FTC联合犹他州、加州起诉远程医疗巨头Hims & Hers：健康数据经追踪像素流向Meta、Snap，订阅计费与取消障碍并案追责——中资健康类应用合规警示
2026年7月29日，美国联邦贸易委员会（FTC）联合犹他州和加利福尼亚州（由洛杉矶县法律顾问办公室代表），在加州北区联邦地区法院对远程医疗公司Hims & Hers提起诉讼，指控其一边承诺保护患者隐私，一边通过客户名单和追踪像素将用户的敏感健康信息共享给Meta、Snap等第三方广告平台，同时存在误导性计费和订阅取消障碍。这是FTC在健康数据领域的最新标志性执法行动，对所有面向美国消费者收集健康信息的企业——包括出海的中资健康、医疗、电商类应用——具有直接警示意义。
事件背景
Hims & Hers总部位于旧金山，是美国头部直接面向消费者（DTC）的远程医疗平台，提供脱发、皮肤、心理健康、体重管理等处方药服务。用户使用服务前需填写在线问诊表（intake form），由医疗人员审核后开具处方。FTC对该公司的调查历时近三年，诉状获FTC委员会以2比0表决授权提起，消息公布当日公司股价下跌约10%。公司否认指控并表示将应诉。
指控核心：三条战线
其一，健康数据外流。诉状称，Hims在广告和网站上承诺保护患者隐私，实际却通过两条路径向广告平台传输用户健康信息：一是直接向平台提供特定客户名单（customer lists）；二是在网站中嵌入第三方追踪技术，将用户在网站上的行为"事件"（Events）自动传输给Meta、Snap等公司——用户浏览了哪类病症页面、提交了哪类治疗申请，均可能随之外泄。
其二，误导性计费。Hims宣称用户可先与医疗人员"连接"咨询、确定适合自己的治疗方案后再付费，但FTC指控多数用户根本没有获得咨询机会：提交问诊表后几乎立即被扣费，并在不知情的情况下被自动加入按月续费的订阅计划。
其三，取消障碍。2023年之前，多数用户只能通过电话、邮件或在线聊天联系客服取消订阅；即便此后上线了在线取消功能，取消按钮仍被隐藏——用户须先点击"增删订单商品"选项、再经过多个步骤才能看到"取消"字样。此外，公司未清晰告知每月续费扣款时间，使用户难以在下一个计费周期前退出。
法律依据
FTC主张上述行为违反《联邦贸易委员会法》第5条（FTC Act Section 5，禁止不公平或欺骗性商业行为）以及《恢复网络购物者信心法》（ROSCA，15 U.S.C. §8401及以下）——后者要求负面选择（negative option）营销必须在扣费前清晰披露重要条款、取得消费者明示知情同意，并提供简便的取消机制。州层面，犹他州主张违反《犹他州消费者销售行为法》，加州主张违反《加州虚假广告法》（Bus. & Prof. Code §17500）和《加州反不正当竞争法》（§17200）。
值得注意的是，Hims作为DTC平台，其大量业务并不当然落入HIPAA管辖范围，但这并未形成监管真空：FTC近年已通过GoodRx、BetterHelp等案件确立了以FTC Act第5条和《健康信息泄露通知规则》（HBNR）规制非HIPAA主体健康数据的执法路径，本案是这一路径的延续和升级。
联邦—州—县三级协同执法
本案由FTC洛杉矶西部地区办公室主办，犹他州和洛杉矶县共同参与，体现出隐私执法日益明显的多级协同趋势。FTC消费者保护局局长Christopher Mufarrige表示，"消费者在不知情中被锁入循环订阅、最私密的健康信息未经同意被披露给第三方"，FTC将毫不犹豫地采取行动。FTC主席Ferguson此前亦公开表示，2026年下半年隐私执法案件数量将显著增加。
对中资企业的合规启示
第一，全面清查追踪像素。立即盘点网站和App中嵌入的Meta Pixel、TikTok Pixel、Google标签等第三方追踪工具，绘制数据流向图（data mapping），明确每个像素向平台回传的Events参数；涉及健康、医疗等敏感场景的页面应默认关闭或严格限制参数传输。
第二，隐私政策必须与实际数据流一致。"我们保护您的隐私"式承诺一旦与像素共享、客户名单上传的事实相矛盾，即构成FTC Act第5条项下的欺骗行为。不受HIPAA管辖不等于健康数据可以自由用于广告。
第三，订阅制业务对照ROSCA自查。扣费前清晰披露全部重要条款、取得明示同意、提供与注册同样简便的在线取消通道；隐藏取消按钮、设置多步挽留流程都是本案明确点名的违法情形。
第四，审查向广告平台上传的客户名单。使用Meta Custom Audiences等定向工具时，确认上传数据是否包含健康状况等敏感类别，并与平台签署适当的数据处理条款。
第五，警惕多重追责叠加。同一像素追踪行为可能同时引发FTC执法、州检察长/县级执法，以及CIPA等州窃听法下的私人集体诉讼，合规投入应按最严标准配置。
趋势展望
健康数据与广告技术的交叉地带已成为美国隐私执法的最热点。本案表明：即使在联邦综合隐私立法缺位的情况下，FTC Act第5条加ROSCA、再叠加州消费者保护法，足以对数据滥用形成高压。对于以增长为导向、深度依赖广告投放的出海企业而言，"先投放、后合规"的模式风险已经具体化。建议相关企业以本案诉状为对照清单，尽快完成追踪技术与订阅流程的全面合规审计。