Was ist der Washington My Health My Data (MHMD) Act?

Der My Health My Data Act (MHMD Act) von Washington regelt Unternehmen und Dienstleister, die Gesundheitsdaten von Verbrauchern von Einwohnern des Bundesstaates verarbeiten oder sammeln. Die weit gefasste Definition von "Gesundheitsdaten" im Gesetz hat Auswirkungen auf die Einhaltung der Vorschriften für eine Vielzahl von Unternehmen, darunter viele, die nicht in den Geltungsbereich des Health Insurance Portability and Accountability Act (HIPAA) fallen.

Beispiele für Unternehmen, die möglicherweise zur Einhaltung des MHMD-Gesetzes verpflichtet sind, sind solche, die Fitness-Tracking-Geräte herstellen, Fitnesscenter verwalten oder indirekt Gesundheitsdaten von Verbrauchern sammeln.

Die Regierung des US-Bundesstaates Washington und Gouverneur Jay Inslee haben am 27. April 2023 den MHMD Act erlassen. Das Gesetz wird für kleine Unternehmen am 30. Juni 2024 und für alle anderen regulierten Unternehmen am 31. März 2024 in Kraft treten.

Erfahren Sie, wie UpGuard Vendor Risk Unternehmen dabei unterstützen kann, MHMD-Compliance in ihrer gesamten Lieferkette zu erreichen>

Geltungsbereich des Gesetzes "Meine Gesundheit, meine Daten"

Der MHMD Act gilt für jedes Unternehmen, das in Washington geschäftlich tätig ist, sich an ansässige Verbraucher im gesamten Bundesstaat Washington richtet oder Entscheidungen über die Verarbeitung von Gesundheitsdaten von Einwohnern des Bundesstaates trifft.

Im Gegensatz zu anderen staatlichen Datenschutzgesetzen, wie z. B. dem California Consumer Privacy Act (CCPA), verlangt der MHMD Act nicht, dass Unternehmen Geschäfte mit einer Mindestanzahl von Verbrauchern tätigen oder eine Umsatzschwelle erreichen, um für die Einhaltung zur Rechenschaft gezogen zu werden. Daher gilt der MHMD Act auch für gemeinnützige Organisationen und kleine Unternehmen.

Als Washington den MHMD Act entwarf, beabsichtigte es, große Teile von Gesundheitsdaten von Verbrauchern zu schützen, die vom HIPAA nicht abgedeckt wurden. Angesichts der weit gefassten Definitionen, die das Gesetz enthält, kann sich jedoch eine Vielzahl von Organisationen für die Gesetze und Vorschriften verantwortlich sehen, die das Gesetz erlässt.

Definition des Begriffs "Verbraucher"

Der MHMD Act gewährt und schützt die Gesundheitsdatenrechte von "Verbrauchern", die gesetzlich als jede natürliche Person definiert sind, die im Bundesstaat Washington ansässig ist oder deren Daten im gesamten Bundesstaat erhoben werden. Diese Definition ist auf Verbraucher beschränkt, die in einem individuellen oder haushaltsnahen Kontext handeln.

Das MHMD-Gesetz schließt ausdrücklich den Schutz der Daten von Personen aus, die in einem kommerziellen oder arbeitsrechtlichen Kontext tätig sind.

Verbraucherrechte

Der MHMD Act schützt die Privatsphäre der Verbraucher, indem er mehrere Rechte einräumt. Nach dem MHMD Act haben Verbraucher in Washington das Recht auf:

Wissen, ob ein Unternehmen Gesundheitsdaten von Verbrauchern sammelt oder verkauft
Greifen Sie nach der Erhebung auf ihre personenbezogenen Daten zu
Ungenauigkeiten in ihren personenbezogenen Daten zu löschen oder zu korrigieren
Lehnen Sie die Erfassung ihrer personenbezogenen Gesundheitsdaten ab

Gesundheitsdaten für Verbraucher

Der MHMD Act definiert Gesundheitsdaten von Verbrauchern als jede Art von personenbezogenen Daten, die mit einem Verbraucher in Verbindung gebracht werden können und seinen vergangenen, gegenwärtigen oder zukünftigen körperlichen oder geistigen Gesundheitszustand offenbaren.

