Idioma: 🇺🇸 🇲🇽 🇷🇺
Esta página es una traducción al español de una página sobre derecho del estado de Washington y servicios legales basados en la ley de EE. UU. Las citas legales se mantienen en inglés y todos los montos están en dólares estadounidenses. Sergei Tokmakov es abogado licenciado en California (CA Bar #279869); su admisión en Washington está pendiente y, hasta que sea admitido en Washington, para representación, presentaciones judiciales o litigios en Washington coordina con un abogado calificado de Washington.
Recurso educativo de Washington

Ley Mi Salud, Mis Datos de Washington (MHMDA): Privacidad de Datos de Salud del Consumidor Fuera de HIPAA

Si su aplicación, sitio web, producto SaaS o herramienta de IA tiene contacto con consumidores de Washington y procesa cualquier cosa que pueda interpretarse como datos de salud del consumidor (Consumer Health Data), aplica la Ley Mi Salud, Mis Datos (MHMDA) en el Capítulo 19.373 RCW, y el costo de equivocarse es alto. Las violaciones de la MHMDA son violaciones per se de la Consumer Protection Act (CPA): un demandante privado obtiene daños reales, daños triplicados discrecionales con un tope de $25,000 sobre el incremento, y honorarios de abogado unidireccionales, todo sin tener que probar el interés público por separado. No hay aviso estatutario previo a la demanda. Esta página recorre la superficie viva de cumplimiento y disputa, no los comunicados de prensa.

Triaje rápido: ¿le aplica la MHMDA?

El alcance de la Ley es más amplio de lo que la mayoría de operadores asume. La MHMDA de Washington puede alcanzar a empresas fuera del estado si conducen negocios en Washington o dirigen productos o servicios a consumidores de Washington y determinan los propósitos y medios de recopilar, procesar, compartir o vender datos de salud del consumidor (Consumer Health Data). No se requiere una oficina o base de clientes en Washington. "Consumer Health Data" alcanza cualquier dato razonablemente vinculable a un consumidor que identifique estado de salud física o mental, abarcando aplicaciones de bienestar, rastreadores de fitness, aplicaciones de salud mental, aplicaciones de menstruación y fertilidad, aplicaciones de sueño, y herramientas de IA que infieren salud a partir de señales no médicas.

Si alguna respuesta no está clara, el asunto amerita una revisión por escrito. La Ley ha estado operativa contra entidades reguladas desde el 31 de marzo de 2024 y contra pequeñas empresas desde el 30 de junio de 2024.

Capa de alcance y definiciones (RCW 19.373.005, .010, .020)

La declaración en impulsará una interpretación liberal en casos cerrados: "The legislature finds that the people of Washington regard their privacy as a fundamental right and an essential element of their individual freedom." Las herramientas legislativas declaradas incluyen divulgaciones y consentimiento reforzados, derechos de eliminación, una prohibición de vender Consumer Health Data sin autorización válida firmada por el consumidor, y una prohibición de geofencing en instalaciones de atención médica.

Las definiciones en son fundamentales. "Consumer" significa (a) un residente de Washington o (b) una persona natural cuyo Consumer Health Data es recopilado en Washington. Un no residente cuyos datos se recopilan en Washington también es un consumidor. "Consumer Health Data" significa información personal vinculada o razonablemente vinculable a un consumidor que identifica el estado de salud física o mental pasado, presente o futuro, incluidas inferencias. "Regulated Entity" significa cualquier entidad legal que (a) conduzca negocios en Washington o produzca o proporcione productos o servicios dirigidos a consumidores en Washington, y (b) sola o conjuntamente determine el propósito y los medios de recopilar, procesar, compartir o vender Consumer Health Data.

"Small business" significa una entidad regulada que satisface uno o ambos de: (a) menos de 100,000 consumidores durante un año calendario, o (b) menos del 50 por ciento de los ingresos brutos provenientes de Consumer Health Data. "Sell" significa intercambiar por una consideración monetaria u otra consideración valiosa, con excepciones para fusiones, adquisiciones, quiebras y arreglos de procesadores. "Geofence" es "a virtual boundary that is 2,000 feet or less from the perimeter of the physical location," usando GPS, torre celular, datos celulares, RFID, Wifi, o cualquier otra detección espacial o de ubicación.

