Washington My Health My Data Act (MHMDA)

Che cos'è il Washington My Health My Data Act?

Il Washington My Health My Data Act (MHMDA), codificato in RCW 19.373, è una legge dello stato di Washington che tutela i "dati sanitari dei consumatori" (consumer health data). L'MHMDA richiede un consenso opt-in prima di raccogliere i dati sanitari dei consumatori, un consenso separato prima di condividerli e un'autorizzazione firmata prima di venderli.

Quando è entrato in vigore l'MHMDA?

• 31 marzo 2024 per la maggior parte dei soggetti regolamentati.
• 30 giugno 2024 per le piccole imprese.

A chi si applica l'MHMDA?

La legge si applica ai soggetti regolamentati che svolgono attività nello stato di Washington o che si rivolgono ai consumatori di Washington, e che raccolgono, condividono o trattano in altro modo dati sanitari dei consumatori.

I "dati sanitari dei consumatori" sono definiti in modo ampio, quindi verifica se qualcuno dei dati raccolti dal tuo sito web o dalla tua app possa rientrarvi.

Requisiti di consenso

L'MHMDA stabilisce due requisiti di consenso separati:

Il consenso alla raccolta e il consenso alla condivisione non possono essere uniti in un'unica richiesta. Un solo "Accetto" per entrambi non soddisfa la legge.

Il consenso deve essere un atto affermativo chiaro. Deve essere libero, specifico, informato, opt-in, volontario e inequivocabile, quindi chiedilo con una scelta che il consumatore deve selezionare attivamente.

Ogni richiesta di consenso deve inoltre includere informazioni simili a quelle di un'informativa sulla privacy, come:

• le categorie di dati sanitari dei consumatori raccolti o condivisi,
• la finalità della raccolta o della condivisione,
• le categorie di soggetti con cui i dati vengono condivisi, e
• come il consumatore può revocare il consenso.

Vendita dei dati sanitari dei consumatori

La vendita dei dati sanitari dei consumatori richiede un'autorizzazione valida firmata dal consumatore. È separata dai consensi alla raccolta e alla condivisione, quindi una scelta nel banner di consenso non basta da sola a consentire una vendita.

Consumer Health Data Privacy Policy

I soggetti regolamentati devono pubblicare una Consumer Health Data Privacy Policy (informativa sulla privacy dei dati sanitari dei consumatori) e inserire un link ben visibile a essa nella propria homepage. L'informativa deve indicare, tra l'altro:

• le categorie di dati sanitari dei consumatori raccolti,
• le finalità per cui vengono raccolti e utilizzati, e
• le fonti da cui vengono raccolti.

Diritti dei consumatori

I consumatori hanno diritti sui propri dati sanitari, tra cui il diritto di revocare il consenso. Offri ai consumatori un modo semplice per modificare la propria scelta in qualsiasi momento.

Applicazione della legge

L'MHMDA può essere fatto rispettare dall'Attorney General dello stato di Washington. Inoltre attribuisce ai consumatori un diritto di azione privata tramite il Washington Consumer Protection Act, la legge di Washington a tutela dei consumatori, il che crea un'esposizione legale considerevole per le aziende che gestiscono male il consenso.

Come prepararsi all'MHMDA

1. Individua i tuoi dati sanitari dei consumatori. Esamina moduli, app, strumenti di analisi e tag pubblicitari alla ricerca di dati che possano riguardare la salute di un consumatore.
2. Separa i due consensi. Chiedi il consenso alla raccolta e il consenso alla condivisione come due scelte diverse, entrambe disattivate per impostazione predefinita.
3. Scrivi informazioni chiare. Spiega in ogni richiesta di consenso cosa raccogli o condividi, perché, con chi e come revocare il consenso.
4. Pubblica la tua Consumer Health Data Privacy Policy. Inserisci un link ben visibile nella tua homepage.
5. Blocca i tag fino al consenso. Non lasciare che i tag che raccolgono o condividono dati sanitari dei consumatori vengano eseguiti prima che il consumatore dia l'opt-in.
6. Conserva i registri. Registra ogni consenso e ogni revoca per poter dimostrare cosa ha scelto il consumatore e quando.
7. Gestisci le vendite separatamente. Se vendi dati sanitari dei consumatori, ottieni un'autorizzazione firmata separata.

Domande frequenti

Che cos'è il Washington My Health My Data Act?

Il My Health My Data Act (RCW 19.373) è una legge dello stato di Washington che tutela i dati sanitari dei consumatori. Richiede un consenso opt-in per raccogliere i dati sanitari dei consumatori, un consenso separato per condividerli e un'autorizzazione firmata per venderli.

Quando è entrato in vigore l'MHMDA?

Si applica dal 31 marzo 2024 alla maggior parte dei soggetti regolamentati e dal 30 giugno 2024 alle piccole imprese.

L'MHMDA richiede un consenso opt-in?

Sì. La raccolta dei dati sanitari dei consumatori richiede un consenso opt-in e la loro condivisione un consenso separato, salvo che sia necessaria per fornire un prodotto o servizio richiesto dal consumatore. Il consenso deve essere un atto affermativo chiaro: libero, specifico, informato, opt-in, volontario e inequivocabile.

Un solo consenso può coprire sia la raccolta sia la condivisione dei dati sanitari?

No. Il consenso alla raccolta e il consenso alla condivisione devono essere richiesti separatamente e non possono essere uniti. La vendita dei dati sanitari dei consumatori richiede un'ulteriore autorizzazione firmata.

Che cos'è una Consumer Health Data Privacy Policy?

È un'informativa sulla privacy separata che indica le categorie di dati sanitari dei consumatori che raccogli, le finalità e le fonti. Devi pubblicarla e inserire un link ben visibile a essa nella tua homepage.

Come viene fatto rispettare l'MHMDA?

Dall'Attorney General dello stato di Washington e tramite un diritto di azione privata ai sensi del Washington Consumer Protection Act, il che crea un'esposizione legale considerevole.

Come UniConsent aiuta a rispettare l'MHMDA

UniConsent ti permette di chiedere i due consensi previsti dall'MHMDA nel tuo banner di consenso e di conservare la prova di ogni scelta:

• Modello per i dati sanitari dei consumatori di Washington. Nella dashboard, il modello di finalità personalizzate Washington consumer health data crea due finalità separate, health_data_collection e health_data_sharing. Entrambe sono contrassegnate come sensibili e associate alla categoria di dati sensibili 13 dell'IAB GPP (dati sanitari dei consumatori).
• Opt-in esplicito per i visitatori statunitensi. I visitatori degli Stati Uniti devono dare esplicitamente l'opt-in alle finalità sensibili. Accettare il banner non le concede.
• Segnale IAB GPP. La scelta viene inviata nella stringa IAB GPP, così i tuoi partner possono leggerla.
• Prova del consenso. Ogni scelta viene registrata nel Consent DB. Consulta l'audit trail del consenso.
• Anche per le app. Usa le stesse finalità nelle tue app tramite gli SDK mobile, con getCustomConsents() per leggere le scelte e setCustomConsent per registrare una scelta fatta nelle tue schermate.
• Testi personalizzati. Modifica il testo del modello in base ai tuoi dati e alla tua Consumer Health Data Privacy Policy.

Scopri come configurarlo nella guida alle finalità personalizzate, confronta le altre leggi sulla privacy degli stati USA e il CCPA, oppure crea un account UniConsent gratuito.

Questa pagina contiene informazioni generali e non costituisce consulenza legale. Verifica con i tuoi consulenti legali come l'MHMDA si applica alla tua attività.