορρήτου, όχι μόνο το γενικό κείμενο περί «ασφάλειας δεδομένων».
- Άνοιξε την πολιτική απορρήτου και ψάξε τη φράση «third parties» ή «κοινοποίηση σε τρίτους» — δες ποιες εταιρείες αναφέρονται ονομαστικά.
- Χρησιμοποίησε δωρεάν εργαλείο όπως το Blacklight (Markup.org) για να δεις ποια trackers φορτώνει η ιστοσελίδα πριν καν κάνεις κλικ σε κάτι.
- Έλεγξε αν το cookie banner σε ρωτά ξεχωριστά για «advertising cookies» ή απλά έχει ένα κουμπί «Αποδοχή όλων».
- Αν βρίσκεσαι στην ΕΕ, στείλε αίτημα διαγραφής δεδομένων μέσω GDPR στο email προστασίας δεδομένων της εταιρείας — έχει υποχρέωση να απαντήσει εντός 30 ημερών.
- Πριν δώσεις στοιχεία πιστωτικής κάρτας, διάβασε πού ακριβώς βρίσκεται το κουμπί ακύρωσης συνδρομής και δοκίμασέ το νοερά.
Η άποψή μας στο TechNoid
Η υπόθεση Hims & Hers δεν είναι μεμονωμένο περιστατικό, είναι το αναμενόμενο αποτέλεσμα ενός μοντέλου επιχειρηματικότητας που βασίζεται σε φτηνή, γρήγορη διαφήμιση μέσω δεδομένων. Όσο μια εταιρεία τηλεϊατρικής πληρώνεται με βάση την επιτυχία στοχευμένων καμπανιών, υπάρχει πάντα ο πειρασμός να «μοιραστεί» λίγο περισσότερα δεδομένα από όσα λέει η πολιτική απορρήτου της.
Αυτό που μας ενοχλεί περισσότερο δεν είναι το ίδιο το tracking, αφού καμία σύγχρονη πλατφόρμα δεν λειτουργεί χωρίς κάποιο επίπεδο analytics. Είναι η απόσταση ανάμεσα σε αυτό που έλεγε η εταιρεία δημόσια, δηλαδή «100% ιδιωτικό», και αυτό που φαίνεται να συνέβαινε στο παρασκήνιο. Στην Ευρώπη το ρυθμιστικό πλαίσιο είναι πιο αυστηρό στα χαρτιά, αλλά αυτό δεν σημαίνει ότι πρέπει να χαλαρώσεις την επιφυλακτικότητά σου. Εμείς στο TechNoid θα σου λέγαμε να αντιμετωπίζεις κάθε υπηρεσία υγείας online σαν να παρακολουθείται από τρίτους μέχρι αποδείξεως του αντιθέτου, και να ελέγχεις χειροκίνητα τι δηλώνει η πολιτική απορρήτου, όχι το marketing κείμενο στην αρχική σελίδα.
Τι είναι το Meta Pixel και γιατί το χρησιμοποιούν οι εταιρείες;
Είναι κομμάτι κώδικα που τοποθετείται σε μια ιστοσελίδα για να καταγράφει ενέργειες των επισκεπτών, ώστε η εταιρεία να μετρά την αποδοτικότητα των διαφημίσεών της στο Facebook και το Instagram.
Είναι νόμιμο να στέλνει μια εταιρεία δεδομένα υγείας στη Meta;
Στις ΗΠΑ δεν υπάρχει ομοσπονδιακός νόμος αντίστοιχος του GDPR, γι’ αυτό η FTC βασίζεται σε γενικές διατάξεις κατά αθέμιτων πρακτικών· στην ΕΕ κάτι τέτοιο θα ήταν παράνομο χωρίς ρητή συγκατάθεση.
Πώς μπορώ να δω αν μια ιστοσελίδα υγείας με παρακολουθεί;
Χρησιμοποίησε δωρεάν εργαλείο σκανάρισμα όπως το Blacklight, ή extension αποκλεισμού trackers στο πρόγραμμα περιήγησής σου, για να δεις ποιες τρίτες πλατφόρμες φορτώνουν κώδικα στη σελίδα.
Τι είναι τα dark patterns σε μια συνδρομή;
Είναι σχεδιαστικά κόλπα που κάνουν δυσεύρετο ή μπερδεμένο το κουμπί ακύρωσης, ώστε ο χρήστης να συνεχίσει να πληρώνει χωρίς να το θέλει.
Τι πρόστιμο κινδυνεύει να πληρώσει η Hims & Hers;
Η FTC δεν έχει ανακοινώσει συγκεκριμένο ποσό ακόμη, ζητά όμως χρηματικές κυρώσεις και αποζημίωση στους επηρεαζόμενους χρήστες, το ύψος θα καθοριστεί από το δικαστήριο.
Καλύπτει το ελληνικό δίκαιο ανάλογη περίπτωση;
Ναι, μέσω του GDPR και της εποπτείας της Αρχής Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, με πρόστιμα που μπορούν να φτάσουν έως 4% του παγκόσμιου τζίρου μιας εταιρείας.
Πρέπει να σταματήσω να χρησιμοποιώ υπηρεσίες τηλεϊατρικής μετά από αυτό;
Όχι απαραίτητα, αλλά αξίζει να ελέγχεις την πολιτική απορρήτου κάθε πλατφόρμας πριν δώσεις ιατρικές πληροφορίες ή στοιχεία πληρωμής.
Ποιες άλλες πλατφόρμες εμπλέκονται στην κατηγορία της FTC;
Εκτός από τη Meta, στην καταγγελία αναφέρονται η Google, το Bing της Microsoft, το Snap και το Reddit ως αποδέκτες δεδομένων μέσω τεχνολογιών παρακολούθησης.
