Washington My Health My Data Act (MHMDA)

Qu'est-ce que le Washington My Health My Data Act ?

Le Washington My Health My Data Act (MHMDA), codifié au RCW 19.373, est une loi de l'État de Washington qui protège les « données de santé des consommateurs » (consumer health data). Le MHMDA exige un consentement opt-in avant la collecte de données de santé des consommateurs, un consentement distinct avant leur partage et une autorisation signée avant leur vente.

Quand le MHMDA est-il entré en vigueur ?

• Le 31 mars 2024 pour la plupart des entités réglementées.
• Le 30 juin 2024 pour les petites entreprises.

À qui s'applique le MHMDA ?

La loi s'applique aux entités réglementées qui exercent une activité dans l'État de Washington ou qui ciblent les consommateurs de Washington, et qui collectent, partagent ou traitent de toute autre manière des données de santé des consommateurs.

La notion de « données de santé des consommateurs » est définie de manière large : vérifiez donc si certaines des données collectées par votre site web ou votre application pourraient en relever.

Exigences en matière de consentement

Le MHMDA fixe deux exigences de consentement distinctes :

Le consentement à la collecte et le consentement au partage ne peuvent pas être regroupés dans une seule demande. Un unique « J'accepte » pour les deux ne satisfait pas à la loi.

Le consentement doit être un acte positif clair. Il doit être libre, spécifique, éclairé, opt-in, volontaire et univoque : demandez-le donc au moyen d'un choix que le consommateur doit sélectionner activement.

Chaque demande de consentement doit également comporter des informations comparables à celles d'une politique de confidentialité, par exemple :

• les catégories de données de santé des consommateurs collectées ou partagées,
• la finalité de la collecte ou du partage,
• les catégories d'entités avec lesquelles les données sont partagées, et
• la manière dont le consommateur peut retirer son consentement.

Vente de données de santé des consommateurs

La vente de données de santé des consommateurs nécessite une autorisation valide signée par le consommateur. Elle est distincte des consentements à la collecte et au partage, de sorte qu'un choix exprimé dans une bannière de consentement ne suffit pas à lui seul à permettre une vente.

Consumer Health Data Privacy Policy

Les entités réglementées doivent publier une politique de confidentialité des données de santé des consommateurs (Consumer Health Data Privacy Policy) et placer un lien bien visible vers celle-ci sur leur page d'accueil. Cette politique doit notamment indiquer :

• les catégories de données de santé des consommateurs collectées,
• les finalités pour lesquelles elles sont collectées et utilisées, et
• les sources auprès desquelles elles sont collectées.

Droits des consommateurs

Les consommateurs disposent de droits sur leurs données de santé, notamment le droit de retirer leur consentement. Offrez-leur un moyen simple de modifier leur choix à tout moment.

Application de la loi

Le MHMDA peut être appliqué par l'Attorney General (procureur général) de l'État de Washington. Il donne également aux consommateurs un droit d'action privé par l'intermédiaire du Washington Consumer Protection Act (loi de Washington sur la protection des consommateurs), ce qui crée une exposition juridique importante pour les entreprises qui gèrent mal le consentement.

Comment se préparer au MHMDA

1. Identifiez vos données de santé des consommateurs. Passez en revue vos formulaires, applications, outils d'analyse et balises publicitaires pour repérer les données pouvant se rapporter à la santé d'un consommateur.
2. Séparez les deux consentements. Demandez le consentement à la collecte et le consentement au partage sous la forme de deux choix différents, tous deux désactivés par défaut.
3. Rédigez des informations claires. Expliquez dans chaque demande de consentement ce que vous collectez ou partagez, pourquoi, avec qui et comment retirer son consentement.
4. Publiez votre Consumer Health Data Privacy Policy. Placez un lien bien visible vers celle-ci sur votre page d'accueil.
5. Bloquez les balises jusqu'au consentement. Ne laissez pas les balises qui collectent ou partagent des données de santé des consommateurs s'exécuter avant que le consommateur n'ait donné son accord.
6. Conservez des preuves. Enregistrez chaque consentement et chaque retrait afin de pouvoir montrer ce que le consommateur a choisi et quand.
7. Traitez les ventes séparément. Si vous vendez des données de santé des consommateurs, obtenez une autorisation signée distincte.

Questions fréquentes

Qu'est-ce que le Washington My Health My Data Act ?

Le My Health My Data Act (RCW 19.373) est une loi de l'État de Washington qui protège les données de santé des consommateurs. Elle exige un consentement opt-in pour collecter des données de santé des consommateurs, un consentement distinct pour les partager et une autorisation signée pour les vendre.

Quand le MHMDA est-il entré en vigueur ?

Il s'applique depuis le 31 mars 2024 pour la plupart des entités réglementées et depuis le 30 juin 2024 pour les petites entreprises.

Le MHMDA exige-t-il un consentement opt-in ?

Oui. La collecte de données de santé des consommateurs nécessite un consentement opt-in et leur partage un consentement distinct, sauf si cela est nécessaire pour fournir un produit ou un service demandé par le consommateur. Le consentement doit être un acte positif clair : libre, spécifique, éclairé, opt-in, volontaire et univoque.

Un seul consentement peut-il couvrir à la fois la collecte et le partage des données de santé ?

Non. Le consentement à la collecte et le consentement au partage doivent être demandés séparément et ne peuvent pas être regroupés. La vente de données de santé des consommateurs nécessite en outre une autorisation signée.

Qu'est-ce qu'une Consumer Health Data Privacy Policy ?

Il s'agit d'une politique de confidentialité distincte qui indique les catégories de données de santé des consommateurs que vous collectez, les finalités et les sources. Vous devez la publier et placer un lien bien visible vers celle-ci sur votre page d'accueil.

Comment le MHMDA est-il appliqué ?

Par l'Attorney General de l'État de Washington et au moyen d'un droit d'action privé fondé sur le Washington Consumer Protection Act, ce qui crée une exposition juridique importante.

Comment UniConsent aide à se conformer au MHMDA

UniConsent vous permet de demander les deux consentements du MHMDA dans votre bannière de consentement et de conserver la preuve de chaque choix :

• Modèle pour les données de santé des consommateurs de Washington. Dans le tableau de bord, le modèle de finalités personnalisées Washington consumer health data crée deux finalités distinctes, health_data_collection et health_data_sharing. Toutes deux sont marquées comme sensibles et associées à la catégorie de données sensibles 13 de l'IAB GPP (données de santé des consommateurs).
• Opt-in explicite pour les visiteurs américains. Les visiteurs des États-Unis doivent accepter explicitement les finalités sensibles. Accepter la bannière ne les accorde pas.
• Signal IAB GPP. Le choix est transmis dans la chaîne IAB GPP, afin que vos partenaires puissent le lire.
• Preuve du consentement. Chaque choix est enregistré dans la Consent DB. Consultez la piste d'audit du consentement.
• Les applications aussi. Utilisez les mêmes finalités dans vos applications grâce aux SDK mobiles, avec getCustomConsents() pour lire les choix et setCustomConsent pour enregistrer un choix fait dans vos propres écrans.
• Votre propre formulation. Modifiez le texte du modèle pour qu'il corresponde à vos données et à votre Consumer Health Data Privacy Policy.

Découvrez comment le configurer dans le guide des finalités personnalisées, comparez les autres lois sur la confidentialité des États américains et le CCPA, ou créez un compte UniConsent gratuit.

Cette page fournit des informations générales et ne constitue pas un avis juridique. Vérifiez auprès de vos conseillers juridiques comment le MHMDA s'applique à votre entreprise.