FTC отозвала заявление об утечках из приложений для здоровья

В среду FTC выложила релиз с названием, мимо которого проходишь не глядя: комиссия отзывает устаревшее заявление. Открыть его стоит хотя бы потому, что американские юристы уже пишут про «сужение правил для приложений о здоровье». Речь про заявление 2021 года. Тогда комиссия объяснила разработчикам приложений для здоровья и фитнес-трекеров, что при утечке данных на них распространяется правило об уведомлении, написанное для медицинских записей.

Что сказало ведомство

Сам документ об отзыве занимает полстраницы, основной текст там один абзац, остальное сноски. Комиссия отменяет заявление «Об утечках из приложений для здоровья и других подключённых устройств» от 15 сентября 2021 года и называет три причины. Каждая, по словам FTC, достаточна сама по себе.

Первая причина в том, что заявление принесло мало пользы и его перекрыло правило. В мае 2024 года FTC обновила Health Breach Notification Rule, правило об уведомлении об утечках медицинских данных, и в релизе сказано, что обновлённая версия уже охватывает приложения для здоровья и подключённые устройства вроде фитнес-трекеров. Вторая причина политическая, это дерегуляционная программа президента Трампа, в сносках перечислены три его указа 2025 года. Третья касается подхода самой комиссии: не злоупотреблять разъяснениями, у которых нет силы правила. Ещё FTC напоминает, что в 2021 году заявление было спорным и двое комиссаров тогда голосовали против.

При этом документ открывается фразой (перевод наш):

Защита конфиденциальности чувствительных сведений американцев о здоровье остаётся главным приоритетом комиссии.

В сноске к ней стоит дело против Hims & Hers, которое FTC и штаты начали в конце июля 2026 года из-за обманных и незаконных практик с данными.

Что это значит для бизнеса

Если у вашего приложения нет пользователей в США, американское правило вас не касается вовсе. Если есть, переделывать тоже ничего не нужно: уведомлять об утечках всё равно придётся, только основание теперь в правиле 2024 года.

Полезнее здесь сама история с заголовками. «Регулятор отменил» и «регулятор убрал разъяснение, потому что всё уже есть в норме» звучат похоже, а означают противоположное. В документе FTC про ослабление требований ничего нет, есть ссылка на действующее правило и на дело, открытое полтора месяца назад. Когда видите похожую новость про Роскомнадзор или ФАС, сначала откройте сам документ, а уже потом решайте, что можно не делать.

По российским правилам сведения о здоровье считаются специальной категорией персональных данных (статья 10 закона 152-ФЗ), и обрабатывать их, за небольшим набором исключений, можно с письменного согласия человека. Об утечке оператор обязан сообщить в Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования в течение 72 часов. Это касается не только клиник.

Кто собирает такие данные, часто сам об этом не задумывается:

• фитнес-клубы и студии, где новичок заполняет анкету о травмах и давлении;
• косметологи и мастера, которые записывают противопоказания;
• онлайн-школы питания с дневником веса;
• сервисы записи к врачу.

Я бы проверил, где хранятся эти анкеты, кто из сотрудников их открывает и не уходят ли списки клиентов в рекламные кабинеты для ретаргетинга. Сегмент «записались к гинекологу», загруженный в VK Рекламу, это уже сведения о здоровье конкретных людей, переданные площадке.

Кто ещё об этом написал

В нашей ленте на русском об отзыве никто не написал. На английском новость разобрали AHA News, CyberScoop и HIPAA Journal, свои комментарии выпустили юридические блоги, в том числе National Law Review.