LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

医療機関でなくても、健康に関わるデータを扱っていれば対象になりうる。米国ワシントン州の法律は、そういう作りをしています*1。

My Health My Data法（2023年法律第191章、ワシントン州改正法典第19.373章）です*1。規制対象事業者への主要な義務は2024年3月31日から、小規模事業者は2024年6月30日から適用されています*1。

健康や医療に関わるアプリやサービスを米国向けに出している企業と、そうしたシステムを受託して作る立場に向けて、条文から読み取れる要件を整理します。個別の適用は事情によりますので、法務の確認を経て進めてください。

誰が対象で、何が「健康データ」なのか

まず適用範囲です*1。

RCW 19.373.010(23)は規制対象事業者（regulated entity）を、次の両方に当たる法人としています*1。(a) ワシントン州で事業を行うか、州内の消費者に向けた製品もしくはサービスを生産または提供すること*1。(b) 単独または他者と共同で、消費者健康データの収集、処理、共有、または販売の目的と手段を決定することです*1。

政府機関、部族国家、そして政府機関のために消費者健康データを処理する受託サービス事業者は、規制対象事業者に当たらないとされています*1。

売上や利用者数の下限は置かれていません*1。州内の消費者に向けた製品やサービスを出していれば射程に入る書き方です*1。ただし後述のとおり、規模による段階分けはあります*1。

消費者（consumer）の定義も確認しておきます*1。ワシントン州の住民である自然人、または消費者健康データがワシントン州内で収集される自然人とされています*1。あわせて、もっぱら個人または世帯の文脈で行動する自然人とされ、雇用の文脈で行動する個人は含まないとされています*1。従業員の健康情報は、この法律の枠外に置かれます*1。

そして中心になるのが消費者健康データ（consumer health data）です*1。RCW 19.373.010(8)(a)は、消費者に紐づくか合理的に紐づけ可能な個人情報であって、消費者の過去、現在、または将来の身体的もしくは精神的な健康状態を識別するものとしています*1。

同(b)が「身体的もしくは精神的な健康状態」に含まれるものを列挙しています（これらに限られないとされています）*1。

(iv)の「処方薬の使用または購入」と(xi)の「正確な位置情報」が、実務でいちばん広く効いてきます*1。EC事業者が薬を売っていれば購入履歴が該当しえますし、位置情報を取っているアプリは、その情報が健康状態を示しうるかを検討することになります*1。

個人データの扱いそのものの設計は、GDPRの枠組みと重なる論点を持ちます。ただしこの法律は「健康」という切り口一本で範囲を決めている点が違います*1。

収集と共有で、同意が別に要る

義務の中心はRCW 19.373.030です*1。

収集について、規制対象事業者または小規模事業者は、次の場合を除いて消費者健康データを収集してはならないとされています*1。特定された目的についての消費者の同意がある場合*1。または、当該データに関係する消費者が求めた製品もしくはサービスを提供するために必要な範囲です*1。

共有についても同じ構造ですが、同意の要件が違います*1。次の場合を除いて共有してはならないとされています*1。収集について取得した同意とは別個かつ区別された、共有についての消費者の同意がある場合*1。または、消費者が求めた製品もしくはサービスを提供するために必要な範囲です*1。

「別個かつ区別された（separate and distinct）」という語が置かれている点が要点です*1。ひとつのチェックボックスで収集と共有をまとめて取ることはできません*1。同意画面の設計に直接に効きます。

同意はいずれも収集または共有の前に取得することとされ、同意の要求には次を明確かつ目立つ形で開示することとされています*1。収集または共有される消費者健康データの類型*1。収集または共有の目的（具体的にどう用いられるかを含む）*1。データが共有される主体の類型*1。そして、将来の収集または共有について消費者による同意の撤回の手段です*1。

差別の禁止も置かれています*1。この章に含まれる権利を行使したことを理由に、消費者を不法に差別してはならないとされています*1。

プライバシーポリシーはRCW 19.373.020です*1。規制対象事業者と小規模事業者は、消費者健康データのプライバシーポリシーを維持し、次を明確かつ目立つ形で開示することとされています*1。

