Washington
Derechos del Consumidor bajo la MHMDA (Washington)
La My Health My Data Act (MHMDA) de Washington, capítulo 19.373 RCW, otorga a los consumidores cuatro derechos fundamentales sobre sus datos de salud del consumidor: el derecho a confirmar si una entidad regulada recopila, comparte o vende esos datos, el derecho de acceso a ellos, el derecho a retirar el consentimiento, y un amplio derecho a que sean eliminados. Estos derechos se establecen en RCW 19.373.040 y en las reglas de consentimiento de RCW 19.373.030.
A partir de 2026, lo que hace que estos derechos sean inusualmente poderosos es la aplicación de la ley que los respalda. Conforme a RCW 19.373.090, una entidad regulada que ignora una solicitud válida comete automáticamente una infracción de la Ley de Protección al Consumidor de Washington (capítulo 19.86 RCW), que el Fiscal General hace cumplir y que otorga al consumidor individual un derecho de acción privada conforme a RCW 19.86.090.
Alcance jurisdiccional: Esto cubre la My Health My Data Act de Washington (capítulo 19.373 RCW). Es información legal general, no asesoría legal.
Los cuatro derechos fundamentales del consumidor
Los derechos del consumidor bajo la MHMDA se encuentran en RCW 19.373.040. La ley otorga a un consumidor de Washington cuatro derechos que, en conjunto, le permiten averiguar qué datos de salud posee una entidad, controlar su uso, y lograr que se eliminen.
El primero es el derecho a confirmar. Un consumidor puede confirmar si una entidad regulada o pequeña empresa está recopilando, compartiendo o vendiendo sus datos de salud del consumidor. El segundo es el derecho de acceso: el consumidor puede acceder a esos datos, incluida una lista de todos los terceros y afiliadas con quienes la entidad ha compartido o vendido los datos, junto con una dirección de correo electrónico activa u otro mecanismo en línea que el consumidor pueda usar para contactar a esas partes.
El tercero es el derecho a retirar el consentimiento. Un consumidor puede retirar el consentimiento a la recopilación y el intercambio de sus datos de salud del consumidor por parte de la entidad. El cuarto es el derecho a la eliminación, que es el más amplio de los cuatro y se describe en detalle más adelante. A partir de 2026, los cuatro derechos están plenamente disponibles porque toda categoría de entidad cubierta superó su fecha de cumplimiento en 2024.
Para ver cómo estos derechos encajan dentro del marco de privacidad más amplio de Washington, consulte la página principal de Leyes de privacidad de datos de Washington.
El derecho a confirmar y acceder
Los derechos de confirmación y acceso funcionan en conjunto. Conforme a RCW 19.373.040, un consumidor primero tiene el derecho a saber si una entidad recopila, comparte o vende sus datos de salud del consumidor. Esto es significativo por sí solo, porque muchas de las entidades cubiertas por la MHMDA, como aplicaciones, anunciantes y corredores de datos, no son entidades que un consumidor normalmente asociaría con su información de salud.
El derecho de acceso permite entonces al consumidor ver los datos mismos y, de manera crucial, saber a dónde fueron. El estatuto exige que la entidad proporcione una lista de todos los terceros y afiliadas con quienes se compartieron o vendieron los datos de salud del consumidor. Esta es una divulgación a nivel de destinatario, no simplemente una lista de categorías.
El derecho de acceso también exige una forma de contactar a esos destinatarios. La entidad debe darle al consumidor una dirección de correo electrónico activa u otro mecanismo en línea que el consumidor pueda usar para contactar a cada tercero o afiliada. Ese detalle es importante para el derecho de eliminación, porque le da al consumidor una vía para seguir el rastro de sus datos en las etapas posteriores.
El derecho a retirar el consentimiento
El consentimiento es el motor de la MHMDA. Conforme a RCW 19.373.030, una entidad regulada generalmente no puede recopilar ni compartir datos de salud del consumidor sin antes obtener el consentimiento del consumidor, y el consentimiento para compartir debe ser separado y distinto del consentimiento para recopilar. El derecho a retirar el consentimiento en RCW 19.373.040 permite a un consumidor apagar ese motor.
