印刷する
2025年を迎え、米国のデータプライバシー規制環境はより厳しくなっています。特に、カリフォルニア州をはじめとする様々な州がデータプライバシー法の執行を強化しているため、デジタルヘルスケア企業は以前より厳しい規制の対象となっています。今回のTech Legal Insightsでは、米国進出を目指す韓国のデジタルヘルスケアスタートアップが注目すべき核心的な規制の変化とその対応策を紹介します。
強化されるデジタルヘルスケアデータ規制
米国連邦取引委員会(FTC)は最近、デジタルヘルスケア分野のデータプライバシーの監督を大幅に強化しました。BetterHelp、Celebralなどのデジタルヘルスケア企業の許可されてない健康情報共有に対して制裁が行われ、2024年には健康情報流出の通知規則(Health Breach Notification Rule)を改正し、ヘルスケアアプリとウェルネスアプリまで規制範囲を拡大しました。
この規則によると、個人健康記録を提供する事業者及び関連企業は、セキュリティ対策がなされていない情報が流出された場合、消費者に通知しなければならず、事業者及び企業にサービスを提供する企業から流出が発生した場合にも、当該サービスの提供会社が事業者及び企業に通知し、事業者・企業は再び消費者に通知しなければなりません。 また、この規則は、500人以上の情報が流出された場合には、マスコミにも通知することを要求しています。
注目すべき2025年の新しいプライバシー法
米国のデータプライバシーの規制環境は、それぞれの州が異なる法を導入することで、ますます複雑化しています。2025年には、ニューハンプシャー州、デラウエア州、アイオワ州、ネバダ州、ニュージャージー州、テネシー州、ミネソタ州、メリーランド州でデータプライバシー法が施行される予定であり、企業は州ごとに異なる規制要件を把握し、対応する必要があります。 特に、デジタルヘルスケア企業が注目すべき事項は以下のようになります。
1. デラウエア州：デラウエアプライバシー保護法は、医療情報保護法であるHIPAA（Health Insurance Portability and Accountability）適用データのみを適用対象から除外し、遠隔医療サービス提供者の場合、ウェブサイトの分析データやマーケティング情報などの非医療情報も規制対象となる可能性があります。
2. メリーランド州：メリーランドオンラインデータプライバシー法は、機密情報の販売を禁止し、要求されたサービスに必要な範囲でのみデータの収集と処理を許可しています。 特に、2025年10月からは、高リスクのアルゴリズムに対するプライバシー影響評価が義務化されます。
3. ミネソタ州：ミネソタ消費者データプライバシー法は、機密性の高い個人情報を販売する前に事前に同意すること（opt-in）を義務付けているほか、消費者データに基づくプロファイリング結果に対する異議申し立ての権利を規定しています。また、企業はウェブサイトに「your opt-out rights（個人情報の収集・利用を拒否する権利）」または「your privacy right（個人情報の権利）」と記載されたハイパーリンクを含める義務があります。
FTCが新たに導入した「algorithmic disgorgement」は、データプライバシー法に違反し、収集されたデータで学習されたAIモデルの削除を要求する権限を認めています。また、様々な州のプライバシー法でプロファイリングをはじめとする自動化された意思決定に対する消費者のopt-outを保証しており、AIを活用した診断や処方システムの開発に注意が必要です。
強化されるデジタルヘルスケアデータ規制
米国連邦取引委員会(FTC)は最近、デジタルヘルスケア分野のデータプライバシーの監督を大幅に強化しました。BetterHelp、Celebralなどのデジタルヘルスケア企業の許可されてない健康情報共有に対して制裁が行われ、2024年には健康情報流出の通知規則(Health Breach Notification Rule)を改正し、ヘルスケアアプリとウェルネスアプリまで規制範囲を拡大しました。
この規則によると、個人健康記録を提供する事業者及び関連企業は、セキュリティ対策がなされていない情報が流出された場合、消費者に通知しなければならず、事業者及び企業にサービスを提供する企業から流出が発生した場合にも、当該サービスの提供会社が事業者及び企業に通知し、事業者・企業は再び消費者に通知しなければなりません。 また、この規則は、500人以上の情報が流出された場合には、マスコミにも通知することを要求しています。
注目すべき2025年の新しいプライバシー法
米国のデータプライバシーの規制環境は、それぞれの州が異なる法を導入することで、ますます複雑化しています。2025年には、ニューハンプシャー州、デラウエア州、アイオワ州、ネバダ州、ニュージャージー州、テネシー州、ミネソタ州、メリーランド州でデータプライバシー法が施行される予定であり、企業は州ごとに異なる規制要件を把握し、対応する必要があります。 特に、デジタルヘルスケア企業が注目すべき事項は以下のようになります。
1. デラウエア州：デラウエアプライバシー保護法は、医療情報保護法であるHIPAA（Health Insurance Portability and Accountability）適用データのみを適用対象から除外し、遠隔医療サービス提供者の場合、ウェブサイトの分析データやマーケティング情報などの非医療情報も規制対象となる可能性があります。
2. メリーランド州：メリーランドオンラインデータプライバシー法は、機密情報の販売を禁止し、要求されたサービスに必要な範囲でのみデータの収集と処理を許可しています。 特に、2025年10月からは、高リスクのアルゴリズムに対するプライバシー影響評価が義務化されます。
3. ミネソタ州：ミネソタ消費者データプライバシー法は、機密性の高い個人情報を販売する前に事前に同意すること（opt-in）を義務付けているほか、消費者データに基づくプロファイリング結果に対する異議申し立ての権利を規定しています。また、企業はウェブサイトに「your opt-out rights（個人情報の収集・利用を拒否する権利）」または「your privacy right（個人情報の権利）」と記載されたハイパーリンクを含める義務があります。
FTCが新たに導入した「algorithmic disgorgement」は、データプライバシー法に違反し、収集されたデータで学習されたAIモデルの削除を要求する権限を認めています。また、様々な州のプライバシー法でプロファイリングをはじめとする自動化された意思決定に対する消費者のopt-outを保証しており、AIを活用した診断や処方システムの開発に注意が必要です。
|
[Legal Insights]
韓国企業のためのカスタマイズされた諮問サービス法務法人 麟(LIN)のTMT/デジタルヘルスケアチームは、韓国のデジタルヘルスケア企業の米国進出のために、以下のような法律諮問を提供します。 1. 規制環境の分析 ○ 韓国企業のビジネスモデルの分析及び米国の規制による影響の事前評価 ○ HIPAA遵守の必要性の検討及び州ごとのプライバシー法の適用範囲の分析 ○ データの収集、処理、共有に対する法的リスクの検討 2. 進出準備支援 ○ プライバシー政策など必要な法律文書の検討 ○ データ処理に関する同意手続きの適正性の検討 ○ ローカライズサービスのための法的要件の分析 3. 規制動向のモニタリング ○ 韓国企業の立場での米国の規制の変化に関する分析の提供 ○ 主要執行事例及び意義の定期的なアップデート ○ 規制の変化による対応の提示 |
* * *
法務法人 麟(LIN)のデジタルヘルスケアチームは、国内企業の規制問題に戦略的なOne-Stop Total solutionを提供しています。
上記内容に関してご質問などありましたら、法務法人 麟(LIN)デジタルヘルスケアチーム(Tel. 02-3477-8695)までご連絡ください。
上記内容に関してご質問などありましたら、法務法人 麟(LIN)デジタルヘルスケアチーム(Tel. 02-3477-8695)までご連絡ください。