収集する消費者健康データの類型と、収集の目的（どう用いるかを含む）*1。データを収集する源の類型*1。共有する消費者健康データの類型*1。データを共有する第三者の類型と、特定の関連会社の一覧*1。そして、RCW 19.373.040の権利を消費者がどう行使できるか*1。

あわせて、ホームページにプライバシーポリシーへのリンクを目立つ形で掲載することとされています*1。

ポリシーと実務のずれも規律されています*1。ポリシーに開示していない類型の消費者健康データを、追加の類型を開示して積極的な同意を得る前に収集・利用・共有してはならないとされ、ポリシーに開示していない追加の目的についても同様とされています*1。さらに、自らのプライバシーポリシーと整合しない方法で消費者健康データを処理させる契約を処理者と結ぶことは、この章の違反とされています*1。

ポリシーが実装を縛る構造です*1。先にポリシーを書いてしまうと、後から機能を足せなくなります*1。

消費者の権利と、ジオフェンスの禁止

RCW 19.373.040が消費者の権利です*1。

確認とアクセスの権利があります*1。規制対象事業者または小規模事業者が自らに関する消費者健康データを収集、共有、または販売しているかを確認し、当該データにアクセスする権利です*1。ここに含まれる内容が重い部分です*1。

当該データを共有または販売したすべての第三者および関連会社の一覧と、消費者がそれらに連絡するために使える有効な電子メールアドレスその他のオンラインの仕組みを含むとされています*1。

「どこに渡したか」を名前で出せる状態にしておく必要があるということです*1。共有先を台帳で管理していなければ、この請求に応えられません*1。

同意の撤回の権利もあります*1。収集と共有について同意を撤回する権利です*1。

そして削除の権利です*1。消費者は自らに関する消費者健康データの削除を求めることができ、削除の請求を受けた規制対象事業者または小規模事業者は次を行うこととされています*1。

(A) 自らの記録から当該データを削除すること。これにはネットワークのすべての部分が含まれ、アーカイブやバックアップのシステムも含まれます*1。そして(B) 当該データを共有したすべての関連会社、処理者、契約者、その他の第三者に対し、削除の請求を通知することです*1。

バックアップとアーカイブまで削除の対象に入っている点は、設計への影響が大きい規定です*1。論理削除のフラグだけでは足りず、削除の請求を受けたときにバックアップ側をどう扱うかを設計段階で決めておく必要があります*1。あわせて、削除の通知を受けた第三者側にも義務が生じます*1。

そしてジオフェンスの禁止です*1。RCW 19.373.080は、何人も、対面で医療サービスを提供する主体の周囲にジオフェンスを設け、それを次のために用いることは違法であるとしています*1。

(1) 医療サービスを求める消費者を識別または追跡すること*1。(2) 消費者から消費者健康データを収集すること*1。(3) 消費者健康データまたは医療サービスに関連する通知、メッセージ、または広告を消費者に送信することです*1。

この条は「何人も（any person）」と書かれており、規制対象事業者に限られていません*1。広告配信の側にも直接に及びうる書き方です*1。位置情報を使った配信の仕組みを持っているなら、除外領域として扱う必要があります*1。

違反が消費者保護法の問題になる

この法律の実務上の重さは、執行の建て付けにあります*1。

RCW 19.373.090は、この章が扱う行為が、消費者保護法（ワシントン州改正法典第19.86章）の適用上、公共の利益に重大に関わる事項であると立法府が認定するとしています*1。

そのうえで、この章の違反は、事業の発展と維持との関係において合理的ではなく、消費者保護法の適用上、取引または商業における不公正もしくは欺瞞的な行為であり、不公正な競争方法であるとされています*1。

州の消費者保護法の枠組みに接続されるということです*1。他州のプライバシー法が州司法長官による執行に限っていることが多いのに対し、この構造は消費者保護法の枠組みを通じた争いに開かれています*1。