Im Gegensatz zu anderen Gesetzen zum Schutz der Privatsphäre im Gesundheitswesen, die sich auf personenbezogene Daten konzentrieren, die von Gesundheitsdienstleistern während der Gesundheitsversorgung oder kongruent mit dem Austausch von Geldern erhoben werden, gilt das MHMD-Gesetz weitgehend. Der Geltungsbereich des Gesetzes regelt eine breite Palette von persönlichen Gesundheitsinformationen.

Das Gesetz listet verschiedene Beispiele für personenbezogene Daten auf, die ein Unternehmen verwenden könnte, um Rückschlüsse auf den Gesundheitszustand einer Person zu ziehen, darunter:

Körperliche Gesundheit, Diagnose oder Behandlung

Verschriebene Medikamente verwenden
Operationen oder Eingriffe
Körperfunktionen, Vitalparameter oder andere Messungen von Gesundheitsdaten
Biometrische Daten
Genetische Daten
Genaue Standortinformationen (Hausadresse)
Identifikatoren, die Informationen zur reproduktiven oder sexuellen Gesundheit preisgeben
Geschlechtsbejahende Pflegeinformationen
Informationen, aus denen hervorgeht, dass eine Person eine medizinische Behandlung, Diagnose oder zusätzliche Gesundheitsversorgung in Anspruch nimmt
Alle nicht-gesundheitsbezogenen Informationen oder Sekundärdaten, die verarbeitet werden, um Gesundheitsdaten von Verbrauchern offenzulegen oder gesundheitsbezogene Daten mit einer juristischen Person oder identifizierbaren Person zu verknüpfen

Anwendbarkeit

In vielerlei Hinsicht ist der Geltungsbereich des MHMD Act einzigartig. Die weit gefassten Definitionen des Gesetzes (Gesundheitsdaten und Verbraucher) und die weitreichenden Datenvorschriften (Daten von Einwohnern Washingtons und Daten, die innerhalb des Bundesstaates erhoben werden) erfordern die Einhaltung durch eine Liste einzigartiger Unternehmen.

Beispiele für Unternehmen, die möglicherweise durch den MHMD Act reguliert werden können, sind:

Einzelhändler, die rezeptfreie Medikamente, Erste-Hilfe-Ausrüstung, Verhütungsmittel oder Damenprodukte verkaufen (auch wenn diese Verkäufe nur einen Bruchteil ihres Gesamtgeschäfts ausmachen)
Mobile Apps, die das Einkaufen von Drittanbietern und die Erledigung von Aufgaben von den oben genannten Einzelhändlern erleichtern
Fitnessstudios, die Fitnessfortschritte oder fitnessbedingte Verletzungen verfolgen
Hersteller, die Fitness-Tracking-Zubehör herstellen (Fitnessuhren, Ringe, Gesundheitsmonitore, Schlafmonitore usw.)
Andere Unternehmen, die Gesundheitsdaten sammeln und die Verarbeitung von Daten für die Anzeigenverfolgung oder gezielte Werbung zulassen

Ausnahmen

Washingtons MHMD Act befreit Regierungsbehörden, Stammesnationen und staatliche Auftragnehmer, die Gesundheitsdaten von Verbrauchern verarbeiten.

Das Gesetz schränkt auch bestimmte Arten von Daten vom Schutz ein. Der MHMD Act schließt "geschützte Gesundheitsinformationen", die dem HIPAA unterliegen, Mitarbeiterdaten, anonymisierte Daten, Daten, die dem Gramm-Leach-Bliley Act (GLBA) unterliegen, und öffentlich zugängliche Daten aus.

Hinweis: Unternehmen, die ausgenommene Daten verarbeiten, unterliegen weiterhin den Anforderungen des MHMD Act für alle nicht ausgenommenen Daten. Unternehmen, die eine große Menge an Gesundheitsdaten von Verbrauchern verarbeiten, sollten vorsichtig sein, wenn sie prüfen, ob sie für eine Ausnahme in Frage kommen.

Regelungen des MHMD-Gesetzes

Unternehmen, die dem MHMD Act unterliegen, müssen mehrere Datenschutzrichtlinien befolgen, die es den Verbrauchern ermöglichen, zu entscheiden, wie und wann ihre persönlichen Gesundheitsdaten erhoben werden. Die Vorschriften des MHMD Act ähneln denen, die von mehreren US-Bundesstaaten im Rahmen ihrer umfassenden Datenschutzgesetzgebung erlassen wurden.

