Formularz rezerwacji online to najczestszy punkt naruszenia RODO w klinikach. Kara może wynieść do 4% rocznego obrotu (nie 4 mln euro – to maksimum dla globalnych firm). Dla średniej kliniki to może być 50-200 tys. zł.
1. Zgoda na przetwarzanie – osobny checkbox
Najcześciej spotykany błąd: jeden checkbox „Akceptuję regulamin i politykę prywatności”. UODO interpretuje to jako „wymuszony konsens” – nielegalne.
Poprawnie: minimum 2 osobne checkboxy:
- Zgoda na przetwarzanie danych w celu rezerwacji wizyty (obowiązkowy)
- Zgoda na newsletter / marketing (dobrowolny)
2. Brak informacji o administratorze
Pod formularzem MUSI być informacja: kto jest administratorem danych (pełna nazwa firmy + NIP + adres + email IOD), na jakiej podstawie prawnej (zazwyczaj art. 6 ust. 1 lit. b – umowa), na jak długo, komu udostępniamy.
3. Pre-checked checkboxy
Jeszcze gorsze niż jeden checkbox: pre-checked checkbox (zaznaczony domyslnie). RODO art. 7 – zgoda musi być dobrowolna i świadoma. Pre-checked zgoda = brak zgody.
4. Dane wrażliwe (zdrowotne) bez podstawy prawnej
Pacjent w formularzu pisze „Mam trądzik” lub „Bole krzyża”. To dane wrażliwe (art. 9 RODO). Wymagają szczególnej ochrony i zgody (osobnej od zgody na rezerwację).
Rozwiązanie: pole „Powod wizyty” jako opcjonalne + osobny disclaimer „Dane medyczne są szczególnie chronione zgodnie z RODO”.
5. Brak prawa do usunięcia
Pacjent ma prawo żądać usunięcia swoich danych (art. 17 RODO). W formularzu i polityce prywatności musi być informacja: „Możesz w każdej chwili wycofać zgodę lub poprosić o usunięcie – kontakt iod@[twoja-klinika].pl”.
6. Hosting poza UE bez SCC
Dane pacjentów nie mogą być przesyłane poza UE bez Standard Contractual Clauses. Najczęstsze przypadki problemów:
- Hosting w USA (np. Bluehost, GoDaddy)
- Mailing przez Mailchimp (USA – z SCC OK, bez SCC nielegalne)
- Forms przez Google Forms (USA – to samo)
- Cloudflare bez ustawienia EU-only
7. Brak rejestru czynności przetwarzania
Każdy administrator musi prowadzić rejestr (art. 30 RODO): jakie dane, w jakim celu, kto ma dostęp, jak długo. To dokument wewnętrzny, ale UODO może go zażądać przy kontroli.
Co zrobić jeśli masz formularz nielegalny
- Audyt formularza (samodzielny lub z pomocą prawnika)
- Poprawa checkboxes (osobne zgody)
- Aktualizacja polityki prywatności
- Dodanie informacji o IOD
- Sprawdzenie hosting (UE/USA z SCC)
- Weryfikacja narzędzi (mailing, formularze, analytics)
W medwsieci.pl każda strona kliniki zawiera formularz rezerwacji zgodny z RODO sprawdzony przez prawnika specjalizującego się w branży medycznej. Zobacz nasze strony WWW.
