Regels voor websites van esthetische klinieken in de VS: reclame, HIPAA en privacy

‍Gecontroleerd op 30 september 2026

Een Amerikaanse website van een esthetische kliniek of medspa mag behandelingen promoten, prijzen toelichten en patiënten helpen een consultatie te boeken. Maar de wettelijke verplichtingen hangen van meer af dan alleen de vestigingsplaats. Ook de betrokken zorgverleners, de aangeboden diensten, de verzamelde informatie en de staten waarin de onderneming actief is of consumenten benadert, spelen een rol.

Een voor-en-na-galerij, een Google-reviewwidget en een afspraakformulier roepen elk andere vragen op. Toestemming van een patiënt om een foto te publiceren bewijst niet dat de foto als reclame waarheidsgetrouw is. Een privacyverklaring geeft geen toestemming voor elke doorgifte aan een advertentieplatform. En naleving van federale wetgeving zet een strengere beroepsregel van een staat niet opzij.

Deze gids behandelt de belangrijkste federale vereisten en een selectie van bepalingen van afzonderlijke staten die relevant zijn voor websites van esthetische klinieken en medspa’s. Dit is algemene informatie, geen juridisch advies en geen volledig overzicht van alle vijftig staten. De verwijzingen omvatten wetgeving, regelgeving, een rechterlijke uitspraak en officieel materiaal van toezichthouders. Niet-bindende richtlijnen en praktische aanbevelingen worden onderscheiden van bindende regels.

Snelle controle van de website

Controleer vóór de publicatie of wijziging van een Amerikaanse kliniekwebsite:

• Wie de medische dienst verleent: de juridische entiteit, behandelende zorgverleners, vergunningen, beroepstitels en toezichtregelingen.
• Waar de kliniek actief is en adverteert: beroeps- en privacyregels verschillen per staat, en sommige privacywetten kunnen gelden wanneer een onderneming consumenten in die staat benadert.
• Wat elke claim belooft: objectieve claims over resultaten, duur, veiligheid of vergelijkende superioriteit moeten vóór publicatie passend worden onderbouwd.
• Hoe de FDA-status wordt omschreven: approved, cleared, authorized, registered en listed zijn niet onderling verwisselbaar.
• Of het om off-labelgebruik gaat: een zorgverlener mag een geneesmiddel in passende omstandigheden rechtmatig off-label voorschrijven, maar de website mag die toepassing niet voorstellen als door de FDA goedgekeurd.
• Hoe patiëntresultaten worden getoond: toestemming, de juistheid van de reclame, vergelijkbare fotografie en informatie over te verwachten resultaten zijn afzonderlijke vragen.
• Of reviews opnieuw mogen worden gepubliceerd: FTC-regels gelden nationaal, maar sommige beroepsregels zijn strenger; de New Yorkse regel voor artsen noemt testimonials uitdrukkelijk.
• Welke gegevens de website naar leveranciers stuurt: onderzoek formulieren, boekingstools, chat, pixels, analytics en session replay tot op veldniveau.
• Welk privacyregime op elke dataset van toepassing is: HIPAA, staatswetten inzake medische vertrouwelijkheid en consumentenprivacywetten hebben een verschillend toepassingsgebied en verschillende vrijstellingen.
• Of patiënten de site kunnen gebruiken: neem toegankelijkheid mee in formulieren, media, navigatie en het volledige boekingsproces via externe tools.

Begin bij de praktijk en haar zorgverleners

Identificeer vóór de beoordeling van de website de juridische entiteit die de medische zorg verleent, de zorgverleners die de behandelingen uitvoeren en de staten waarin zij actief zijn. Een handelsnaam zoals ‘medspa’ beantwoordt die vragen niet.

Controleer bij de voorbereiding van de website:

• de wettelijke naam en beroepstitel van elke zorgverlener;
• de staat waarin elke relevante vergunning is afgegeven en de actuele status ervan;
• de werkelijke rol en beroepsbevoegdheid van de zorgverlener;
• elke vermelde specialisatiecertificering en de volledige naam van de certificerende instantie;
• hoe toezicht of medische leiding wordt omschreven.

Presenteer deze gegevens zonder de kwalificaties van één arts te gebruiken om te suggereren dat ieder teamlid dezelfde kwalificaties bezit.