Der MHMD Act verlangt von den betroffenen Unternehmen, die folgenden Vorschriften zu befolgen:

Pflegen Sie eine genaue und informative Datenschutzrichtlinie für Verbraucher
Fordern Sie die Zustimmung der Verbraucher an und holen Sie sie ein, bevor Sie Gesundheitsdaten von Verbrauchern sammeln oder weitergeben
Beantragen und erhalten Sie eine gültige Genehmigung, bevor Sie Gesundheitsdaten von Verbrauchern verkaufen
Implementieren Sie Zugriffskontrollen, um den Datenzugriff auf die erforderlichen Parteien zu beschränken
Geofencing jederzeit verbieten
Entwurf und Durchsetzung eines Datenverarbeitungsvertrags für jeden Auftragsverarbeiter, der die erfassten Daten kontrolliert, verwaltet oder bearbeitet
Sofortige Reaktion auf Anfragen zu Datenzugriff, -korrektur oder -löschung

Datenschutzrichtlinie

Alle regulierten Unternehmen müssen eine Datenschutzrichtlinie erstellen, in der die Datenerfassungs- und -weiterleitungspraktiken den Verbrauchern mitgeteilt werden. Diese Richtlinie muss ausdrücklich zum Ausdruck bringen, welche Arten von Gesundheitsdaten erhoben werden, wie diese Daten erhoben werden, welchen Verwendungszweck sie haben und welches Verfahren Verbraucher der Erfassung, Weitergabe oder Verarbeitung ihrer personenbezogenen Gesundheitsdaten widersprechen können.

Hinweis: Diese Datenschutzrichtlinie muss gut sichtbar auf der Startseite der Website eines Unternehmens angezeigt werden, um die Compliance-Standards zu erfüllen.

Einwilligung der Verbraucher

Unternehmen, die unter den MHMD Act fallen, müssen die Zustimmung der Verbraucher einholen, bevor sie Gesundheitsdaten von Verbrauchern sammeln oder weitergeben. Darüber hinaus dürfen die für die Verarbeitung Verantwortlichen keine Daten an weitere Dritte weitergeben, bevor sie die Zustimmung der Zustimmung eingeholt haben. Daher ist die Einwilligung des Verbrauchers nicht von einem Sachverhalt auf einen anderen übertragbar.

Geofencing

Der MHMD Act definiert Geofencing als das Erstellen virtueller geografischer Grenzen, um gezielte Werbung zu fördern, Benachrichtigungen zu senden oder Verbraucherdaten von Personen zu sammeln, die einen virtuellen Bereich betreten oder verlassen. Das Gesetz verbietet regulierten Unternehmen, einschließlich solcher, die künstliche Intelligenz einsetzen, ausdrücklich, sich in irgendeiner Weise an Geofencing zu beteiligen.

Zugriffskontrollen

Unternehmen, die personenbezogene Gesundheitsdaten sammeln, müssen den Zugriff auf Mitarbeiter, Auftragsverarbeiter oder Auftragnehmer beschränken, die zur Erfüllung ihrer gesetzlichen Verpflichtungen oder zum Schutz von Verbraucherdaten erforderlich sind. Die MHMD beauftragt regulierte Unternehmen auch mit der Einrichtung, Implementierung und Aufrechterhaltung von Datensicherheitspraktiken, die einem angemessenen Sorgfaltsstandard zum Schutz aller Verbraucherdaten entsprechen.

Vertrag zur Auftragsverarbeitung

Datenverantwortliche, die die Hilfe eines externen Auftragsverarbeiters in Anspruch nehmen, sind verpflichtet, einen verbindlichen Vertrag zu entwerfen, zu unterzeichnen und durchzusetzen, bevor eine der Parteien an der Datenverarbeitung teilnimmt. In diesem Vertrag müssen die Verantwortlichkeiten jeder Partei nach dem Gesetz dargelegt und festgelegt werden, wie und wann ein Auftragsverarbeiter bestimmte Arten von Verbraucherdaten verarbeiten sollte.

