الخلاصة

  • ألغت FTC في 9 سبتمبر 2026 بيانها غير الملزم الصادر في 2021 عن خروقات تطبيقات الصحة، قائلة إنه قدم فائدة محدودة، وإن قاعدة 2024 حلت محله، وإن استمراره يمثل توجيها دون مستوى القاعدة لا حاجة إليه.
  • لا تلغي وثيقة السحب 16 CFR part 318 ولا توقفها أو تعدلها. وتبقى Health Breach Notification Rule المعدلة هي المرجع لتحديد الجهات غير الخاضعة لـHIPAA والمشمولة بتعريفاتها، والحوادث التي تستدعي الإخطار، والجهات التي ينبغي إبلاغها.

نوع الوثيقة يحدد معنى سحبها

وصف إعلان FTC بيان 2021 بأنه متقادم. وقد يوحي العنوان، إذا فُصل عن نوع الأداة، بأن نظام حماية معلومات الصحة نفسه قد أصبح متقادما. لكن البيان السياسي لا يساوي قاعدة مدونة، حتى لو حمل الاثنان الشعار نفسه وظهرا في الموقع ذاته.

تشرح وثيقة اللجنة المؤرخة 9 سبتمبر القرار في صفحة واحدة. تقول إن بيان 2021 حقق فائدة محدودة، وإن وضع القاعدة في 2024 تجاوزه، وإن الإبقاء عليه لا ينسجم مع تفضيل اللجنة عدم استخدام توجيهات فرعية غير لازمة. وتذكر أيضا أن التوجيه لا ينشئ، في العادة، حقوقا موضوعية أو التزامات ملزمة. وترى اللجنة أن كل سبب يكفي منفردا للسحب وأن الأسباب مجتمعة تفوق مصالح الاعتماد على البيان.

هذا توصيف اللجنة لوثيقتها، لا نتيجة مستقلة تثبت أن أحدا لم يعتمد عليها. ولا يتضمن النص عبارة تقول إن واجب الإخطار انتهى. بل إن حجة الاستبدال تدفع القارئ إلى القاعدة اللاحقة باعتبارها موضع السلطة الحالي.

بدأ التسلسل من المادة 13407 من HITECH Act، التي أسست تكليف FTC في هذا المجال. ثم جاءت القاعدة الأصلية في 2009. وشرح بيان 2021 كيف تنظر اللجنة إلى تطبيقات قادرة تقنيا على جمع معلومات من مصادر متعددة، وإلى الإفصاح غير المأذون به حتى من دون اختراق خارجي. وبعد اقتراح وتعليقات عامة، أدخلت القاعدة النهائية لعام 2024 التعريفات وآليات الإخطار في النص التنظيمي، ودخلت حيز النفاذ في 29 يوليو 2024.

أزال قرار 2026 طبقة تفسيرية من هذا التسلسل. ولم يزعم أنه ألغى الأساس التشريعي أو التعديل الرسمي. فما زال 16 CFR part 318 منشورا في eCFR الحالي، وما زالت صفحة القاعدة لدى FTC تجمع النص ومواده الأساسية.

اسم «تطبيق صحة» ليس اختبارا قانونيا

لا تكفي فئة المنتج في متجر التطبيقات لتحديد النظام. فالقاعدة تشمل بائعي السجلات الصحية الشخصية، والكيانات المرتبطة بها، وبعض مقدمي الخدمات الخارجيين كما تعرفهم. وتستبعد الكيانات المشمولة بـHIPAA وشركاءها التجاريين من هذه التعريفات في النشاط المشمول، إذ تخضع لنظام إخطار Department of Health and Human Services.

تعني هذه الحدود أن HIPAA لم تختف من الموضوع، وأن الخروج من نطاقها لا يضع المنتج تلقائيا في نطاق FTC. ينبغي تطبيق تعريفات الجهة والسجل والمعلومة والوظيفة على الحالة نفسها.

السجل الصحي الشخصي في قاعدة FTC هو سجل إلكتروني لمعلومات صحية قابلة لربطها بشخص، يديره الفرد أو يُدار أساسا لصالحه ويشاركه ويتحكم فيه، وله قدرة تقنية على استخلاص معلومات من مصادر متعددة. أوضح تعديل 2024 أن القدرة التقنية ذات أهمية حتى إن لم يفعّل المستخدم كل الروابط المتاحة. وتقدم إرشادات الامتثال الحالية أمثلة، لكنها تظل شرحا لا بديلا عن النص التنظيمي.

كذلك لا يقتصر تعريف الخرق على تسلل مهاجم إلى قاعدة بيانات. يشمل التعديل الاستحواذ غير المأذون به على معلومات صحية معرّفة وغير مؤمنة نتيجة حادث أمن بيانات أو إفصاح غير مأذون به، مع قرينة قابلة للدحض على حصول الاستحواذ غير المأذون. وهذا يوسع النظر إلى ما بعد الاختراق، لكنه لا يجعل كل تبادل لبيانات صحية خرقا. تظل صفة الجهة، ونوع البيانات، وحدود الإذن، ووقائع الحادث عناصر لازمة.

كان بيان 2021 قد أبرز القدرة على الجمع من مصادر متعددة والإفصاح غير المأذون. أما قاعدة 2024 فتناقش البيان، ومشروع القاعدة، والتعليقات العامة ضمن سجلها. لذلك لا تتوقف سلطتها الحالية على بقاء ملف 2021 كأمر منفصل.

