Derechos del Consumidor bajo la MHMDA (Washington)

La My Health My Data Act (MHMDA) de Washington, capítulo 19.373 RCW, otorga a los consumidores cuatro derechos fundamentales sobre sus datos de salud del consumidor: el derecho a confirmar si una entidad regulada recopila, comparte o vende esos datos, el derecho de acceso a ellos, el derecho a retirar el consentimiento, y un amplio derecho a que sean eliminados. Estos derechos se establecen en RCW 19.373.040 y en las reglas de consentimiento de RCW 19.373.030.

A partir de 2026, lo que hace que estos derechos sean inusualmente poderosos es la aplicación de la ley que los respalda. Conforme a RCW 19.373.090, una entidad regulada que ignora una solicitud válida comete automáticamente una infracción de la Ley de Protección al Consumidor de Washington (capítulo 19.86 RCW), que el Fiscal General hace cumplir y que otorga al consumidor individual un derecho de acción privada conforme a RCW 19.86.090.

Alcance jurisdiccional: Esto cubre la My Health My Data Act de Washington (capítulo 19.373 RCW). Es información legal general, no asesoría legal.

Los cuatro derechos fundamentales del consumidor

Los derechos del consumidor bajo la MHMDA se encuentran en RCW 19.373.040. La ley otorga a un consumidor de Washington cuatro derechos que, en conjunto, le permiten averiguar qué datos de salud posee una entidad, controlar su uso, y lograr que se eliminen.

El primero es el derecho a confirmar. Un consumidor puede confirmar si una entidad regulada o pequeña empresa está recopilando, compartiendo o vendiendo sus datos de salud del consumidor. El segundo es el derecho de acceso: el consumidor puede acceder a esos datos, incluida una lista de todos los terceros y afiliadas con quienes la entidad ha compartido o vendido los datos, junto con una dirección de correo electrónico activa u otro mecanismo en línea que el consumidor pueda usar para contactar a esas partes.

El tercero es el derecho a retirar el consentimiento. Un consumidor puede retirar el consentimiento a la recopilación y el intercambio de sus datos de salud del consumidor por parte de la entidad. El cuarto es el derecho a la eliminación, que es el más amplio de los cuatro y se describe en detalle más adelante. A partir de 2026, los cuatro derechos están plenamente disponibles porque toda categoría de entidad cubierta superó su fecha de cumplimiento en 2024.

Para ver cómo estos derechos encajan dentro del marco de privacidad más amplio de Washington, consulte la página principal de Leyes de privacidad de datos de Washington.

El derecho a confirmar y acceder

Los derechos de confirmación y acceso funcionan en conjunto. Conforme a RCW 19.373.040, un consumidor primero tiene el derecho a saber si una entidad recopila, comparte o vende sus datos de salud del consumidor. Esto es significativo por sí solo, porque muchas de las entidades cubiertas por la MHMDA, como aplicaciones, anunciantes y corredores de datos, no son entidades que un consumidor normalmente asociaría con su información de salud.

El derecho de acceso permite entonces al consumidor ver los datos mismos y, de manera crucial, saber a dónde fueron. El estatuto exige que la entidad proporcione una lista de todos los terceros y afiliadas con quienes se compartieron o vendieron los datos de salud del consumidor. Esta es una divulgación a nivel de destinatario, no simplemente una lista de categorías.

El derecho de acceso también exige una forma de contactar a esos destinatarios. La entidad debe darle al consumidor una dirección de correo electrónico activa u otro mecanismo en línea que el consumidor pueda usar para contactar a cada tercero o afiliada. Ese detalle es importante para el derecho de eliminación, porque le da al consumidor una vía para seguir el rastro de sus datos en las etapas posteriores.

El derecho a retirar el consentimiento

El consentimiento es el motor de la MHMDA. Conforme a RCW 19.373.030, una entidad regulada generalmente no puede recopilar ni compartir datos de salud del consumidor sin antes obtener el consentimiento del consumidor, y el consentimiento para compartir debe ser separado y distinto del consentimiento para recopilar. El derecho a retirar el consentimiento en RCW 19.373.040 permite a un consumidor apagar ese motor.