Californië laat zien waarom de formulering belangrijk is. De Medical Board legt uit dat artsen alleen met een boardcertificering mogen adverteren wanneer die afkomstig is van een instantie die voldoet aan Business and Professions Code § 651(h)(5). Een certificaat van een korte opleiding geldt niet automatisch als een erkende specialisatiecertificering.[1]

De wet verplicht houders van een vergunning van de Medical Board of California die de term ‘board certified’ gebruiken bovendien om de volledige naam van de certificerende instantie even prominent te vermelden. Door zowel de specialisatie als de instantie te noemen, begrijpen patiënten beter waarop de kwalificatie precies betrekking heeft.[2]

Deze bepalingen gelden voor specifieke Californische vergunninghouders. Voor andere staten en beroepsorganisaties is een afzonderlijke beoordeling nodig. Websiteformuleringen kunnen een onrechtmatige eigendomsstructuur, delegatie of regeling inzake beroepsbevoegdheid niet rechtmatig maken.

Behandelingsclaims moeten vóór publicatie worden onderbouwd

Section 5 van de Federal Trade Commission Act verbiedt oneerlijke of misleidende handelingen en praktijken die onder de bevoegdheid van de FTC vallen. Beroepsregels van afzonderlijke staten inzake reclame gelden naast dit federale kader.[3]

De Health Products Compliance Guidance van de FTC legt uit dat adverteerders objectieve claims moeten onderbouwen voordat zij die publiceren. De FTC kijkt naar de algemene indruk die woorden, beelden en weglatingen wekken, met inbegrip van indirect gesuggereerde voordelen. Voor gezondheidsproducten vereisen claims over veiligheid en werkzaamheid doorgaans deskundig en betrouwbaar wetenschappelijk bewijs. Dit document licht de benadering van de FTC toe; het is een richtsnoer en geen afzonderlijke wet.[4]

Controleer op een pagina over een esthetische behandeling bijvoorbeeld uitspraken als:

• ‘permanente vetverwijdering’;
• ‘klinisch bewezen huidverstrakking’;
• ‘pijnloos’ of ‘geen hersteltijd’;
• ‘veilig voor iedereen’;
• ‘geen risico op complicaties’.

Het bewijs moet relevant zijn voor het daadwerkelijk gebruikte product of apparaat, het behandelingsprotocol, de patiëntengroep en het geclaimde resultaat.

Bewaar voor elke belangrijke resultaatclaim een onderbouwingsdossier. Leg vast:

• welk product, apparaat of protocol werd onderzocht;
• de onderzoekspopulatie en het aantal deelnemers;
• het behandelingsschema en eventuele gecombineerde interventies;
• de gemeten uitkomst;
• de duur van de follow-up.

Een marketingbrochure van een leverancier of een studie met een ander apparaat mag niet worden omgezet in een onbewezen belofte over de behandeling van de kliniek.

Leg waarschijnlijke voordelen, beperkingen, geschiktheid en belangrijke risico’s uit in taal die patiënten begrijpen. Vertrouw niet op een kleine disclaimer onderaan de pagina om een veel sterkere belofte bovenaan af te zwakken.

Reclame voor Botox: onderscheid de behandeling van de regels voor geneesmiddelenpromotie

De Amerikaanse wetgeving bevat een kader voor publieksreclame voor geneesmiddelen op voorschrift; er bestaat geen algemeen federaal verbod om de naam van een voorschriftplichtig geneesmiddel in openbare reclame te noemen. Relevante bepalingen zijn onder meer 21 U.S.C. § 352(n) en 21 CFR § 202.1.[5,6]

Een productadvertentie van een farmaceutische fabrikant en de beschrijving van behandelingsdiensten door een onafhankelijke kliniek mogen echter niet automatisch als juridisch identiek worden beschouwd. Section 202.1 heeft uitdrukkelijk betrekking op advertenties die door de fabrikant, verpakker of distributeur van het geneesmiddel worden uitgegeven of waarvan deze de uitgave veroorzaakt. Of een specifieke communicatie van een kliniek binnen dat kader valt, moet aan de hand van de feiten worden beoordeeld.[6]

Waar de regelgeving van toepassing is, behandelt zij onder meer misleidende claims, de presentatie van voordelen en risico’s en verplichte geneesmiddeleninformatie. De specifieke bepalingen voor televisie en radio mogen niet zomaar als universele checklist voor elke webpagina van een kliniek worden gebruikt.[6]

Voor kliniekcontent:

• gebruik de juiste productnaam;
• beschrijf de dienst en de behandelende zorgverlener correct;
• controleer elke bewering over FDA-goedkeuring aan de hand van de actuele productinformatie;
• maak onderscheid tussen een goedgekeurde indicatie en off-labelgebruik;
• controleer de relevante beroepsregels inzake reclame van de betrokken staat.

