Memorando de Cumplimiento MHMDA de Washington: Revisión Regulatoria a Precio Fijo para Aplicaciones de SaaS, IA y Salud
Si su producto toca a consumidores de Washington y cualquier dato cuenta plausiblemente como "datos de salud del consumidor", el Capítulo 19.373 RCW (la Ley My Health My Data de Washington) le aplica. Es la primera ley de privacidad de salud de EE. UU. fuera de HIPAA, con un anclaje per se a la Ley de Protección al Consumidor y un derecho de acción privado. El cumplimiento es una cuestión regulatoria que puedo revisar hoy bajo mi licencia de California, sin necesidad de admisión a Washington. Los tres niveles de abajo productizan el trabajo en memorandos escritos a precio fijo para que conozca el entregable y el precio antes de contratar.
Pregúntele a mi Analista Legal de IA sobre este servicio
Delimita su producto y recomienda el nivel adecuado de memorando MHMDA: el Memorando de Alcance de $499, el memorando más lenguaje de DPA y de proveedores de $900, o el memorando más Política de Privacidad de Datos de Salud del Consumidor redactada de $1,500. Una conclusión final de cumplimiento requiere una contratación pagada y la revisión de los documentos; este chat es triaje regulatorio preliminar. Información legal generada por IA, no asesoramiento legal.
La MHMDA aplica a toda "entidad regulada" o "pequeña empresa" que haga negocios en Washington o dirija productos o servicios a consumidores de Washington, y que determine el propósito y los medios del procesamiento de datos de salud del consumidor. "Datos de salud del consumidor" abarca cualquier dato razonablemente vinculable a un consumidor que identifique su estado de salud física o mental pasado, presente o futuro, incluidas inferencias extraídas de señales no médicas. Si no está seguro de si le aplica, el Memorando de Alcance de $499 responde exactamente esa pregunta con citas.
El Nivel 1 es un memorando escrito de abogado de dos páginas a $499: ¿le aplica la MHMDA a su producto? Cubre el análisis de entidad regulada frente a pequeña empresa bajo RCW 19.373.020, la definición de consumidor y de "datos de salud del consumidor" bajo RCW 19.373.010 (incluido el alcance basado en inferencias), el requisito separado de Política de Privacidad de Datos de Salud del Consumidor bajo RCW 19.373.040 (sí o no, qué falta), y una auditoría de geolocalización bajo RCW 19.373.080. Entregable: memorando escrito de abogado en lenguaje claro, con citas. Plazo de cinco días hábiles.
El Nivel 2 cuesta $900: el entregable del Nivel 1 más lenguaje contractual de proveedores y de DPA para procesadores intermediarios y prestadores de servicios terceros (redactado al estándar de instrucciones vinculantes bajo RCW 19.373.060), recomendaciones de UX de consentimiento frente al régimen de doble consentimiento de RCW 19.373.030, y verificación del enlace en la página de inicio para el requisito de política separada. Plazo de cinco días hábiles. Ideal para un SaaS que lanza con procesadores terceros integrados y necesita que la capa de contratos con proveedores coincida con la política.
El Nivel 3 cuesta $1,500: el entregable del Nivel 2 más una Política de Privacidad de Datos de Salud del Consumidor independiente redactada (el documento separado exigido por RCW 19.373.020 y explicado por el catálogo de derechos de RCW 19.373.040), el texto del enlace de la página de inicio redactado y orientación de ubicación para satisfacer el requisito de enlace prominente, lenguaje de flujo de consentimiento redactado para el punto regulado de recolección de datos de salud del consumidor, y una ronda de correos aclaratorios después de la entrega. Plazo de siete días hábiles. Ideal para un SaaS que envía un producto a consumidores de Washington sin una postura de privacidad de datos de salud existente.
Sí. Si solo quiere una lectura escrita inicial de su exposición a la MHMDA antes de comprometerse con un nivel de memorando completo, la Consultoría Escrita de Abogado de $240 es la entrada de menor fricción: usted envía su pregunta, un breve resumen de hechos y los documentos clave, y recibe una respuesta escrita de abogado que identifica los principales problemas, riesgos y próximos pasos prácticos, con un tiempo de respuesta de dos días hábiles. Si prefiere repasarlo en vivo, la Sesión de Estrategia con Abogado de 1 Hora de $400 es un Zoom de una hora con revisión preliminar de los documentos que envíe de antemano. Ninguna de las dos es el memorando MHMDA completo; ese es el trabajo de los niveles de $499, $900 y $1,500.