Cuando un consumidor retira el consentimiento, la entidad debe dejar de recopilar y compartir los datos de salud del consumidor sobre esa base. El consentimiento conforme a RCW 19.373.010 debe ser un acto afirmativo claro que sea otorgado libremente, específico, informado, de participación voluntaria (opt in), voluntario e inequívoco, por lo que no puede ocultarse en términos de uso generales ni deducirse de que el consumidor pase el cursor sobre, cierre o silencie un aviso emergente.

Retirar el consentimiento es distinto de la eliminación. El retiro detiene la recopilación y el intercambio futuros; por sí solo no borra los datos que la entidad ya posee. Un consumidor que quiera que se eliminen los datos existentes también debe usar el derecho de eliminación. Ambos se ejercen a menudo juntos.

El amplio derecho de eliminación

El derecho de eliminación es el derecho del consumidor de mayor alcance bajo la MHMDA. Conforme a RCW 19.373.040, un consumidor tiene el derecho a que se eliminen los datos de salud del consumidor que le conciernen, y la entidad debe atender esa solicitud eliminando los datos de sus registros.

Lo que hace amplio a este derecho es su alcance posterior. La entidad debe eliminar los datos de salud del consumidor de todas las partes de su propio sistema, incluidos los sistemas de archivo y respaldo. El estatuto sí permite retrasar la eliminación en los sistemas de archivo o respaldo para permitir la restauración de esos sistemas, pero ese retraso no puede exceder los seis meses contados desde que la entidad autentica la solicitud de eliminación. El estatuto no impone ninguna otra condición sobre los datos durante ese período.

La obligación de eliminación también alcanza a todos aquellos con quienes se compartieron o vendieron los datos. La entidad debe notificar a todas las afiliadas, procesadores, contratistas y demás terceros con quienes compartió los datos de salud del consumidor sobre la solicitud de eliminación. Esos destinatarios deben entonces atender la solicitud y eliminar los datos de salud del consumidor de sus propios registros, incluidos sus sistemas de archivo y respaldo, en los mismos términos.

Este es un derecho de eliminación significativamente más sólido que el que ofrecen muchas leyes de privacidad, porque no se detiene en la primera empresa. Está diseñado para retirar los datos de toda la cadena de destinatarios, no solo del recopilador original. Para los consumidores, esto es lo más cercano que ha llegado una ley estatal a un verdadero derecho de eliminación total para los datos de salud.

Cómo ejercer sus derechos bajo la MHMDA

Para ejercer un derecho, un consumidor presenta una solicitud a la entidad regulada. RCW 19.373.040 indica a las entidades que proporcionen uno o más medios seguros y confiables para que los consumidores presenten solicitudes, y esos métodos deben tomar en cuenta cómo interactúan normalmente los consumidores con la entidad, la necesidad de una verificación segura de identidad, y la accesibilidad para consumidores con discapacidades. Una entidad no puede exigir a un consumidor que cree una nueva cuenta solo para presentar una solicitud, aunque puede exigir el uso de una cuenta existente.

El plazo de respuesta está fijado por ley. La entidad debe actuar sobre una solicitud sin demora injustificada y en todos los casos dentro de 45 días de recibirla. Ese plazo puede prorrogarse una vez por otros 45 días adicionales cuando sea razonablemente necesario, siempre que la entidad informe al consumidor sobre la prórroga y el motivo dentro de los primeros 45 días. La información debe proporcionarse sin costo, hasta dos veces por consumidor al año.

Si la entidad decide no actuar sobre la solicitud, lo que exige RCW 19.373.040 es una vía de apelación, no un paso independiente de explicar los motivos en esa primera etapa. La entidad debe establecer un proceso para que el consumidor apele la negativa a actuar, y ese proceso debe estar disponible de forma visible y ser similar al proceso para presentar la solicitud original. Dentro de los 45 días posteriores a recibir una apelación, la entidad debe informar al consumidor por escrito sobre cualquier medida tomada o no tomada, incluyendo una explicación por escrito de los motivos de la decisión. Si la apelación es denegada, la entidad también debe darle al consumidor un mecanismo en línea, si está disponible, u otro método para contactar al Fiscal General de Washington y presentar una queja. Las obligaciones paso a paso del lado empresarial se detallan en la guía Cumplimiento empresarial de la MHMDA.

