Resumo

  • A FTC rescindiu em 9 de setembro de 2026 sua declaração não vinculante de 2021 sobre incidentes em apps de saúde. Disse que o documento trouxe benefício mínimo, foi superado pela regulamentação de 2024 e representava orientação sub-regulatória desnecessária.
  • A rescisão não revoga, suspende nem altera o 16 CFR part 318. A regra revista ainda determina o alcance para atores não cobertos pela HIPAA, a definição de incidente e as notificações devidas a pessoas, FTC e, em certos casos, meios de comunicação.

Retirar uma explicação não revoga o texto explicado

O comunicado da FTC chama a declaração anterior de obsoleta. A palavra é uma avaliação sobre a utilidade atual de um documento. Sem identificar a espécie do ato, porém, ela pode ser lida como uma conclusão muito maior: a de que o regime de notificação também ficou obsoleto.

A declaração da Comissão de 9 de setembro delimita a decisão. O texto de 2021 teria produzido pouco benefício, teria sido substituído pela regulamentação de 2024 e entraria na categoria de orientação sub-regulatória desnecessária. A Comissão acrescenta que orientações, em geral, não criam direitos substantivos nem obrigações vinculantes. Na avaliação apresentada, cada motivo seria suficiente e o conjunto superaria interesses de confiança.

O documento registra a justificativa institucional da FTC; não é uma pesquisa independente sobre como empresas usaram a orientação. Tampouco declara extinto um dever. Ao dizer que a regulamentação posterior substituiu a declaração, a Comissão aponta para o local onde a autoridade passou a residir.

A base legislativa está na seção 13407 do HITECH Act. A FTC criou a regra original em 2009. Na declaração de 2021, explicou sua visão sobre aplicativos capazes de obter informação de diversas fontes e sobre divulgações não autorizadas sem invasão externa. Depois de proposta e consulta pública, a regra final de 2024 levou definições e procedimentos de aviso ao texto normativo e entrou em vigor em 29 de julho de 2024.

Foi a camada interpretativa de 2021 que saiu em 2026. O eCFR atual ainda contém o 16 CFR part 318, enquanto a página temática da FTC mantém a regra e os documentos centrais. Não há no ato de rescisão uma frase que revogue, suspenda ou emende essas disposições.

O aplicativo precisa caber na definição

“Saúde” no nome de um produto não resolve sua classificação jurídica. A regra da FTC alcança vendors of personal health records, PHR related entities e determinados third-party service providers, todos conforme definições próprias. Entidades cobertas pela HIPAA e seus business associates ficam excluídos dessas definições para atividades cobertas e seguem o regime do Department of Health and Human Services.

A fronteira evita duas generalizações. A HIPAA não pode ser apagada do assunto, e estar fora dela não coloca automaticamente uma empresa dentro da regra da FTC. É preciso testar a identidade do ator, o tipo de registro, a capacidade do produto e a informação envolvida.

Um personal health record, para essa regra, é um registro eletrônico de informações de saúde identificáveis de uma pessoa, administrado, compartilhado e controlado por ela ou principalmente em seu benefício, com capacidade técnica de obter dados de múltiplas fontes. A alteração de 2024 esclareceu que a capacidade técnica pode bastar mesmo quando o usuário não ativa todas as conexões. A orientação atual de conformidade oferece exemplos, mas não substitui a leitura do regulamento.

A definição de breach também passou a explicitar a aquisição não autorizada de informação identificável não protegida em razão de incidente de segurança ou divulgação não autorizada. Permanece uma presunção refutável de aquisição não autorizada. Isso alcança situações sem hacker; não transforma toda entrega de dado relacionado à saúde em incidente coberto. Autorização, ator, dado e circunstância ainda precisam ser demonstrados.

A declaração de 2021 havia dado destaque à multiplicidade de fontes e às divulgações não autorizadas. A regra final de 2024 discute a declaração, a proposta e os comentários do público. A autoridade atual deriva desse processo e do texto codificado, não da manutenção indefinida da orientação anterior.

O prazo de 60 dias não foi retirado

Diante de um incidente coberto, os atores sujeitos à regra devem avisar as pessoas afetadas e a FTC. Quando há 500 ou mais residentes de um estado ou jurisdição, há também aviso a meios de comunicação de destaque que atendem à área. Forma, conteúdo e entrega dos avisos obedecem a requisitos específicos.

