FTC rescinde la policy sui breach delle app salute: il segnale è politico

La Federal Trade Commission ha rescisso il 9 settembre 2026 la Policy Statement del 2021 che estendeva esplicitamente l'Health Breach Notification Rule alle applicazioni di salute e ai dispositivi connessi. La decisione è unanime, ma l'unanimità nasce da una commissione ora composta interamente da nominati Repubblicani dopo i licenziamenti dei commissioner Democratici da parte dell'amministrazione Trump. La FTC motiva il passo con l'obsolescenza della guidance, sostituita nel 2024 da un aggiornamento regolamentare vincolante, e con l'ordine esecutivo presidenziale per l'eliminazione della regolamentazione superflua.

La distinzione che conta: policy statement contro rule

Il nucleo tecnico-giuridico della vicenda sta nella differenza tra due strumenti normativi. La Policy Statement del 2021 era una guidance interpretativa, non un regolamento vincolante. La FTC stessa lo ha ribadito nel comunicato: la guidance "in generale non crea né diritti sostanziali né obblighi vincolanti". La sua funzione era chiarire l'intenzione dell'agenzia di applicare l'Health Breach Notification Rule — originariamente concepito per le entità sanitari elettroniche — anche alle app di salute e ai fitness tracker, un settore fino ad allora in un vuoto regolatorio rispetto all' HIPAA.

Nel 2024 la Commissione ha aggiornato la Rule proprio per coprire esplicitamente queste categorie. A quel punto, secondo la FTC, la Policy Statement del 2021 è diventata ridondante. La rescissione è quindi presentata come pulizia amministrativa, non come riduzione delle tutele. Il problema è che la rimozione di una guidance interpretativa — anche se tecnicamente superflua — elimina la chiarezza espressa sull'enforcement e la documentazione pubblica delle priorità dell'agenzia.

Un voto unanime nato da una composizione cambiata

La composizione della commissione spiega la convergenza dei voti. La policy originale era stata approvata con voto diviso 3-2 sotto la chair Lina Khan, con i tre Democratici a favore e i due Repubblicani contrari. Nel 2026 la commissione è presieduta da Andrew Ferguson, nominato Repubblicano da Biden che ora guida una FTC interamente composta da membri dello stesso partito. CyberScoop riferisce che Trump ha licenziato i commissioner Democratici che avevano sostenuto la policy del 2021, avanzando alleati di partito come sostituti.

L'unanimità del voto di rescissione è quindi un dato politico, non necessariamente una convergenza di merito. La FTC nel comunicato ufficiale non menziona la composizione interna, ma enfatizza che la policy era "contenziosa al momento dell'emissione" e che ognuna delle ragioni addotte "è indipendentemente sufficiente a supportare la decisione". La formulazione lascia intendere che l'agenzia riconosca la natura polarizzata del provvedimento originale senza doverne dettagliare le dinamiche interne attuali.

L'ordine esecutivo Trump e la cornice deregolatoria

"In un ordine esecutivo, il presidente Donald J. Trump ha diretto alle agenzie di eliminare non solo regole non necessarie, ma anche documenti di guida obsoleti" — FTC, comunicato ufficiale del 9 settembre 2026

Il collegamento con l'amministrazione Trump è esplicito e non mediato. La FTC cita direttamente l'ordine esecutivo presidenziale come impulso all'azione, affermando che la rescissione "allinea l'azione con la guida della Casa Bianca per perseguire un'agenda deregolatoria". Questa è la prima volta, nelle fonti disponibili, che un ordine esecutivo Trump viene invocato da un'agenzia indipendente per giustificare la rimozione di una guidance specifica nel settore della protezione dati.

La scelta di rendere pubblico questo allineamento ha un valore segnaletico. Le agenzie indipendenti tradizionalmente enfatizzano la propria autonomia decisionale. La FTC invece enfatizza la continuità con la direttiva presidenziale, quasi a pre-stampare la legittimità della scelta. CyberScoop nota che la decisione "allinea l'agenzia con l'agenda deregolatoria della Casa Bianca", sottolineando come la formula sia un'adesione piuttosto che una mera constatazione.

Cosa cambia

La rescissione non elimina l'Health Breach Notification Rule aggiornata nel 2024, ma rimuove l'esplicita dichiarazione di intenti dell'agenzia su un settore in rapida espansione. Le app di salute e i dispositivi connessi raccolgono quantità crescenti di dati biometrici e comportamentali, spesso venduti a broker di dati per finalità pubblicitarie o di profilazione assicurativa. La policy del 2021 aveva incluso nella nozione di breach anche la vendita non autorizzata di questi dati, con multe fino a 43.792 dollari per violazione.

Il dossier non specifica se la FTC intenda applicare con la stessa intensità la rule senza la policy statement. La rule tecnicamente copre le stesse entità, ma l'assenza di una guidance dedicata aumenta l'incertezza interpretativa per gli operatori del settore. Le fonti non riportano reazioni di sviluppatori o associazioni di categoria, né azioni legali per contestare la rescissione. L'impatto concreto sulle protezioni dei consumatori resta quindi un punto da verificare: la regola sussiste, ma la volontà di farla rispettare è ora meno documentata.

Il segnale più forte è forse quello di apertura di una nuova fase di deregolamentazione nei settori dati-sensibili. Se la FTC applica la stessa logica ad altre guidance nel campo della privacy e della cybersecurity sanitaria, l'effetto cumulativo potrebbe essere significativo anche senza modifiche regolamentari formali. La distinzione tra rule e policy statement, tecnicamente solida, diventa uno strumento per ridurre la visibilità dell'enforcement senza dover affrontare i processi di modifica regolamentare.

Domande frequenti

Le app di salute non sono più obbligate a notificare i breach?
Sì, restano obbligate. L'Health Breach Notification Rule aggiornata nel 2024 continua a coprirle tecnicamente. La rescissione riguarda solo la Policy Statement interpretativa del 2021, non il regolamento vincolante.

Qual era il contenuto specifico della policy del 2021?
La policy estendeva esplicitamente la Rule alle app di salute e ai dispositivi connessi, chiarendo che la vendita non autorizzata di dati sanitari costituiva un breach soggetto a notifica, con sanzioni fino a 43.792 dollari per violazione.

La FTC può ancora sanzionare le violazioni?
La fonte non specifica modifiche ai poteri sanzionatori della FTC. La Rule 2024 resta in vigore, ma il dossier non documenta se l'agenzia intenda mantenere la stessa intensità di enforcement senza la guidance dedicata.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• https://cyberscoop.com/ftc-rescinds-health-app-data-breach-policy/
• https://www.ftc.gov/news-events/news/press-releases/2026/09/ftc-withdraws-obsolete-policy-statement
• https://cyberscoop.com/ai-healthcare-apps-hipaa-privacy-risks-openai-anthropic/
• https://cyberscoop.com/bedoya-slaughter-ftc-lawsuit-unlawful-dismissal-trump/
• https://www.ftc.gov/legal-library/browse/advisory-opinions