Washington
Derechos del Consumidor bajo la MHMDA (Washington)
Verificado de forma independiente contra fuentes primarias (última auditoría: 15 de agosto de 2026). · Revisado por el equipo editorial de RecordingLaw. · Ley verificada como vigente al 15 de agosto de 2026. · 7 fuentes primarias citadas en esta página. Cómo verificamos nuestro contenido legal
La My Health My Data Act (MHMDA) de Washington, capítulo 19.373 RCW, otorga a los consumidores cuatro derechos fundamentales sobre sus datos de salud del consumidor: el derecho a confirmar si una entidad regulada recopila, comparte o vende esos datos, el derecho de acceso a ellos, el derecho a retirar el consentimiento, y un amplio derecho a que sean eliminados. Estos derechos se establecen en y en las reglas de consentimiento de .
A partir de 2026, lo que hace que estos derechos sean inusualmente poderosos es la aplicación de la ley que los respalda. Conforme a , una entidad regulada que ignora una solicitud válida comete automáticamente una infracción de la Ley de Protección al Consumidor de Washington (capítulo 19.86 RCW), que el Fiscal General hace cumplir y que otorga al consumidor individual un derecho de acción privada conforme a .
Alcance jurisdiccional: Esto cubre la My Health My Data Act de Washington (capítulo 19.373 RCW). Es información legal general, no asesoría legal.
Los cuatro derechos fundamentales del consumidor
Los derechos del consumidor bajo la MHMDA se encuentran en . La ley otorga a un consumidor de Washington cuatro derechos que, en conjunto, le permiten averiguar qué datos de salud posee una entidad, controlar su uso, y lograr que se eliminen.
El primero es el derecho a confirmar. Un consumidor puede confirmar si una entidad regulada o pequeña empresa está recopilando, compartiendo o vendiendo sus datos de salud del consumidor. El segundo es el derecho de acceso: el consumidor puede acceder a esos datos, incluida una lista de todos los terceros y afiliadas con quienes la entidad ha compartido o vendido los datos, junto con una dirección de correo electrónico activa u otro mecanismo en línea que el consumidor pueda usar para contactar a esas partes.
El tercero es el derecho a retirar el consentimiento. Un consumidor puede retirar el consentimiento a la recopilación y el intercambio de sus datos de salud del consumidor por parte de la entidad. El cuarto es el derecho a la eliminación, que es el más amplio de los cuatro y se describe en detalle más adelante. A partir de 2026, los cuatro derechos están plenamente disponibles porque toda categoría de entidad cubierta superó su fecha de cumplimiento en 2024.
Para ver cómo estos derechos encajan dentro del marco de privacidad más amplio de Washington, consulte la página principal de Leyes de privacidad de datos de Washington.
El derecho a confirmar y acceder
Los derechos de confirmación y acceso funcionan en conjunto. Conforme a RCW 19.373.040, un consumidor primero tiene el derecho a saber si una entidad recopila, comparte o vende sus datos de salud del consumidor. Esto es significativo por sí solo, porque muchas de las entidades cubiertas por la MHMDA, como aplicaciones, anunciantes y corredores de datos, no son entidades que un consumidor normalmente asociaría con su información de salud.
El derecho de acceso permite entonces al consumidor ver los datos mismos y, de manera crucial, saber a dónde fueron. El estatuto exige que la entidad proporcione una lista de todos los terceros y afiliadas con quienes se compartieron o vendieron los datos de salud del consumidor. Esta es una divulgación a nivel de destinatario, no simplemente una lista de categorías.
El derecho de acceso también exige una forma de contactar a esos destinatarios. La entidad debe darle al consumidor una dirección de correo electrónico activa u otro mecanismo en línea que el consumidor pueda usar para contactar a cada tercero o afiliada. Ese detalle es importante para el derecho de eliminación, porque le da al consumidor una vía para seguir el rastro de sus datos en las etapas posteriores.
El derecho a retirar el consentimiento
El consentimiento es el motor de la MHMDA. Conforme a , una entidad regulada generalmente no puede recopilar ni compartir datos de salud del consumidor sin antes obtener el consentimiento del consumidor, y el consentimiento para compartir debe ser separado y distinto del consentimiento para recopilar. El derecho a retirar el consentimiento en RCW 19.373.040 permite a un consumidor apagar ese motor.
