CVS与Criteo以2050万美元和解追踪像素集体诉讼：网站与药房App健康数据流向广告分析商，和解覆盖7月27日前所有用户

据HIPAA Journal报道，CVS Health与Criteo已同意支付2050万美元，以了结指控其在CVS网站与药房App上使用网络追踪技术、未经同意收集用户敏感数据并传输给Criteo、Adobe、Medallia、Quantum Metric等公司的集体诉讼。案件名为Brewer诉CVS Pharmacy与Criteo，正在佛罗里达州布劳沃德县第17巡回法院审理，和解覆盖的集体范围为2026年7月27日前使用过该网站或App的全部用户。

该案的合规逻辑在于：追踪像素（pixel）虽然通常由营销团队为投放效果测量而添加，但从责任角度看，只要脚本把页面所知道的访客信息传给接收方，就构成对这些信息的披露。页面性质越敏感——处方查询、药品购买、健康状况——披露的定性就越严重。

与此并行，美国联邦贸易委员会正就修订关于假冒政府与企业行为的规则征求意见，核心问题是承载假冒诈骗广告的平台是否应分担义务，包括是否应审核广告主、监控广告、调查疑似假冒广告、移除已确认的假冒广告并对广告主采取行动。FTC指出，2025年消费者报告的冒充诈骗损失超过21亿美元，近30%的受害者在社交媒体上首次被接触。

两起动向共同指向第三方脚本与广告技术链条的合规风险。实务上可落地的动作包括：对已登录页面与健康相关页面上的全部第三方脚本建立清单，逐条记录脚本会发送哪些字段、发往何处、依据何种法律基础；将“营销添加的脚本”纳入统一的数据处理活动记录；在上线前对脚本进行数据流审查，并在合同中明确供应商不得将接收数据用于自身目的或模型训练。

对跨境经营的医疗与零售企业而言，该案提示了一个常被忽视的分工问题：技术实现可以外包给营销与SaaS供应商，但“是否有权披露”的判断与披露责任无法外包。这与近期美国监管对Pixel类追踪技术的持续执法形成一致趋势。