米FTCがヘルスアプリ向け侵害通知の旧指針を撤回 — 2021年政策声明を取り消し、2024年規則で代替

米連邦取引委員会（FTC）は2026年9月9日（米国時間）、ヘルスアプリやコネクテッドデバイスのデータ侵害通知に関する2021年の政策声明を撤回したと発表した。FTCは、2024年にHealth Breach Notification Rule（健康情報侵害通知規則）が改正され、ヘルスアプリやフィットネストラッカーなどが正式に規則の対象となったため、当時の政策声明は不要になったと説明している。委員会が撤回を決定した。

何が撤回されたのか

撤回の対象は、**2021年にFTCが公表した「Breaches by Health Apps and Other Connected Devices（ヘルスアプリ等の侵害）に関する政策声明」**だ。この声明は、FTCが所管するHealth Breach Notification Ruleを、従来の医療機関向けの枠を超えてヘルスアプリや健康情報を扱うコネクテッドデバイスにも適用するとする解釈を示したものだった。

当時は、Apple Healthのような健康・フィットネスアプリやウェアラブル端末が収集する健康情報について、連邦レベルの侵害通知義務が明確でなかった。FTCは政策声明という形で、これらのサービスもHealth Breach Notification Ruleの対象であり、侵害時には通知が必要である旨を宣言していた。FTC自身が今回「controversial（議論を呼んだ）政策声明」と表現しているように、当時は適用範囲をめぐり論争があった。

しかし、FTCは2024年にHealth Breach Notification Ruleを正式に改正し、ヘルスアプリやフィットネストラッカーなどのコネクテッドデバイスが扱う消費者健康情報を規則の対象として明文化した。これにより、2021年の政策声明は規則に置き換えられた形となり、FTCは声明を「obsolete（時代遅れ）」「unnecessary（不要）」と位置づけた。

FTCが公表した撤回文書（Health-Breach-Commission-Statement.pdf）でも、この経緯が示されている。

撤回の背景 — 大統領令と規制整理

FTCは今回の撤回を、ドナルド・J・トランプ大統領の大統領令を受けた措置として説明している。大統領令は、不要な規則だけでなく、不要になったガイダンス文書や政策声明も撤廃するよう各政府機関に指示する内容だ。FTCは声明で、大統領令が**「複雑な連邦規制の肥大化（ever-expanding morass of complicated Federal regulation）が、米国消費者に何の利益ももたらさないまま拡大している」**という問題意識に基づくものだと紹介している。

FTCは、今回の撤回が規制の明確化と簡素化の一環であり、消費者保護の後退ではないという立場だ。実際、2024年改正後のHealth Breach Notification Ruleでは、ヘルスアプリ等のベンダーが個人の健康情報を管理し、侵害が発生した場合には、影響を受けた消費者およびFTCへの通知が義務付けられている点に変わりはない。FTCは、規則本体で義務が担保されているため、重複する政策声明は不要だとしている。

現行規則で求められること

FTCの説明とHealth Breach Notification Ruleの概要によれば、現行の枠組みは次のとおりだ。

対象：健康情報を扱うヘルスアプリや、フィットネストラッカーなどのコネクテッドデバイスを提供・管理するベンダーやサービス提供者
通知義務：個人の健康情報（PHR identifiable health information）の侵害が発生した場合、影響を受けた消費者への通知と、FTCへの通知が求められる
位置づけ：従来は政策声明で解釈を示していた内容が、2024年改正で規則として正式に位置づけられた

FTCは、規則の詳細や対象の判断については、Health Breach Notification Ruleの条文と関連ガイダンスを参照するよう案内している。

日本企業への示唆

米国でヘルスアプリやヘルスケア関連サービスを展開する日本企業にとって、今回の撤回は義務自体が緩和されたことを意味しない点に注意が必要だ。むしろ、2021年には解釈に留まっていた義務が、2024年改正で規則として明確化されたため、対応の法的根拠がより強固になったと理解すべきだ。

FTCは今後も、健康情報の侵害時の通知遅延や不備を執行対象とする姿勢を示している。米国市場で健康・フィットネス関連のアプリやデバイスを提供する事業者は、Health Breach Notification Ruleの対象範囲、通知期限、通知内容の要件を改めて確認し、インシデント対応計画に組み込むことが求められる。

出典

Federal Trade Commission「FTC Withdraws Obsolete Policy Statement」（2026年9月9日） https://www.ftc.gov/news-events/news/press-releases/2026/09/ftc-withdraws-obsolete-policy-statement
同撤回に係る委員会声明（PDF） https://www.ftc.gov/system/files/ftc_gov/pdf/Health-Breach-Commission-Statement.pdf

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。