Dos conclusiones. Primero, el alcance jurisdiccional va más allá de las empresas domiciliadas en Washington: un SaaS de Texas que comercializa una aplicación de sueño a usuarios de Washington puede estar cubierto si dirige sus productos a consumidores de Washington y determina los propósitos y medios de recopilar, procesar, compartir o vender Consumer Health Data. Segundo, la definición alcanza las inferencias; un modelo de IA que infiere el estado de salud a partir de patrones de compra, historial de búsqueda o ubicación está generando Consumer Health Data.

es la sección de política de privacidad y la brecha de cumplimiento más pasada por alto: "Except as provided in subsection (2) of this section, beginning March 31, 2024, a regulated entity and a small business shall maintain a consumer health data privacy policy that clearly and conspicuously discloses: (i) The categories of consumer health data collected and the purpose for which the data is collected, including how the data will be used; (ii) the categories of sources from which the consumer health data is collected; (iii) the categories of consumer health data that is shared; (iv) a list of the categories of third parties and specific affiliates with whom the regulated entity or the small business shares the consumer health data; and (v) how a consumer can exercise the rights provided in RCW 19.373.040. (b) A regulated entity and a small business shall prominently publish a link to its consumer health data privacy policy on its homepage." Las subsecciones (c)-(d) requieren consentimiento afirmativo antes de agregar categorías o nuevos propósitos; la (e) hace que los contratos con procesadores inconsistentes con la política sean una violación.

Consentimiento, venta y la prohibición de geofencing (RCW 19.373.030, .060, .070, .080)

impone un régimen de consentimiento de dos capas. Una entidad regulada no puede recopilar Consumer Health Data excepto con consentimiento para un propósito especificado, o cuando la recopilación es necesaria para proporcionar un producto o servicio solicitado. No puede compartir Consumer Health Data excepto con consentimiento separado, distinto del consentimiento de recopilación, o cuando compartirlo es necesario para proporcionar el producto o servicio solicitado. La solicitud de autorización debe divulgar categorías de datos, propósito y métodos de uso, entidades receptoras, y mecanismo de retiro. Se prohíbe la discriminación contra consumidores que ejerzan estos derechos. Una aceptación unificada de la política de privacidad es insuficiente; se requieren dos consentimientos. Los flujos de consentimiento genéricos de CCPA, CPRA o Connecticut Data Privacy Act fallan en este punto.

regula la relación con el procesador y previamente no había sido citada en el mapa de autoridad subyacente. Texto operativo: "(1)(a)(i) Except as provided in subsection (2) of this section, beginning March 31, 2024, a processor may process consumer health data only pursuant to a binding contract between the processor and the regulated entity or the small business that sets forth the processing instructions and limit the actions the processor may take with respect to the consumer health data it processes on behalf of the regulated entity or the small business. (ii) A processor may process consumer health data only in a manner that is consistent with the binding instructions set forth in the contract with the regulated entity or the small business. (b) A processor shall assist the regulated entity or the small business by appropriate technical and organizational measures, insofar as this is possible, in fulfilling the regulated entity's and the small business's obligations under this chapter. (c) If a processor fails to adhere to the regulated entity's or the small business's instructions or processes consumer health data in a manner that is outside the scope of the processor's contract with the regulated entity or the small business, the processor is considered a regulated entity or a small business with regard to such data and is subject to all the requirements of this chapter with regard to such data. (2) A small business must comply with this section beginning June 30, 2024." Los contratos de procesador bajo la MHMDA no son intercambiables con los DPA del GDPR o los acuerdos de proveedor de servicios de la CCPA; un procesador que se sale de las instrucciones se convierte en una entidad regulada respecto de los datos en cuestión.

