Therapieplatform BetterHelp deelde gevoelige gezondheidsdata met Facebook
Het online therapieplatform BetterHelp schond privacybeloftes en misleidde gebruikers door gevoelige gezondheidsgegevens, waaronder informatie over "psychische gezondheidsuitdagingen", met Facebook en andere advertentiebedrijven te delen. De Amerikaanse toezichthouder FTC wil de overtredingen nu schikken voor een bedrag van 7,8 miljoen dollar. Daarnaast mag het bedrijf gezondheidsinformatie niet meer voor advertentiedoeleinden gebruiken.
Via BetterHelp kunnen mensen online in contact komen met psychologen, therapeuten, maatschappelijk werkers en andere adviseurs. Wie interesse in advies heeft moet eerst een formulier invullen dat om gevoelige psychische gezondheidsinformatie vraagt, zoals of de persoon in kwestie met depressie of suïcidale gedachten te maken heeft gekregen of medicatie gebruikt. Vervolgens moeten ook naam, e-mailadres, geboortedatum en andere persoonlijke informatie worden opgegeven. Op basis van deze informatie zoekt BetterHelp een geschikte therapeut.
Tijdens het aanmeldproces beloofde BetterHelp meerdere keren dat het de gezondheidsgegevens van klanten niet zou gebruiken of delen, behalve voor beperkte doeleinden, zoals het bieden van therapie. Ondanks deze beloftes bleek BetterHelp e-mailadressen, ip-adressen en ingevulde gezondheidsgegevens voor advertentiedoeleinden te delen met Facebook, Snapchat, Criteo en Pinterest, zo stelt de FTC.
Zo gebruikte BetterHelp het e-mailadres van cliënten en het feit dat ze eerder therapie hadden gehad om Facebook te vragen soortgelijke personen te vinden en hen de advertenties van BetterHelp te tonen. Dat leverde het bedrijf volgens de FTC tienduizenden nieuwe cliënten en miljoenen dollars aan omzet op. De Amerikaanse toezichthouder stelt verder dat BetterHelp cliënten herhaaldelijk dwong om hun gezondheidsgegevens af te staan door herhaaldelijk de "privacybeloftes" te tonen en ze via niet te vermijden prompts zover te krijgen dat ze zich voor therapie aanmeldden.
Ondanks de gevoelige aard van de gegevens had BetterHelp geen adequaat beleid of procedures om deze data te beschermen. Ook kreeg het geen nadrukkelijke toestemming van cliënten voordat hun gezondheidsgegevens werden gedeeld. Daarnaast stelde BetterHelp geen beperkingen aan hoe derde partijen de gezondheidsinformatie mocht gebruiken. Daardoor konden Facebook en andere derde partijen deze informatie voor hun eigen interne doeleinden gebruiken, waaronder onderzoek en het ontwikkelen of verbeteren van advertenties.
De FTC wil nu dat BetterHelp een bedrag van 7,8 miljoen dollar betaalt, dat onder cliënten van het platform zal worden verdeeld. Daarnaast krijgt het platform een verbod opgelegd voor het delen van gezondheidsinformatie voor advertentiedoeleinden. Verder moet BetterHelp voortaan uitdrukkelijke toestemming krijgen voor het delen van persoonlijke informatie met derde partijen, moet het een uitgebreid privacyprogramma implementeren en moet het derde partijen zoals Facebook verzoeken om alle, eerder gedeelde gezondheidsdata te verwijderen. Als laatste moet het een limiet stellen aan het bewaren van persoonlijk en gezondheidsgerelateerde informatie. Het publiek kan nu dertig dagen op het voorstel reageren voordat er een definitieve versie verschijnt.
Fraai dit.
De eerste is door de vingers te zien, 2 en 3 zijn niet oke.
En 4 is gewoon ronduit illegaal.
Als hier ook europese gebruikers op zitten, dan is dit een zeer grote GDPR overtreding.
Dat zou dan direct aanklagen, winnen en kapotmaken zijn. (hoger beroep heeft dan geen zin meer)
Omdat wij zo vaak misbruikt zijn, of worden, denken we inmiddels dat het er bijhoort.
Ik vind dat beide partijen schuldig zijn. Zowel de partij die de gevoelige informatie deelt als de partij die die informatie gebruikt cq misbruikt.
Een adverteerder die jou op basis van informatie over psychische gesteldheid advertenties wil voorschotelen gaat daar echt geen mega bedragen voor betalen hoor, 3 euro wordt zeker al niet door 1 bedrijf betaald, dat gaat al uit van 10 bedrijven ofzo die deze data kopen.
Tuurlijk, en als hardcore privacy activist zal jij natuurlijk nooit iets delen, wat betrekking heeft op jouw gezondheid, en waar organisaties verkeerd mee kunnen om gaan. Kan ook je ziekenhuis zijn, of een andere zorgverlener. Je zou er van uit moeten kunnen gaan dat organisaties handelen binnen de grenzen van de wet.
En het slachtoffer, dat ben jij ?
Ze hebben dus weloverwogen de bewuste beslissing genomen om te liegen en tegen de wet in de gevoelige data van mensen te gebruiken voor financieel gewin. Het is tijd dat er eens een voorbeeld gemaakt wordt door de hele top van dit bedrijf, raad van bestuur, de commissarisen en het hoger management (of wat ook het equivalent is in verschillende landen), achter tralies te zetten voor een paar jaar. Het huidig systeem werkt niet, de pakkans is te laag, de verantwoordelijke autoriteiten zijn niet voldoende daadkrachtig, ondergefinancieerd en te weinig daadkrachtig en dit is een probleem dat niet alleen in de VS speelt, maar ook in Europa. De wet overtreden is voor bedrijven gewoon een businesscase tussen de zekerheid van meer omzet versus een hele lage kans op een boete. Zolang de top van het bedrijf niet meer risico loopt dan dat het bedrijf een boete moet betalen zal dit blijven gebeuren. Die boete moet dan ook verhaald worden op het management dat deze beslissing heeft genomen en op de commissarisen die hebben zitten slapen.
Aan de ene kant de vrijheid om als er genoeg winst overblijft te schikken en de wet blijvend te overtreden
en aan de andere kant mensen digitaal willen opsluiten in de nabije toekomst,
bijvoorbeeld in een vijftijen-minuten-stad (lees getto).
Hoe scheef moeten de tegenstellingen nog worden?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