Off-labelgebruik vormt een ander belangrijk onderscheid. De FDA legt uit dat zorgverleners een goedgekeurd geneesmiddel doorgaans voor een niet-goedgekeurde toepassing mogen voorschrijven wanneer dat medisch passend is. Dat betekent niet dat de FDA de veiligheid en werkzaamheid voor die toepassing heeft vastgesteld.[7] Wanneer een kliniek een off-labelbehandeling beschrijft, mag zij niet suggereren dat die specifieke toepassing door de FDA is goedgekeurd.

‘FDA-approved’, ‘FDA-cleared’ en ‘FDA-registered’ betekenen niet hetzelfde

De FDA verduidelijkt dat de registratie van een vestiging en de listing van een medisch hulpmiddel geen bewijs vormen van goedkeuring, clearance of autorisatie van het hulpmiddel. Een registratiecertificaat is geen FDA-erkenning.[8]

Controleer:

• het exacte apparaat en model;
• de fabrikant die in het FDA-dossier wordt genoemd;
• of het dossier betrekking heeft op goedkeuring, clearance, autorisatie, registratie of listing;
• de vermelde indicatie of het beoogde gebruik;
• of de claim op de website binnen die reikwijdte blijft.

Clearance voor één gebruiksdoel mag niet worden omgevormd tot de bewering dat elke behandeling met het apparaat FDA-cleared is.

In het opleidingsmateriaal over het 510(k)-programma waarschuwt de FDA uitdrukkelijk dat een 510(k)-clearance niet als FDA-goedkeuring mag worden omschreven.[9] Goedkeuring of clearance van een product betekent evenmin dat de kliniek of haar zorgverleners door de FDA zijn goedgekeurd.

Dit is met name belangrijk op pagina’s over lasers, radiofrequentie en body contouring, waar een regulatoir label anders meer kan suggereren dan uit het onderliggende dossier blijkt.

Pagina’s over bereide GLP-1-geneesmiddelen vragen bijzondere aandacht

Voor klinieken die medische gewichtsbegeleiding aanbieden, bepaalt 21 U.S.C. § 352(bb) dat een bereid geneesmiddel als misbranded geldt wanneer de reclame of promotie ervan vals of misleidend is.[5]

In een warning letter van 20 februari 2026 aan Better Health Labs, handelend onder de naam Measured, betwistte de FDA claims op de website over bereide semaglutide- en tirzepatideproducten. Volgens het agentschap wekte de presentatie de indruk dat de producten door de FDA waren goedgekeurd of op veiligheid en werkzaamheid waren beoordeeld. De FDA betwistte ook uitingen die suggereerden dat de onderneming zelf de bereider was.[10]

Een warning letter geeft de bevindingen en het standpunt van het agentschap weer; het is geen definitieve rechterlijke uitspraak. De brief toont wel hoe de FDA de wettelijke regel op websitecontent toepast.

De FDA bevestigt dat bereide geneesmiddelen niet door de FDA zijn goedgekeurd.[11] Een kliniek moet het product correct identificeren en mag een bereiding niet voorstellen als een goedgekeurd merkgeneesmiddel of suggereren dat de goedkeuring van het merkproduct ook voor de bereiding geldt. Websiteclaims en de juridische voorwaarden voor het verstrekken van een bereid geneesmiddel zijn afzonderlijke kwesties die elk moeten worden beoordeeld.

Voor-en-na-foto’s roepen twee afzonderlijke compliancevragen op

Ten eerste: is publicatie toegestaan onder de privacywetgeving en andere toepasselijke regels? Ten tweede: voldoet de presentatie aan de reclameregels? Beide vragen moeten worden beantwoord.