rige la venta de Consumer Health Data, tomando prestada la arquitectura de una autorización de divulgación de HIPAA. A partir del 31 de marzo de 2024, es ilegal vender u ofrecer vender Consumer Health Data sin autorización válida. Los nueve elementos requeridos: (1) identificación específica de los datos; (2) nombre y datos de contacto del vendedor; (3) nombre y datos de contacto del comprador; (4) descripción del propósito, incluyendo cómo se recopilarán y usarán los datos; (5) una declaración de que "provision of goods or services may not be conditioned on" la firma; (6) derecho de revocación e instrucciones; (7) aviso de que los datos comprados pueden estar sujetos a redivulgación adicional; (8) vencimiento un año desde la firma; y (9) firma y fecha del consumidor. La autorización es inválida si está vencida, le falta cualquier elemento, está revocada, está combinada con otros documentos, o condiciona el servicio a la firma.

es la prohibición de geofencing: "It is unlawful for any person to implement a geofence around an entity that provides in-person health care services where such geofence is used to: (1) Identify or track consumers seeking health care services; (2) collect consumer health data from consumers; or (3) send notifications, messages, or advertisements to consumers related to their consumer health data or health care services." El perímetro de 2,000 pies está en las definiciones de RCW 19.373.010. Fuente de la ley de sesión: 2023 c 191 s 10. La ley promulgadora 2023 c 191 entró en vigor el 23 de julio de 2023 bajo la regla por defecto y la s 10 no contiene lenguaje de cumplimiento diferido; confirme contra la ley de sesión antes de basarse en una fecha de conducta anterior al 23 de julio de 2023.

La Consumer Health Data Privacy Policy separada (RCW 19.373.040, .050)

La política requerida por RCW 19.373.020 es un documento independiente, no una sección dentro de una política de privacidad general. Debe estar vinculada de manera prominente desde la página de inicio: un enlace al pie de página que sobreviva el colapso móvil o un enlace dedicado al nivel del chrome de la página. Agrupar las divulgaciones de la MHMDA en la política de privacidad general es el patrón de falla más común en revisiones del lado del operador.

confiere los derechos que la política debe explicar: confirmación de si la entidad está recopilando, compartiendo o vendiendo Consumer Health Data, con acceso y una lista de todos los terceros más información de contacto; retiro del consentimiento para recopilación e intercambio; eliminación, con notificación posterior a afiliados, procesadores, contratistas y terceros. Ventana de respuesta: 45 días más una extensión de 45 días. La eliminación de datos archivados puede retrasarse hasta seis meses. Un proceso de apelación debe producir una decisión por escrito dentro de 45 días.

impone obligaciones de seguridad de datos con un anclaje de cuidado razonable: "(a) Restrict access to consumer health data by the employees, processors, and contractors of the regulated entity or the small business to only those employees, processors, and contractors for which access is necessary to further the purposes for which the consumer provided consent. (b) Establish, implement, and maintain administrative, technical, and physical data security practices that, at a minimum, satisfy a reasonable standard of care within the regulated entity's or the small business's industry." El componente de restricción de acceso atado al consentimiento es más granular de lo que normalmente entregan las políticas de acceso basadas en roles.

Aplicación y exenciones (RCW 19.373.090, .100)

RCW 19.373.090 preserva la aplicación por parte del Washington Attorney General (WAG) bajo el Capítulo 19.86 RCW (sanciones civiles, medidas cautelares, restitución). Las vías del AG y de la CPA privada son paralelas; una entidad que atrae una investigación del AG también está expuesta a litigios privados sobre los mismos hechos.

Las exenciones en son más estrechas de lo que parecen. Categorías excluidas: PHI bajo HIPAA (con datos relacionados bajo Ch. 70.02 RCW y 42 CFR Part 2); GLBA; FCRA; FERPA; actividades de salud pública bajo 45 CFR 164.512; datos desidentificados que cumplen con 45 CFR Part 164; y procesamiento necesario para prevenir, detectar, proteger contra o responder a incidentes de seguridad, robo de identidad, fraude, acoso, o actividades maliciosas o engañosas. La carga de la exención recae sobre la entidad que la reclama, y las exenciones son específicas de los datos, no aplicables de manera general a la entidad. Un hospital está cubierto por HIPAA por la PHI en tratamiento, pago y operaciones, pero los píxeles publicitarios del sitio web en una página de "encuentra un médico" recopilan datos que no son PHI y no están exentos.