Cuando un consumidor retira el consentimiento, la entidad debe dejar de recopilar y compartir los datos de salud del consumidor sobre esa base. El consentimiento conforme a debe ser un acto afirmativo claro que sea otorgado libremente, específico, informado, de participación voluntaria (opt in), voluntario e inequívoco, por lo que no puede ocultarse en términos de uso generales ni deducirse de que el consumidor pase el cursor sobre, cierre o silencie un aviso emergente.
Retirar el consentimiento es distinto de la eliminación. El retiro detiene la recopilación y el intercambio futuros; por sí solo no borra los datos que la entidad ya posee. Un consumidor que quiera que se eliminen los datos existentes también debe usar el derecho de eliminación. Ambos se ejercen a menudo juntos.
El amplio derecho de eliminación
El derecho de eliminación es el derecho del consumidor de mayor alcance bajo la MHMDA. Conforme a RCW 19.373.040, un consumidor tiene el derecho a que se eliminen los datos de salud del consumidor que le conciernen, y la entidad debe atender esa solicitud eliminando los datos de sus registros.
Lo que hace amplio a este derecho es su alcance posterior. La entidad debe eliminar los datos de salud del consumidor de todas las partes de su propio sistema, incluidos los sistemas de archivo y respaldo. El estatuto sí permite retrasar la eliminación en sistemas de archivo o respaldo, pero solo hasta que el sistema de archivo o respaldo se restaure la siguiente vez o hasta un máximo de seis meses, lo que ocurra primero, y los datos deben permanecer protegidos y sin usarse mientras tanto.
La obligación de eliminación también alcanza a todos aquellos con quienes se compartieron o vendieron los datos. La entidad debe notificar a todas las afiliadas, procesadores, contratistas y demás terceros con quienes compartió los datos de salud del consumidor sobre la solicitud de eliminación. Esos destinatarios deben entonces atender la solicitud y eliminar los datos de salud del consumidor de sus propios registros, incluidos sus sistemas de archivo y respaldo, en los mismos términos.
Este es un derecho de eliminación significativamente más sólido que el que ofrecen muchas leyes de privacidad, porque no se detiene en la primera empresa. Está diseñado para retirar los datos de toda la cadena de destinatarios, no solo del recopilador original. Para los consumidores, esto es lo más cercano que ha llegado una ley estatal a un verdadero derecho de eliminación total para los datos de salud.
Cómo ejercer sus derechos bajo la MHMDA
Para ejercer un derecho, un consumidor presenta una solicitud a la entidad regulada. RCW 19.373.040 indica a las entidades que proporcionen uno o más medios seguros y confiables para que los consumidores presenten solicitudes, y esos métodos deben tomar en cuenta cómo interactúan normalmente los consumidores con la entidad, la necesidad de una verificación segura de identidad, y la accesibilidad para consumidores con discapacidades. Una entidad no puede exigir a un consumidor que cree una nueva cuenta solo para presentar una solicitud, aunque puede exigir el uso de una cuenta existente.
El plazo de respuesta está fijado por ley. La entidad debe actuar sobre una solicitud sin demora injustificada y en todos los casos dentro de 45 días de recibirla. Ese plazo puede prorrogarse una vez por otros 45 días adicionales cuando sea razonablemente necesario, siempre que la entidad informe al consumidor sobre la prórroga y el motivo dentro de los primeros 45 días. La información debe proporcionarse sin costo, hasta dos veces por consumidor al año.
Si la entidad se niega a actuar, debe informar al consumidor sin demora injustificada y dentro del plazo de 45 días, explicar los motivos de la negativa, y proporcionar instrucciones sobre cómo apelar. La entidad debe mantener un proceso de apelación documentado, responder a una apelación por escrito dentro de 45 días, y, si la apelación es denegada, darle al consumidor una forma de presentar una queja ante el Fiscal General de Washington. Las obligaciones paso a paso del lado empresarial se detallan en la guía Cumplimiento empresarial de la MHMDA.
Tabla de derechos del consumidor y plazos
| Derecho | Estatuto | Qué hace | Plazo |
|---|---|---|---|
| Confirmar y acceder | RCW 19.373.040 | Confirmar recopilación, intercambio o venta; acceder a los datos y a una lista de destinatarios | 45 días (una prórroga de 45 días) |
| Retirar el consentimiento | RCW 19.373.040 | Detener la recopilación e intercambio futuros de datos de salud | Efectivo al momento del retiro |
| Eliminar | RCW 19.373.040 | Borrar los datos, incluidos los respaldos, y exigir a los destinatarios que los eliminen | 45 días; respaldos hasta 6 meses |
| Apelar una negativa | RCW 19.373.040 | Impugnar una solicitud denegada; remitir al Fiscal General si sigue siendo denegada | 45 días para responder a la apelación |
Qué significa el derecho de acción privada para los consumidores
Lo que da fuerza real a estos derechos es la aplicación de la MHMDA. Conforme a , una infracción de la ley es una infracción de la Ley de Protección al Consumidor de Washington, capítulo 19.86 RCW. El Fiscal General de Washington ha confirmado que esto convierte a cualquier infracción de la MHMDA en una infracción automática de la Ley de Protección al Consumidor, aplicada por el Fiscal General y mediante acción privada.
