Construire un marketing patient conforme aux contraintes HIPAA et TCPA

# Building compliant patient marketing under HIPAAHIPAAHealth Insurance Portability and Accountability Act, loi américaine imposant la protection des données de santé (PHI). Violations : amendes jusqu'à 1,9M$ par catégorie de violation. and TCPA constraints

En juin 2022, Novant Health a notifié environ 1,36 million de patients qu'un pixel Meta ajouté à son site et à ses pages de prise de rendez-vous pendant une campagne de promotion du vaccin COVID-19 transmettait leurs données à Meta. Le marketing avait installé la balise pour mesurer la performance des annonces. Personne n'y a vu une divulgation d'informations de santé. L'action collective qui a suivi s'est soldée par un règlement de plusieurs millions de dollars, et l'incident figure de façon permanente sur une liste fédérale publique de violations de données.

Chaque étape du funnelfunnelLe parcours client de la découverte à l'achat, généralement Awareness, Interest, Consideration, Decision, Action, avec des prospects de moins en moins nombreux à chaque étape.Voir la définition complète → d'acquisition décrite dans la leçon de cartographie repose sur un mécanisme : une balise, une liste d'audience, un SMS, un appel enregistré. Cette leçon porte sur ceux de ces mécanismes qui résistent au contact de deux lois fédérales, question réglée avant que quiconque ne rédige un brief de campagne.

The two rules that reshape everything

HIPAAHIPAAHealth Insurance Portability and Accountability Act, loi américaine imposant la protection des données de santé (PHI). Violations : amendes jusqu'à 1,9M$ par catégorie de violation. (Health Insurance Portability and Accountability Act) protège les PHI, Protected Health Information : des informations de santé rattachées à une personne identifiable. Le texte énumère 18 identifiants, et ceux qui piègent les marketeurs sont l'adresse IP, les identifiants d'appareil, l'adresse e-mail et les URL. « John Smith » n'est pas une PHI. Une adresse IP qui atterrit sur /cardiology/heart-failure, oui.

TCPA (Telephone Consumer Protection Act) encadre les appels téléphoniques, les SMS et les appels automatisés. Elle exige un consentement spécifique avant tout SMS marketing ou appel composé automatiquement, et son application repose surtout sur des poursuites privées assorties de dommages légaux de 500 dollars par message, jusqu'à 1 500 dollars en cas de violation intentionnelle.

HIPAAHIPAAHealth Insurance Portability and Accountability Act, loi américaine imposant la protection des données de santé (PHI). Violations : amendes jusqu'à 1,9M$ par catégorie de violation. détermine quelles données vous pouvez utiliser. TCPA détermine comment vous pouvez entrer en contact. Une campagne doit passer les deux.

Why the pixel broke the law

Un pixel de suivi (un fragment de code qui remonte l'activité des visiteurs vers une plateforme publicitaire) capte l'adresse IP du visiteur, l'URL complète de la page et généralement un cookie ou un identifiant d'appareil, puis envoie l'ensemble à la plateforme. Sur un site de retail, rien de notable. Sur /cardiology/heart-failure, cela livre l'intérêt médical d'une personne nommée à une entreprise qui n'a aucun droit de le recevoir.

Le partage de PHI avec un prestataire exige un Business Associate Agreement (BAA, le contrat qui rend un prestataire juridiquement responsable des données qu'il traite). Meta ne signe pas de BAA pour ses produits publicitaires. Ses conditions d'utilisation des outils professionnels prennent le parti inverse : elles interdisent aux annonceurs d'envoyer des données de santé sensibles et font peser l'obligation sur l'annonceur. Meta applique aussi un filtrage automatisé destiné à intercepter certaines données potentiellement sensibles. Considérer ce filtre comme votre dispositif de contrôle, voilà le mode de défaillance. Il protège Meta de son propre risque ; il ne prouve pas que vous avez rempli vos obligations, et il n'apparaît dans aucune analyse d'un régulateur sur ce que vous avez divulgué.