Em 2024, a FTC mudou o calendário para incidentes envolvendo 500 pessoas ou mais. O aviso à Comissão deve ser feito sem atraso injustificado e em até 60 dias corridos após a descoberta, alinhado ao aviso aos indivíduos. O antigo padrão de dez dias úteis não é a regra atual para esses casos. Retirar a declaração de 2021 não faz o cronograma voltar.

Uma organização pode eliminar o link antigo e continuar operando com uma planilha desatualizada. Pode também manter o formulário atual, mas não guardar qual versão da regra sustentou a avaliação de escopo. O risco não está apenas no documento publicado; está na conexão entre a fonte e o procedimento interno.

Na verificação de 11 de setembro, o texto do eCFR, a página da regra, a orientação atual e o canal público de notificação continuavam disponíveis. Essa continuidade não garante a prioridade de um caso futuro. Ela mostra que a rescisão não removeu por si só a superfície de operação.

Ordens judiciais não são anexos de uma orientação

Os registros dos casos GoodRx e Easy Healthcare mostram reclamações de 2023 nas quais a FTC alegou, entre outros pontos, falha em emitir avisos exigidos após divulgações não autorizadas. Tribunais federais proferiram ordens estipuladas.

São aplicações ligadas a fatos próprios, não uma conclusão automática sobre todo aplicativo. Uma ordem acordada também não deve ser descrita como admissão de cada alegação. Ainda assim, a declaração de 2026 não informa que essas ordens foram anuladas ou modificadas.

Cada instrumento tem seu controlador. A Comissão pode retirar uma orientação; a revisão da regra exige o procedimento pertinente; uma ordem depende do tribunal e de seu processo. Inferir que a primeira decisão realizou todas as outras apaga o desenho institucional.

Um recibo de versão para a autoridade

Páginas públicas de órgãos misturam materiais de naturezas diferentes sob a mesma identidade visual. Um resultado de busca reduz ainda mais o contexto. O documento mais recente passa a parecer o mais forte; quando ele some, o leitor pode acreditar que todo o conjunto foi revogado.

Minha proposta é anexar a mudanças materiais um recibo de versão de autoridade. Ele registraria classe do instrumento, órgão emissor, matéria ou processo, datas de adoção, publicação e vigência, documento superado, seção normativa ativa, definição ou dever afetado, caminho atual de notificação, estado de ordens específicas e histórico de correções.

Neste evento, o recibo apontaria: declaração de política retirada; decisão de 9 de setembro de 2026; documento interpretativo de 2021 superado; 16 CFR part 318 ativo; revisão de 2024 vigente desde 29 de julho de 2024; caminho público de reporte presente; ordens de 2023 não abordadas. Também manteria abertas as perguntas sobre ênfase interpretativa e prioridade futura.

O mecanismo é uma proposta editorial minha, não uma exigência anunciada pela FTC. Ele aplica a distinção entre emissor, autoridade e evidência de The Policy Mirror, de Heng Lu. O teste de Running Code Primary exige localizar uma alteração observável, não apenas uma frase. Why BTW Media Exists completa o método: a posição de um órgão deve ser noticiada, mas não usada como substituto para o estado da norma, do formulário e do processo judicial.

A retirada tem consequência real. A Comissão escolheu reduzir uma camada de orientação e concentrar a referência pública em regra submetida a proposta e comentários. Isso pode tornar a hierarquia mais legível e, ao mesmo tempo, remover explicações conhecidas. Reconhecer os dois efeitos é mais rigoroso do que inventar uma revogação.

Fontes

  1. FTC — anúncio da retirada
  2. FTC — declaração da Comissão de 2026
  3. FTC — declaração de política de 2021
  4. Federal Register — regra final de 2024
  5. eCFR — 16 CFR part 318
  6. FTC — página da Health Breach Notification Rule
  7. FTC — orientação atual de conformidade
  8. FTC — processo GoodRx
  9. FTC — processo Easy Healthcare
  10. Heng Lu — The Policy Mirror
  11. Heng Lu — Running Code Primary
  12. Heng Lu — Why BTW Media Exists