El canal privado se ejerce conforme a , el derecho de acción privada de larga data de la Ley de Protección al Consumidor. Permite que una persona perjudicada por un acto injusto o engañoso presente una demanda civil y recupere daños reales, además el tribunal puede aumentar la indemnización hasta tres veces los daños reales sujeto a un límite legal, junto con las costas del juicio y honorarios razonables de abogado.
Esta es la característica que distingue a la MHMDA de casi cualquier otra ley de privacidad de Estados Unidos. Las leyes integrales de estados como Virginia, Colorado y Oregón reservan la aplicación al fiscal general y prohíben las demandas privadas. La MHMDA no lo hace. Un consumidor de Washington que crea que una empresa recopiló, compartió o vendió sus datos de salud sin consentimiento, ignoró una solicitud de eliminación, o usó geocercas en un centro de salud, tiene una vía directa a los tribunales, no solo una queja ante el estado.
A partir de 2026, a un consumidor no se le puede, por supuesto, prometer ningún resultado en particular de una demanda, y si una infracción determinada causó un daño indemnizable es una cuestión legal específica de cada caso. Pero la existencia del recurso privado significa que los consumidores no dependen únicamente del Fiscal General para actuar, y por eso las empresas tratan el cumplimiento de la MHMDA como un asunto de riesgo de litigio.
Más leyes de Washington
- Leyes de Grabación de Reuniones con IA de Washington
- Leyes de Pensión Alimenticia Conyugal de Washington
- Leyes de Empleo a Voluntad de Washington
- Leyes de Accidentes Automovilísticos de Washington
- Leyes de Asientos de Seguridad para Auto de Washington
- Leyes de Custodia de Menores de Washington
- Leyes de Manutención Infantil de Washington
- Leyes de Matrimonio de Hecho de Washington
- Leyes sobre Deepfakes de Washington
- Leyes de Divorcio de Washington
- Leyes de Mordeduras de Perro de Washington
- Leyes de Emancipación de Washington
- Leyes de Eliminación de Antecedentes Penales de Washington
- Leyes de Accidentes con Fuga de Washington
- Leyes de Arrendador-Inquilino de Washington
- Leyes del Limón de Washington
Guías relacionadas
Preguntas frecuentes
¿Qué derechos tienen los consumidores bajo la MHMDA?
Conforme a RCW 19.373.040, los consumidores de Washington tienen el derecho a confirmar si una entidad regulada recopila, comparte o vende sus datos de salud del consumidor; el derecho a acceder a esos datos y a una lista de los terceros y afiliadas con quienes se compartieron o vendieron; el derecho a retirar el consentimiento a la recopilación e intercambio; y el derecho a que se eliminen los datos. El derecho de eliminación alcanza los respaldos de la entidad y a los terceros que recibieron los datos.
¿Cómo elimino mis datos de salud bajo la MHMDA?
Presente una solicitud de eliminación a la entidad regulada a través del método seguro de solicitud que ella proporciona. Conforme a RCW 19.373.040, la entidad debe eliminar los datos de salud del consumidor de sus registros, incluidos los sistemas de archivo y respaldo (con un retraso limitado de hasta seis meses para los respaldos), y debe notificar a todas las afiliadas, procesadores, contratistas y terceros que recibieron los datos para que también los eliminen de sus registros.
¿Cuánto tiempo tiene una empresa para responder a una solicitud bajo la MHMDA?
Conforme a RCW 19.373.040, una entidad regulada debe actuar sobre una solicitud sin demora injustificada y dentro de 45 días de recibirla. Puede prorrogar ese plazo una vez por otros 45 días adicionales cuando sea razonablemente necesario, siempre que notifique al consumidor sobre la prórroga y el motivo dentro de los primeros 45 días. La información generalmente debe proporcionarse sin costo, hasta dos veces por consumidor al año.
¿Cuál es la diferencia entre retirar el consentimiento y eliminar los datos?
