Résumé

  • Le 9 septembre 2026, la FTC a abrogé sa déclaration non contraignante de 2021 sur les violations impliquant les applis de santé. Elle invoque son faible apport, la procédure réglementaire de 2024 qui l’a remplacée et son opposition aux orientations infraréglementaires inutiles.
  • Le retrait ne supprime ni ne suspend le 16 CFR part 318. La Health Breach Notification Rule modifiée en 2024 reste le texte opérant pour les acteurs non soumis à HIPAA qui entrent dans ses définitions.

Une déclaration quittait la scène, la règle y restait

Dans son communiqué du 9 septembre, la FTC présente la déclaration de 2021 comme obsolète. Le qualificatif peut donner l’impression qu’un pan entier de la protection des données de santé vient d’être abandonné. Il décrit pourtant le sort d’un instrument précis, pas celui de tous les textes auxquels cet instrument se référait.

La déclaration d’abrogation d’une page permet de tracer la limite. La Commission y affirme que le texte de 2021 a produit un bénéfice minimal, qu’il a été remplacé par le règlement de 2024 et qu’il constitue désormais une orientation infraréglementaire inutile. Elle rappelle qu’une orientation ne crée généralement ni droit substantiel ni obligation juridiquement contraignante. Selon la Commission, chacun de ces motifs suffirait à justifier le retrait et leur ensemble l’emporte sur les intérêts liés à la confiance placée dans le texte.

Cette appréciation appartient à la FTC. Elle ne prouve pas que la déclaration n’a jamais influencé une pratique, et elle ne prononce pas l’extinction de la règle. Au contraire, elle désigne la procédure formelle de 2024 comme la raison pour laquelle l’ancien support explicatif n’est plus nécessaire.

La chronologie rétablit la hiérarchie. La section 13407 du HITECH Act fournit le mandat législatif. La FTC a adopté une première règle en 2009. En 2021, sa déclaration expliquait notamment son interprétation des applis capables d’agréger plusieurs sources et des divulgations non autorisées. Après un projet et une consultation, la règle définitive de 2024 a modifié les définitions et les modalités de notification; elle est entrée en vigueur le 29 juillet 2024.

Le retrait de 2026 enlève une couche interprétative de cette pile. Il ne prétend pas abroger le fondement légal ni la modification adoptée selon la procédure réglementaire. Le texte actuel du 16 CFR part 318 demeure codifié. La page de la règle tenue par la FTC continue d’en rassembler les matériaux publics.

Le nom « appli de santé » ne décide pas du régime

Une catégorie de magasin d’applications n’est pas une définition juridique. La règle vise les vendeurs de dossiers personnels de santé, certaines entités apparentées et certains prestataires tiers tels qu’elle les définit. Les entités couvertes par HIPAA et leurs business associates sont exclues de ces définitions pour leurs activités couvertes et relèvent du dispositif de notification du Department of Health and Human Services.

Cette articulation exige deux prudences. HIPAA ne disparaît pas du paysage. Et un service situé hors de HIPAA n’entre pas mécaniquement dans la règle de la FTC. Il faut vérifier l’acteur, le dossier, les données et la fonction du produit.

Dans le dispositif de la FTC, un dossier personnel de santé est un dossier électronique contenant des informations de santé identifiables relatives à un individu, géré, partagé et contrôlé par lui ou principalement pour lui, et doté de la capacité technique de tirer des informations de plusieurs sources. La modification de 2024 précise que cette capacité technique compte même si l’utilisateur n’active pas toutes les connexions possibles. Les orientations actuelles de conformité proposent des exemples utiles, mais elles n’ont pas le rang de la règle.

Le mot « violation » demande la même discipline. La définition modifiée recouvre l’acquisition non autorisée d’informations de santé identifiables non sécurisées, lorsqu’elle résulte d’un incident de sécurité ou d’une divulgation non autorisée. Elle conserve une présomption réfragable d’acquisition non autorisée. Le mécanisme peut donc s’appliquer sans intrusion informatique venue de l’extérieur; il ne transforme pas pour autant toute transmission de données de santé en violation. L’autorisation et chaque élément de la définition restent à établir.

La déclaration de 2021 avait insisté sur ces deux points. La règle finale de 2024 traite elle-même de cette déclaration, du projet de règlement et des observations du public. Son autorité tient désormais au texte adopté et codifié, non à la survie d’un PDF antérieur.

Les destinataires et le délai n’ont pas été effacés

Lorsqu’une violation couverte est découverte, les vendeurs et entités concernés doivent informer les personnes affectées et la FTC. Si l’incident concerne au moins 500 résidents d’un État ou d’une juridiction, la règle prévoit également une notification à des médias importants de cette zone. Les modes d’envoi et le contenu de l’avis sont eux aussi encadrés.