Qué exige realmente la MHMDA
La MHMDA aplica a toda "entidad regulada" o "pequeña empresa" que haga negocios en Washington o dirija productos o servicios a consumidores de Washington, y que determine el propósito y los medios del procesamiento de datos de salud del consumidor. El alcance, las definiciones y el umbral de pequeña empresa están en RCW 19.373.010 y RCW 19.373.020. "Datos de salud del consumidor" abarca cualquier dato razonablemente vinculable a un consumidor que identifique su estado de salud física o mental pasado, presente o futuro, incluidas las inferencias extraídas de señales no médicas. La Ley es operativa frente a entidades reguladas desde el 31 de marzo de 2024 y frente a pequeñas empresas desde el 30 de junio de 2024.
Las cinco obligaciones operativas de cumplimiento: (1) una Política de Privacidad de Datos de Salud del Consumidor independiente, enlazada de forma prominente desde la página de inicio, bajo RCW 19.373.020; (2) un régimen de consentimiento afirmativo de dos capas, consentimiento separado para la recolección y consentimiento separado para la divulgación, bajo RCW 19.373.030; (3) un régimen de contrato de procesador con instrucciones vinculantes bajo RCW 19.373.060; (4) una autorización de nueve elementos al estilo HIPAA antes de cualquier venta de datos de salud del consumidor, bajo RCW 19.373.070; y (5) una prohibición tajante de geocercas dentro de los 2,000 pies de instalaciones de atención médica presencial para rastreo, recolección de datos o publicidad, bajo RCW 19.373.080.
La razón por la que lo que está en juego es alto es RCW 19.373.090. Esa sección declara cada violación de la MHMDA como una violación per se de la Ley de Protección al Consumidor bajo el Capítulo 19.86 RCW. Un demandante privado no necesita alegar por separado el elemento de interés público; el estatuto lo suple. Combinada con daños triplicados discrecionales con un tope de $25,000 sobre el incremento, el traslado unilateral de honorarios y el plazo de prescripción de cuatro años bajo RCW 19.86.120, la MHMDA es el estatuto estatal de privacidad de datos de salud del consumidor de mayor apalancamiento en Estados Unidos.
Las exenciones de RCW 19.373.100 son más estrechas de lo que parecen. Son específicas de los datos, no exenciones generales por entidad. Un hospital cubierto por HIPAA está exento respecto de su PHI, pero no respecto de los datos de píxeles de marketing en su sitio web público. Las aplicaciones de bienestar fuera de una oferta de entidad cubierta, los rastreadores de actividad física para consumidores, las aplicaciones de salud mental directas al consumidor, las aplicaciones de menstruación y fertilidad, las aplicaciones de sueño, los verificadores de síntomas con IA y las aplicaciones de uso general que infieren la salud a partir de señales no médicas no están cubiertas por HIPAA y no están exentas.
Los tres niveles de memorando
Nivel 1, Memorando de Alcance MHMDA, $499
Nivel 2, Memorando MHMDA más Lenguaje de DPA y de Proveedores, $900
Nivel 3, Memorando MHMDA más Política de Privacidad de Datos de Salud del Consumidor Redactada, $1,500
Por qué puedo hacer este trabajo bajo mi licencia de California
La Ley My Health My Data de Washington puede alcanzar a empresas de fuera del estado si hacen negocios en Washington o dirigen productos o servicios a consumidores de Washington y determinan los propósitos y medios de la recolección, el procesamiento, la divulgación o la venta de datos de salud del consumidor. Una empresa de SaaS en Texas con usuarios en Washington, una aplicación de bienestar en California que se dirige a consumidores de Washington, o una herramienta de salud con IA que recolecta datos de salud del consumidor de usuarios de Washington pueden necesitar una revisión de MHMDA según la segmentación, las categorías de datos y el control sobre el procesamiento. La revisión de cumplimiento es trabajo de asesoría regulatoria, no representación en Washington. Estoy licenciado en California (CA Bar #279869) con admisión a Washington en trámite; un memorando MHMDA es un análisis regulatorio de cómo un estatuto de Washington aplica a su producto, no "representación en Washington". Si un asunto escala a un litigio específico de Washington, a una acción de cumplimiento del Fiscal General o a una demanda privada bajo la CPA presentada en tribunales de Washington, coordinaría con un abogado de Washington o derivaría el trabajo de litigio.