Tabla de derechos del consumidor y plazos

Qué significa el derecho de acción privada para los consumidores

Lo que da fuerza real a estos derechos es la aplicación de la MHMDA. Conforme a RCW 19.373.090, una infracción de la ley es una infracción de la Ley de Protección al Consumidor de Washington, capítulo 19.86 RCW. El Fiscal General de Washington ha confirmado que esto convierte a cualquier infracción de la MHMDA en una infracción automática de la Ley de Protección al Consumidor, aplicada por el Fiscal General y mediante acción privada.

El canal privado se ejerce conforme a RCW 19.86.090, el derecho de acción privada de larga data de la Ley de Protección al Consumidor, y es más limitado de lo que parece a primera vista. El estatuto abre la vía judicial a una persona que resulte «perjudicada en su negocio o propiedad» por la infracción, por lo que el daño que el demandante alegue debe ser un perjuicio al negocio o a la propiedad, y no un daño puramente personal como la angustia emocional. Un demandante que cumpla ese requisito puede recuperar los daños reales junto con las costas del juicio y honorarios razonables de abogado, y el tribunal puede, a su discreción, aumentar la indemnización hasta tres veces los daños reales. Ese aumento está limitado a $25,000 para una infracción de RCW 19.86.020, la disposición que declara ilegales los actos injustos o engañosos y a la cual RCW 19.373.090 remite las infracciones de la MHMDA.

Esta es la característica que distingue a la MHMDA de casi cualquier otra ley de privacidad de Estados Unidos. Las leyes integrales de estados como Virginia, Colorado y Oregón reservan la aplicación al fiscal general y prohíben las demandas privadas. La MHMDA no lo hace. Un consumidor de Washington que crea que una empresa recopiló, compartió o vendió sus datos de salud sin consentimiento, ignoró una solicitud de eliminación, o usó geocercas en un centro de salud, tiene una vía a los tribunales, no solo una queja ante el estado, siempre que pueda demostrar el perjuicio al negocio o a la propiedad que exige RCW 19.86.090.

A partir de 2026, a un consumidor no se le puede, por supuesto, prometer ningún resultado en particular de una demanda, y si una infracción determinada causó un daño indemnizable es una cuestión legal específica de cada caso. Pero la existencia del recurso privado significa que los consumidores no dependen únicamente del Fiscal General para actuar, y por eso las empresas tratan el cumplimiento de la MHMDA como un asunto de riesgo de litigio.

Más leyes de Washington

• Leyes de Grabación de Reuniones con IA de Washington
• Leyes de Pensión Alimenticia Conyugal de Washington
• Leyes de Empleo a Voluntad de Washington
• Leyes de Accidentes Automovilísticos de Washington
• Leyes de Asientos de Seguridad para Auto de Washington
• Leyes de Custodia de Menores de Washington
• Leyes de Manutención Infantil de Washington
• Leyes de Matrimonio de Hecho de Washington
• Leyes sobre Deepfakes de Washington
• Leyes de Divorcio de Washington
• Leyes de Mordeduras de Perro de Washington
• Leyes de Emancipación de Washington
• Leyes de Eliminación de Antecedentes Penales de Washington
• Leyes de Accidentes con Fuga de Washington
• Leyes de Arrendador-Inquilino de Washington
• Leyes del Limón de Washington

Guías relacionadas

• Leyes de privacidad de datos de Washington, página principal
• ¿Qué es la MHMDA?
• Cumplimiento empresarial de la MHMDA
• Comparación de leyes estatales de privacidad de datos
• ¿Qué es la CCPA?

Preguntas frecuentes

¿Qué derechos tienen los consumidores bajo la MHMDA?

Conforme a RCW 19.373.040, los consumidores de Washington tienen el derecho a confirmar si una entidad regulada recopila, comparte o vende sus datos de salud del consumidor; el derecho a acceder a esos datos y a una lista de los terceros y afiliadas con quienes se compartieron o vendieron; el derecho a retirar el consentimiento a la recopilación e intercambio; y el derecho a que se eliminen los datos. El derecho de eliminación alcanza los respaldos de la entidad y a los terceros que recibieron los datos.

