Dane o zdrowiu to najsilniej chroniona kategoria danych osobowych. W marketingu placówki medycznej RODO nie jest formalnością - decyduje o tym, jak wolno zbierać opinie, publikować zdjęcia „przed i po", prowadzić remarketing i wysyłać newsletter. Wyjaśniamy, gdzie są granice i jak robić skuteczny marketing bez ryzyka naruszenia.
To część serii o prawie w marketingu medycznym. Kontekst całości znajdziesz w przewodniku marketing medyczny - kompletny przewodnik.
Dane o zdrowiu to szczególna kategoria danych (art. 9 RODO)
Zgodnie z art. 9 RODO dane dotyczące zdrowia należą do szczególnych kategorii danych osobowych, a ich przetwarzanie jest co do zasady zakazane. Wyjątki są ściśle określone - należą do nich m.in. wyraźna zgoda osoby oraz przetwarzanie do celów zdrowotnych przez podmiot objęty tajemnicą zawodową. W marketingu najczęściej opieramy się na wyraźnej zgodzie, i to właśnie ona jest kluczowa.
Co ważne, samą informację o tym, że ktoś jest pacjentem konkretnej placówki, można już traktować jako daną o zdrowiu. To dlatego wiele standardowych narzędzi marketingowych trzeba w medycynie konfigurować inaczej niż w handlu.
Zdjęcia „przed i po" - podwójna ochrona
Fotografie efektów zabiegów to jednocześnie wizerunek i dane o zdrowiu. Aby je publikować, potrzebujesz:
- wyraźnej, dobrowolnej i konkretnej zgody pacjenta na przetwarzanie danych o zdrowiu,
- zgody na rozpowszechnianie wizerunku,
- informacji, gdzie i jak długo zdjęcia będą publikowane,
- możliwości wycofania zgody w każdej chwili.
Zgoda „na wszystko" wpisana w regulamin nie wystarczy. Musi być odrębna, świadoma i możliwa do udowodnienia. Warto prowadzić rejestr zgód i przechowywać podpisane formularze.
Opinie i referencje pacjentów
Publikując opinię pacjenta z imieniem, wizerunkiem albo opisem leczenia, przetwarzasz dane o zdrowiu - także tu potrzebna jest zgoda. Odwrotna strona medalu dotyczy odpowiadania na opinie w internecie. Nawet jeśli ktoś publicznie opisał swoją wizytę, Ty jako placówka jesteś związany tajemnicą zawodową. W odpowiedzi nie potwierdzaj, że dana osoba była pacjentem, i nie ujawniaj szczegółów leczenia - odpowiadaj ogólnie i profesjonalnie.
Piksel Meta, Google Analytics i remarketing - największe ryzyko
To obszar, w którym placówki najczęściej nieświadomie naruszają przepisy. Standardowo wdrożony piksel Meta lub tag remarketingowy może przekazywać do platformy informacje o tym, jakie podstrony odwiedził użytkownik - a w medycynie sama nazwa podstrony (np. konkretny zabieg) może zdradzać dane o zdrowiu. Przekazanie takich danych do zewnętrznej platformy bez odpowiedniej podstawy i zgody to realne ryzyko.
Jak ograniczyć ryzyko:
- wdrażaj narzędzia analityczne i reklamowe dopiero po zgodzie w banerze cookies (zgodnie z zasadą privacy by default),
- ogranicz przekazywanie zdarzeń z podstron ujawniających konkretne zabiegi,
- unikaj budowania grup remarketingowych na podstawie odwiedzin stron konkretnych schorzeń,
- skonfiguruj adresy podstron tak, by nie zdradzały danych wrażliwych,
- prowadź rejestr czynności przetwarzania i aktualną politykę prywatności.
Newsletter i komunikacja z pacjentem
E-mail i SMS do pacjentów wymagają rozdzielenia dwóch rzeczy. Przypomnienie o wizycie mieści się w realizacji usługi zdrowotnej. Treści marketingowe (promocje, nowe zabiegi) wymagają odrębnej zgody marketingowej oraz zgody na wybrany kanał komunikacji, zgodnie z prawem telekomunikacyjnym i przepisami o świadczeniu usług drogą elektroniczną. Nie łącz obu w jedną domyślnie zaznaczoną zgodę.
