Resumen

  • La FTC retiró el 9 de septiembre de 2026 su declaración no vinculante de 2021 sobre brechas en apps de salud. Dijo que aportaba un beneficio mínimo, que fue reemplazada por la norma de 2024 y que constituía orientación subregulatoria innecesaria.
  • El acto no deroga, suspende ni modifica el 16 CFR part 318. La Health Breach Notification Rule reformada continúa definiendo qué actores no cubiertos por HIPAA entran en su ámbito, qué incidentes activan avisos y quién debe recibirlos.

El documento que salió no era la norma que quedó

El anuncio de la FTC utiliza una palabra potente: “obsoleta”. Sin la clase documental, el titular puede leerse como si la Comisión hubiera retirado la protección frente a brechas de información sanitaria. Pero lo que dejó sin efecto fue una declaración de política, no el texto reglamentario codificado.

La resolución de una página identifica tres razones. La declaración de 2021 habría generado un beneficio mínimo; la reglamentación de 2024 la habría reemplazado; y mantenerla chocaría con la preferencia de la Comisión contra orientaciones subregulatorias innecesarias. El documento añade que la orientación, por regla general, no crea derechos sustantivos ni obligaciones vinculantes. Para la Comisión, cada motivo basta por sí solo y el conjunto supera los posibles intereses de confianza.

Esa es la explicación institucional del retiro. No demuestra que nadie consultara el texto antiguo y tampoco dice que desapareciera el deber de notificación. Su función es trasladar al lector desde una fuente interpretativa de 2021 hacia una norma posterior adoptada mediante procedimiento formal.

La secuencia empieza en la sección 13407 del HITECH Act, que encargó a la FTC un régimen para determinados actores de expedientes personales de salud fuera del ámbito HIPAA. La agencia dictó la regla original en 2009. La declaración de 2021 expuso la lectura de la Comisión sobre apps capaces de obtener datos de varias fuentes y sobre divulgaciones no autorizadas. Después de propuesta y comentarios públicos, la regla final de 2024 incorporó definiciones y mecanismos de aviso al texto jurídico; entró en vigor el 29 de julio de 2024.

El retiro de 2026 corta un eslabón interpretativo, no todos los eslabones posteriores. El eCFR mantiene el 16 CFR part 318 y la página reglamentaria de la FTC conserva la norma y sus materiales primarios.

No toda app sanitaria tiene el mismo estatuto

“App de salud” describe un mercado; no resuelve la cobertura. La regla se aplica a vendedores de expedientes personales de salud, entidades relacionadas y ciertos proveedores de servicios externos definidos en ella. Las entidades cubiertas por HIPAA y sus asociados comerciales quedan fuera de esas definiciones para sus actividades cubiertas y siguen el régimen de avisos del Department of Health and Human Services.

La frontera exige aplicar elementos concretos. Estar fuera de HIPAA no convierte automáticamente a un producto en sujeto de la norma de la FTC. Tampoco basta que una aplicación use datos con alguna connotación sanitaria.

Un expediente personal de salud, a estos efectos, es un registro electrónico de información sanitaria identificable de una persona, administrado, compartido y controlado por ella o principalmente para ella, que tiene capacidad técnica para obtener información de varias fuentes. La reforma aclara que importa la capacidad, aunque el usuario no active todas las integraciones. La guía de cumplimiento vigente ilustra el análisis, pero la fuente vinculante continúa siendo el reglamento.

La definición de brecha también se amplió y precisó. Incluye la adquisición no autorizada de información sanitaria identificable no protegida que resulte de un incidente de seguridad de datos o de una divulgación no autorizada, con una presunción refutable de adquisición no autorizada. Por eso el régimen no depende exclusivamente de un hackeo externo. Sin embargo, no toda comunicación de datos es ilícita: autorización, identidad del actor, clase de información y hechos del incidente siguen siendo decisivos.

La declaración de 2021 destacó esas mismas zonas. La regla de 2024 la menciona junto con la propuesta y las aportaciones del público. La lectura actual está incorporada a una trayectoria reglamentaria; no necesita que la declaración siga operando como orden separada.

El calendario actual sigue corriendo

Cuando se descubre una brecha cubierta, la regla exige avisar a las personas afectadas y a la FTC. Si alcanza a 500 o más residentes de un estado o jurisdicción, también exige aviso a medios destacados que atienden a esa zona. El contenido y la forma de los avisos tienen requisitos propios.