Retirar el consentimiento conforme a RCW 19.373.040 detiene que la entidad siga recopilando y compartiendo sus datos de salud del consumidor hacia adelante, pero por sí solo no borra los datos que la entidad ya posee. El derecho de eliminación exige que la entidad realmente elimine los datos que tiene, incluidos los respaldos, y que indique a los terceros que los recibieron que también los eliminen. Muchos consumidores ejercen ambos derechos a la vez.
¿Puedo saber con quién se compartieron mis datos de salud?
Sí. El derecho de acceso en RCW 19.373.040 exige que la entidad proporcione una lista de todos los terceros y afiliadas con quienes compartió o vendió sus datos de salud del consumidor, junto con una dirección de correo electrónico activa u otro mecanismo en línea que pueda usar para contactar a cada uno de ellos. Esta es una divulgación a nivel de destinatario, no solo una lista de categorías.
¿Qué sucede si una empresa rechaza mi solicitud bajo la MHMDA?
Conforme a RCW 19.373.040, la entidad debe informarle dentro del plazo de 45 días, explicar por qué la rechazó, y darle instrucciones para apelar. Debe mantener un proceso de apelación documentado y responder por escrito dentro de 45 días. Si aun así niega la solicitud, debe darle una forma de presentar una queja ante el Fiscal General de Washington. Debido a que RCW 19.373.090 vincula las infracciones con la Ley de Protección al Consumidor, también podría tener un reclamo privado.
¿Puedo demandar a una empresa bajo la MHMDA?
Potencialmente, sí. RCW 19.373.090 convierte una infracción de la MHMDA en una infracción automática de la Ley de Protección al Consumidor de Washington (capítulo 19.86 RCW), que conlleva un derecho de acción privada conforme a RCW 19.86.090. Un consumidor perjudicado puede demandar por daños reales, daños triplicados hasta un límite legal, costas y honorarios de abogado. Si una infracción específica causó un daño indemnizable es una cuestión legal propia de cada caso, y esto es información general, no asesoría legal.
¿La MHMDA cubre los datos de salud de aplicaciones y sitios web?
Sí. Esa es la razón principal por la que existe la MHMDA. Su definición de datos de salud del consumidor en RCW 19.373.010 alcanza la información de salud que poseen aplicaciones, sitios web, anunciantes y corredores de datos que HIPAA no cubre. Por lo tanto, sus derechos a confirmar, acceder, retirar el consentimiento y eliminar datos se aplican a esas entidades cuando manejan los datos de salud del consumidor de residentes de Washington, sin ningún umbral de tamaño que las exente.
Actualizaciones
Verificado de forma independiente contra las fuentes primarias citadas; ley aplicable revisada en busca de cambios recientes
Ley aplicable revisada en busca de cambios recientes
Revisado y aprobado por un editor
La ley detrás de este artículo
Este artículo se apoya en 6 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
Revised Code of Washington
§ 19.373.010Definitions.Vigentecitada en 6 de nuestros artículos
The definitions in this section apply throughout this chapter unless the context clearly requires otherwise. (1) "Abortion" means the termination of a pregnancy for purposes other than producing a live birth. (2) "Affiliate" means a legal entity that shares common branding with another legal entity and controls, is controlled by, or is under common control with another legal entity. For the purposes of this definition, "control" or "controlled" means: (a) Ownership of, or the power to vote, more than 50 percent of the outstanding shares of any class of voting security of a company; (b) Control in any manner over the election of a majority of the directors or of individuals exercising similar functions; or (c) The power to exercise controlling influence over the management of a company. (3) "Authenticate" means to use reasonable means to determine that a request to exercise any of the rights afforded in this chapter is being made by, or on behalf of, the consumer who is entitled to exercise such consumer rights with respect to the consumer health data at issue.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en app.leg.wa.gov
§ 19.373.030Collection or sharing of consumer health data.Vigentecitada en 2 de nuestros artículos
(1)(a) Except as provided in subsection (2) of this section, beginning March 31, 2024, a regulated entity or a small business may not collect any consumer health data except: (i) With consent from the consumer for such collection for a specified purpose; or (ii) To the extent necessary to provide a product or service that the consumer to whom such consumer health data relates has requested from such regulated entity or small business. (b) A regulated entity or a small business may not share any consumer health data except: (i) With consent from the consumer for such sharing that is separate and distinct from the consent obtained to collect consumer health data; or (ii) To the extent necessary to provide a product or service that the consumer to whom such consumer health data relates has requested from such regulated entity or small business.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en app.leg.wa.gov
