2023 年 4 月，华盛顿州通过《我的健康我的数据法》（My Health My Data Act，下称 MHMDA，编入 RCW 第 19.373 章）。这部法律是美国州级隐私立法中少见的“带牙齿”的法律：消费者可以直接起诉。2025 年 2 月，首例集体诉讼 Maxwell v. Amazon.com, Inc.（W.D. Wash., No. 2:25-cv-00261）提起；2025 年 11 月，又有针对华盛顿州大麻零售商 Uncle Ike’s 网站追踪工具的集体诉讼见诸报道。两起案件的被告都不是医院，被诉的是“广告 SDK”和“网站像素”。对任何有华盛顿州用户的中资健康 App、可穿戴设备、跨境电商和广告技术企业来说，这是一个必须正视的信号。
一、法规背景：为什么 MHMDA 不同于其他州隐私法
MHMDA 由华盛顿州总检察长办公室推动，于 2023 年 4 月 27 日签署，分三步生效：禁止在医疗机构周边设置地理围栏的条款自 2023 年 7 月 23 日起施行；对一般“受规制实体”的核心义务自 2024 年 3 月 31 日起施行；小型企业的生效日为 2024 年 6 月 30 日。该法没有营收或数据量门槛：只要企业在华盛顿州开展业务，或以华盛顿州消费者为目标，并自行决定消费者健康数据处理的目的和方式，就可能落入“受规制实体”范围。
更关键的是执法机制。违反 MHMDA 即被视为违反《华盛顿州消费者保护法》（RCW 第 19.86 章）下的不公平或欺诈性行为，除州总检察长可以执法外，消费者可以直接提起诉讼，请求实际损害赔偿、律师费，法院还可以在实际损害赔偿的基础上判处最高三倍、且加判部分以 25,000 美元为上限的惩罚性赔偿。这也是为什么该法生效后，原告律师很快把它纳入了既有的 SDK 与追踪技术诉讼模板。
二、核心法律分析：谁被覆盖，什么被禁止
1. “消费者健康数据”范围极宽。根据 RCW 19.373.010，它指关联或可合理关联到特定消费者、并反映其过去、现在或未来身体或精神健康状况的个人信息，涵盖疾病、治疗、用药、生殖与性健康、生物识别与基因数据、可表明消费者正在获取医疗服务的精确位置信息，并明确包括通过算法等方式，由非健康数据推断出的健康信息。一个根据购买记录推断“可能怀孕”的模型，其输出就可能属于受保护数据。
2. 收集与共享，分别取得同意。企业收集消费者健康数据，须取得消费者明确、主动的同意；向第三方共享，原则上需要另行取得同意（为提供消费者请求的产品或服务所必需的除外）。同意必须是清晰的主动选择行为，接受通用隐私政策或使用条款不能视为有效同意。同时，企业必须在网站显著位置公布独立的消费者健康数据隐私政策，不能只是在综合隐私政策里增加一段。
3. 出售须有签署的“授权书”。出售消费者健康数据，必须取得消费者签署的有效授权，载明被出售的数据、买卖双方、用途等要素，有效期自签署起一年，不得与其他文件捆绑。这与加州 CCPA 的“选择退出”模式有本质区别，是“默认禁止、授权才可”。
4. 地理围栏禁令。在提供面对面医疗服务的机构周边约 2,000 英尺范围内设置地理围栏，用于识别或追踪消费者获得医疗服务的行为、收集健康数据或向其推送广告，均被禁止。该条款不因取得同意而豁免。
5. 消费者权利与处理者合同。消费者有权访问、撤回同意、要求删除（并要求通知下游接收方）、获取共享对象清单；企业应在 45 天内回应（可在必要时延长），拒绝时须说明理由并提供申诉渠道。企业与处理者之间必须有限制处理者仅按指示处理数据的合同。
6. 例外并不宽松。受 HIPAA 保护的受保护健康信息、受 GLBA、FCRA、FERPA 等调整的数据有相应豁免，但豁免针对的是“数据”而非“机构”。即使是 HIPAA 合规的医疗机构，其营销网站、分析工具和广告像素所处理的数据，仍可能落入 MHMDA。
三、两起案件揭示的诉讼路径
