Кратко

  • 9 сентября 2026 года FTC отозвала необязательное заявление 2021 года об утечках в приложениях для здоровья. Комиссия назвала его пользу минимальной, указала, что документ заменило нормотворчество 2024 года, и отнесла его к ненужным подзаконным разъяснениям.
  • Решение не отменяет, не приостанавливает и не изменяет 16 CFR part 318. Для подпадающих под определения организаций вне режима HIPAA по-прежнему действуют охват, триггеры, адресаты и сроки изменённой Health Breach Notification Rule.

Заголовок о выводе документа не равен отмене нормы

В сообщении FTC прежнее заявление названо устаревшим. Если не уточнить вид документа, это слово легко перенести на весь режим уведомления. Но пресс-релиз, программное заявление, кодифицированное правило и судебный приказ не получают одинаковую силу лишь потому, что рядом с ними стоит название FTC.

Одностраничное решение Комиссии очерчивает более узкую границу. По её оценке, заявление 2021 года принесло мало пользы, было вытеснено нормотворчеством 2024 года и стало ненужным субрегуляторным руководством. FTC также подчёркивает, что руководящие материалы обычно не создают материальных прав или юридически обязательных обязанностей. Каждый довод она считает достаточным сам по себе, а их совокупность — перевешивающей интересы тех, кто мог полагаться на документ.

Это позиция Комиссии о собственном акте, а не независимое доказательство того, что им никто не пользовался. И это не заявление о прекращении обязанности уведомлять. Слова о замене нормотворчеством, напротив, указывают на новый центр правового веса.

Цепочка начинается с section 13407 HITECH Act. На её основе FTC приняла первоначальное правило в 2009 году. Заявление 2021 года объясняло позицию Комиссии о приложениях, технически способных получать данные из нескольких источников, и о несанкционированном раскрытии без внешнего взлома. Затем после проекта и публичных комментариев появилась окончательная редакция 2024 года. Она изменила сам текст правила и вступила в силу 29 июля 2024 года.

В 2026 году удалили интерпретационный слой. Решение не заявляет об отмене законодательной основы или поправок 2024 года. Актуальный eCFR продолжает содержать 16 CFR part 318, а страница правила FTC сохраняет доступ к норме и первичным материалам.

Правовой режим нельзя определить по иконке приложения

Название «приложение для здоровья» удобно для рынка, но недостаточно для охвата. Правило FTC адресовано определённым vendors of personal health records, PHR related entities и third-party service providers. HIPAA covered entities и business associates исключаются из этих определений в отношении охватываемой деятельности и следуют режиму уведомления Department of Health and Human Services.

Из этого не следует ни отсутствие HIPAA в сфере потребительских медицинских данных, ни автоматическое применение FTC ко всему, что оказалось вне HIPAA. Проверяются статус участника, вид записи, функция продукта и затронутая информация.

Personal health record в правиле FTC — электронная запись идентифицируемой информации о здоровье человека, которой управляет и делится сам человек либо которая контролируется преимущественно для него и технически способна получать сведения из нескольких источников. Поправка 2024 года уточнила: значение имеет техническая способность, даже если пользователь не включил все доступные соединения. Действующее руководство по соблюдению содержит примеры, но остаётся пояснением, а не заменой текста нормы.

Определение breach также не ограничено проникновением хакера. Оно включает несанкционированное приобретение незащищённой идентифицируемой PHR-информации о здоровье вследствие инцидента безопасности или несанкционированного раскрытия и сохраняет опровержимую презумпцию несанкционированного приобретения. Это позволяет охватить раскрытие без внешней атаки, но не превращает любую передачу данных о здоровье в нарушение. Авторизация, участник, данные и факты остаются предметом анализа.

Заявление 2021 года выделяло оба вопроса. Финальное правило 2024 года обсуждает это заявление, предложенную редакцию и публичные комментарии. Его нынешняя сила опирается на завершённую процедуру и кодифицированный текст, а не на вечное присутствие прежнего PDF.