California § 651(b)(3) is uitzonderlijk specifiek. Voor de betrokken zorgverleners moeten resultaatbeelden duidelijk en goed leesbaar vermelden welke procedures zijn uitgevoerd. Voor-en-na-beelden moeten vergelijkbaar worden gepresenteerd, zonder gunstige poses, belichting of andere presentatiekenmerken die het resultaat vertekenen, en moeten vermelden dat andere patiënten mogelijk niet dezelfde resultaten behalen. De beelden moeten de resultaten correct weergeven; de bepaling behandelt ook bewerkte beelden. Foto’s van modellen moeten duidelijk als zodanig worden aangeduid.[2]

Op federaal niveau leggen de Endorsement Guides van de FTC uit dat het resultaat van een consument de indruk kan wekken dat anderen doorgaans hetzelfde zullen bereiken. Wanneer die indruk niet wordt onderbouwd, vragen de richtlijnen om een duidelijke, door bewijs gestaafde toelichting op de resultaten die gewoonlijk mogen worden verwacht. Een algemene disclaimer zoals ‘results not typical’ kan onvoldoende zijn.[12]

Documenteer voor elk resultaatbeeld of beeldenpaar:

• de uitgevoerde procedure of procedures;
• de datum of het tijdsinterval tussen de behandeling en de ‘na’-foto;
• eventuele gecombineerde behandelingen;
• of de afgebeelde persoon een echte patiënt of een model is;
• de toestemming van de patiënt voor publicatie, waar vereist;
• de oorspronkelijke, onbewerkte beeldbestanden.

Beoordeel de algemene indruk van de galerij, inclusief bijschriften en nabije koppen. Een disclaimer herstelt een misleidende presentatie niet automatisch.

Toestemming voor publicatie is meer dan toestemming voor behandeling

Voor een kliniek die onder HIPAA valt, vereist openbaar promotioneel gebruik van identificeerbare patiëntinformatie doorgaans een geldige autorisatie onder 45 CFR § 164.508. Gewone toestemming voor de behandeling is niet dezelfde autorisatie.[13]

Een geldige autorisatie moet volgens de regelgeving onder meer bevatten:

• een specifieke beschrijving van de informatie die wordt gebruikt of bekendgemaakt;
• wie de informatie mag bekendmaken en wie ze mag ontvangen;
• het doel van het gebruik of de bekendmaking;
• een vervaldatum of gebeurtenis waardoor de autorisatie vervalt;
• de handtekening van de betrokkene en de datum;
• de vereiste verklaringen over intrekking en mogelijke verdere bekendmaking;
• duidelijke taal en een kopie voor de betrokkene.[13]

Een kliniek mag een behandeling doorgaans niet afhankelijk maken van het ondertekenen van een promotionele autorisatie.[13]

Maak bij de websiteplanning duidelijk voor welke publicatiekanalen toestemming wordt gevraagd. Toestemming voor één beperkt gebruik mag niet stilzwijgend worden uitgebreid naar een websitegalerij, betaalde advertenties en berichten op sociale media.

Testimonials: controleer de staatsregel vóór u een reviewwidget toevoegt

Er bestaat geen algemene toestemming om patiënttestimonials bij alle Amerikaanse medische praktijken te publiceren.

New York is een belangrijk voorbeeld. Education Law § 6530(27)(a)(iii) noemt, binnen het kader voor professioneel wangedrag van artsen, reclame die testimonials gebruikt uitdrukkelijk als reclame die niet in het algemeen belang is. De aangrenzende subparagrafen van § 6530(27)(a) behandelen onder meer ongepaste druk, garanties en niet-onderbouwde claims.[14]

Deze bepaling mag niet worden veralgemeend naar elk beroep of elke onafhankelijke review van een derde. Een artsenpraktijk mag er echter niet van uitgaan dat zij patiëntreviews mag selecteren en als reclame op haar website mag herpubliceren enkel omdat die reviews al op Google staan. Ook het insluiten van een reviewwidget moet aan de toepasselijke beroepsregel worden getoetst.

