Resumen
- El aviso de KAISER PERMANENTE sobre tecnologías de seguimiento convirtió el análisis de productos rutinario en una prueba de rendición de cuentas para los datos de salud, porque el problema público no era solo si existían los píxeles, sino si la gobernanza sanitaria podía demostrar qué datos se transmitieron, a quién, con qué propósito y bajo qué expectativa del paciente.
- El hecho confirmado es que KAISER PERMANENTE informó públicamente a las personas sobre posibles divulgaciones no autorizadas a terceros anunciantes a través de tecnologías en sitios web y aplicaciones móviles; la conclusión basada en evidencia en materia de rendición de cuentas es que los programas de análisis en el sector salud necesitan inventarios de etiquetas, mapeo de proveedores, controles de consentimiento y revisiones de umbrales de notificación de violaciones que sean más estrictos que la práctica común en la web de consumo.
- En el registro público permanecen incógnitas, incluido el historial completo de cargas útiles etiqueta por etiqueta, cada decisión de procesamiento de los proveedores, cada contexto de sesión de usuario y el análisis legal interno que determinó el alcance de la notificación.
Por qué este caso pertenece a un expediente de riesgo y rendición de cuentas
KAISER PERMANENTE convirtió los píxeles de seguimiento en una prueba de rendición de cuentas para los datos de salud, porque el caso se encuentra en la intersección del diseño de servicios de salud, la tecnología publicitaria, la ley de privacidad y la conveniencia operativa. El aviso público describió tecnologías de seguimiento en sitios web y aplicaciones móviles que posiblemente transmitieron información a terceros anunciantes. Este es un tipo diferente de evento de privacidad de datos de salud en comparación con una base de datos robada o un cifrado de ransomware. Es más silencioso, más rutinario y por lo tanto más revelador.
El riesgo proviene de la infraestructura que los equipos de producto pueden considerar como infraestructura de medición, pero que los pacientes experimentan como parte de una estructura relacional.
El punto de partida es la comunicación pública de KAISER PERMANENTE enhttps://about.kaiserpermanente.org/news/kaiser-foundation-health-plan-inc-notifies-individuals-of-potential-unauthorized-disclosures-to-third-party-advertisers. Este artículo trata esta fuente como la evidencia principal de lo que la organización ha declarado públicamente, no como un protocolo forense completo. El portal de violaciones de HHS enhttps://ocrportal.hhs.gov/ocr/breach/breach_report.jsftambién es importante, ya que sitúa los incidentes de privacidad de datos de salud dentro de un sistema público de notificación. La guía de la Oficina de Derechos Civiles de HHS sobre tecnologías de seguimiento en línea enhttps://www.hhs.gov/hipaa/for-professionals/privacy/guidance/hipaa-online-tracking/index.htmlproporciona el contexto político: las herramientas de seguimiento pueden afectar HIPAA si recopilan o divulgan información de salud identificable individualmente de contextos regulados.