¿Cómo elimino mis datos de salud bajo la MHMDA?

Presente una solicitud de eliminación a la entidad regulada a través del método seguro de solicitud que ella proporciona. Conforme a RCW 19.373.040, la entidad debe eliminar los datos de salud del consumidor de sus registros, incluidos los sistemas de archivo y respaldo (con un retraso limitado de hasta seis meses para los respaldos), y debe notificar a todas las afiliadas, procesadores, contratistas y terceros que recibieron los datos para que también los eliminen de sus registros.

¿Cuánto tiempo tiene una empresa para responder a una solicitud bajo la MHMDA?

Conforme a RCW 19.373.040, una entidad regulada debe actuar sobre una solicitud sin demora injustificada y dentro de 45 días de recibirla. Puede prorrogar ese plazo una vez por otros 45 días adicionales cuando sea razonablemente necesario, siempre que notifique al consumidor sobre la prórroga y el motivo dentro de los primeros 45 días. La información generalmente debe proporcionarse sin costo, hasta dos veces por consumidor al año.

¿Cuál es la diferencia entre retirar el consentimiento y eliminar los datos?

Retirar el consentimiento conforme a RCW 19.373.040 detiene que la entidad siga recopilando y compartiendo sus datos de salud del consumidor hacia adelante, pero por sí solo no borra los datos que la entidad ya posee. El derecho de eliminación exige que la entidad realmente elimine los datos que tiene, incluidos los respaldos, y que indique a los terceros que los recibieron que también los eliminen. Muchos consumidores ejercen ambos derechos a la vez.

¿Puedo saber con quién se compartieron mis datos de salud?

Sí. El derecho de acceso en RCW 19.373.040 exige que la entidad proporcione una lista de todos los terceros y afiliadas con quienes compartió o vendió sus datos de salud del consumidor, junto con una dirección de correo electrónico activa u otro mecanismo en línea que pueda usar para contactar a cada uno de ellos. Esta es una divulgación a nivel de destinatario, no solo una lista de categorías.

¿Qué sucede si una empresa rechaza mi solicitud bajo la MHMDA?

Conforme a RCW 19.373.040, la entidad debe establecer un proceso para que usted apele su negativa a actuar, y ese proceso debe estar disponible de forma visible y ser similar al proceso para presentar la solicitud original. Dentro de los 45 días posteriores a recibir su apelación, debe informarle por escrito sobre cualquier medida tomada o no tomada, incluyendo una explicación por escrito de los motivos de la decisión. Si la apelación es denegada, también debe darle un mecanismo en línea, si está disponible, u otro método para contactar al Fiscal General de Washington y presentar una queja. Debido a que RCW 19.373.090 vincula las infracciones con la Ley de Protección al Consumidor, también podría tener un reclamo privado.

¿Puedo demandar a una empresa bajo la MHMDA?

Potencialmente, sí. RCW 19.373.090 convierte una infracción de la MHMDA en una infracción automática de la Ley de Protección al Consumidor de Washington (capítulo 19.86 RCW), que conlleva un derecho de acción privada conforme a RCW 19.86.090. Esa disposición se limita a una persona que resulte perjudicada en su negocio o propiedad por la infracción, lo cual excluye un daño puramente personal como la angustia emocional. Un consumidor que cumpla ese requisito puede demandar por daños reales, las costas del juicio y honorarios razonables de abogado, y el tribunal puede aumentar la indemnización hasta tres veces los daños reales, con un límite de $25,000. Si una infracción específica causó un daño indemnizable es una cuestión legal propia de cada caso, y esto es información general, no asesoría legal.

¿La MHMDA cubre los datos de salud de aplicaciones y sitios web?

Sí. Esa es la razón principal por la que existe la MHMDA. Su definición de datos de salud del consumidor en RCW 19.373.010 alcanza la información de salud que poseen aplicaciones, sitios web, anunciantes y corredores de datos que HIPAA no cubre. Por lo tanto, sus derechos a confirmar, acceder, retirar el consentimiento y eliminar datos se aplican a esas entidades cuando manejan los datos de salud del consumidor de residentes de Washington, sin ningún umbral de tamaño que las exente.