AI-маркетинг · Новости
HIPAA в маркетинге: почему договора с вендором мало
HIPAA-комплаенс в AI-маркетинге не закрывается подписанием BAA. Разбираем ошибки маркетологов и то, как данные о здоровье утекают в рекламные платформы.
Каждый маркетолог в сфере здоровья задаёт вендорам один и тот же вопрос: подпишете бизнес-соглашение (BAA)? И это неверный первый вопрос. BAA - это договор. Он не делает инструмент соответствующим требованиям и не говорит, вообще ли к вам применяется HIPAA.
HIPAA регулирует организации, а не данные
Закон охватывает страховые планы, клиринговые центры и клиники, которые выставляют счета электронно, а также подрядчиков, работающих с защищённой медицинской информацией (PHI). Больница под закон попадает. Агентство, которое ведёт кампании на данных её пациентов, скорее всего тоже. А бренд БАДов для конечных покупателей - нет.
Но и им кое-что грозит. FTC считает неразрешённую передачу данных о здоровье рекламным платформам нарушением по правилу Health Breach Notification Rule. У отдельных штатов есть свои законы о таких данных.
Для подпадающих организаций вопрос в том, являются ли данные PHI: идентифицируемая информация, привязанная к здоровью человека, уходу за ним или оплате этого ухода. В маркетинге идентификатором редко бывает имя. Это IP-адрес или хешированный email рядом с URL, полем формы или датой записи на приём.
Четыре ошибки маркетологов
«Мы подписали BAA, значит защищены». Соглашение закрывает только того вендора, кто его подписал. Оно ничего не делает для рекламной платформы, куда вы синхронизируете аудитории, или для пикселя, который другая команда добавила в прошлом квартале.
«Обезличенные данные - это не PHI». Верно, если они реально обезличены. HIPAA допускает два способа: убрать 18 конкретных идентификаторов или провести экспертную оценку. В список входят IP-адреса, ID устройств и URL. Хеширование email не подходит: в маркетинге хеш нужен, чтобы сопоставлять записи, а это противоположность обезличиванию.
«Серверный трекинг решает проблему». Он меняет то, где собирают данные, а не то, что уходит дальше. Передадите PHI вендору без BAA - и это та же передача, только через другую трубу. Обещание вендора убрать PHI после получения ничего не исправляет.
«Политика конфиденциальности всё покрывает». Передача PHI третьей стороне в маркетинговых целях требует авторизации по HIPAA с обязательными элементами, включая право отзыва. Политика конфиденциальности - не авторизация. Cookie-баннер тоже.
Когда медкарты попадают в маркетинговый стек
Сайт - только половина риска. Клиники всё чаще перегоняют данные из медкарт (EHR) в CDP и системы маркетинговой автоматизации: историю приёмов, направления, даты выписки, иногда коды диагнозов. Эти данные становятся PHI в момент загрузки, а вендор платформы - business associate.
И следите за выходами. Аудитория, синхронизированная из CDP в рекламную платформу, - это список пациентов, отданный компании, которая обычно BAA не подпишет. К таким сценариям применяется принцип минимальной необходимости: отправляйте каждой платформе только те поля, что нужны для задачи.
🔥 Главное
Подписанный BAA не расширяет то, что разрешает HIPAA, и не переносит ваши обязанности на вендора. Анализ рисков и карта движения PHI остаются на вас. Соглашение, использованное вне своей области, - это бумага, а не защита.
Что делать
Начните с карты стека в обе стороны. На стороне сбора проведите инвентаризацию всех тегов и SDK и отметьте, что каждый передаёт и с каких страниц. На стороне данных проследите каждый поток из EHR: какие поля идут в какие платформы и куда те отправляют данные дальше.
Рекламные аудитории, вендоры обогащения, SMS-шлюзы и выгрузки агентству - все считаются. Проверьте каждое направление на наличие BAA, его область и допустимость использования. Маркетинг знает, куда идут данные, юридический отдел знает, что организация защитит в суде, - решение принимают вместе и фиксируют письменно.