Dane o zdrowiu to najsilniej chroniona kategoria danych osobowych. W marketingu placówki medycznej RODO nie jest formalnością - decyduje o tym, jak wolno zbierać opinie, publikować zdjęcia „przed i po", prowadzić remarketing i wysyłać newsletter. Wyjaśniamy, gdzie są granice i jak robić skuteczny marketing bez ryzyka naruszenia.
To część serii o prawie w marketingu medycznym. Kontekst całości znajdziesz w przewodniku marketing medyczny - kompletny przewodnik.
Dane o zdrowiu to szczególna kategoria danych (art. 9 RODO)
Zgodnie z art. 9 RODO dane dotyczące zdrowia należą do szczególnych kategorii danych osobowych, a ich przetwarzanie jest co do zasady zakazane. Wyjątki są ściśle określone - należą do nich m.in. wyraźna zgoda osoby oraz przetwarzanie do celów zdrowotnych przez podmiot objęty tajemnicą zawodową. W marketingu najczęściej opieramy się na wyraźnej zgodzie, i to właśnie ona jest kluczowa.
Co ważne, samą informację o tym, że ktoś jest pacjentem konkretnej placówki, można już traktować jako daną o zdrowiu. To dlatego wiele standardowych narzędzi marketingowych trzeba w medycynie konfigurować inaczej niż w handlu.
Zdjęcia „przed i po" - podwójna ochrona
Fotografie efektów zabiegów to jednocześnie wizerunek i dane o zdrowiu. Aby je publikować, potrzebujesz:
- wyraźnej, dobrowolnej i konkretnej zgody pacjenta na przetwarzanie danych o zdrowiu,
- zgody na rozpowszechnianie wizerunku,
- informacji, gdzie i jak długo zdjęcia będą publikowane,
- możliwości wycofania zgody w każdej chwili.
Zgoda „na wszystko" wpisana w regulamin nie wystarczy. Musi być odrębna, świadoma i możliwa do udowodnienia. Warto prowadzić rejestr zgód i przechowywać podpisane formularze.
Opinie i referencje pacjentów
Publikując opinię pacjenta z imieniem, wizerunkiem albo opisem leczenia, przetwarzasz dane o zdrowiu - także tu potrzebna jest zgoda. Odwrotna strona medalu dotyczy odpowiadania na opinie w internecie. Nawet jeśli ktoś publicznie opisał swoją wizytę, Ty jako placówka jesteś związany tajemnicą zawodową. W odpowiedzi nie potwierdzaj, że dana osoba była pacjentem, i nie ujawniaj szczegółów leczenia - odpowiadaj ogólnie i profesjonalnie.
Piksel Meta, Google Analytics i remarketing - największe ryzyko
To obszar, w którym placówki najczęściej nieświadomie naruszają przepisy. Standardowo wdrożony piksel Meta lub tag remarketingowy może przekazywać do platformy informacje o tym, jakie podstrony odwiedził użytkownik - a w medycynie sama nazwa podstrony (np. konkretny zabieg) może zdradzać dane o zdrowiu. Przekazanie takich danych do zewnętrznej platformy bez odpowiedniej podstawy i zgody to realne ryzyko.
Jak ograniczyć ryzyko:
- wdrażaj narzędzia analityczne i reklamowe dopiero po zgodzie w banerze cookies (zgodnie z zasadą privacy by default),
- ogranicz przekazywanie zdarzeń z podstron ujawniających konkretne zabiegi,
- unikaj budowania grup remarketingowych na podstawie odwiedzin stron konkretnych schorzeń,
- skonfiguruj adresy podstron tak, by nie zdradzały danych wrażliwych,
- prowadź rejestr czynności przetwarzania i aktualną politykę prywatności.
Newsletter i komunikacja z pacjentem
E-mail i SMS do pacjentów wymagają rozdzielenia dwóch rzeczy. Przypomnienie o wizycie mieści się w realizacji usługi zdrowotnej. Treści marketingowe (promocje, nowe zabiegi) wymagają odrębnej zgody marketingowej oraz zgody na wybrany kanał komunikacji, zgodnie z prawem telekomunikacyjnym i przepisami o świadczeniu usług drogą elektroniczną. Nie łącz obu w jedną domyślnie zaznaczoną zgodę.
Obowiązki informacyjne i bezpieczeństwo danych
Placówka jako administrator danych ma obowiązek m.in. udostępnić klauzulę informacyjną, zabezpieczyć dane i - w wielu przypadkach - wyznaczyć inspektora ochrony danych. Podmioty lecznicze przetwarzające dane na dużą skalę zwykle mają taki obowiązek. Do tego dochodzą umowy powierzenia z dostawcami (systemy rezerwacji, hosting, agencja marketingowa), którzy przetwarzają dane w Twoim imieniu.
Praktyczna lista kontrolna RODO w marketingu placówki
- osobne, wyraźne zgody na zdjęcia „przed i po" oraz na opinie,
- baner cookies blokujący piksele do czasu zgody,
- polityka prywatności i klauzule informacyjne aktualne,
- umowy powierzenia z dostawcami narzędzi i agencją,
- rozdzielone zgody marketingowe i kanały komunikacji,
- procedura reagowania na wycofanie zgody i żądania pacjentów.
Zgodność z RODO łączy się z zasadami reklamy - o granicach promocji usług piszemy w tekście reklama lekarzy i gabinetów 2025, a o reklamie urządzeń w artykule reklama wyrobów medycznych.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Wdrożenie RODO w konkretnej placówce warto skonsultować z prawnikiem lub inspektorem ochrony danych.
Uporządkuj zgodność marketingu z RODO
Pomagamy placówkom prowadzić marketing skuteczny i zgodny z ochroną danych - od banera cookies, przez konfigurację pikseli, po zgody i polityki. Sprawdź wdrożenie RODO w marketingu medycznym albo umów bezpłatny audyt obecnych rozwiązań.