La reforma de 2024 modificó un plazo susceptible de quedar atrapado en manuales viejos. Para incidentes que afectan a 500 personas o más, el aviso a la FTC debe presentarse sin demora irrazonable y como máximo 60 días naturales después del descubrimiento, alineado con el aviso individual. La regla anterior de diez días hábiles ya no es la medida vigente para esos casos. El retiro de la declaración no hace retroceder el reloj normativo.

Una empresa puede borrar el enlace de 2021 y aun así conservar una matriz de incidentes desactualizada. El control útil no pregunta solamente qué PDF fue retirado. Comprueba qué versión de la definición y del plazo estaba activa al descubrirse el incidente, quién tomó la decisión y qué avisos se enviaron.

Al 11 de septiembre, el eCFR, la página de la regla, la guía actual y el canal público de reporte seguían disponibles. Este hecho no predice cuántos expedientes abrirá la Comisión ni su futura prioridad. Sí contradice la lectura de que el retiro desmanteló por sí mismo toda la superficie operativa.

Una orden judicial no se evapora con una guía

En los asuntos GoodRx y Easy Healthcare, la FTC presentó en 2023 reclamaciones que incluían la supuesta omisión de avisos tras divulgaciones no autorizadas. Tribunales federales dictaron órdenes estipuladas.

Esos expedientes documentan aplicaciones concretas. No convierten cada alegación en una admisión ni establecen automáticamente el resultado para todas las apps. Pero tampoco dependen de que la declaración de política permanezca publicada. El documento de 2026 no afirma que las órdenes hayan sido anuladas, suspendidas o modificadas.

El límite institucional es sencillo: la Comisión puede retirar su orientación; una norma requiere su procedimiento; una orden judicial tiene su propio cauce de modificación. Decir que un solo acto movió las tres piezas transferiría una autoridad que el acto no reclama.

Un recibo que muestre la versión de autoridad

El problema no es solo jurídico. En una web institucional, comunicados, guías, formularios, reglamentos y expedientes aparecen bajo el mismo diseño. En un buscador, incluso pierden ese contexto. La fecha más nueva acaba pareciendo la instrucción más fuerte.

Propongo que cada cambio relevante publique un recibo de versión de autoridad. Debería indicar la clase de instrumento; el órgano emisor; el asunto o expediente; fechas de adopción, publicación y vigencia; documento reemplazado; sección normativa viva; definición o deber afectado; formulario o ruta de aviso actual; estado de órdenes específicas; e historial de correcciones.

Para este caso registraría: retirada de una declaración; decisión de la Comisión fechada el 9 de septiembre de 2026; documento interpretativo de 2021 reemplazado; 16 CFR part 318 vigente; reforma efectiva desde el 29 de julio de 2024; canal de reporte activo; órdenes de 2023 no tratadas por la retirada. También dejaría abierto qué énfasis interpretativo cambiará y cómo actuará una futura mayoría.

El recibo es una propuesta editorial, no una obligación anunciada por la FTC. Sigue la separación entre emisor, autoridad y prueba de The Policy Mirror de Heng Lu. La prueba de qué código está realmente en ejecución obliga a identificar el cambio observable. Why BTW Media Exists añade la cautela necesaria: una posición oficial es evidencia de lo que una institución dice, no sustituto del estado del reglamento, del formulario o del expediente judicial.

El acto del 9 de septiembre sí importa. La Comisión decidió concentrar su autoridad pública en un texto que pasó por propuesta y comentarios, y reducir una capa de orientación. Puede clarificar el origen de la obligación y, al mismo tiempo, retirar un énfasis explicativo. Ninguna de esas consecuencias exige inventar una derogación.

Fuentes

  1. FTC — anuncio del retiro
  2. FTC — declaración de la Comisión sobre el retiro
  3. FTC — declaración de política de 2021
  4. Federal Register — regla final de 2024
  5. eCFR — 16 CFR part 318
  6. FTC — página de la Health Breach Notification Rule
  7. FTC — guía de cumplimiento vigente
  8. FTC — expediente GoodRx
  9. FTC — expediente Easy Healthcare
  10. Heng Lu — The Policy Mirror
  11. Heng Lu — Running Code Primary
  12. Heng Lu — Why BTW Media Exists