Cuando un consumidor retira el consentimiento, la entidad debe dejar de recopilar y compartir los datos de salud del consumidor sobre esa base. El consentimiento conforme a RCW 19.373.010 debe ser un acto afirmativo claro que sea otorgado libremente, específico, informado, de participación voluntaria (opt in), voluntario e inequívoco, por lo que no puede ocultarse en términos de uso generales ni deducirse de que el consumidor pase el cursor sobre, cierre o silencie un aviso emergente.
Retirar el consentimiento es distinto de la eliminación. El retiro detiene la recopilación y el intercambio futuros; por sí solo no borra los datos que la entidad ya posee. Un consumidor que quiera que se eliminen los datos existentes también debe usar el derecho de eliminación. Ambos se ejercen a menudo juntos.
El amplio derecho de eliminación
El derecho de eliminación es el derecho del consumidor de mayor alcance bajo la MHMDA. Conforme a RCW 19.373.040, un consumidor tiene el derecho a que se eliminen los datos de salud del consumidor que le conciernen, y la entidad debe atender esa solicitud eliminando los datos de sus registros.
Lo que hace amplio a este derecho es su alcance posterior. La entidad debe eliminar los datos de salud del consumidor de todas las partes de su propio sistema, incluidos los sistemas de archivo y respaldo. El estatuto sí permite retrasar la eliminación en sistemas de archivo o respaldo, pero solo hasta que el sistema de archivo o respaldo se restaure la siguiente vez o hasta un máximo de seis meses, lo que ocurra primero, y los datos deben permanecer protegidos y sin usarse mientras tanto.
La obligación de eliminación también alcanza a todos aquellos con quienes se compartieron o vendieron los datos. La entidad debe notificar a todas las afiliadas, procesadores, contratistas y demás terceros con quienes compartió los datos de salud del consumidor sobre la solicitud de eliminación. Esos destinatarios deben entonces atender la solicitud y eliminar los datos de salud del consumidor de sus propios registros, incluidos sus sistemas de archivo y respaldo, en los mismos términos.
Este es un derecho de eliminación significativamente más sólido que el que ofrecen muchas leyes de privacidad, porque no se detiene en la primera empresa. Está diseñado para retirar los datos de toda la cadena de destinatarios, no solo del recopilador original. Para los consumidores, esto es lo más cercano que ha llegado una ley estatal a un verdadero derecho de eliminación total para los datos de salud.
Cómo ejercer sus derechos bajo la MHMDA
Para ejercer un derecho, un consumidor presenta una solicitud a la entidad regulada. RCW 19.373.040 indica a las entidades que proporcionen uno o más medios seguros y confiables para que los consumidores presenten solicitudes, y esos métodos deben tomar en cuenta cómo interactúan normalmente los consumidores con la entidad, la necesidad de una verificación segura de identidad, y la accesibilidad para consumidores con discapacidades. Una entidad no puede exigir a un consumidor que cree una nueva cuenta solo para presentar una solicitud, aunque puede exigir el uso de una cuenta existente.
El plazo de respuesta está fijado por ley. La entidad debe actuar sobre una solicitud sin demora injustificada y en todos los casos dentro de 45 días de recibirla. Ese plazo puede prorrogarse una vez por otros 45 días adicionales cuando sea razonablemente necesario, siempre que la entidad informe al consumidor sobre la prórroga y el motivo dentro de los primeros 45 días. La información debe proporcionarse sin costo, hasta dos veces por consumidor al año.
Si la entidad se niega a actuar, debe informar al consumidor sin demora injustificada y dentro del plazo de 45 días, explicar los motivos de la negativa, y proporcionar instrucciones sobre cómo apelar. La entidad debe mantener un proceso de apelación documentado, responder a una apelación por escrito dentro de 45 días, y, si la apelación es denegada, darle al consumidor una forma de presentar una queja ante el Fiscal General de Washington. Las obligaciones paso a paso del lado empresarial se detallan en la guía Cumplimiento empresarial de la MHMDA.
