Een grote Amerikaanse prijsvergelijker voor medicijnen deelde gezondheidsgegevens van gebruikers met Facebook, Google en andere bedrijven. De Amerikaanse toezichthouder FTC heeft het bedrijf, GoodRx, een boete van 1,5 miljoen dollar opgelegd. Via de GoodRx-app kunnen Amerikanen prijzen van allerlei medicijnen en behandelingen bij apotheken vergelijken. Alleen de Android-app heeft volgens de Google Play Store meer dan tien miljoen downloads.

Tenminste sinds 2017 beloofde GoodRx aan gebruikers dat het persoonlijke gezondheidsgegevens nooit met adverteerders of andere derde partijen zou delen. Deze belofte werd echter herhaaldelijk overtreden door gevoelige persoonlijke gezondheidsinformatie, waaronder voorgeschreven medicijnen en gezondheidsaandoeningen, met advertentiebedrijven en -platformen zoals Facebook, Google en Criteo te delen.

GoodRx gebruikte de persoonlijke gezondheidsinformatie ook voor financieel gewin. Gegevens die het bedrijf met Facebook deelde gebruikte het om GoodRx-gebruikers op Facebook en Instagram met gepersonaliseerde medicijnadvertenties te benaderen. Zo stelde het bedrijf in 2019 een lijst samen met gebruikers die specifieke medicatie voor hartklachten en hoge bloeddruk hadden aangeschaft, uploadde hun e-mailadres, telefoonnummers en mobiel advertentie-ID naar Facebook, zodat het techbedrijf hun profielen kon identificeren. Vervolgens gebruikte GoodRx die informatie voor gezondheidsgerelateerde advertenties.

De prijsvergelijker stelde ook geen beperkingen aan het gebruik van de gedeelde gezondheidsgegevens door derde partijen. Zo werd toegestaan dat derde partijen de gegevens voor hun eigen doeleinden gebruikten, waaronder voor onderzoek en ontwikkeling en het verbeteren van advertenties. Ook beweerde GoodRx ten onrechte dat het aan advertentierichtlijnen voldeed en toestemming had gekregen voordat het de gezondheidsinformatie voor advertenties gebruikte.

Verder bleek dat het bedrijf geen beleid en procedures had voor het beveiligen van de persoonlijke gezondheidsinformatie van gebruikers. Volgens de Amerikaanse toezichthouder FTC heeft GoodRx de Health Breach Notification Rule overtreden. Die stelt dat het klanten over het delen van gegevens met Facebook, Google en anderen had moeten informeren.

Naast een boete van 1,5 miljoen dollar moet GoodRx ook een privacyprogramma implementeren en toestemming van gebruikers krijgen voor het delen van data. Verder is het gebruik van gezondheidsgegevens voor advertenties verboden en moet het derde partijen met wie het gezondheidsdata deelde oproepen om die gegevens te vernietigen.