Washington My Health My Data Act (MHMDA)

Was ist der Washington My Health My Data Act?

Der Washington My Health My Data Act (MHMDA), kodifiziert in RCW 19.373, ist ein Gesetz des Bundesstaates Washington, das „Verbraucher-Gesundheitsdaten“ (Consumer Health Data) schützt. Der MHMDA verlangt eine Opt-in-Einwilligung, bevor Verbraucher-Gesundheitsdaten erhoben werden, eine separate Einwilligung, bevor sie weitergegeben werden, und eine unterzeichnete Autorisierung, bevor sie verkauft werden.

Wann trat der MHMDA in Kraft?

• 31. März 2024 für die meisten regulierten Unternehmen.
• 30. Juni 2024 für kleine Unternehmen.

Für wen gilt der MHMDA?

Das Gesetz gilt für regulierte Unternehmen, die in Washington geschäftlich tätig sind oder sich an Verbraucher in Washington richten und die Verbraucher-Gesundheitsdaten erheben, weitergeben oder anderweitig verarbeiten.

„Verbraucher-Gesundheitsdaten“ sind weit gefasst. Prüfen Sie daher, ob Daten, die Ihre Website oder App erhebt, darunter fallen könnten.

Anforderungen an die Einwilligung

Der MHMDA legt zwei getrennte Einwilligungsanforderungen fest:

Die Einwilligung zur Erhebung und die Einwilligung zur Weitergabe dürfen nicht in einer Anfrage zusammengefasst werden. Ein einziges „Ich stimme zu“ für beides erfüllt das Gesetz nicht.

Die Einwilligung muss eine eindeutige bestätigende Handlung sein. Sie muss freiwillig erteilt, spezifisch, informiert, als Opt-in, aus freien Stücken und unmissverständlich sein. Fragen Sie daher mit einer Auswahl, die der Verbraucher aktiv treffen muss.

Jede Einwilligungsanfrage muss außerdem Angaben ähnlich einer Datenschutzerklärung enthalten, zum Beispiel:

• die Kategorien der erhobenen oder weitergegebenen Verbraucher-Gesundheitsdaten,
• den Zweck der Erhebung oder Weitergabe,
• die Kategorien der Stellen, an die die Daten weitergegeben werden, und
• wie der Verbraucher die Einwilligung widerrufen kann.

Verkauf von Verbraucher-Gesundheitsdaten

Der Verkauf von Verbraucher-Gesundheitsdaten erfordert eine gültige Autorisierung, die der Verbraucher unterzeichnet. Sie ist von den Einwilligungen zur Erhebung und zur Weitergabe getrennt, daher reicht eine Auswahl im Consent-Banner allein nicht aus, um einen Verkauf zu erlauben.

Consumer Health Data Privacy Policy

Regulierte Unternehmen müssen eine Consumer Health Data Privacy Policy (Datenschutzerklärung für Verbraucher-Gesundheitsdaten) veröffentlichen und auf ihrer Startseite gut sichtbar darauf verlinken. Die Richtlinie muss unter anderem offenlegen:

• die Kategorien der erhobenen Verbraucher-Gesundheitsdaten,
• die Zwecke, für die sie erhoben und verwendet werden, und
• die Quellen, aus denen sie erhoben werden.

Verbraucherrechte

Verbraucher haben Rechte an ihren Verbraucher-Gesundheitsdaten, darunter das Recht, ihre Einwilligung zu widerrufen. Geben Sie Verbrauchern eine einfache Möglichkeit, ihre Entscheidung jederzeit zu ändern.

Durchsetzung

Der MHMDA kann vom Attorney General (Generalstaatsanwalt) von Washington durchgesetzt werden. Zudem gibt er Verbrauchern über den Washington Consumer Protection Act ein privates Klagerecht, was für Unternehmen, die bei der Einwilligung Fehler machen, erhebliche rechtliche Risiken schafft.

So bereiten Sie sich auf den MHMDA vor

1. Verbraucher-Gesundheitsdaten finden. Prüfen Sie Ihre Formulare, Apps, Analyse- und Werbe-Tags auf Daten, die sich auf die Gesundheit eines Verbrauchers beziehen können.
2. Die beiden Einwilligungen trennen. Fragen Sie die Einwilligung zur Erhebung und die Einwilligung zur Weitergabe als zwei verschiedene Auswahlmöglichkeiten ab, beide standardmäßig deaktiviert.
3. Klare Angaben formulieren. Erklären Sie in jeder Einwilligungsanfrage, was Sie erheben oder weitergeben, warum, an wen und wie der Widerruf funktioniert.
4. Ihre Consumer Health Data Privacy Policy veröffentlichen. Verlinken Sie sie gut sichtbar auf Ihrer Startseite.
5. Tags bis zur Einwilligung blockieren. Lassen Sie keine Tags, die Verbraucher-Gesundheitsdaten erheben oder weitergeben, laufen, bevor der Verbraucher eingewilligt hat.
6. Nachweise führen. Speichern Sie jede Einwilligung und jeden Widerruf, damit Sie zeigen können, was der Verbraucher wann gewählt hat.
7. Verkäufe getrennt behandeln. Wenn Sie Verbraucher-Gesundheitsdaten verkaufen, holen Sie eine separate unterzeichnete Autorisierung ein.