Op federaal niveau verbiedt de bindende FTC Consumer Reviews and Testimonials Rule, 16 CFR Part 465, specifieke gedragingen met betrekking tot:

• valse of misleidende consumentenreviews, consumententestimonials en celebritytestimonials;
• vergoedingen of voordelen die afhankelijk zijn van een positieve of negatieve strekking;
• bepaalde niet-openbaar gemaakte reviews en testimonials van personen die aan de onderneming verbonden zijn;
• door een onderneming gecontroleerde reviewwebsites of entiteiten die ten onrechte als onafhankelijke bron van reviews of opinies worden voorgesteld;
• ongegronde dreigementen of intimidatie om reviews te onderdrukken;
• de misleidende voorstelling van een geselecteerde reeks reviews als alle of de meeste ontvangen reviews;
• valse indicatoren van invloed op sociale media.[15]

Een voordeel aanbieden in ruil voor een vijfsterrenreview is bijvoorbeeld iets anders dan om eerlijke feedback vragen zonder een positieve mening te eisen. De FTC legt uit dat voordelen die niet afhankelijk zijn van de strekking van de review niet door § 465.4 zelf worden verboden, hoewel niet-openbaar gemaakte voordelen nog steeds in strijd met de FTC Act kunnen zijn.[16]

Bij betaalde influencers of influencers die een geschenk ontvingen, moet volgens de FTC-richtlijnen ook aandacht worden besteed aan materiële banden.[17] Openbaarmaking van die band heft een verbod van een staat op de testimonial zelf niet op.

Een reactie op een review kan patiëntinformatie bekendmaken

Een openbare review van een patiënt geeft de kliniek geen algemene toestemming om bijkomende informatie over diens zorg bekend te maken.

De schikking van HHS met New Vision Dental ging over de bekendmaking van beschermde gezondheidsinformatie in reacties op online reviews. De praktijk betaalde 23.000 dollar en stemde in met een actieplan voor corrigerende maatregelen.[18]

Onze praktische aanbeveling is om openbare reacties algemeen te houden en gesprekken over de zorg via een passend privékanaal voort te zetten. Medewerkers mogen bij het online verdedigen van de onderneming geen behandelingsdetails, diagnoses, afspraakgeschiedenis of andere informatie uit het patiëntendossier bevestigen.

Prijzen en speciale aanbiedingen vereisen een controle per staat

California § 651(c) vereist dat geadverteerde prijzen exact zijn en verbiedt uitdrukkingen als ‘vanaf’ en ‘en hoger’. Afzonderlijk daarvan beschouwt § 651(b)(4) een verklaring of claim over tarieven — behalve een standaard consultatietarief of een prijsvork voor specifieke soorten diensten — als vals, frauduleus of misleidend wanneer niet alle variabelen en andere wezenlijke factoren volledig en specifiek worden vermeld.[2]

Florida Statutes § 456.062 verplicht bepaalde zorgverleners die gratis of afgeprijsde diensten, onderzoeken of behandelingen adverteren om een voorgeschreven, duidelijk onderscheiden verklaring in hoofdletters op te nemen. Deze heeft betrekking op het recht van de patiënt om betaling voor bepaalde andere diensten die als gevolg van en binnen 72 uur na de reactie op de advertentie zijn uitgevoerd, te weigeren, te annuleren of terug te vorderen.[19]

De wet bevat een beperkte uitzondering voor bepaalde rubrieksadvertenties. Er mag niet van worden uitgegaan dat een korte link met ‘voorwaarden van toepassing’ de voorgeschreven verklaring vervangt.

Identificeer vóór de publicatie van een aanbieding:

• de exacte dienst die is inbegrepen;
• de zorgverlener of beroepscategorie die de dienst verstrekt;
• wat de prijs omvat;
• voorzienbare bijkomende kosten;
• voorwaarden en uitsluitingen;
• de geldigheidsduur van de aanbieding;
• elke door de staat voorgeschreven vermelding.

Controleer aanbiedingen voor consultaties, promoties voor injectables en behandelingspakketten voordat u ze in herbruikbare websitebanners opneemt. Voor een nationale campagne kunnen versies per staat nodig zijn.