Maxwell v. Amazon.com, Inc.（W.D. Wash., No. 2:25-cv-00261，2025 年 2 月 10 日起诉）：据起诉书，原告指控亚马逊的广告 SDK 嵌入大量第三方 App，在用户为天气等功能授予定位权限的同时，收集带时间戳的经纬度和广告标识符，并用于广告变现。除联邦《窃听法》《存储通信法》、《计算机欺诈与滥用法》及华盛顿州《消费者保护法》外，原告还主张违反 MHMDA，理由之一是位置数据可以反映消费者寻求医疗服务的行为，而未取得同意。以上均为原告主张，尚无事实认定。
Uncle Ike’s 案（据 2025 年 11 月报道）：原告指控该大麻零售商网站上的追踪工具，将医用大麻购买、预约和产品选择等信息传输给 Google 等第三方，主张包括 MHMDA 在内的多项请求权。该案的关键法律问题之一，是原告能否证明 MHMDA 私人诉权所要求的“损害”。
我们在公开渠道尚未检索到法院就上述案件 MHMDA 请求作出的实体性裁决，具体进展请以 PACER 最新卷宗为准。但两案已经清晰地勾勒出原告的“标准打法”：以追踪技术（SDK、像素、会话回放）为切入口，以“未取得明确同意即共享健康相关数据”为核心指控，用州消费者保护法的私人诉权放大成集体诉讼。被告是否“医疗企业”，并不是起诉的门槛。
四、对中资企业的合规要点
1. 先做“健康数据识别”，再谈合规。梳理产品和网站收集的数据，哪些可能反映健康状况：血压、睡眠、经期、体重、用药，也包括购买孕产用品、医疗器械、成人保健品的订单与浏览行为，以及定位到诊所、药房的轨迹。判断标准是“可推断”，不是“你是否把它当作健康数据”。
2. 审计第三方 SDK 与网站像素。对 App 与独立站逐一核查广告、分析、会话回放、客服插件，确认哪些组件会在用户同意之前触发、向哪些第三方传输哪些字段。对面向华盛顿州用户的页面，应将非必要追踪工具设为“同意后加载”。
3. 重做同意与披露。在综合隐私政策之外，发布独立的消费者健康数据隐私政策；收集与共享分设两个独立同意点位；对可能构成“出售”的数据流程，设计符合要求的签署授权书及一年到期、可撤回的管理机制。
4. 避开地理围栏红线。如果企业使用基于位置的广告推送，须排除医疗机构周边 2,000 英尺范围内的围栏，并书面确认广告平台和代理商没有这类设置。
5. 建立 45 天响应的数据主体请求流程，并签订处理者协议。确保访问、删除、撤回同意能够向下游传导，对云服务商、广告平台、数据分析商补签符合 MHMDA 要求的数据处理合同，并保留证据。
五、格知律所如何协助
MHMDA 的合规难点不在条文，而在“技术事实”与“法律要件”的对接。格知律所数据合规团队可以按以下路径协助中资企业：（1）开展 MHMDA 适用性与健康数据盘点，判断业务是否构成“受规制实体”以及哪些数据属于消费者健康数据；（2）起草并审阅独立的消费者健康数据隐私政策、双重同意文案和出售授权书；（3）会同技术团队对 SDK、像素和广告投放配置进行审计，形成可向监管机构或法院出示的合规记录；（4）搭建 45 天响应期限的数据主体请求（DSAR）流程，并审阅与云、广告、分析供应商的数据处理协议（DPA）；（5）一旦收到集体诉讼起诉书、总检察长调查函或原告律师的要求函，提供早期评估、应诉与和解策略支持。我们的总部位于芝加哥，熟悉美国联邦与州层面的隐私诉讼实务。以上服务以个案评估为准，本文不构成法律意见。
六、结语
MHMDA 的启示在于：隐私诉讼的风险，从“你是否是一家健康企业”转向“你的代码把什么数据发给了谁”。在联邦层面尚无统一隐私法、州法不断增加的背景下，华盛顿州的私人诉权模式很可能被其他州借鉴。对中资企业而言，现在花时间盘点数据流和第三方组件，成本远低于一次集体诉讼的应诉与和解。后续我们将持续追踪 Maxwell 案与 Uncle Ike’s 案的进展。
如您的企业在华盛顿州有用户，需要评估 MHMDA 合规状况，欢迎联系格知律所：info@getechlaw.com，+1-312-888-6633。