追踪像素的隐私风险：FTC 两起健康数据罚单说起

追踪像素最大的隐私风险，是它在用户几乎无感的情况下把敏感数据发给了广告第三方。2023年2至3月，美国联邦贸易委员会（FTC）对数字医疗平台 GoodRx 与在线心理咨询平台 BetterHelp 采取执法行动，指控它们通过第三方追踪像素向 Facebook、Google 等广告方共享用户健康数据，分别罚款150万美元与780万美元。两起案子都把矛头指向了同一项技术：第三方追踪像素。

TL;DR

2023年2月，FTC 指控 GoodRx 自2017年起用追踪像素向广告平台传递用户用药、病情等健康信息，罚款150万美元并永久禁止其将健康数据用于广告。
2023年3月，FTC 指控 BetterHelp 违背承诺，将用户邮箱、IP 与心理健康问卷信息披露给 Facebook、Snapchat、Criteo、Pinterest 等，罚款780万美元并返还受损消费者。
追踪像素是嵌入网页或邮件的微小图像，用户难以察觉，拦截第三方 Cookie 也未必能阻止其收集数据。
各法域要求不同：GDPR 与加拿大 PIPEDA 要求明确同意，美国靠 CCPA、弗吉尼亚 CDPA 等州法，要求透明与访问权但同意口径不一。

GoodRx：把健康数据货币化

GoodRx 是比价处方药、发放优惠券的数字医疗平台，从消费者和药房收集大量个人数据，含高度敏感的健康信息。据 FTC 起诉：自2017年起，GoodRx 在网站配置 Facebook、Google 等广告平台的追踪像素，向第三方传递用户获取优惠券的药物名称、相关病情、药房名称及用户所在城市、州与邮编；它还把购买特定药物（如心脏病、血压用药）用户的邮箱、电话与广告 ID 上传 Facebook 用于定向广告；对外宣称合规、甚至以印章暗示符合 HIPAA，实则违反多项规定，且直到2020年2月被曝光前都没有完整的隐私政策。

除150万美元罚款外，判决还永久禁止 GoodRx 为广告目的向第三方披露健康信息，要求其披露前取得用户明确肯定同意、指示第三方删除已共享数据、限制数据存储时长并实施强制隐私计划。

BetterHelp：违背“健康信息保密”的承诺

BetterHelp 提供在线心理咨询，用户须填写涉及心理状态、用药情况的敏感问卷。注册中它多次承诺除提供咨询外不会使用或披露用户健康数据。

但据 FTC 起诉，2013年8月至2021年6月，BetterHelp 借助追踪像素与 Cookie，把用户邮箱、IP 及问卷信息披露给 Facebook、Snapchat、Criteo、Pinterest 等用于定向广告。FTC 对其开出的禁令与 GoodRx 基本相同，并要求支付780万美元返还受损消费者——这是 FTC 首次就此类情形向健康数据受损者返还资金。

什么是追踪像素

像素追踪是一种在线追踪技术，用微小的像素级图像嵌入网站或邮件，收集并发送各种个人数据。企业先选定像素提供商，提供商生成一小段代码，企业将其放入网页或广告，并定义购买、点击、浏览量等追踪目标。下面是 Facebook Pixel 的部分代码：

各法域对像素追踪的要求不同：欧盟 GDPR 与加拿大 PIPEDA 要求使用前取得用户明确同意，并对透明度与访问权有要求；美国无全国性隐私法，靠加州 CCPA、弗吉尼亚 CDPA 等州法，普遍要求透明与访问权，但对“明确同意”的要求各异。跨国企业需按目标法域逐一核对。

使用追踪像素的三大风险

难以拦截、难以察觉。 因其隐蔽，传统的拦截第三方 Cookie 未必能阻止像素收集与共享，用户也很难意识到它的存在。
收集与使用边界模糊。 像素可收集任何个人身份信息，还能通过匹配邮箱等信息关联到社交账户，叠加暗黑模式与算法后，用户往往在不知情下被追踪。
去标识化未必有效。 一些像素对姓名、邮箱做 Hash 处理，但 FTC 指出 Hash 可能被反向破解或用于跨库关联，一旦被破解将引发大规模泄露。

企业该如何使用追踪像素

如实告知敏感数据的收集与使用。 在隐私政策中如实披露收集与共享，收集健康等敏感数据时提供弹窗提醒，并在收集、使用或共享前取得用户明确肯定同意。
用合同限制第三方对数据的使用。 大型广告平台常用“单击即通过”的模板合同，企业须仔细审阅，在可能影响合规的条款上与第三方交涉修改。
监控所有第三方数据流。 广告技术工具易集成也易泄露敏感信息。若要使用追踪像素，须确切了解其工作方式，并由懂隐私合规的工程人员配置与监控。

对出海企业的启示

这两起案子提醒涉及敏感数据、又使用追踪像素的企业：合规的重点不在“有没有用像素”，而在“用户是否知情同意、下游第三方是否被约束、数据能否被真实清除”。健康与医疗数据的追踪风险尤其突出，相关执法可参考HIPAA 规范下网络追踪技术的使用与领英被指暗中抓取站外医疗数据在加州连遭三起诉讼；追踪像素未阻断下游共享的执法逻辑，也与加州对迪士尼开出的 275 万美元 CCPA 罚单一脉相承。

参考资料：