HIPAA geldt niet automatisch voor elke medspa

Of een zorgverlener een covered healthcare provider is, hangt af van de elektronische verzending van gezondheidsinformatie in verband met een transactie waarop de HIPAA-regels van toepassing zijn. Alleen een zorgonderneming zijn, een website hebben of elektronische betalingen aanvaarden, volstaat niet om die vraag te beantwoorden.[20,21]

Een praktijk waarin patiënten zelf betalen, moet haar werkelijke activiteiten beoordelen in plaats van aan te nemen dat HIPAA op alles van toepassing is of dat zij automatisch is vrijgesteld. Waar HIPAA geldt, kan identificeerbare informatie in vragen over zorg al bescherming vereisen voordat iemand een vaste patiënt wordt.[20]

De HIPAA-status heeft ook gevolgen voor leveranciers. Een leverancier die voor een gedekte kliniek beschermde gezondheidsinformatie verwerkt, kan een business associate zijn. De wettelijke definities en organisatorische vereisten bepalen of die relatie bestaat.[20,22]

Wanneer HIPAA niet van toepassing is, kunnen staatsregels inzake vertrouwelijkheid en consumentenprivacy nog steeds gelden. Ook de eigen privacybeloften van de website moeten juist zijn.

Een privacyverklaring en een HIPAA-kennisgeving hebben verschillende functies

Volgens 45 CFR § 164.520(c)(3)(i) moet een gedekte entiteit met een website die informatie over haar diensten of voordelen voor klanten bevat, haar Notice of Privacy Practices prominent op die website publiceren en elektronisch beschikbaar maken.[23]

Een privacyverklaring voor de website beschrijft de online gegevenspraktijken. Een HIPAA Notice of Privacy Practices legt uit hoe de gedekte entiteit beschermde gezondheidsinformatie gebruikt en bekendmaakt en welke rechten personen hebben. Er mag niet worden aangenomen dat één algemeen document aan beide reeksen verplichtingen voldoet.

Formulieren, boekingstools, chat en AI-assistenten

Een contactveld kan geneesmiddelenlijsten, symptomen of patiëntfoto’s ontvangen, ook wanneer de kliniek het alleen voor boekingsvragen had bedoeld.

Voor informatie die onder HIPAA valt, vereist 45 CFR § 164.306 bescherming van de vertrouwelijkheid, integriteit en beschikbaarheid van elektronische beschermde gezondheidsinformatie, samen met de toepasselijke administratieve, fysieke en technische waarborgen.[24]

Wanneer een leverancier namens de kliniek diensten uitvoert waarbij beschermde gezondheidsinformatie betrokken is, moeten de verplichtingen voor business associates en de vereiste overeenkomst onder § 164.504 worden beoordeeld. Een Business Associate Agreement staat geen gebruik toe dat anders in strijd zou zijn met de Privacy Rule.[22]

De actuele HHS-richtlijnen voor business associates noemen uitdrukkelijk als voorbeeld een AI-chatbot van een derde op het patiëntenportaal van een zorgverlener die diensten met patiëntinformatie aanbiedt, zoals symptoombeoordeling of afspraakplanning.[25] Een openbare assistent die tot algemene informatie is beperkt, vereist een eigen feitelijke beoordeling; het woord ‘AI’ bepaalt op zichzelf niet of HIPAA geldt.

Breng voor elk formulier, elke boekingstool, chat of AI-assistent in kaart:

• welke velden worden verzameld en welke informatie een patiënt kan invoeren of uploaden;
• waar inzendingen en transcripties worden opgeslagen;
• wie e-mailmeldingen ontvangt of toegang tot het dashboard heeft;
• welke leveranciers en onderaannemers de gegevens ontvangen;
• de instellingen voor bewaring en verwijdering;
• of gegevens opnieuw worden gebruikt voor analytics, reclame of modeltraining;
• welke overeenkomst en rechtsgrond elke bekendmaking ondersteunen.

Houd algemene vragen gericht en bied een passend beoordeeld kanaal voor klinische informatie. Een waarschuwing om geen medische gegevens in te voeren vervangt deze beoordeling niet.

Pixels en analytics: begrijp wat de rechtbank daadwerkelijk besliste

In American Hospital Association v. Becerra vernietigde de federale rechtbank voor het Northern District of Texas op 20 juni 2024 een deel van de HHS-richtlijnen over trackingtechnologie. Het betwiste standpunt koppelde het IP-adres van een persoon aan diens bezoek aan een openbare, niet-geauthenticeerde pagina over gezondheidsproblemen of zorgverleners. De beschikking behield uitdrukkelijk de juridische werking van de overige delen van de richtlijnen.[26]

Het zou daarom onjuist zijn om elk identificeerbaar bezoek aan een openbare pagina op die basis automatisch als beschermde gezondheidsinformatie te beschouwen. Het zou evenzeer onjuist zijn om te stellen dat de uitspraak alle tracking op zorgwebsites toestaat.