La réforme de 2024 a harmonisé un délai important. Pour les violations concernant 500 personnes ou davantage, la notification à la FTC doit intervenir sans retard déraisonnable et au plus tard 60 jours calendaires après la découverte, comme la notification individuelle. L’ancien délai de dix jours ouvrables ne décrit plus la règle actuelle pour ces incidents. Le retrait de la déclaration de 2021 ne le ressuscite pas.

Une organisation peut pourtant conserver trois états contradictoires : un avis juridique renvoyant au texte de 2021, une fiche interne portant l’ancien délai et un favori vers le formulaire actuel. Supprimer la première référence après l’annonce ne suffit pas. Il faut revalider la fiche opérationnelle contre le texte codifié et conserver la version qui a servi à calculer l’échéance.

Au 11 septembre, l’eCFR, la page de la règle, les orientations actuelles et le dispositif public de signalement restaient accessibles. Leur disponibilité ne garantit ni une priorité politique ni une future action en justice. Elle prouve plus modestement que la surface opérationnelle n’a pas été supprimée par le retrait.

Les ordonnances de 2023 suivent leur propre voie

Les dossiers GoodRx et Easy Healthcare relatent des plaintes de 2023. La FTC y alléguait notamment l’absence de notification requise après des divulgations non autorisées. Des tribunaux fédéraux ont rendu des ordonnances sur consentement.

Ces procédures montrent une application à des faits déterminés. Elles ne constituent pas une règle générale pour toute appli et l’ordonnance sur consentement ne doit pas être racontée comme l’aveu de chaque allégation. Mais leur force ne dépend pas davantage de la présence de la déclaration de 2021. Le texte du 9 septembre 2026 ne dit pas que les ordonnances ont été annulées ou modifiées.

Une ordonnance judiciaire, une plainte d’agence et un règlement général sont trois sources distinctes. Les confondre permettrait soit d’exagérer la portée des précédents, soit d’effacer une décision judiciaire par simple implication. Le dossier public ne justifie aucune de ces conclusions.

Un reçu de version pour chaque transfert d’autorité

Les sites institutionnels placent souvent communiqués, règles, guides, formulaires et dossiers de contentieux à une distance d’un clic. Les moteurs de recherche les affichent comme des réponses concurrentes. Sans indication de leur classe, le document le plus récent ou le mieux titré prend facilement l’apparence du plus contraignant.

Je propose qu’un changement important soit accompagné d’un reçu de version de l’autorité. Il indiquerait la nature de l’instrument, l’organe émetteur, le dossier éventuel, les dates d’adoption, de publication et d’entrée en vigueur, le texte remplacé, l’article réglementaire encore applicable, la définition ou l’obligation touchée, le chemin de signalement courant, le statut des ordonnances propres à une affaire et l’historique des corrections.

Ici, le reçu dirait : déclaration de politique retirée; décision de la Commission du 9 septembre 2026; texte interprétatif de 2021 remplacé; 16 CFR part 318 toujours en vigueur; règle modifiée effective depuis le 29 juillet 2024; chemin de signalement visible; ordonnances de 2023 non traitées par le retrait. Il ne prétendrait pas que toutes les nuances de 2021 ont survécu ni que l’intensité future du contrôle est connue.

Ce reçu est ma proposition éditoriale, pas une exigence de la FTC. Il transpose la séparation entre auteur, autorité et preuve décrite dans The Policy Mirror de Heng Lu. Le test du code effectivement exécuté oblige à demander quelle étape observable a changé. Why BTW Media Exists rappelle enfin qu’une position institutionnelle doit être rapportée sans être confondue avec l’état de la règle, du formulaire ou de l’ordonnance.

La FTC a bien effectué un choix de gouvernance : réduire le nombre de supports exprimant sa position et renvoyer vers un texte adopté après consultation. Ce choix peut clarifier la hiérarchie. Il peut aussi retirer des explications auxquelles certains acteurs s’étaient habitués. Ces deux constats peuvent coexister sans transformer un retrait d’orientation en abrogation de droit.

Sources

  1. FTC — annonce du retrait
  2. FTC — déclaration de la Commission du 9 septembre 2026
  3. FTC — déclaration de politique de 2021
  4. Federal Register — règle finale de 2024
  5. eCFR — 16 CFR part 318
  6. FTC — page de la Health Breach Notification Rule
  7. FTC — orientations de conformité actuelles
  8. FTC — dossier GoodRx
  9. FTC — dossier Easy Healthcare
  10. Heng Lu — The Policy Mirror
  11. Heng Lu — Running Code Primary
  12. Heng Lu — Why BTW Media Exists