مهلة الستين يوما باقية

عند اكتشاف خرق مشمول، يجب على البائع أو الكيان الخاضع إخطار الأفراد المتأثرين وFTC. وإذا شمل الحادث 500 أو أكثر من سكان ولاية أو دائرة قضائية، يمتد الإخطار إلى وسائل إعلام بارزة تخدم المنطقة. وتحدد القاعدة أيضا محتوى الإخطار وطريقة إرساله.

عدل نص 2024 توقيت إخطار FTC للحوادث التي تشمل 500 شخص أو أكثر. أصبح الإخطار مطلوبا من دون تأخير غير معقول، وفي موعد لا يتجاوز 60 يوما تقويميا بعد الاكتشاف، بما ينسجم مع توقيت إخطار الأفراد. أما معيار الأيام العشرة للأعمال فلم يعد القاعدة الجارية لهذه الفئة. وسحب بيان 2021 لا يعيد عقارب الساعة إلى الصياغة السابقة.

يمكن لشركة أن تحذف رابط البيان القديم وتبقي جدولا داخليا يحسب المهلة القديمة. وقد تحتفظ بنموذج الإبلاغ الحالي من دون أن تسجل نسخة التعريفات التي استخدمتها. هنا يظهر الفرق بين ترتيب الوثائق وتحديث التشغيل: الأول لا يثبت الثاني.

وعند التحقق في 11 سبتمبر، ظل نص eCFR وصفحة القاعدة وإرشادات FTC الحالية ومسار الإبلاغ العام متاحة. لا يعني ذلك ضمان قضية جديدة أو أولوية إنفاذ معينة. لكنه يبين أن السحب لم يمح سطح التشغيل كله.

أوامر المحاكم لا تسقط ضمنا

تعرض صفحتا قضيتي GoodRx وEasy Healthcare شكاوى رفعتها FTC في 2023، وادعت فيها، ضمن أمور أخرى، عدم تقديم إخطارات مطلوبة بعد إفصاحات غير مأذون بها. وأصدرت محاكم اتحادية أوامر متفقا عليها في القضيتين.

هذه تطبيقات مرتبطة بوقائع محددة، وليست قاعدة عامة على كل تطبيق. كما لا يصح تحويل الأمر المتفق عليه إلى إقرار بكل ادعاء. وفي الاتجاه الآخر، لا تقول وثيقة السحب إن الأوامر أُبطلت أو عُدلت.

تملك اللجنة سحب توجيهها، ولتعديل القاعدة مسار رسمي، وللمحكمة سلطة على أمرها. افتراض أن الخطوة الأولى أنجزت الخطوتين الأخريين ينقل سلطة لم تدّعها الوثيقة.

إيصال يربط كل قرار بنسخة السلطة

تضع المواقع الرسمية الخبر والقاعدة والدليل والنموذج والقضية تحت هوية بصرية واحدة. وتزيل نتائج البحث حتى هذا السياق. لذلك قد يبدو أحدث تاريخ كأنه أعلى سلطة، وقد يبدو اختفاء وثيقة كأنه اختفاء النظام.

أقترح إيصالا لنسخة السلطة يرافق كل تغيير مهم. يسجل نوع الأداة، والجهة المصدرة، والمسألة أو رقم الملف، وتواريخ الاعتماد والنشر والنفاذ، والوثيقة التي استُبدلت، والمادة التنظيمية الحية، والتعريف أو الواجب المتأثر، ومسار الإبلاغ الحالي، وحالة أوامر القضايا، وسجل التصحيح.

في هذا الحدث سيقول الإيصال: سُحب بيان سياسي؛ قرار اللجنة مؤرخ 9 سبتمبر 2026؛ استُبدل تفسير 2021؛ ما زال 16 CFR part 318 نافذا؛ دخل تعديل 2024 حيز النفاذ في 29 يوليو 2024؛ مسار الإبلاغ قائم؛ ولم تتناول وثيقة السحب أوامر 2023. ولن يدّعي أن كل تفصيل قديم باق أو أن اتجاه الإنفاذ المقبل معروف.

هذا اقتراح تحريري مني، لا مطلب أعلنته FTC. وهو يطبق فصل المتحدث والسلطة والدليل في The Policy Mirror لهينغ لو. ويطلب اختبار Running Code Primary تحديد الحالة القابلة للملاحظة التي تغيرت فعلا. أما Why BTW Media Exists فيمنع تحويل موقف المؤسسة إلى بديل عن واقع القاعدة أو النموذج أو سجل المحكمة.

قرار FTC له أثر حقيقي: خفض عدد طبقات التفسير العام ووجّه القراء نحو قاعدة مرت بإخطار وتعليقات. قد يجعل ذلك مصدر السلطة أوضح، وقد يحذف شرحا اعتاد بعض المستخدمين الاعتماد عليه. يمكن قياس الأثرين من دون اختراع إلغاء قانوني لم يقع.

المصادر

  1. FTC — إعلان السحب
  2. FTC — بيان اللجنة لعام 2026
  3. FTC — البيان السياسي لعام 2021
  4. Federal Register — القاعدة النهائية لعام 2024
  5. eCFR — 16 CFR part 318
  6. FTC — صفحة Health Breach Notification Rule
  7. FTC — إرشادات الامتثال الحالية
  8. FTC — سجل قضية GoodRx
  9. FTC — سجل قضية Easy Healthcare
  10. Heng Lu — The Policy Mirror
  11. Heng Lu — Running Code Primary
  12. Heng Lu — Why BTW Media Exists