Qué necesito de usted para delimitar y entregar
- Política de privacidad actual (URL o PDF)
- Descripción breve del producto: qué datos recolecta, de quién, con qué propósito
- Si tiene usuarios en Washington (sí, no o no está seguro)
- Si los datos incluyen plausiblemente información biométrica, de salud mental, reproductiva, de afirmación de género, de actividad física, de ubicación cerca de una instalación de atención médica, o inferencias a partir de cualquiera de lo anterior
- URL de la página de inicio (para la verificación del enlace a la política de privacidad separada)
- Capturas de pantalla de la UX de consentimiento o una descripción escrita del flujo de consentimiento
- Solo Niveles 2 y 3: su lista actual de proveedores y procesadores más su plantilla de DPA existente, si la tiene
Qué queda fuera del alcance
Tres cosas quedan fuera de estos niveles y deben cotizarse por separado si las necesita. Primero, defender una indagación activa del Fiscal General de Washington o una demanda privada presentada bajo la CPA es trabajo cercano al litigio que yo delimitaría por horas y, de ser necesario, coordinaría con un abogado de Washington. Segundo, un memorando de armonización multiestatal que mapee la MHMDA frente a la CCPA / CPRA, la Ley de Privacidad de Datos de Connecticut, la ley de datos de salud SB 370 de Nevada o el RGPD es más amplio que el alcance de un solo estatuto aquí y se cotizaría por separado. Tercero, redactar desde cero una política de privacidad general o unos términos de servicio es un producto distinto; el entregable del Nivel 3 es el documento independiente específico de MHMDA, no una política de privacidad general completa.
Solicite su memorando de cumplimiento MHMDA
Dígame qué es su producto, qué datos recolecta y si tiene usuarios en Washington. Le confirmaré el nivel adecuado y el precio antes de comenzar. Si prefiere una primera lectura escrita más ligera, la Consultoría Escrita de Abogado de $240 es la entrada de menor fricción.
Solicitar el memorando MHMDANotas de autoridad
Fuentes de estatutos recuperadas el 2026-05-18 de app.leg.wa.gov:
- RCW 19.373.005, hallazgos legislativos
- RCW 19.373.010, definiciones (consumidor, datos de salud del consumidor, entidad regulada, pequeña empresa, geocerca)
- RCW 19.373.020, Política de Privacidad de Datos de Salud del Consumidor y requisito de enlace en la página de inicio
- RCW 19.373.030, régimen de consentimiento afirmativo de dos capas
- RCW 19.373.040, derechos del consumidor (acceso, eliminación, retiro del consentimiento, apelación)
- RCW 19.373.050, seguridad de datos y restricciones de acceso vinculadas al consentimiento
- RCW 19.373.060, régimen de instrucciones vinculantes del procesador
- RCW 19.373.070, venta de datos de salud del consumidor y autorización de nueve elementos
- RCW 19.373.080, prohibición de geocercas dentro de los 2,000 pies de instalaciones de atención médica presencial
- RCW 19.373.090, anclaje per se a la Ley de Protección al Consumidor
- RCW 19.373.100, exenciones (específicas de los datos, no generales por entidad)
Los montos en dólares, las enmiendas a los estatutos y cualquier guía, formulario de agencia o reglamento posterior emitido por el Fiscal General de Washington bajo la MHMDA deben verificarse contra las publicaciones vigentes en app.leg.wa.gov y atg.wa.gov antes de basarse en ellos en un asunto específico. Cada memorando que escribo vuelve a verificar el texto operativo el día en que se redacta.
Recurso educativo e informativo sobre servicios. Sergei Tokmakov es abogado de California (CA Bar #279869) que actualmente busca la admisión al Colegio de Abogados del Estado de Washington. Nada en esta página crea una relación abogado-cliente ni constituye asesoramiento legal para un asunto específico. Un memorando MHMDA bajo cualquiera de estos niveles es producto de trabajo de asesoría regulatoria, no representación específica de Washington. Relacionado: Centro de la Ley My Health My Data de Washington; Centro de la Ley de Protección al Consumidor de Washington; Guía de Notificación de Violación de Datos de Washington; Guía de Términos de SaaS de Washington.