Le US Department of Health and Human Services a publié des recommandations sur les technologies de suivi en décembre 2022. En juin 2024, un tribunal fédéral du Texas a annulé la partie de ces recommandations portant sur les pages publiques non authentifiées, après un recours de l'American Hospital Association. Cela a réduit la portée de la théorie d'application. Cela n'a rien changé aux actions collectives fondées sur les lois d'État en matière d'écoutes et de vie privée, aujourd'hui le risque financier le plus lourd pour la plupart des systèmes de santé, et qui ne dépendent pas du caractère authentifié ou non d'une page.

What you can still do

Market to audiences, not identified patients

Le ciblage géographique et par centres d'intérêt généraux reste ouvert. Promouvoir un dépistage cardiaque gratuit auprès des plus de 50 ans dans un rayon de 40 kilomètres ne pose pas de problème. Construire une audience personnalisée à partir des visiteurs de votre page sur l'insuffisance cardiaque et la charger sur la plateforme, si. Meta a supprimé ses catégories de ciblage détaillé liées à la santé en janvier 2022, une bonne partie de cette porte s'est donc fermée côté plateforme, indépendamment de ce que vous auriez accepté de faire.

Use PHI only with authorization

Les communications de soins et d'opérations de santé (rappels de rendez-vous, rappels de renouvellement d'ordonnance, consignes de suivi) n'exigent pas d'autorisation marketing. « Votre mammographie annuelle est à programmer, appelez-nous » est une communication de soins. « 20 % de remise sur le Botox dans notre nouveau med spa » envoyé à la même liste est du marketing et exige une autorisation écrite. La frontière bouge dès qu'il y a un flux d'argent : si un tiers finance un rappel de renouvellement, le paiement doit rester raisonnablement lié au coût d'envoi, faute de quoi la communication devient du marketing rémunéré.

Keep vendors under BAAs, then check whether the BAA is even the question

CRMCRMCustomer Relationship Management : logiciel et stratégie pour gérer et analyser les interactions clients tout au long de leur cycle de vie.Voir la définition complète →, plateforme e-mail, centre d'appels, outil d'analytics : tout ce qui touche à des PHI signe un BAA, ou ne touche pas aux données patients. Posez la question pendant la sélection du prestataire, pas après la signature.

Le contre-exemple compte plus que la règle. GoodRx et BetterHelp ne sont pas des covered entities au sens d'HIPAAHIPAAHealth Insurance Portability and Accountability Act, loi américaine imposant la protection des données de santé (PHI). Violations : amendes jusqu'à 1,9M$ par catégorie de violation. : aucune analyse de BAA ne leur était applicable, et les deux ont tout de même été sanctionnées. En février 2023, la FTC a infligé 1,5 million de dollars d'amende à GoodRx dans la première affaire fondée sur la Health Breach Notification Rule, pour avoir transmis des données de santé d'utilisateurs à Meta, Google et d'autres à des fins publicitaires. Le mois suivant, BetterHelp a accepté de payer 7,8 millions de dollars pour avoir livré des adresses e-mail et des réponses à des questionnaires d'admission à des plateformes publicitaires, y compris pour construire des audiences personnalisées et similaires, après avoir affirmé aux utilisateurs qu'elle ne le ferait pas. Les équipes marketing hospitalières qui gèrent des marques de télésanté, des applications de bien-être ou des quiz de symptômes relèvent souvent des deux régimes à la fois, et la voie FTC n'offre aucun BAA derrière lequel s'abriter.

Handling phone and text under TCPA

Même un message autorisé par HIPAAHIPAAHealth Insurance Portability and Accountability Act, loi américaine imposant la protection des données de santé (PHI). Violations : amendes jusqu'à 1,9M$ par catégorie de violation. peut violer la TCPA si le consentement est mauvais.