この点は、コロラド州のADMT法が「新たな私訴権を創設しない」と明記しているのと対照的です*1。設計上のリスクの見積もり方が変わります。

データセキュリティの規定も確認しておきます*1。RCW 19.373.050は、データセキュリティの実務について定めています*1。

処理者についてはRCW 19.373.060が定めています*1。

販売には別枠の規定があります*1。RCW 19.373.070は、消費者健康データを販売するための有効な授権（valid authorization to sell）について定め、その要件を満たさない場合の欠陥と、消費者への提供について規律しています*1。単なる同意とは別の書面が必要になる建て付けです*1。

適用除外も広く置かれています*1。RCW 19.373.100(1)は、この章が適用されない情報を列挙しており、HIPAAの定義に当たる保護対象保健情報、ワシントン州改正法典第70.02章に従って収集・利用・開示される医療情報、42 C.F.R. Part 2に従って扱われる患者識別情報、45 C.F.R. Part 46その他の人を対象とする研究の枠組みに従う識別可能私的情報、各種の品質改善委員会やピアレビュー委員会が作成・保持する情報や文書、患者安全業務成果物、そして45 C.F.R. Part 164の要件に従って非識別化された情報などが挙げられています*1。

公衆衛生活動のためにのみ用いられる情報も除外に挙げられています*1。

つまり、HIPAAの下にある情報はこの法律の対象ではありません*1。この法律が狙っているのは、HIPAAの外にある「健康に関わるデータ」です*1。健康アプリ、ウェアラブル、ECの購買履歴、位置情報。そうした領域が中心になります*1。

規模による段階もあります*1。RCW 19.373.010(28)は小規模事業者（small business）を、次のいずれかまたは両方を満たす規制対象事業者としています*1。暦年中に10万人未満の消費者の消費者健康データを収集、処理、販売、または共有すること*1。または、消費者健康データの収集・処理・販売・共有から得る総収入が50パーセント未満であり、かつ2万5千人未満の消費者の消費者健康データを管理、処理、販売、または共有することです*1。

小規模事業者は、プライバシーポリシーの義務も収集・共有の義務も2024年6月30日から適用されるとされています*1。3か月の猶予が置かれた形です*1。

着手の順序と、受託で進めるときの要点

順序をつけます。

第一に、扱っているデータの棚卸しです。RCW 19.373.010(8)(b)の11項目に照らして確認します*1。処方薬の購入履歴、位置情報、生体データ。健康サービスを名乗っていなくても該当しうる項目です*1。

第二に、HIPAAとの切り分けです。HIPAAの下にある情報は除外されます*1。自社のデータのうち、どこまでがHIPAAの枠内で、どこからがこの法律の対象かを線引きします*1。

第三に、同意画面の分離です。収集の同意と共有の同意は別個かつ区別されたものが必要です*1。既存の一括同意を分ける作業になります*1。

第四に、共有先の台帳です。消費者は共有・販売した第三者と関連会社の一覧、そしてそれらへの連絡手段の提供を求められます*1。台帳がなければ応えられません*1。

第五に、削除の到達範囲です。アーカイブとバックアップも削除の対象とされています*1。バックアップ設計と削除の手順を突き合わせておくことです*1。

受託で進める場合の要点も挙げます。

ポリシーの文面を仕様と一体で作ることです。ポリシーに開示していない類型や目的での収集・利用・共有が禁じられ、ポリシーと整合しない処理を処理者にさせる契約も違反とされています*1。ポリシーが実装の上限になります*1。

位置情報の用途を洗い出すことです。正確な位置情報が健康状態を示しうる場合、消費者健康データに含まれえます*1。加えてRCW 19.373.080がジオフェンスを禁じています*1。地図や配信の機能を持つなら、この二つを同時に見る必要があります*1。

削除を機能として持つことです。ネットワークのすべての部分、アーカイブとバックアップを含む削除が求められ、第三者への通知も伴います*1。手作業で回すと、請求が増えたときに破綻します*1。