Het HHS-bulletin maakt onderscheid tussen algemene openbare pagina’s en situaties waarin een tracker beschermde informatie ontvangt via een portaal, afspraakplanning of informatie die een bezoeker invoert. Het legt ook uit dat aanvaarding via een cookiebanner geen HIPAA-autorisatie is en dat een Business Associate Agreement een anderszins ongeoorloofde bekendmaking niet rechtmatig maakt.[27]

Onderzoek de gegevens die pixels, analytics- en session-replaytools werkelijk verzenden, waaronder:

• pagina-URL’s en behandelingsnamen;
• IP-adressen en apparaatidentificatoren;
• klikken op knoppen en gekozen behandelingen;
• formuliervelden en vrije tekst;
• afspraakgegevens en bevestigingspagina’s;
• informatie die wordt gebruikt om advertentiedoelgroepen samen te stellen of opnieuw te benaderen.

Verwijder of configureer tools opnieuw wanneer geen rechtmatige bekendmaking kan worden vastgesteld, en controleer de privacywetgeving van de staat onafhankelijk van HIPAA.

Privacywetten van staten kunnen gegevens buiten HIPAA bestrijken

Washington: gezondheidsgegevens van consumenten

De Washington My Health My Data Act, chapter 19.373 RCW, geldt voor bepaalde ondernemingen die in Washington actief zijn of consumenten in Washington benaderen. De definities omvatten redelijkerwijs koppelbare informatie waarmee de gezondheidstoestand kan worden geïdentificeerd, waaronder bepaalde informatie over het zoeken naar zorg.[28]

Voor gedekte gegevens die niet zijn vrijgesteld, vereist de wet:

• een privacybeleid voor gezondheidsgegevens van consumenten, met een prominente link op de homepage;
• toestemming voor de verzameling, tenzij deze nodig is om een door de consument gevraagd product of een gevraagde dienst te leveren;
• afzonderlijke toestemming voor delen, tenzij dit nodig is om dat gevraagde product of die gevraagde dienst te leveren;
• mechanismen waarmee consumenten hun rechten onder de wet kunnen uitoefenen;
• passende regelingen met verwerkers;
• een geldige autorisatie voor de verkoop van gezondheidsgegevens van consumenten.[28]

Kleine ondernemingen vallen onder de wet en zijn dus niet automatisch uitgesloten. De vrijstellingen gelden voor welbepaalde categorieën beschermde informatie; het feit dat een organisatie onder HIPAA valt, betekent niet dat elke dataset van haar website is vrijgesteld.[28]

Californië: website-informatie en consumentenprivacy

De California Online Privacy Protection Act, Business and Professions Code § 22575, verplicht exploitanten binnen haar toepassingsgebied een privacyverklaring prominent te publiceren wanneer zij online persoonlijk identificeerbare informatie over Californische consumenten verzamelen. De verplichte informatie omvat onder meer gegevenscategorieën, categorieën van ontvangers, de ingangsdatum van het beleid en bepaalde trackingpraktijken.[29]

De CCPA voegt verplichtingen toe voor ondernemingen die aan de toepassingscriteria voldoen. De vrijstellingen voor medische informatie zijn beperkt; Civil Code § 1798.145(c) mag niet als algemene vrijstelling voor elke dataset van een zorgonderneming worden gelezen.[30]

De procureur-generaal van Californië heeft een handhavingsvoorbeeld gepubliceerd over een telehealthonderneming waarvan de afzonderlijke openbare website onder de CCPA viel.[31] Controleer voor activiteiten binnen het toepassingsgebied:

• de kennisgeving op het moment van gegevensverzameling;
• de privacyverklaring en verplichte informatie over rechten;
• methoden om toegang, correctie en verwijdering te verzoeken;
• opt-outs voor verkoop of delen;
• regels voor gevoelige persoonsgegevens;
• toepasselijke vereisten inzake Global Privacy Control.[32]

Een Amerikaanse website moet daarom de concrete gegevens en toepasselijke wetten beoordelen voordat zij kiest voor toestemming of opt-outmechanismen. Een standaard cookiebanner is geen volledige privacybeoordeling.