• Les rappels de rendez-vous et de soins par SMS ou appel automatisé exigent en général un prior express consent : le patient vous a donné son numéro à cette fin. Un numéro de téléphone recueilli à l'admission avec une information claire suffit le plus souvent.
• Les messages marketing par SMS ou appel automatisé exigent un prior express written consent, un seuil plus élevé que le patient doit franchir de façon spécifique et par écrit.

Séparez les cases à cocher à l'admission. Une pour les communications de soins, une pour le marketing. Jamais regroupées, jamais la case marketing pré-cochée.

Les opt-outs sont absolus et rapides. Selon les règles de révocation de la FCC, une demande d'arrarrL'Annual Recurring Revenue (ARR) est le revenu normalisé et prévisible qu'une entreprise par abonnement attend de ses contrats actifs sur une année.Voir la définition complète →êt doit être honorée dans les dix jours ouvrés, et la révocation vaut pour tous les canaux au lieu de rester cantonnée à celui par lequel elle est arrivée. Un patient qui répond STOP à un SMS a aussi retiré son consentement pour les appels marketing.

Faites le calcul avant de charger la moindre liste. Un envoi promotionnel de 40 000 SMS sans consentement marketing écrit représente 20 millions de dollars d'exposition légale au plancher, avant même que quiconque plaide le caractère intentionnel. Ce seul chiffre clôt la plupart des débats sur la propreté de la liste.

A simple consent data model

Si vous construisez ou achetez un système de contact patient, vos enregistrements doivent distinguer clairement les types de consentement :

patient_id: 48213
phone: +1XXXXXXXXXX
care_reminder_consent: true    (captured at intake 2026-02-10)
marketing_consent: false       (not obtained)
consent_source: "intake_form_v3"
opt_out_timestamp: null

Cette structure répond à la seule question qui compte lors d'un audit : pour ce message précis, à cette personne précise, disposions-nous du consentement requis, et pouvons-nous le prouver ?

Building the campaign: the mechanics that decide it

La séquence de validation relève de la leçon sur la revue pré-lancement. Voici les quatre choix mécaniques qui déterminent s'il y a quoi que ce soit à valider.

Conception des pages et des URL. Écartez les noms de pathologies des chemins, des query strings et des titres de page sur toute page portant des balises publicitaires. Une landing pagelanding pagePage web autonome construite pour un seul objectif de campagne, conçue pour maximiser les conversions en supprimant les distractions et en concentrant le visiteur sur une action unique.Voir la définition complète → de campagne en /screening-event ne laisse rien fuir ; /screening-event?condition=chf laisse tout fuir, et les en-têtes referrer le transmettent à chaque script présent sur la page.

Inventaire des balises, et le piège du server-side. Recensez chaque script sur les pages destinées aux patients, y compris les conteneurs de tag manager que personne n'a ouverts depuis deux ans. Le passage à une configuration server-side est souvent vendu comme la solution. Il ne l'est pas en soi : router la même adresse IP et les mêmes données de page vers la Conversions APIAPIApplication Programming Interface : une interface standardisée qui permet aux applications de communiquer et d'échanger des données sans connaître leur fonctionnement interne respectif.Voir la définition complète → de Meta produit la même divulgation avec un transport différent. Le server-side n'aide que si vous supprimez les identifiants avant transmission, précisément le travail que la plupart des équipes esquivent.

Listes. Hacher une adresse e-mail avant de la charger sur une plateforme publicitaire n'est pas une dé-identification. Le hash est un identifiant stable qui correspond à une personne, ce qui est tout l'objet du chargement. Sous HIPAAHIPAAHealth Insurance Portability and Accountability Act, loi américaine imposant la protection des données de santé (PHI). Violations : amendes jusqu'à 1,9M$ par catégorie de violation., une donnée n'est dé-identifiée que par la voie Safe Harbor (les 18 identifiants retirés) ou par une expert determination documentée.