Obowiązki informacyjne i bezpieczeństwo danych
Placówka jako administrator danych ma obowiązek m.in. udostępnić klauzulę informacyjną, zabezpieczyć dane i - w wielu przypadkach - wyznaczyć inspektora ochrony danych. Podmioty lecznicze przetwarzające dane na dużą skalę zwykle mają taki obowiązek. Do tego dochodzą umowy powierzenia z dostawcami (systemy rezerwacji, hosting, agencja marketingowa), którzy przetwarzają dane w Twoim imieniu.
Najczęstsze błędy w klinikach medycznych
1. Jeden checkbox dla wszystkiego
"Akceptuję regulamin i politykę prywatności" + zgoda na zdrowie + marketing. Nielegalne - musi być minimum 3 osobne zgody.
2. Pre-checked checkboxy
Domyślnie zaznaczony "wyrażam zgodę". UODO interpretuje to jako brak zgody (art. 7 RODO).
3. Brak prawa do wycofania
RODO daje prawo do wycofania zgody w dowolnym momencie. W praktyce: link "wycofaj zgodę" w każdym mailu + opcja "usuń moje konto" w panelu pacjenta.
4. Hosting w USA bez SCC
Dane pacjentów w hostingu poza UE (Bluehost, GoDaddy USA, AWS US) - tylko z Standard Contractual Clauses. Bez SCC = nielegalne.
5. Mailing przez Mailchimp/Constant Contact bez SCC
Te platformy są w USA. Wymagają SCC podpisanego z dostawcą. Mailchimp ma to dostępne ale wymaga aktywacji.
6. Brak rejestru czynności przetwarzania
Art. 30 RODO - obowiązek prowadzenia rejestru czynności. Co najmniej:
- Jakie dane przetwarzamy (kategorie)
- W jakim celu (rezerwacja, marketing, księgowość)
- Komu udostępniamy (procesorzy)
- Jak długo przechowujemy
- Jak usuwamy
7. Brak inspektora ochrony danych (IOD)
Art. 37 RODO - obowiązek wyznaczenia IOD dla podmiotów przetwarzających dane wrażliwe na dużą skalę. Klinika z 1000+ pacjentami - musi mieć IOD.
Konsekwencje naruszeń
RODO przewiduje kary do 20 mln euro lub 4% globalnego obrotu (wybiera się wyższą). Dla kliniki w Polsce to może oznaczać:
- 50 000 - 200 000 zł za naruszenie podstawowe
- 500 000 - 2 mln zł za naruszenie poważne (wyciek danych)
- 5+ mln zł za masowe naruszenie
Praktyczna lista kontrolna RODO w marketingu placówki
- osobne, wyraźne zgody na zdjęcia „przed i po" oraz na opinie,
- baner cookies blokujący piksele do czasu zgody,
- polityka prywatności i klauzule informacyjne aktualne,
- umowy powierzenia z dostawcami narzędzi i agencją,
- rozdzielone zgody marketingowe i kanały komunikacji,
- procedura reagowania na wycofanie zgody i żądania pacjentów.
Zgodność z RODO łączy się z zasadami reklamy - o granicach promocji usług piszemy w tekście reklama lekarzy i gabinetów 2025, a o reklamie urządzeń w artykule reklama wyrobów medycznych.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Wdrożenie RODO w konkretnej placówce warto skonsultować z prawnikiem lub inspektorem ochrony danych.
Uporządkuj zgodność marketingu z RODO
Pomagamy placówkom prowadzić marketing skuteczny i zgodny z ochroną danych - od banera cookies, przez konfigurację pikseli, po zgody i polityki. Sprawdź wdrożenie RODO w marketingu medycznym albo umów bezpłatny audyt obecnych rozwiązań.