Qué reviso cuando me envía un asunto MHMDA

El trabajo se divide en revisión de cumplimiento y respuesta a disputas. Puntos de control del lado del operador:

Dos vías de servicio

Para operadores de SaaS, bienestar e IA. Revisión de la política de privacidad, revisión de la UX de consentimiento, y auditoría de flujo de datos contra los requisitos específicos de la MHMDA. El resultado es una evaluación por escrito del abogado que identifica brechas, clasificación de severidad y pasos de remediación. Cuando ha llegado una indagatoria del AG, el alcance se extiende a la redacción de respuesta y la postura de privilegio. El CTA principal en esta página está calibrado para esta vía.

Para consumidores de Washington cuyos datos fueron mal utilizados. Una carta de reclamo basada en la MHMDA que afirma la subsección específica violada, identifica el gancho per se de la CPA bajo RCW 19.373.090, y cuantifica la exposición (daños reales, triplicación discrecional con tope de $25,000, cambio de honorarios unidireccional bajo RCW 19.86.090). Para el marco de la CPA, consulte mi hub de la Consumer Protection Act de Washington. La carta de reclamo del lado del consumidor es de $575 por una sola carta redactada por el abogado, enviada por correo certificado de USPS (con acuse de recibo solicitado) más correo electrónico.

Documentos a reunir

Lado del operador: URL actual de la Consumer Health Data Privacy Policy más captura con fecha; captura de pantalla de la página de inicio que muestre el enlace a la política en escritorio y móvil; capturas de UX de consentimiento (flujo de cuenta, banner de consentimiento, controles de intercambio); inventario de datos de categorías de Consumer Health Data; lista de procesadores y sub-procesadores; plantilla actual de DPA; cualquier arreglo de venta de datos o asociación; cualquier carta de indagatoria del AG más cronología de la conducta; historial de notificación de brechas bajo el Capítulo 19.255 RCW.

Lado del consumidor: capturas de pantalla de la cuenta que muestren el consentimiento de registro; la política de privacidad de la entidad como apareció al registrarse (Wayback Machine si fue revisada); resultados de cualquier DSAR; capturas de permisos de la aplicación; evidencia de venta o intercambio; correspondencia de quejas previas; para un reclamo de geofencing, registros de ubicación del dispositivo y capturas de anuncios cerca o después de visitar una instalación de atención médica.

Cuándo vale la pena contratar a un abogado

Contrate asesoría legal cuando uno o más sea cierto: ha llegado una carta de indagatoria del AG; se activó un disparador de notificación de brecha y hay Consumer Health Data implicado; una auditoría de geofencing contra el perímetro de 2,000 pies está atrasada; un rediseño de UX de consentimiento necesita revisión contra RCW 19.373.030 antes del lanzamiento; el producto está por lanzarse en Washington; el producto toca datos de salud mental, reproductivos, afirmación de género, biométricos o de sueño; o la diligencia de la transacción está preguntando sobre la postura MHMDA. Es menos probable que necesite contratación cuando no se toca a ningún cliente de Washington, no se recopila Consumer Health Data, los flujos se ubican enteramente dentro de una relación documentada cubierta por HIPAA, o el problema es estructuralmente una cuestión de contrato de procesador.

Nota personal. La MHMDA es del tipo de ley con la que realmente me gusta trabajar. Lo suficientemente estrecha para ser tratable, lo suficientemente amplia para captar problemas reales, y el requisito de política separada es un gancho de cumplimiento limpio. Reviso la política de privacidad, la UX de consentimiento, los flujos de datos y los contratos de procesador, luego le digo si necesita una revisión de política de privacidad de $575 o una postura de respuesta al AG más urgente. En el lado del consumidor, el gancho per se de la CPA hace que la aritmética de la carta de reclamo sea sencilla cuando el registro documental es sólido.

¿Tengo un problema de cumplimiento?