§ 19.373.040Consumer rights and requests—Refusal—Appeal.Vigentecitada en 2 de nuestros artículos
(1)(a) Except as provided in subsection (2) of this section, beginning March 31, 2024, a consumer has the right to confirm whether a regulated entity or a small business is collecting, sharing, or selling consumer health data concerning the consumer and to access such data, including a list of all third parties and affiliates with whom the regulated entity or the small business has shared or sold the consumer health data and an active email address or other online mechanism that the consumer may use to contact these third parties. (b) A consumer has the right to withdraw consent from the regulated entity's or the small business's collection and sharing of consumer health data concerning the consumer. (c) A consumer has the right to have consumer health data concerning the consumer deleted and may exercise that right by informing the regulated entity or the small business of the consumer's request for deletion.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en app.leg.wa.gov
§ 19.373.070Valid authorization to sell—Defects—Provision to consumer.Vigentecitada en 2 de nuestros artículos
(1) Except as provided in subsection (6) of this section, beginning March 31, 2024, it is unlawful for any person to sell or offer to sell consumer health data concerning a consumer without first obtaining valid authorization from the consumer. The sale of consumer health data must be consistent with the valid authorization signed by the consumer. This authorization must be separate and distinct from the consent obtained to collect or share consumer health data, as required under RCW 19.373.030. (2) A valid authorization to sell consumer health data is a document consistent with this section and must be written in plain language.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en app.leg.wa.gov
§ 19.373.090Application of consumer protection act.Vigentecitada en 4 de nuestros artículos
The legislature finds that the practices covered by this chapter are matters vitally affecting the public interest for the purpose of applying the consumer protection act, chapter 19.86 RCW. A violation of this chapter is not reasonable in relation to the development and preservation of business, and is an unfair or deceptive act in trade or commerce and an unfair method of competition for the purpose of applying the consumer protection act, chapter 19.86 RCW.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en app.leg.wa.gov
§ 19.86.090Civil action for damages—Treble damages authorized—Action by governmental entities.Vigentecitada en 5 de nuestros artículos
Any person who is injured in his or her business or property by a violation of RCW 19.86.020, 19.86.030, 19.86.040, 19.86.050, or 19.86.060, or any person so injured because he or she refuses to accede to a proposal for an arrangement which, if consummated, would be in violation of RCW 19.86.030, 19.86.040, 19.86.050, or 19.86.060, may bring a civil action in superior court to enjoin further violations, to recover the actual damages sustained by him or her, or both, together with the costs of the suit, including a reasonable attorney's fee. In addition, the court may, in its discretion, increase the award of damages up to an amount not to exceed three times the actual damages sustained: PROVIDED, That such increased damage award for violation of RCW 19.86.020 may not exceed twenty-five thousand dollars: PROVIDED FURTHER, That such person may bring a civil action in the district court to recover his or her actual damages, except for damages which exceed the amount specified in RCW 3.66.020, and the costs of the suit, including reasonable attorney's fees.
Texto oficial (extracto) · al 2026-07-29 · Lea la sección completa en app.leg.wa.gov
Citada en 529 opiniones judicialesAplicada por un tribunal por última vez: 2026
Casos destacados: Hangman Ridge Training Stables, Inc. v. Safeco Title Insurance (Washington Supreme Court 1986, 105 Wash. 2d 778) · Washington State Physicians Insurance Exchange & Ass'n v. Fisons Corp. (Washington Supreme Court 1993, 122 Wash. 2d 299) · Bowers v. Transamerica Title Insurance (Washington Supreme Court 1983, 100 Wash. 2d 581)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
Fuentes y referencias
- RCW 19.373.040: Derechos y solicitudes del consumidor, negativa, apelación(app.leg.wa.gov).gov
- RCW 19.373.030: Recopilación o intercambio de datos de salud del consumidor(app.leg.wa.gov).gov
- RCW 19.373.010: Definiciones (consentimiento, datos de salud del consumidor)(app.leg.wa.gov).gov
- RCW 19.373.090: Aplicación de la ley de protección al consumidor(app.leg.wa.gov).gov
- RCW 19.86.090: Derecho de acción privada de la Ley de Protección al Consumidor(app.leg.wa.gov).gov
- RCW 19.373.070: Autorización válida para vender datos de salud del consumidor(app.leg.wa.gov).gov
- Fiscal General de Washington: Protección de los datos de salud personal y la privacidad de los habitantes de Washington(atg.wa.gov).gov