RODO na stronie gabinetu: co musi być, a czego unikać

Krótka odpowiedź: strona gabinetu potrzebuje polityki prywatności, formularza, który zbiera minimum danych, zgody na cookies analityczne i reklamowe oraz umowy powierzenia z systemem rezerwacji. Najwięcej uwagi wymaga jedno: na stronie gabinetu pacjent łatwo zostawia dane o zdrowiu, a te RODO chroni najmocniej.

To poradnik praktyczny, nie porada prawna. Przy nietypowej sytuacji — np. przetwarzaniu dokumentacji medycznej przez stronę — skonsultuj się z prawnikiem albo inspektorem ochrony danych.

Dlaczego gabinet to szczególny przypadek

Dane o zdrowiu, także zdrowiu psychicznym, to według art. 9 RODO szczególna kategoria danych. Wystarczy, że ktoś w formularzu napisze „od miesiąca mam ataki paniki” — i już przetwarzasz dane o zdrowiu, nawet jeśli o nie nie prosiłeś.

Dlatego strona gabinetu powinna być zaprojektowana tak, żeby takich danych zbierać jak najmniej i bezpiecznie obchodzić się z tymi, które i tak przyjdą.

Lista kontrolna

1. Polityka prywatności

Obowiązek informacyjny z art. 13 RODO spełniasz zwykle przez politykę prywatności podlinkowaną w stopce i przy formularzu. Musi zawierać m.in.:

• kto jest administratorem danych (imię, nazwisko lub nazwa firmy, kontakt),
• w jakim celu i na jakiej podstawie przetwarzasz dane,
• jak długo je przechowujesz,
• komu je przekazujesz (hosting, poczta, system rezerwacji, Google),
• jakie prawa ma pacjent i że może złożyć skargę do Prezesa UODO.

Szablon z internetu to dobry początek, ale wpisz w niego narzędzia, których naprawdę używasz. Polityka, która wymienia Facebooka, choć nie masz Pixela, a pomija system rezerwacji — nie spełnia swojej roli.

2. Formularz kontaktowy

• Pytaj o minimum: imię, e-mail lub telefon, krótka wiadomość. To zasada minimalizacji danych z art. 5 RODO.
• Nie pytaj o objawy ani diagnozę. Pole „Opisz swój problem” zachęca do wpisywania danych o zdrowiu. Lepiej: „W czym możemy pomóc? (opcjonalnie)”.
• Dodaj zdanie o przetwarzaniu danych z linkiem do polityki prywatności tuż przy przycisku „Wyślij”.
• Nie dawaj zaznaczonych z góry zgód na newsletter czy marketing.

3. Cookies i analityka

Od 10 listopada 2024 r. cookies reguluje ustawa Prawo komunikacji elektronicznej (art. 399). W praktyce:

• cookies niezbędne do działania strony nie wymagają zgody,
• Google Analytics, Meta Pixel, YouTube czy mapy z śledzeniem — wymagają zgody przed uruchomieniem,
• przycisk „Odrzuć” musi być tak samo łatwy jak „Akceptuj”.

Jeśli nie używasz analityki ani reklam, możesz nie potrzebować banera w ogóle. To najprostsze rozwiązanie dla małego gabinetu.

4. Rezerwacja online

Zewnętrzny kalendarz (ZnanyLekarz, Booksy, Calendly i podobne) przetwarza dane Twoich pacjentów w Twoim imieniu. Potrzebujesz z nim umowy powierzenia przetwarzania danych (art. 28 RODO). Większość dużych systemów ma ją w regulaminie albo do pobrania w panelu — sprawdź i zachowaj kopię.

5. Poczta i hosting

• Certyfikat SSL (https) — standard, bez niego przeglądarka ostrzega przed formularzem.
• Wiadomości z formularza trafiają na Twoją skrzynkę — zadbaj o mocne hasło i weryfikację dwuetapową.
• Hosting i poczta w EOG albo z odpowiednimi zabezpieczeniami przy przekazywaniu danych poza Unię.

Najczęstsze błędy

• Formularz z polem „Opisz objawy” i bez słowa o przetwarzaniu danych.
• Google Analytics uruchamiany przed kliknięciem „Akceptuj”.
• Polityka prywatności skopiowana z innej strony, z cudzą nazwą firmy.
• Brak umowy powierzenia z systemem rezerwacji.
• Zdjęcia pacjentów lub opinie z imieniem i nazwiskiem bez zgody.

Jak to robimy u nas

Na każdej stronie, którą robimy, polityka prywatności jest dopasowana do narzędzi gabinetu, a formularz zbiera minimum danych. RODO jest w cenie — nie jako dopłata.