Häufig gestellte Fragen

Was ist der Washington My Health My Data Act?

Der My Health My Data Act (RCW 19.373) ist ein Gesetz des Bundesstaates Washington, das Verbraucher-Gesundheitsdaten schützt. Er verlangt eine Opt-in-Einwilligung zur Erhebung von Verbraucher-Gesundheitsdaten, eine separate Einwilligung zu ihrer Weitergabe und eine unterzeichnete Autorisierung für ihren Verkauf.

Wann trat der MHMDA in Kraft?

Er gilt seit dem 31. März 2024 für die meisten regulierten Unternehmen und seit dem 30. Juni 2024 für kleine Unternehmen.

Verlangt der MHMDA eine Opt-in-Einwilligung?

Ja. Die Erhebung von Verbraucher-Gesundheitsdaten erfordert eine Opt-in-Einwilligung und ihre Weitergabe eine separate Einwilligung, sofern dies nicht erforderlich ist, um ein vom Verbraucher angefordertes Produkt oder eine Dienstleistung bereitzustellen. Die Einwilligung muss eine eindeutige bestätigende Handlung sein: freiwillig erteilt, spezifisch, informiert, als Opt-in, aus freien Stücken und unmissverständlich.

Kann eine Einwilligung sowohl die Erhebung als auch die Weitergabe von Gesundheitsdaten abdecken?

Nein. Die Einwilligung zur Erhebung und die Einwilligung zur Weitergabe müssen getrennt eingeholt werden und dürfen nicht zusammengefasst werden. Der Verkauf von Verbraucher-Gesundheitsdaten erfordert zusätzlich eine unterzeichnete Autorisierung.

Was ist eine Consumer Health Data Privacy Policy?

Es ist eine eigene Datenschutzerklärung, die die Kategorien der von Ihnen erhobenen Verbraucher-Gesundheitsdaten, die Zwecke und die Quellen offenlegt. Sie müssen sie veröffentlichen und auf Ihrer Startseite gut sichtbar darauf verlinken.

Wie wird der MHMDA durchgesetzt?

Durch den Attorney General von Washington und über ein privates Klagerecht nach dem Washington Consumer Protection Act, was erhebliche rechtliche Risiken schafft.

Wie UniConsent bei der MHMDA-Compliance hilft

Mit UniConsent fragen Sie die beiden MHMDA-Einwilligungen in Ihrem Consent-Banner ab und bewahren einen Nachweis jeder Entscheidung auf:

• Vorlage für Verbraucher-Gesundheitsdaten in Washington. Im Dashboard erstellt die Vorlage für benutzerdefinierte Zwecke Washington consumer health data zwei getrennte Zwecke, health_data_collection und health_data_sharing. Beide sind als sensibel markiert und der sensiblen Datenkategorie 13 (Verbraucher-Gesundheitsdaten) von IAB GPP zugeordnet.
• Ausdrückliches Opt-in für Besucher aus den USA. Besucher aus den USA müssen sensiblen Zwecken ausdrücklich zustimmen. Das Akzeptieren des Banners erteilt sie nicht.
• IAB-GPP-Signal. Die Entscheidung wird im IAB GPP-String übermittelt, sodass Ihre Partner sie auslesen können.
• Einwilligungsnachweis. Jede Entscheidung wird in der Consent DB protokolliert. Siehe den Einwilligungs-Audit-Trail.
• Auch für Apps. Nutzen Sie dieselben Zwecke in Ihren Apps über die mobilen SDKs, mit getCustomConsents() zum Auslesen der Entscheidungen und setCustomConsent zum Speichern einer Entscheidung aus Ihren eigenen Bildschirmen.
• Ihre eigenen Formulierungen. Passen Sie den Vorlagentext an Ihre Daten und Ihre Consumer Health Data Privacy Policy an.

Erfahren Sie in der Anleitung zu benutzerdefinierten Zwecken, wie Sie es einrichten, vergleichen Sie weitere Datenschutzgesetze der US-Bundesstaaten und den CCPA, oder erstellen Sie ein kostenloses UniConsent-Konto.

Diese Seite dient der allgemeinen Information und ist keine Rechtsberatung. Klären Sie mit Ihren Rechtsberatern, wie der MHMDA auf Ihr Unternehmen anwendbar ist.