La FTC poursuit Hims & Hers : quand des données de santé « privées » atteignent six plateformes publicitaires

Ce que la FTC affirme que Hims & Hers a réellement fait

La plainte de la FTC, déposée le 29 juillet 2026 et rejointe par la procureure générale de Californie et la Division de la protection des consommateurs de l’Utah, se concentre sur une contradiction précise : ce que Hims & Hers a déclaré à ses clients au sujet de leurs données par rapport à ce que l’entreprise en aurait réellement fait. Selon la plainte, l’entreprise a affirmé, sur sa page d’accueil, dans ses publicités et via des partenariats rémunérés avec des influenceurs, que les données de santé des clients ne seraient partagées « qu’avec les prestataires médicaux des consommateurs », présentant son service de télésanté comme « privé » et « sécurisé ».

TechCrunch rapporte que l’entreprise a placé sur son site un code de suivi de la taille d’un pixel provenant de Meta, Snap, Microsoft, Pinterest, Reddit et X, ces traceurs captant et transmettant en temps réel les informations de santé des utilisateurs à chaque plateforme — contrairement à la propre politique de confidentialité déclarée de l’entreprise. CBS News rapporte que Hims & Hers a utilisé les outils de Meta spécifiquement pour surveiller l’activité du site et a partagé des listes de clients avec des plateformes publicitaires à des fins de ciblage, une technique qui permet à un annonceur de faire correspondre un client d’un service de santé avec un profil utilisateur existant sur Meta ou Snap afin de constituer des audiences publicitaires précisément ciblées.

Le directeur du Bureau de la protection des consommateurs de la FTC, Christopher Mufarrige, a résumé la violation centrale : « Hims n’a pu créer des audiences avec une telle précision que parce qu’elle a bafoué les promesses faites à ses utilisateurs de traiter leurs conditions médicales de manière « privée » ou de préserver la confidentialité de leurs informations de santé. » Cette déclaration résume la théorie juridique qui sous-tend l’affaire — non pas que le partage de données avec des annonceurs soit intrinsèquement illégal, mais que le faire tout en promettant explicitement le contraire aux clients constitue une tromperie.

Les allégations de facturation et d’annulation complètent la plainte

Le partage de données n’est pas la seule allégation. TechCrunch rapporte que la plainte vise également les pratiques de facturation et d’annulation de Hims & Hers, accusant l’entreprise d’avoir pratiqué une facturation trompeuse en ne divulguant pas clairement le moment où les consommateurs seraient facturés pour leurs prescriptions, et d’avoir séparément mis en place des politiques d’annulation rendant la résiliation difficile pour les abonnés — des allégations que CBS News confirme portent sur un manque de clarté quant au moment de la facturation et sur des freins à l’annulation, des problèmes que la FTC traite comme des violations du droit fédéral de la protection des consommateurs, indépendamment des allégations relatives à la confidentialité.

Sur le plan des mécanismes juridiques, l’analyse de la plainte par Venable note que la FTC s’appuie sur la Section 5 du FTC Act — l’autorité fondamentale de l’agence contre les « pratiques déloyales ou trompeuses » — aux côtés des lois propres à la Californie et à l’Utah en matière de pratiques déloyales et trompeuses, ainsi que des protections constitutionnelles de la vie privée de l’État de Californie. Fait notable, l’analyse de Venable souligne que la plainte n’invoque pas la règle de notification des violations de données de santé de la FTC, un outil que l’agence avait utilisé plus agressivement sous l’administration précédente — un détail de stratégie juridique suggérant que la FTC actuelle construit cette affaire sur son autorité générale en matière de tromperie plutôt que sur des règles de notification de violation spécifiques au secteur de la santé.

Hims & Hers a publiquement riposté. CBS News rapporte que l’entreprise a qualifié les allégations de « sans fondement », affirmant que sa politique de confidentialité permet aux clients de contrôler l’utilisation de leurs données, tandis que TechCrunch rapporte que l’entreprise a déclaré que sa politique de confidentialité « indique clairement » que les utilisateurs « peuvent choisir comment leurs données sont utilisées » et s’est dite confiante de l’emporter en se défendant contre ces allégations.

Pourquoi cette affaire dépasse le cadre d’une seule entreprise de télésanté

Le marché a réagi immédiatement : CBS News rapporte que les actions Hims & Hers ont chuté de près de 15 % le jour où la plainte est devenue publique, un mouvement marqué en une seule journée qui reflète à quel point l’exposition liée à la confidentialité des données de santé se traduit désormais directement en risque pour les investisseurs des entreprises de télésanté, dont l’intégralité du modèle économique repose sur la confiance des clients envers un service traitant des informations médicalement et personnellement sensibles. La télésanté a explosé en tant que catégorie ces dernières années précisément parce que les clients étaient disposés à évoquer des conditions sensibles — perte de cheveux, gestion du poids, santé sexuelle — via un écran plutôt qu’en personne, sur la promesse implicite que cela offrait davantage de confidentialité qu’une consultation en personne figurant dans un dossier médical électronique partagé. Une conclusion réglementaire selon laquelle une plateforme majeure a violé cette promesse précise menace la prime de confiance que l’ensemble du secteur de la télésanté a vendue.