Follow-upmails en sms-berichten hebben eigen regels

CAN-SPAM, waaronder 15 U.S.C. § 7704, regelt commerciële e-mail. De vereisten omvatten juiste afzendergegevens, niet-misleidende onderwerpregels, toepasselijke identificatie als reclame, een geldig postadres en een doeltreffende afmeldmogelijkheid. Afmeldverzoeken moeten doorgaans binnen tien werkdagen worden uitgevoerd.[33]

Berichten over afspraken en promotionele campagnes moeten afzonderlijk worden beoordeeld. De FTC legt uit dat het hoofddoel van een gemengd bericht bepalend is; het toevoegen van aanzienlijke promotionele inhoud kan de classificatie veranderen.[34]

Voor oproepen en sms-berichten bevat 47 CFR § 64.1200 vereisten inzake toestemming en bel-me-nietregels. Bepaalde geautomatiseerde telemarketingcommunicatie of communicatie met een kunstmatige of vooraf opgenomen stem vereist voorafgaande uitdrukkelijke schriftelijke toestemming, rekening houdend met de reikwijdte en uitzonderingen van de regel.[35]

Voor promotionele berichten:

• onderscheid communicatie over afspraken of zorg van reclame;
• formuleer de gevraagde marketingtoestemming duidelijk;
• leg vast hoe en wanneer toestemming werd verkregen;
• controleer de verzendtechnologie en ontvangerslijst;
• bied de vereiste afmeldmogelijkheid aan en respecteer die;
• controleer de relevante regels van de staat.

Het opgeven van een telefoonnummer om een consultatie aan te vragen, mag niet als algemene toestemming voor toekomstige marketing worden behandeld. De HIPAA-beperkingen op het gebruik van beschermde informatie voor marketingdoeleinden vereisen een afzonderlijke beoordeling.[36]

Toegankelijkheid hoort bij de beoordeling van de website

Title III van de ADA verbiedt discriminatie op grond van een handicap door gedekte openbare accommodaties. Het Department of Justice noemt medische praktijken als gedekte ondernemingen en stelt dat hun onlinediensten toegankelijk moeten zijn.[37,38]

De websiterichtlijnen van het DOJ verwijzen naar WCAG als nuttige technische standaard. De specifieke webregel onder Title II voor staats- en lokale overheden mag niet worden voorgesteld als de regel voor elke particuliere medspa.[38]

Test:

• toetsenbordnavigatie en een zichtbare focus;
• koppen, het doel van links en formulierlabels;
• instructies en foutmeldingen;
• tekstcontrast en het vergroten van tekst;
• alternatieven voor betekenisvolle afbeeldingen;
• ondertiteling en transcripties voor media;
• de volledige boekingsroute, inclusief externe tools.

Zorgverleners die vanwege federale financiering of aanvullende nondiscriminatieregels in de gezondheidszorg aan bijkomende eisen zijn onderworpen, moeten die verplichtingen afzonderlijk beoordelen.

Hoe iGlowly een website voor een Amerikaanse kliniek benadert

Wij verbinden informatie over behandelingen, profielen van zorgverleners en boekingsroutes, zodat patiënten de diensten begrijpen en gemakkelijk de juiste volgende stap vinden. Tijdens de planning van de content en website markeren wij resultaatclaims, resultaatbeelden, testimonials, kwalificaties, aanbiedingen en tools voor gegevensverzameling die moeten worden gecontroleerd.

De kliniek en haar zorgverleners verifiëren de klinische informatie en keuren de content goed. Juridische vragen per staat, patiëntautorisaties en gegevensregelingen met leveranciers moeten voor de concrete praktijk worden beoordeeld. Een websitetemplate kan niet voor elke Amerikaanse kliniek naleving garanderen.

Ontdek de iGlowly-dienst voor websiteontwerp en -beheer voor esthetische klinieken, of lees onze gidsen over de regels in het Verenigd Koninkrijk, Belgie en de regels in Frankrijk.