Téléphonie. Le call tracking et l'insertion dynamique de numéros placent un prestataire marketing au cœur d'une conversation où un appelant décrit ses symptômes. Les enregistrements crcrLe pourcentage de visiteurs ou de prospects qui réalisent une action attendue (achat, inscription, formulaire de contact), calculé en divisant les conversions par le nombre total d'opportunités.Voir la définition complète →éent ensuite un second problème dans les États exigeant le consentement des deux parties. Soit vous placez le prestataire sous BAA, soit vous le retirez des lignes qui aboutissent au personnel clinique.

A quick contrast

Non conforme : faire du retargetingretargetingDiffuser des publicités aux utilisateurs ayant déjà visité votre site ou interagi avec votre marque, pour les faire revenir et déclencher la conversion.Voir la définition complète → sur les visiteurs de la page insuffisance cardiaque avec des annonces de cardiologie, via un pixel publicitaire et sans BAA.

Conforme : mener une campagne de notoriété géo-ciblée pour un événement de dépistage cardiaque auprès d'une audience générale, envoyer le trafic vers une landing pagelanding pagePage web autonome construite pour un seul objectif de campagne, conçue pour maximiser les conversions en supprimant les distractions et en concentrant le visiteur sur une action unique.Voir la définition complète → propre sans URL mentionnant de pathologie, et recueillir un consentement marketing distinct auprès de chaque inscrit.

Même objectif. L'un est une violation de données. L'autre est un dispositif que vous pouvez industrialiser.

The cost of getting it wrong

Une violation touchant 500 personnes ou plus déclenche une notification aux personnes concernées et au HHS sous 60 jours, plus un avis médiatique visible dans la région affectée. L'entrée reste ensuite sur le portail public des violations de l'OCR, le premier endroit où un journaliste va regarder. Les 1,36 million de notifications de Novant, une par foyer, sont arrivées avec le nom du système de santé sur l'enveloppe.

Les poursuites TCPA suivent une voie distincte, tarifée au message, et les cabinets de plaignants repèrent vite les envois non consentis parce que les destinataires les transfèrent.

C'est pourquoi ces mécanismes relèvent du marketing et pas seulement du juridique. Ceux qui choisissent le pixel, la liste et l'envoi sont ceux qui crcrLe pourcentage de visiteurs ou de prospects qui réalisent une action attendue (achat, inscription, formulaire de contact), calculé en divisant les conversions par le nombre total d'opportunités.Voir la définition complète →éent l'exposition.

Key Takeaways

• Identité plus contexte de santé égale PHI. Une URL de page, une adresse IP ou un e-mail haché rattaché à une pathologie fait entrer HIPAAHIPAAHealth Insurance Portability and Accountability Act, loi américaine imposant la protection des données de santé (PHI). Violations : amendes jusqu'à 1,9M$ par catégorie de violation. en jeu et transforme l'outillage publicitaire standard en risque juridique.
• Les balises de suivi sont le premier point de défaillance, et le server-side n'y remédie pas. Supprimez les identifiants avant que les données ne quittent votre périmètre, et ne comptez jamais sur le filtre de données sensibles d'une plateforme comme garde-fou.
• Pas de BAA ne veut pas dire pas de règle. GoodRx et BetterHelp ont été sanctionnées par la FTC alors qu'HIPAAHIPAAHealth Insurance Portability and Accountability Act, loi américaine imposant la protection des données de santé (PHI). Violations : amendes jusqu'à 1,9M$ par catégorie de violation. ne s'appliquait pas du tout.
• Séparez le consentement de soins du consentement marketing, et chiffrez l'erreur. À 500 dollars par message, un envoi SMS de taille moyenne sans consentement représente une réclamation à huit chiffres.
• Adressez des audiences, pas des patients identifiés. Le ciblage géographique et par centres d'intérêt généraux reste ouvert ; le retargetingretargetingDiffuser des publicités aux utilisateurs ayant déjà visité votre site ou interagi avec votre marque, pour les faire revenir et déclencher la conversion.Voir la définition complète → à partir de visites sur des pages de pathologie, non.

*Cette leçon a une visée pédagogique et ne constitue pas un conseil juridique. Consultez vos équipes conformité et juridique avant de lancer des campagnes destinées aux patients.*