要約

  • FTCは2026年9月9日、健康アプリによる漏えいを扱った2021年の拘束力のない政策声明を撤回した。委員会は、効果が小さく、2024年の規則制定で代替され、不要な準規制的ガイダンスになったと説明する。
  • 撤回文書は16 CFR part 318を廃止、停止、改正していない。HIPAAの対象外であり、かつ定義を満たす事業者には、改正Health Breach Notification Ruleの適用範囲、通知先、期限が引き続き問題となる。

「何がなくなったか」を文書の種類から読む

FTCの発表は、2021年声明を「obsolete」と位置づけた。見出しだけなら、健康データの漏えい通知制度そのものを古いものとして撤去したようにも読める。ところが、機関のウェブサイトに並ぶプレスリリース、政策声明、規則本文、訴訟記録は、同じ強さの法源ではない。

委員会の撤回声明は一ページで範囲を限定している。2021年声明は便益が少なく、2024年の規則制定に置き換えられ、委員会が不要とみなす準規制的ガイダンスに当たるという。さらに、ガイダンスは一般に実体的な権利や拘束力ある義務を生まないと記した。各理由は単独でも撤回を支え、合わせれば依拠利益を上回る、というのが委員会の判断である。

これはFTCによる自らの文書の評価だ。旧声明が実務で一度も参照されなかったとの事実認定ではない。もちろん、漏えい通知義務の終了宣言でもない。「規則制定が置き換えた」という理由は、現在の出発点が別の文書にあることを示している。

権限の順序はこうなる。HITECH Act第13407条が法定の基盤を置き、FTCは2009年に最初の規則を作った。2021年声明は、複数の情報源からデータを取り込める健康アプリや、ハッキングを伴わない無断開示に対する委員会の考え方を示した。その後、提案と意見募集を経た2024年最終規則が定義と通知手続きを規則本文に反映し、2024年7月29日に発効した。

2026年に抜かれたのは解釈層であり、法定根拠から改正規則までの全体ではない。現行eCFRには16 CFR part 318が掲載されている。FTCの規則ページも、規則と主要資料への入口として残る。

HIPAAの外側でも自動的に対象にはならない

商品名やストアのカテゴリーは、適用の答えにならない。FTC規則は、定義されたpersonal health recordのvendor、PHR related entity、third party service providerを対象にする。HIPAA covered entityとbusiness associateは、対象となる活動についてこれらの定義から除外され、Department of Health and Human Servicesの通知制度に従う。

したがって、「健康アプリだからFTC」「HIPAAではないから必ずFTC」という二つの近道はいずれも危うい。誰が記録を管理し、どの情報を扱い、どの制度上の定義を満たすかを確かめる必要がある。

FTC規則上のpersonal health recordは、個人の識別可能な健康情報を含み、その個人により、または主としてその個人のために管理、共有、統制され、複数の情報源から情報を取り込む技術的能力を備えた電子記録である。2024年改正は、利用者がすべての連携を実際に有効化していなくても、技術的能力が意味を持つと明確にした。現行のコンプライアンス案内は例を示すが、法的な基準は規則本文に戻って読む必要がある。

breachの定義も、外部侵入だけに限られない。改正規則は、データセキュリティ侵害または無断開示に起因する、保護されていないPHR identifiable health informationの無断取得を含め、無断取得について反証可能な推定を維持した。これは単なるハッキングより広い。しかし、健康関連データの移転をすべてbreachに変えるものでもない。権限の有無、主体、情報、出来事を定義に当てはめなければならない。

2021年声明は、この複数情報源と無断開示を強調していた。2024年規則は、同声明、規則案、寄せられた意見を記録の中で論じている。古いPDFが消えても、正式手続きで採用された規則の権限まで失われるわけではない。

通知先と60日という時間は残っている

対象となるbreachが発生した場合、vendorなどは影響を受けた個人とFTCに通知する。ある州または管轄区域の住民500人以上に関わるときは、その地域の主要メディアへの通知も必要になる。通知方法や記載内容にも規則上の条件がある。

2024年改正は、大規模案件のFTC向け期限を変更した。500人以上に関わるbreachでは、発見後、不合理な遅れなく、遅くとも60暦日以内にFTCへ通知する。個人向け通知の時間軸とそろえられた。過去の10営業日という基準は、これらの案件に対する現在のルールではない。2021年声明を撤回しても、古い期限が復活することはない。

現場では、文書の不整合がそのまま期限リスクになる。法務メモは2021年声明を参照し、インシデント表は古い日数を残し、担当者のブックマークだけが現在の報告経路を指しているかもしれない。旧リンクを消すだけでは、判断根拠の更新にならない。

9月11日の確認時点で、eCFR、FTCの規則ページ、現行案内、オンライン報告面は公開されていた。その事実は将来の執行方針を約束しない。しかし、声明撤回だけで運用面が消えたとの主張とは両立しない。

2023年の命令は別の手続きに属する

FTCのGoodRx事件記録とEasy Healthcare事件記録には、無断開示に対するHealth Breach Notification Rule上の通知を怠ったとの2023年の主張が掲載されている。連邦裁判所は、両事件で合意命令を出した。

訴状は個別事実への適用を示すが、すべての健康アプリを拘束する一般規則ではない。合意命令を、すべての主張の自認と表現するのも正確ではない。一方、2026年の撤回声明は、これらの命令を破棄または変更したとは述べていない。

行政機関が政策声明を撤回する権限と、裁判所が命令を変更する権限は同じではない。別の文書が撤回されたという理由だけで命令が消えたと扱えば、権限の所在を誤る。

権限の移動を示す「版管理レシート」

制度の利用者に必要なのは、リンク集以上のものだ。私は重要な変更ごとに権限版管理レシートを付けることを提案する。文書種別、発行主体、案件またはドケット、採択・公表・発効日、置き換えられた文書、現行規則の条項、影響する定義または義務、現在の報告経路、個別命令の状態、訂正履歴を一枚で結ぶ。

今回なら、政策声明を撤回、委員会判断は2026年9月9日、2021年解釈文書は置換、16 CFR part 318は現行、2024年改正は2024年7月29日発効、報告経路は存在、2023年命令は撤回文書の対象外、と記録する。同時に、旧声明のすべての解釈がそのまま残ったとも、将来の執行が強まる・弱まるとも断定しない。

これは私の編集上の提案であり、FTCが求める仕組みではない。Heng LuのThe Policy Mirrorが示す発言者・権限・証拠の分離を、版管理に移したものだ。Running Code Primaryは、発表ではなく観察可能な状態を問う。Why BTW Media Existsは、機関の主張と規則、フォーム、裁判記録の現実を混同しない編集姿勢を支える。

FTCの決定に意味がないわけではない。委員会は解釈文書を減らし、通知と意見募集を経た規則へ重心を移した。権威の出所は見やすくなるかもしれないが、利用者が頼ってきた説明の強調点は薄れるかもしれない。その変化を正確に報じるためにこそ、存在しない廃止を付け加えてはいけない。

情報源

  1. FTC — 撤回発表
  2. FTC — 2026年委員会声明
  3. FTC — 2021年政策声明
  4. Federal Register — 2024年最終規則
  5. eCFR — 16 CFR part 318
  6. FTC — Health Breach Notification Ruleページ
  7. FTC — 現行コンプライアンス案内
  8. FTC — GoodRx事件
  9. FTC — Easy Healthcare事件
  10. Heng Lu — The Policy Mirror
  11. Heng Lu — Running Code Primary
  12. Heng Lu — Why BTW Media Exists