Durchsetzung des MHMD-Gesetzes

Die Generalstaatsanwaltschaft und die Bezirksstaatsanwaltschaft von Washington sind befugt, die Fahrlässigkeit des MHMD als Verstoß gegen den Washington Consumer Protection Act (WCPA) durchzusetzen. Unternehmen, die gegen die MHMD verstoßen, können mit zivilrechtlichen Strafen von bis zu 7.500 US-Dollar pro betroffenem Verbraucher belegt werden.

Die MHMD sieht eine 45-tägige Heilungsfrist für Unternehmen vor, um den Anforderungen der Verbraucher nachzukommen. Die Unternehmen können diese Frist um weitere 45 Tage verlängern, wenn dies angesichts der Komplexität des Antrags und nach ordnungsgemäßer Unterrichtung des Verbrauchers über eine solche Verlängerung erforderlich ist. Jedes Unternehmen, das gegen diese Benachrichtigungsrichtlinie verstößt, kann zusätzlichen Durchsetzungsmaßnahmen unterliegen.

Privates Klagerecht

Im Gegensatz zu anderen Datenschutzgesetzen in den Vereinigten Staaten schränkt das MHMDA auch unser privates Klagerecht für betroffene Verbraucher ein. Nach dem Gesetz können betroffene Personen nach Ermessen des Gerichts einen "tatsächlichen Schadenersatz" von bis zu 25.000 US-Dollar verlangen. Das verletzende Unternehmen unterliegt auch allen Gerichts- und Anwaltskosten.

Daten des Inkrafttretens

Fast alle Bestimmungen des MHMDA treten am 31. März 2024 in Kraft. Kleine Unternehmen haben jedoch drei weitere Monate Zeit, um dem Gesetz nachzukommen. Der MHMD Act tritt für kleine Unternehmen am 30. Juni 2024 in Kraft.

Hinweis: In der Geofencing-Bestimmung des MHMDA ist kein Datum des Inkrafttretens aufgeführt. Nach dem Gesetz des Bundesstaates Washington wird jede Bedingung, die kein explizites Datum des Inkrafttretens auflistet, nach 90 Tagen nach der Legislaturperiode, in der das Gesetz verabschiedet wurde (22. Juli 2023), wirksam.

Auswirkungen des MHMD Act

Der MHMD Act stellt einen bedeutenden Wandel im Bewusstsein für den Datenschutz in den Vereinigten Staaten dar. Der breite Geltungsbereich des Gesetzes, die weitreichenden Definitionen und das kurze Compliance-Fenster werden sich unmittelbar auf Unternehmen in verschiedenen Branchen auswirken. Organisationen sollten damit beginnen, ihre Verpflichtungen aus dem MHMD-Gesetz zu bewerten und einen Plan zu erstellen, um die Einhaltung bis zum Datum des Inkrafttretens des Gesetzes zu erreichen.

In Zukunft werden wahrscheinlich weitere US-Bundesstaaten daran arbeiten, strengere Datenschutzgesetze zu verabschieden, die die Erfassung, Weitergabe oder Verarbeitung von Verbraucherdaten einschränken. Angesichts der Entscheidung des Obersten Gerichtshofs der USA, Roe vs. Wade aufzuheben, werden viele staatliche Behörden auch Schutzmaßnahmen ergreifen, um die Vertraulichkeit von Daten zu gewährleisten und die individuellen Gesundheitsrechte ihrer Einwohner zu schützen.

Die Vendor Risk-Technologie von UpGuard ermöglicht es Unternehmen, die Kontrolle über ihre Risiken durch Dritte zu übernehmen, indem sie Compliance-Risikobewertungen automatisieren, Echtzeit-Updates zu ihrer Sicherheitslage erhalten und die Einhaltung von Vorschriften (MHMDA, VCDPA, CCPA, DSGVO usw.) in ihrer gesamten Lieferkette verwalten.

BreachSight von UpGuard ermöglicht es Unternehmen, ihre Datenverarbeitungsprozesse gemäß den Anforderungen des MHMD Act zu bewerten. Das Produkt ermöglicht es Unternehmen auch, ihre Angriffsfläche proaktiv zu überwachen, Vertrauen in ihr Cybersicherheitsprogramm zu gewinnen und den Ruf ihres Unternehmens zu schützen.