华盛顿州《我的健康我的数据法》（MHMDA）

什么是华盛顿州《我的健康我的数据法》？

华盛顿州《我的健康我的数据法》（My Health My Data Act，MHMDA）编入 RCW 19.373，是一部保护“消费者健康数据”的华盛顿州法律。MHMDA 要求在收集消费者健康数据之前获得选择加入同意，在共享之前获得单独的同意，在出售之前获得签署的授权。

MHMDA 何时生效？

• 对大多数受监管实体，自 2024 年 3 月 31 日起生效。
• 对小型企业，自 2024 年 6 月 30 日起生效。

MHMDA 适用于哪些主体？

该法律适用于在华盛顿州开展业务或以华盛顿州消费者为目标，并收集、共享或以其他方式处理消费者健康数据的受监管实体。

“消费者健康数据”的定义十分宽泛，因此请检查你的网站或应用收集的数据中是否有任何数据可能属于这一范围。

同意要求

MHMDA 规定了两项相互独立的同意要求：

活动	所需条件
收集消费者健康数据	选择加入同意，除非收集是提供消费者所请求的产品或服务所必需的
共享消费者健康数据	单独的选择加入同意，除非共享是提供消费者所请求的产品或服务所必需的
出售消费者健康数据	单独的、经签署的有效授权

收集同意和共享同意不能合并为一次请求。针对两者的单一“我同意”不符合该法律的要求。

同意必须是明确的肯定性行为。它必须是自由给予的、具体的、知情的、选择加入的、自愿的且毫不含糊的，因此请通过需要消费者主动选择的选项来征求同意。

每次同意请求还必须包含类似隐私政策的披露内容，例如：

• 收集或共享的消费者健康数据类别，
• 收集或共享的目的，
• 数据共享对象的实体类别，以及
• 消费者如何撤回同意。

出售消费者健康数据

出售消费者健康数据需要由消费者签署的有效授权。该授权独立于收集同意和共享同意，因此仅凭同意横幅上的选择不足以允许出售。

消费者健康数据隐私政策

受监管实体必须发布一份消费者健康数据隐私政策（Consumer Health Data Privacy Policy），并在其主页上放置指向该政策的醒目链接。该政策必须披露以下内容（包括但不限于）：

• 收集的消费者健康数据类别，
• 收集和使用这些数据的目的，以及
• 数据的收集来源。

消费者权利

消费者对其消费者健康数据享有多项权利，包括撤回同意的权利。请为消费者提供一种简便的方式，让他们可以随时更改自己的选择。

执法

MHMDA 可由华盛顿州总检察长执行。它还通过《华盛顿州消费者保护法》（Washington Consumer Protection Act）赋予消费者私人诉讼权，这为在同意问题上出错的企业带来了重大的法律风险。

如何为 MHMDA 做好准备

1. 找出你的消费者健康数据。 审查你的表单、应用、分析和广告标签，找出可能与消费者健康相关的数据。
2. 将两项同意分开。 将收集同意和共享同意作为两个不同的选择来征求，且两者默认均为关闭。
3. 撰写清晰的披露内容。 在每次同意请求中说明你收集或共享什么、为什么、与谁共享以及如何撤回。
4. 发布你的消费者健康数据隐私政策。 在主页上醒目地链接到该政策。
5. 在获得同意前阻止标签。 在消费者选择加入之前，不要让收集或共享消费者健康数据的标签运行。
6. 保留记录。 存储每一次同意和撤回，以便证明消费者选择了什么以及何时选择。
7. 单独处理出售。 如果你出售消费者健康数据，请获取单独的签署授权。

常见问题

什么是华盛顿州《我的健康我的数据法》？

《我的健康我的数据法》（RCW 19.373）是一部保护消费者健康数据的华盛顿州法律。它要求在收集消费者健康数据时获得选择加入同意，在共享时获得单独的同意，在出售时获得签署的授权。

MHMDA 何时生效？

对大多数受监管实体，该法自 2024 年 3 月 31 日起适用；对小型企业，自 2024 年 6 月 30 日起适用。

MHMDA 是否要求选择加入同意？

是的。收集消费者健康数据需要选择加入同意，共享这些数据需要单独的同意，除非这是提供消费者所请求的产品或服务所必需的。同意必须是明确的肯定性行为：自由给予的、具体的、知情的、选择加入的、自愿的且毫不含糊的。

一项同意能否同时涵盖健康数据的收集和共享？

不能。收集同意和共享同意必须分别征求，不能合并。出售消费者健康数据还需要另外一份签署的授权。

什么是消费者健康数据隐私政策？

它是一份单独的隐私政策，用于披露你收集的消费者健康数据类别、目的和来源。你必须发布该政策，并在主页上放置指向它的醒目链接。

MHMDA 如何执行？

由华盛顿州总检察长执行，并可通过《华盛顿州消费者保护法》下的私人诉讼权执行，这带来了重大的法律风险。

UniConsent 如何帮助你遵守 MHMDA

UniConsent 让你可以在同意横幅中征求 MHMDA 的两项同意，并保留每个选择的证明：

• 华盛顿州消费者健康数据模板。 在控制台中，Washington consumer health data 自定义目的模板会创建两个相互独立的目的：health_data_collection 和 health_data_sharing。两者都被标记为敏感目的，并映射到 IAB GPP 敏感数据类别 13（消费者健康数据）。
• 美国访客需明确选择加入。 美国访客必须明确选择加入敏感目的。接受横幅并不会授予这些目的。
• IAB GPP 信号。 该选择会通过 IAB GPP 字符串发送，供你的合作伙伴读取。
• 同意证明。 每个选择都会记录在 Consent DB 中。请参阅 同意审计记录。
• 同样适用于应用。 通过移动 SDK 在你的应用中使用相同的目的：使用 getCustomConsents() 读取选择，使用 setCustomConsent 记录在你自有界面中作出的选择。
• 使用你自己的措辞。 编辑模板文本，使其与你的数据和你的消费者健康数据隐私政策相一致。

在 自定义目的指南 中了解如何设置，比较其他 美国州隐私法律 和 CCPA，或 免费创建 UniConsent 账户。

本页面仅为一般信息，不构成法律建议。请与你的法律顾问确认 MHMDA 如何适用于你的业务。