Tabla de derechos del consumidor y plazos
| Derecho | Estatuto | Qué hace | Plazo |
|---|---|---|---|
| Confirmar y acceder | RCW 19.373.040 | Confirmar recopilación, intercambio o venta; acceder a los datos y a una lista de destinatarios | 45 días (una prórroga de 45 días) |
| Retirar el consentimiento | RCW 19.373.040 | Detener la recopilación e intercambio futuros de datos de salud | Efectivo al momento del retiro |
| Eliminar | RCW 19.373.040 | Borrar los datos, incluidos los respaldos, y exigir a los destinatarios que los eliminen | 45 días; respaldos hasta 6 meses |
| Apelar una negativa | RCW 19.373.040 | Impugnar una solicitud denegada; remitir al Fiscal General si sigue siendo denegada | 45 días para responder a la apelación |
Qué significa el derecho de acción privada para los consumidores
Lo que da fuerza real a estos derechos es la aplicación de la MHMDA. Conforme a RCW 19.373.090, una infracción de la ley es una infracción de la Ley de Protección al Consumidor de Washington, capítulo 19.86 RCW. El Fiscal General de Washington ha confirmado que esto convierte a cualquier infracción de la MHMDA en una infracción automática de la Ley de Protección al Consumidor, aplicada por el Fiscal General y mediante acción privada.
El canal privado se ejerce conforme a RCW 19.86.090, el derecho de acción privada de larga data de la Ley de Protección al Consumidor. Permite que una persona perjudicada por un acto injusto o engañoso presente una demanda civil y recupere daños reales, además el tribunal puede aumentar la indemnización hasta tres veces los daños reales sujeto a un límite legal, junto con las costas del juicio y honorarios razonables de abogado.
Esta es la característica que distingue a la MHMDA de casi cualquier otra ley de privacidad de Estados Unidos. Las leyes integrales de estados como Virginia, Colorado y Oregón reservan la aplicación al fiscal general y prohíben las demandas privadas. La MHMDA no lo hace. Un consumidor de Washington que crea que una empresa recopiló, compartió o vendió sus datos de salud sin consentimiento, ignoró una solicitud de eliminación, o usó geocercas en un centro de salud, tiene una vía directa a los tribunales, no solo una queja ante el estado.
A partir de 2026, a un consumidor no se le puede, por supuesto, prometer ningún resultado en particular de una demanda, y si una infracción determinada causó un daño indemnizable es una cuestión legal específica de cada caso. Pero la existencia del recurso privado significa que los consumidores no dependen únicamente del Fiscal General para actuar, y por eso las empresas tratan el cumplimiento de la MHMDA como un asunto de riesgo de litigio.
Más leyes de Washington
- Leyes de Grabación de Reuniones con IA de Washington
- Leyes de Pensión Alimenticia Conyugal de Washington
- Leyes de Empleo a Voluntad de Washington
- Leyes de Accidentes Automovilísticos de Washington
- Leyes de Asientos de Seguridad para Auto de Washington
- Leyes de Custodia de Menores de Washington
- Leyes de Manutención Infantil de Washington
- Leyes de Matrimonio de Hecho de Washington
- Leyes sobre Deepfakes de Washington
- Leyes de Divorcio de Washington
- Leyes de Mordeduras de Perro de Washington
- Leyes de Emancipación de Washington
- Leyes de Eliminación de Antecedentes Penales de Washington
- Leyes de Accidentes con Fuga de Washington
- Leyes de Arrendador-Inquilino de Washington
- Leyes del Limón de Washington
Guías relacionadas
Preguntas frecuentes
¿Qué derechos tienen los consumidores bajo la MHMDA?
Conforme a RCW 19.373.040, los consumidores de Washington tienen el derecho a confirmar si una entidad regulada recopila, comparte o vende sus datos de salud del consumidor; el derecho a acceder a esos datos y a una lista de los terceros y afiliadas con quienes se compartieron o vendieron; el derecho a retirar el consentimiento a la recopilación e intercambio; y el derecho a que se eliminen los datos. El derecho de eliminación alcanza los respaldos de la entidad y a los terceros que recibieron los datos.
¿Cómo elimino mis datos de salud bajo la MHMDA?
Presente una solicitud de eliminación a la entidad regulada a través del método seguro de solicitud que ella proporciona. Conforme a RCW 19.373.040, la entidad debe eliminar los datos de salud del consumidor de sus registros, incluidos los sistemas de archivo y respaldo (con un retraso limitado de hasta seis meses para los respaldos), y debe notificar a todas las afiliadas, procesadores, contratistas y terceros que recibieron los datos para que también los eliminen de sus registros.