Cette affaire survient également à un moment où le contentieux lié aux pixels de suivi est devenu l’un des domaines les plus actifs de l’application de la confidentialité dans les secteurs proches de la santé, précisément parce que les pixels sont techniquement faciles à détecter (chercheurs et régulateurs peuvent les repérer en inspectant le trafic réseau d’un site) et factuellement simples à comparer aux promesses de confidentialité déclarées d’une entreprise — faisant des affaires de données de santé basées sur des pixels certaines des violations de confidentialité les plus démontrables actuellement poursuivies par les régulateurs, comparées à des allégations plus difficiles à établir concernant les pratiques internes de traitement des données.

Ce que cela signifie pour la télésanté et les entreprises proches du secteur de la santé

1. Auditer chaque pixel de suivi et SDK par rapport au texte réel de votre politique de confidentialité, pas seulement aux normes du secteur

Si votre politique de confidentialité promet que les données restent « privées » ou ne sont partagées « qu’avec les prestataires médicaux », tout Meta Pixel, traceur Snap ou outil similaire alimentant une plateforme publicitaire en données comportementales des utilisateurs constitue une contradiction directe et démontrable — exactement le schéma factuel utilisé ici par la FTC. Il s’agit d’un contrôle de conformité mécanique que toute entreprise peut effectuer dès aujourd’hui, pas d’un risque théorique.

2. Considérer les allégations marketing et la mise en œuvre technique comme une seule surface de conformité unifiée

La plainte de la FTC couvre le texte de la page d’accueil, les allégations publicitaires payantes et les partenariats d’influenceurs, aux côtés de la mise en œuvre technique du suivi — ce qui signifie que les équipes juridiques et marketing ne peuvent pas traiter les promesses de confidentialité comme une préoccupation relevant uniquement du département marketing, distincte de ce que l’équipe d’ingénierie déploie réellement. Toute entreprise affirmant offrir une expérience « privée » ou « sécurisée » doit faire examiner ces affirmations au regard des flux de données réels, et non uniquement de ce que la politique de confidentialité autorise légalement.

3. S’attendre à ce que les procureurs généraux des États continuent de s’associer à la FTC sur les affaires de données de santé

Avec la Californie et l’Utah rejoignant tous deux cette action en s’appuyant sur leur propre autorité en matière de pratiques déloyales et trompeuses, les entreprises devraient s’attendre à ce que les procureurs généraux des États se joignent de plus en plus fréquemment à la FTC sur les affaires de confidentialité des données de santé, plutôt que d’agir seuls ou de s’en remettre entièrement à l’application fédérale — ce qui signifie que les revues de conformité doivent tenir compte des normes propres à chaque État concerné en matière de pratiques déloyales et trompeuses, et pas seulement des exigences fédérales de la Section 5 du FTC Act.

Le signal réglementaire derrière cette affaire

Ce qui rend cette affaire notable au-delà de ses faits, c’est la voie d’application choisie par la FTC : l’autorité générale en matière de tromperie au titre de la Section 5, et non la règle de notification des violations spécifique à la santé sur laquelle l’agence s’était davantage appuyée ces dernières années. Ce choix suggère que la FTC actuelle construit ses affaires de confidentialité des données de santé sur la même théorie fondamentale qu’elle utilise dans l’ensemble de la protection des consommateurs — les promesses faites publiquement doivent correspondre aux pratiques mises en œuvre techniquement — plutôt que de s’appuyer sur des outils spécifiques au secteur de la santé qui pourraient être plus facilement restreints ou contestés. Pour la télésanté et toute entreprise traitant des données personnelles sensibles sous une promesse marketing de « confidentialité » ou de « sécurité », il s’agit sans doute d’une théorie d’application plus large et plus durable qu’une règle spécifique à la santé, puisqu’elle applique le même degré de contrôle que les régulateurs exercent déjà sur les allégations de confidentialité de toute entreprise, médicale ou non.

Questions Fréquemment Posées

Sources et lectures complémentaires

• FTC Sues Hims & Hers for Allegedly Sharing Patients’ Medical Data With Advertisers Meta and Snap — TechCrunch
• FTC Sues Hims & Hers, Alleging It Shared People’s Health Data With Meta and Snap — CBS News
• FTC and States Take Action Against Hims & Hers: Key Privacy Takeaways for Consumer Health Data Sharing — Venable LLP