他の州法と項目を揃えることです。米国の州ごとの規律は内容が揃っていません。コロラド州のADMT法やニューヨーク市のAEDT規制とは求められる中身が違います。全体像は米国のAI規制で扱っていますので、共通の台帳を先に決めておくと管理が楽です。

体制としては、データの流れを図にできる人と、同意やポリシーの文面を書ける人が同じ場にいるかが分かれ目になります。この法律は、ポリシーの一文が実装の可否を決める構造を持っています。文面と実装を同時に動かせる進め方ができる委託先かどうかを、選定の観点に入れておくとよいでしょう。

まとめ：My Health My Data法で押さえる3つの視点

ワシントン州のMy Health My Data法（2023年法律第191章、RCW第19.373章）は、規制対象事業者について2024年3月31日から、小規模事業者について2024年6月30日から適用されています。押さえたい視点は三つです。第一に、対象の広さ。規制対象事業者は、州で事業を行うか州内の消費者に向けた製品やサービスを生産・提供する法人であって、消費者健康データの収集・処理・共有・販売の目的と手段を決定する者です。消費者健康データには、個別の症状や診断だけでなく、処方薬の使用または購入、身体機能やバイタル、生体データ、遺伝データ、そして健康状態を示しうる正確な位置情報が含まれます。HIPAAの下にある情報などは適用除外です。第二に、同意の分離。収集は目的を特定した同意か、消費者が求めた製品やサービスの提供に必要な範囲でのみ認められ、共有には収集の同意とは別個かつ区別された同意が必要です。プライバシーポリシーに開示していない類型や目的での取扱いは禁じられ、ポリシーと整合しない処理を処理者にさせる契約も違反とされます。第三に、執行の建て付け。削除の権利はアーカイブやバックアップを含み、共有先への通知も伴います。対面で医療サービスを提供する施設の周囲のジオフェンスは何人にも違法とされ、この章の違反は消費者保護法の適用上、不公正または欺瞞的な行為であり不公正な競争方法とされています。

よくある質問

出典

1. *1　参考：Washington State Legislature「RCW Chapter 19.373 — My Health My Data Act（2023 c 191）」（https://app.leg.wa.gov/RCW/default.aspx?cite=19.373&full=true）。RCW 19.373.005（立法府の認定と趣旨）、RCW 19.373.010（消費者、消費者健康データとその11の内容、規制対象事業者、小規模事業者の二つの閾値、第三者の定義）、RCW 19.373.020（2024年3月31日からの消費者健康データプライバシーポリシーの維持と開示5項目、ホームページへのリンクの掲載、未開示の類型や目的での取扱いの禁止と積極的同意、ポリシーと整合しない処理を処理者にさせる契約が違反である旨、小規模事業者は2024年6月30日から）、RCW 19.373.030（2024年3月31日からの収集と共有の制限、収集の同意または必要な範囲、共有について収集とは別個かつ区別された同意、同意要求で開示する4項目、権利行使を理由とする不法な差別の禁止、小規模事業者は2024年6月30日から）、RCW 19.373.040（確認とアクセスの権利、共有・販売した第三者と関連会社の一覧および連絡手段、同意撤回の権利、削除の権利とアーカイブ・バックアップを含む削除、第三者への通知）、RCW 19.373.050（データセキュリティの実務）、RCW 19.373.060（処理者）、RCW 19.373.070（販売のための有効な授権、欠陥、消費者への提供）、RCW 19.373.080（対面で医療サービスを提供する主体の周囲のジオフェンスの三つの用途の禁止）、RCW 19.373.090（消費者保護法の適用と、違反が不公正もしくは欺瞞的な行為かつ不公正な競争方法である旨）、RCW 19.373.100（HIPAAの保護対象保健情報や第70.02章の医療情報、42 C.F.R. Part 2、人を対象とする研究、品質改善・ピアレビュー・品質保証委員会の文書、患者安全業務成果物、45 C.F.R. Part 164に従う非識別化情報、公衆衛生活動のためにのみ用いる情報などの適用除外）の一次情報として（2026年8月確認）

Tweet