¿Cuánto tiempo tiene una empresa para responder a una solicitud bajo la MHMDA?
Conforme a RCW 19.373.040, una entidad regulada debe actuar sobre una solicitud sin demora injustificada y dentro de 45 días de recibirla. Puede prorrogar ese plazo una vez por otros 45 días adicionales cuando sea razonablemente necesario, siempre que notifique al consumidor sobre la prórroga y el motivo dentro de los primeros 45 días. La información generalmente debe proporcionarse sin costo, hasta dos veces por consumidor al año.
¿Cuál es la diferencia entre retirar el consentimiento y eliminar los datos?
Retirar el consentimiento conforme a RCW 19.373.040 detiene que la entidad siga recopilando y compartiendo sus datos de salud del consumidor hacia adelante, pero por sí solo no borra los datos que la entidad ya posee. El derecho de eliminación exige que la entidad realmente elimine los datos que tiene, incluidos los respaldos, y que indique a los terceros que los recibieron que también los eliminen. Muchos consumidores ejercen ambos derechos a la vez.
¿Puedo saber con quién se compartieron mis datos de salud?
Sí. El derecho de acceso en RCW 19.373.040 exige que la entidad proporcione una lista de todos los terceros y afiliadas con quienes compartió o vendió sus datos de salud del consumidor, junto con una dirección de correo electrónico activa u otro mecanismo en línea que pueda usar para contactar a cada uno de ellos. Esta es una divulgación a nivel de destinatario, no solo una lista de categorías.
¿Qué sucede si una empresa rechaza mi solicitud bajo la MHMDA?
Conforme a RCW 19.373.040, la entidad debe informarle dentro del plazo de 45 días, explicar por qué la rechazó, y darle instrucciones para apelar. Debe mantener un proceso de apelación documentado y responder por escrito dentro de 45 días. Si aun así niega la solicitud, debe darle una forma de presentar una queja ante el Fiscal General de Washington. Debido a que RCW 19.373.090 vincula las infracciones con la Ley de Protección al Consumidor, también podría tener un reclamo privado.
¿Puedo demandar a una empresa bajo la MHMDA?
Potencialmente, sí. RCW 19.373.090 convierte una infracción de la MHMDA en una infracción automática de la Ley de Protección al Consumidor de Washington (capítulo 19.86 RCW), que conlleva un derecho de acción privada conforme a RCW 19.86.090. Un consumidor perjudicado puede demandar por daños reales, daños triplicados hasta un límite legal, costas y honorarios de abogado. Si una infracción específica causó un daño indemnizable es una cuestión legal propia de cada caso, y esto es información general, no asesoría legal.
¿La MHMDA cubre los datos de salud de aplicaciones y sitios web?
Sí. Esa es la razón principal por la que existe la MHMDA. Su definición de datos de salud del consumidor en RCW 19.373.010 alcanza la información de salud que poseen aplicaciones, sitios web, anunciantes y corredores de datos que HIPAA no cubre. Por lo tanto, sus derechos a confirmar, acceder, retirar el consentimiento y eliminar datos se aplican a esas entidades cuando manejan los datos de salud del consumidor de residentes de Washington, sin ningún umbral de tamaño que las exente.
Fuentes y referencias
- RCW 19.373.040: Derechos y solicitudes del consumidor, negativa, apelación(app.leg.wa.gov).gov
- RCW 19.373.030: Recopilación o intercambio de datos de salud del consumidor(app.leg.wa.gov).gov
- RCW 19.373.010: Definiciones (consentimiento, datos de salud del consumidor)(app.leg.wa.gov).gov
- RCW 19.373.090: Aplicación de la ley de protección al consumidor(app.leg.wa.gov).gov
- RCW 19.86.090: Derecho de acción privada de la Ley de Protección al Consumidor(app.leg.wa.gov).gov
- RCW 19.373.070: Autorización válida para vender datos de salud del consumidor(app.leg.wa.gov).gov
- Fiscal General de Washington: Protección de los datos de salud personal y la privacidad de los habitantes de Washington(atg.wa.gov).gov