連載
» 2021年11月12日 10時00分 公開

フィットネストラッカーにも広がる米国のセキュリティ規制、異業種連携も加速海外医療技術トレンド(77)(1/3 ページ)

前回の連載第76回では米国の医療機器サイバーセキュリティ規制動向を取り上げたが、医療機器に該当しない健康アプリケーション/機器でも、新たな規制に向けた動きが顕在化している。

[笹原英司,MONOist]

 前回、米国の医療機器サイバーセキュリティ規制動向を取り上げたが、医療機器に該当しない健康アプリケーション/機器でも、新たな規制に向けた動きが顕在化している。

⇒連載「海外医療技術トレンド」バックナンバー

消費者向け健康アプリのデータ保護対策強化を求めるFTC

 本連載第8回で触れたように、「医療機器」「非医療機器」に関わらず、一般消費者が利用するヘルスケアデバイスおよび関連サービスの場合、消費者保護の観点から、プライバシー/個人データ保護を所管する米国連邦取引委員会(FTC)が関わっている。

 2021年9月15日、FTCは、消費者の健康情報を収集または利用する健康アプリケーションおよび接続された機器が「健康侵害通知規則」を順守しなければならない点を訴求する政策声明書を発出し、企業に対する注意喚起を行った(図1参照、関連情報)。

図1 図1 米国連邦取引委員会(FTC)の消費者向け健康アプリケーションおよび接続されたデバイスに関する政策声明書(2021年9月15日)[クリックで拡大] 出典:Federal Trade Commission (FTC)「FTC Warns Health Apps and Connected Device Companies to Comply With Health Breach Notification Rule」(2021年9月15日)

 健康侵害通知規則は、オバマ政権下の2009年8月17日、リーマンショック後の景気浮揚策として制定された「2009年米国再生再投資法(ARRA)」の一部として制定・施行された規則である(関連情報)。具体的には、医療保険の携行性と責任に関する法律(HIPAA)が適用されない個人健康記録(PHR)を提供するベンダーおよび関連するサードパーティーアプリケーションを提供する事業者に対して、健康データ侵害を発見したら60日以内(500人以上の個人が影響を受ける侵害の場合は10営業日以内)に、FTCおよび消費者に通知するよう求めている。

 今回公表された声明書の中でFTCは、糖尿病患者の血糖値から、心臓の健康、生殖、睡眠に至るまで、全てを追跡できる健康アプリケーションが、消費者から機微な個人データをますます収集しており、これらのアプリケーションは、情報への不正アクセスの防止など、収集するデータのセキュリティを保証する責任があるとしている。

 FTCの規制対象となるケースとして、消費者から健康情報を収集し、APIを介してデータを引き出して、消費者のフィットネストラッカーと同期する技術機能を有するような、HIPAA規制対象外の健康アプリケーションを挙げている。そして、FTCの健康侵害通知規則を順守しない企業に対しては、最高4万3792米ドルの制裁金が科せられる可能性があるとしている。

 米国内では、HIPAAの適用対象となる医療機関/医療保険者などの適用対象主体(CE:Covered Entity)や、その外部委託先である事業提携者(BA:Business Associate)を標的にしたサイバー攻撃に起因した保護対象保健情報(PHI)漏えいインシデントが多発しているが、FTCが所管するPHRについてみると、健康侵害通知規則施行後、実際に通知があったのは4件にとどまっているという。

 なお、健康侵害通知規則は、米国市民/居住者の健康情報を取り扱う海外のITベンダー/サービスプロバイダーにも適用されるので、健康関連機器/アプリケーション/サービスの米国市場展開に取り組む日本企業は、特に注視する必要がある。

       1|2|3 次のページへ

Copyright © ITmedia, Inc. All Rights Reserved.