Срок уведомления продолжает отсчитываться

При охватываемом событии соответствующие организации обязаны уведомить затронутых людей и FTC. Если оно касается не менее 500 жителей штата или иной юрисдикции, уведомление также направляется заметным средствам массовой информации, обслуживающим эту территорию. Содержание и способ доставки определены правилом.

Поправка 2024 года изменила срок для крупных случаев. При охвате 500 или более человек FTC уведомляют без необоснованной задержки и не позднее 60 календарных дней после обнаружения — в одном временном окне с индивидуальными уведомлениями. Прежние десять рабочих дней больше не описывают действующую норму для таких случаев. Отзыв заявления 2021 года не возвращает старый календарь.

Внутри компании могут одновременно жить записка со ссылкой на 2021 год, таблица со старым сроком и закладка на новый канал подачи. Удаление первой ссылки не исправляет остальные два состояния. Рабочее решение должно хранить версию правила, применённые определения и дату, от которой считался срок.

При проверке 11 сентября текст eCFR, страница правила, актуальное руководство и публичная форма сообщения оставались доступны. Это не прогноз будущих приоритетов FTC. Но это наблюдаемое свидетельство того, что рабочая поверхность режима не исчезла из-за отзыва заявления.

Судебный приказ живёт не в приложении к руководству

Материалы дел GoodRx и Easy Healthcare фиксируют иски FTC 2023 года. Среди прочего Комиссия утверждала, что после несанкционированных раскрытий не были направлены уведомления по Health Breach Notification Rule. Федеральные суды приняли согласованные приказы.

Эти процессы показывают применение к конкретным фактам, но не образуют универсальное решение для всех приложений. Согласованный приказ нельзя выдавать за признание каждого утверждения. Одновременно отзыв 2026 года не говорит, что приказы отменены или изменены.

Комиссия контролирует своё разъяснение, общее правило меняется через соответствующую процедуру, а приказ — через суд. Нельзя считать, что первый орган одним абзацем совершил действия за остальных.

Нужна квитанция версии полномочий

На сайте органа новость, правило, руководство, форма и судебное дело выглядят как элементы одной системы. Поисковая выдача ещё сильнее стирает различия. Самая свежая дата начинает означать «самая сильная инструкция», а удалённая страница — «отменённая обязанность».

Я предлагаю сопровождать существенные изменения квитанцией версии полномочий. В ней должны быть вид инструмента, орган, предмет или номер дела, даты принятия, публикации и вступления в силу, заменённый документ, действующий раздел правила, затронутая дефиниция или обязанность, актуальный канал сообщения, статус индивидуальных судебных приказов и история исправлений.

Для этого события квитанция указала бы: программное заявление отозвано; решение Комиссии датировано 9 сентября 2026 года; интерпретационный документ 2021 года заменён; 16 CFR part 318 действует; поправка 2024 года вступила в силу 29 июля 2024 года; канал сообщения доступен; приказы 2023 года решением не затронуты. Она не обещала бы сохранение всех прежних акцентов и не угадывала бы интенсивность будущего контроля.

Это моя редакционная конструкция, а не требование FTC. Она переносит разграничение говорящего, полномочия и доказательства из эссе Хэн Лу The Policy Mirror в управление версиями. Проверка Running Code Primary требует найти наблюдаемый переход состояния. Why BTW Media Exists добавляет ограничение: позиция института является фактом о его словах, но не заменяет состояние нормы, формы или судебной записи.

Решение FTC имеет значение. Комиссия сократила слой публичных толкований и направила пользователей к правилу, прошедшему предложение и обсуждение. Это может прояснить источник власти и одновременно убрать привычные пояснения. Оба эффекта реальны, но ни один не требует выдумывать отмену нормы.

Источники

  1. FTC — сообщение об отзыве
  2. FTC — решение Комиссии 2026 года
  3. FTC — заявление 2021 года
  4. Federal Register — окончательное правило 2024 года
  5. eCFR — 16 CFR part 318
  6. FTC — страница Health Breach Notification Rule
  7. FTC — действующее руководство
  8. FTC — дело GoodRx
  9. FTC — дело Easy Healthcare
  10. Heng Lu — The Policy Mirror
  11. Heng Lu — Running Code Primary
  12. Heng Lu — Why BTW Media Exists