FTC、健康アプリのデータ侵害に関する2021年の政策声明を撤回

2021年9月、米連邦取引委員会(FTC)は、医療保険の相互運用性と説明責任に関する法律(HIPAA)の対象外となっている健康アプリやその他の接続デバイスにも、FTCの医療情報侵害通知規則を適用範囲とする政策声明を発表しました。2026年9月9日、FTCはこの政策声明を撤回しました。規則制定によって既に代替されており、もはやほとんど便益をもたらさないと判断されたためです。

医療情報侵害通知規則は、経済的・臨床的健全性のための医療情報技術に関する法律(HITECH法)に基づき2009年に制定されたもので、HIPAAの適用対象とならない個人健康記録(PHR)ベンダーおよび関連事業者に適用されます。2021年、FTCは、健康アプリが一般に普及し、消費者の機密性の高い健康情報や個人情報を収集する機会が増えていることを踏まえ、アプリ開発者には収集したデータを保護し不正アクセスから守る責任があり、また情報の侵害や不正な開示が発生した場合には消費者への通知が義務付けられるべきだと判断しました。

2021年の政策声明によれば、FTCは、複数のソースからデータを引き出す機能を持ち、かつ米保健福祉省が発行する同様の規則の対象になっていないアプリやデバイスの開発者を、個人健康記録のベンダーとみなすとしていました。この方針転換は当時大きな議論を呼び、政策声明はFTC内で多数の支持を得たものの、賛成3対反対2の僅差での承認にとどまりました。ノア・ジョシュア・フィリップス委員とクリスティン・S・ウィルソン委員は反対票を投じており、両委員とも、医療情報侵害通知規則の適用範囲に関するFTCの解釈は法文の範囲を逸脱していると考えていました。

2024年、FTCは医療情報侵害通知規則を改訂し、その適用範囲を大幅に拡大しました。健康情報の定義が広げられ、健康アプリや接続デバイス、さらにはユーザーデータから健康に関する推論を導き出すその他の技術によって収集されるデータにも規則が適用されることが明確化されました。また、通知義務の対象となる「侵害」には、サイバーセキュリティインシデントや第三者への不正な開示も含まれることが明確にされました。

2026年9月9日の声明でFTCは、2024年の医療情報侵害通知規則の改訂によって当該政策声明は不要になったと述べています。さらに、トランプ大統領による大統領令に基づき、各省庁は米国民にとって何の利益ももたらさない時代遅れのガイダンス文書、政策声明、不要な規則を撤廃するよう指示されており、これが今回の政策声明撤回の決定につながったとしています。