摘要

  • FTC于2026年9月9日撤回一份不具约束力的2021年政策声明，称其收益有限、已被2024年规则制定取代，而且属于没有必要继续保留的次级监管指引。
  • 撤回文件没有废止、暂停或修改16 CFR part 318。对符合定义、且不属于HIPAA规制范围的健康应用及个人健康记录经营者而言，2024年修订后的Health Breach Notification Rule仍决定适用范围、触发条件、通知对象与时限。

先问文件拥有什么权力

FTC新闻稿把2021年声明称为“过时”。这个词说明委员会如何评价旧文件，却不能单独说明现行法发生了什么。新闻稿、政策声明、法规正文和法院命令都可能出现在同一个官方域名下，但它们不会因为页面设计相同而取得相同效力。

9月9日的一页撤回声明给出了三个理由。委员会认为，2021年声明带来的实际收益很少；2024年规则制定已经取代它；继续保留会违背委员会反对不必要次级监管指引的取向。文件还明确写道，指引通常既不创设实体权利，也不创设有约束力的义务。委员会称每项理由都可独立支持撤回，合并起来也足以超过依赖利益。

这些是FTC对自身文件的制度判断，不是对所有市场参与者依赖情况的独立调查结论。它更没有说健康数据泄露通知责任随之消失。恰恰相反，“已被规则制定取代”把权威指针移向了2024年的正式文本。

沿时间线看，国会在HITECH Act第13407条奠定法定基础，FTC于2009年制定最初规则。2021年政策声明集中解释了健康应用从多个来源提取信息的技术能力，以及未经授权披露也可能构成泄露。之后经过拟议规则和公众意见，FTC发布2024年最终规则，把定义和通知机制写入规则正文，并于2024年7月29日生效。

2026年撤回的是这条链上的解释文件，不是整条链。现行eCFR仍载有16 CFR part 318，FTC的规则专题页也仍汇集现行规则与主要材料。就本报道在9月11日核查到的公开状态而言，约束性规则并未随声明一起离场。

“健康应用”不是自动适用标签

应用商店里的产品分类不能替代法律定义。FTC规则针对其定义的个人健康记录供应商、个人健康记录相关实体与第三方服务提供商。受HIPAA覆盖的实体及其business associate，在其受覆盖活动上被排除于这些定义之外，适用美国卫生与公众服务部的泄露通知制度。

这条边界同时否定两种简单推断。不能说HIPAA与健康应用数据无关，也不能说只要不受HIPAA约束就一定落入FTC规则。需要逐项确认经营者身份、记录性质、信息来源、个人控制关系和事件事实。

在FTC规则中，个人健康记录是包含某一个人可识别健康信息的电子记录，由个人或主要为个人管理、共享和控制，并具有从多个来源提取信息的技术能力。2024年修订强调“技术能力”：即使用户没有启用所有潜在连接，产品仍可能满足多来源要素。FTC的现行合规指引提供了场景说明，但指引帮助理解，法规正文才是效力起点。

“泄露”的判断也不能只看是否遭到黑客攻击。修订后的定义涵盖因数据安全事件或未经授权披露而发生的、对未受保护的个人健康记录可识别健康信息的未经授权获取，并保留可反驳的未经授权获取推定。这意味着非黑客式披露也可能进入规则，同时不等于任何健康数据传输都构成泄露。授权、主体、数据和事件仍须按定义审查。

2021年声明曾突出上述两点。2024年最终规则则讨论了该声明、拟议规则和公众意见。现行解释的权威基础因此已经进入规则制定记录，无需让旧声明继续以独立政策命令的姿态存在。

旧文件撤回，不会把时钟拨回去

发生规则覆盖的泄露后，相关供应商和实体须通知受影响个人与FTC。若事件涉及某一州或辖区至少500名居民，还须通知服务该地区的主要媒体。通知内容、发送方式和时间均受规则约束。

2024年修订改变了一个容易被旧清单保留下来的期限。涉及500人或以上的泄露，向FTC报告须在发现后没有不合理延误地作出，且不得晚于60个日历日，与个人通知期限对齐。过去的十个工作日表述已不是这类事件的现行规则。撤回2021年声明也不会让旧期限复活。

真正的操作风险，常常藏在文档版本之间。一家公司可能删掉指向旧声明的法律备忘录，却继续使用带有旧期限的事件响应表；也可能保留新的上报网址，却无法说明内部定义来自哪一版规则。完成一次“删除旧链接”并不代表完成合规校验。

截至9月11日，eCFR正文、FTC规则页、现行指引和在线报告入口仍可公开访问。页面继续存在并不能预测FTC下一步执法力度，但足以说明撤回动作没有抹去现行操作界面。

个案命令有自己的法律生命

FTC的GoodRx案件页和Easy Healthcare案件页记录了2023年的诉讼。委员会在其中指称，当事方对未经授权披露没有履行Health Breach Notification Rule要求的通知。联邦法院在两案中作出经双方约定的命令。

这些材料表明规则如何被用于具体事实，但不能直接变成所有健康应用的统一判决。约定命令也不能被描述为被告承认每一项指控。另一方面，9月9日撤回声明没有表示两份法院命令被撤销、暂停或修改。

法院命令、监管投诉和一般规则属于不同权力轨道。若要改变法院命令，需要相应法律程序；监管机构撤回另一份政策声明不会通过暗示完成这一工作。把两者混为一谈，会同时夸大声明原来的效力，并低估法院命令的独立地位。

给每次权威迁移附一张版本凭据

监管网站常把规则、新闻稿、问答、表单和执法案件并列展示。搜索引擎又把它们压缩成相似的结果卡片。读者看到的“最新”文件，很容易被误认成“最高”权威；文件一旦撤回，反方向的误读也随之出现：仿佛所有相关要求都已撤走。

我建议对重要变更发布一张权威版本凭据。凭据应列明文件类型、发布机关、事项或案号、通过与生效日期、被取代文件、仍有效的法规条款、受影响的定义或责任、现行报告路径、个案命令状态和更正历史。每个操作决定还应保存当时实际使用的版本。

在本案中，它会记录：撤回政策声明；委员会决定日期为2026年9月9日；2021年解释文件被取代；16 CFR part 318仍有效；2024年修订于2024年7月29日生效；报告路径仍在；撤回声明没有处理2023年法院命令。它不会擅自声称2021年所有解释原封不动，也不会预测未来执法强弱。

这张凭据是我的编辑建议，不是FTC已经提出的制度。其方法来自Heng Lu在《The Policy Mirror》中对发言者、权威与证据的区分。“运行代码”检验要求把公告对应到可观察的状态变化；《Why BTW Media Exists》则提醒报道者，机构立场不能取代规则、表单与法院记录的实际状态。

FTC这次确实作出了治理选择：减少次级解释文件，把读者导向经过通知与评论程序的正式规则。它可能让权威层级更清楚，也可能撤去某些使用者熟悉的解释重点。承认这两种效果，不需要制造一次并未发生的规则废止。

来源

  1. FTC——撤回声明新闻稿
  2. FTC——2026年9月9日委员会声明
  3. FTC——2021年健康应用政策声明
  4. Federal Register——2024年最终规则
  5. eCFR——16 CFR part 318
  6. FTC——Health Breach Notification Rule专题页
  7. FTC——现行合规指引
  8. FTC——GoodRx案件记录
  9. FTC——Easy Healthcare案件记录
  10. Heng Lu——The Policy Mirror
  11. Heng Lu——Running Code Primary
  12. Heng Lu——Why BTW Media Exists