Antes de pagar por una evaluación por escrito, aplique las preguntas de alcance y política a su propio producto. Si puede responder afirmativamente a la mayoría de estas, la MHMDA puede aplicarle y vale la pena el costo de una revisión por escrito.

¿Qué hechos son los más importantes en un asunto MHMDA?

En un asunto MHMDA, el apalancamiento y el riesgo suben o bajan según un pequeño conjunto de anclajes fácticos. Los hechos que más importan son (1) la presencia de cualquier consumidor de Washington (residencia, recopilación en Washington, o dirigirse al estado), ya que sin eso la Ley no le alcanza en absoluto, (2) si los datos caen dentro de la amplia definición de Consumer Health Data, especialmente inferencias hechas por IA o ML a partir de señales no médicas (aquí es donde la mayoría de operadores descubren que están dentro de la Ley), (3) si existe una Consumer Health Data Privacy Policy separada, está vinculada prominentemente desde la página de inicio, y coincide con los flujos de datos reales, (4) la postura de la UX de consentimiento (un solo paquete versus consentimientos afirmativos separados para recopilación e intercambio), y (5) si se usa geofencing o anuncios basados en ubicación dentro de los 2,000 pies de cualquier instalación presencial de atención médica, ya que es una prohibición plana.

Documentos a cargar para una Consulta escrita con abogado de $240 (Written Attorney Consultation)

Cuando envíe un asunto MHMDA para evaluación por escrito, los documentos a continuación me permiten aplicar el estatuto a su producto en lugar de a una plantilla SaaS genérica.

Qué enfatizaría una revisión de cumplimiento MHMDA o carta de reclamo

Un compromiso MHMDA no es una auditoría genérica de privacidad. Está calibrado a los ganchos específicos de cumplimiento de la Ley y al puente per se de la CPA bajo . El trabajo típicamente enfatiza lo siguiente.

Qué puede analizar el AI Legal Analyst antes de contratarme

Si quiere una lectura preliminar antes de pagar por la Written Attorney Consultation, puede preguntarle al AI Legal Analyst (chatbox abajo a la derecha) sobre su asunto MHMDA. La IA hará preguntas de triaje específicas de la MHMDA (alcance de Washington, definición de Consumer Health Data incluyendo inferencias, postura de política separada, UX de consentimiento, exposición a geofencing), señalará las subsecciones relevantes del Capítulo 19.373 RCW, y le dirá si el asunto se ve como candidato para una Consulta escrita con abogado de $240, un candidato para una nota de alcance MHMDA de $499 (lado operador), un candidato para una carta de reclamo de $575 (lado consumidor), o una vía completamente diferente. No le dará una opinión legal final, para eso es la Written Attorney Consultation, pero le ayudará a delimitar sus hechos antes de enviarlos.

Nota práctica de Sergei

La MHMDA es del tipo de asunto regulatorio que realmente me gusta revisar. El requisito de política de privacidad separada bajo es el punto de cumplimiento más omitido que veo en la práctica. Si recopila cualquier cosa que pueda ser Consumer Health Data y está atendiendo a usuarios de Washington, envíe su política de privacidad actual, sus capturas de UX de consentimiento y una breve descripción del producto. Reviso bajo licencia de California, por lo que la revisión MHMDA en esta página es trabajo regulatorio consultivo, no representación en Washington.

Fuentes primarias

Fuentes estatutarias recuperadas el 2026-05-18 desde app.leg.wa.gov: RCW 19.373.005, .010, .020, .030, .040, .050, .060, .070, .080, .090, .100.

Recurso educativo. Sergei Tokmakov es abogado de California (CA Bar #279869) que actualmente busca admisión al Washington State Bar. Nada en esta página crea una relación abogado-cliente o constituye asesoría legal de Washington. Un abogado admitido en Washington debe verificar el texto estatutario operativo y cualquier cita de caso antes de basarse en ellos en un asunto vivo. Relacionados: Guía de Términos SaaS de Washington; Guía de Notificación de Brechas de Datos de Washington; Hub de la Consumer Protection Act de Washington.