FTC撤销2021年健康应用违规通报政策声明：HBNR回归2024年规则文本，CMS应用库隐私基石受触动

被撤销的2021年政策声明曾在三方面扩张HBNR的适用：其一，因健康应用与联网设备提供健康相关服务，将其开发者视为HBNR下的“ healthcare providers”，把无HIPAA关联的企业拉入原本为个人健康记录供应商设计的通报体系；其二，采用聚合认定标准——即便应用仅从一个来源获取健康数据、但经API从另一来源（如日历）引入非健康数据，即落入覆盖；其三，将“违规”从网络安全事件延伸至未经授权的共享，使数据共享实践宽松（含广告技术集成）的企业同样面临通报义务与处罚风险。

FTC的撤销理由为：该声明不具约束力、收效甚微、已被2024年规则制定所取代，且属不必要的亚监管指导；委员会同时援引行政命令中关于清理过时指导文件的要求。委员会一致投票通过撤销。

需要澄清的是，撤销的是解释层而非规则本身。HBNR源自HITECH法第13407条，FTC于2009年制定原始规则，2024年通过正式规则制定程序修订了法律文本本身，修订后规则自2024年7月29日生效。现行eCFR仍编纂16 CFR part 318，覆盖非HIPAA的个人健康记录供应商、相关实体与第三方服务提供商，其告知对象与时限规则不变。

评论认为时机值得关注：CMS于2026年4月上线Medicare应用库时，曾把2021年解释提供的隐私保护作为审查背书之一。此外，健康应用并非因此进入监管真空——华盛顿州《My Health My Data Act》等州综合或健康专项隐私法，以及FTC的Section 5权力，仍对超出HIPAA范围的健康数据形成约束。