SMS i e-mail do pacjenta a RODO - przypomnienia o wizycie bez naruszeń

Przypomnienie SMS o jutrzejszej wizycie to dziś standard - pacjenci go oczekują, a Tobie zmniejsza liczbę nieodwołanych terminów. Ale między "przypomnieniem o wizycie" a "SMS-em z promocją na pakiet masaży" przebiega granica prawna, której wielu właścicieli gabinetów nie widzi. Po jednej stronie jest komunikacja związana z obsługą świadczenia, po drugiej marketing wymagający osobnej zgody. Do tego dochodzi trzeci temat: co w ogóle wolno napisać w treści wiadomości, skoro SMS potrafi wyświetlić się na zablokowanym ekranie telefonu leżącego na biurku w pracy. Zasady informowania pacjentów o przetwarzaniu danych opisaliśmy w artykule o klauzuli informacyjnej RODO - tutaj zajmujemy się samą komunikacją.

Z tego artykułu dowiesz się, które wiadomości możesz wysyłać bez dodatkowej zgody, kiedy zgoda jest konieczna, co wolno wpisać w treść SMS-a i jak bezpiecznie przesłać pacjentowi dokumenty e-mailem.

Przypomnienie o wizycie - nie potrzebujesz osobnej zgody marketingowej

Zacznijmy od najczęstszej wątpliwości. Przypomnienie o umówionej wizycie to element obsługi świadczenia, na które pacjent się umówił - a nie marketing. Podstawą przetwarzania numeru telefonu w tym celu nie jest zgoda marketingowa, tylko realizacja umowy o świadczenie usługi (a w warstwie danych o zdrowiu - cel opieki zdrowotnej).

Co to oznacza w praktyce:

• Możesz wysłać przypomnienie o terminie pacjentowi, który podał numer telefonu przy rejestracji - bez zbierania osobnej zgody "na SMS-y".
• Poinformuj o tym w klauzuli informacyjnej - pacjent powinien wiedzieć, że jego numer posłuży do potwierdzeń i przypomnień o wizytach.
• Daj możliwość rezygnacji - jeśli pacjent nie chce przypomnień, odnotuj to i ich nie wysyłaj. To kwestia dobrej praktyki i zasady minimalizacji.
• Trzymaj się celu - numer podany do kontaktu w sprawie wizyt służy do kontaktu w sprawie wizyt. Nie do życzeń świątecznych z rabatem.

Kiedy wiadomość staje się marketingiem

Granica jest prostsza, niż się wydaje: jeśli wiadomość zachęca do skorzystania z czegoś, na co pacjent się jeszcze nie umówił, to marketing. A marketing elektroniczny wymaga zgody - zarówno na gruncie RODO (podstawa przetwarzania), jak i przepisów o komunikacji elektronicznej, które wymagają zgody na przesyłanie informacji handlowych.

Rodzaj wiadomości	Charakter	Czy wymaga zgody marketingowej
Przypomnienie o umówionej wizycie	Obsługa świadczenia	Nie
Prośba o potwierdzenie lub odwołanie terminu	Obsługa świadczenia	Nie
Informacja o zmianie godzin otwarcia, zamknięciu gabinetu	Informacja organizacyjna	Nie
"Zwolnił się termin, czy chce Pani przyjść wcześniej?"	Obsługa świadczenia (dotyczy trwającej terapii)	Nie
"Zapraszamy na nowy pakiet masaży -20%"	Marketing	Tak
Newsletter z poradami i ofertą gabinetu	Marketing	Tak
SMS z życzeniami i kodem rabatowym	Marketing	Tak
Prośba o wystawienie opinii w Google	Strefa szara - bezpieczniej ze zgodą	Zalecana

Zgoda marketingowa musi być dobrowolna, konkretna i możliwa do wycofania w każdej chwili. Nie może być warunkiem umówienia wizyty i nie wolno jej ukrywać w formularzu zgody na zabieg - o rozdzielaniu formularzy piszemy w artykule o dokumentach pierwszej wizyty. Pamiętaj też, że treść komunikatów marketingowych gabinetu ograniczają osobne przepisy o reklamie podmiotów leczniczych - ten temat rozwijamy w artykule o marketingu gabinetu a prawie.

Co wolno napisać w treści SMS-a

Nawet dozwolone przypomnienie może stać się naruszeniem, jeśli zawiera za dużo. SMS nie jest kanałem poufnym: wyświetla się na ekranie blokady, telefon bywa współdzielony z rodziną, a numer można wpisać z literówką. Dlatego obowiązuje zasada minimalizacji.

Bezpieczna treść przypomnienia

Dobre przypomnienie zawiera tylko to, co niezbędne: nazwę gabinetu, datę i godzinę, ewentualnie prośbę o potwierdzenie. Przykład: "Gabinet XYZ przypomina o wizycie 12.09 o 15:00. W razie potrzeby odwołania prosimy o kontakt: 600 000 000".

Czego unikać w SMS-ach i tytułach e-maili

• Rozpoznań i rodzaju terapii - "przypominamy o rehabilitacji kręgosłupa po operacji" zdradza dane o zdrowiu każdemu, kto zerknie na ekran.
• Wyników i zaleceń - szczegóły kliniczne nie powinny iść otwartym SMS-em.
• Danych finansowych - kwoty zaległości zostaw do rozmowy lub bezpiecznego kanału.
• Pełnych danych osobowych - imię wystarczy; nie ma powodu wpisywać w treść PESEL czy adresu.

Ta sama logika dotyczy tytułu e-maila - "Wyniki i plan terapii - dyskopatia L5/S1" w temacie wiadomości to zły pomysł, bo temat bywa widoczny w powiadomieniach.

E-mail z dokumentacją medyczną - jak to zrobić bezpiecznie

Pacjent ma prawo otrzymać dokumentację medyczną, także w formie elektronicznej - pełną procedurę obsługi takiego wniosku opisaliśmy w artykule o udostępnianiu dokumentacji. Z perspektywy RODO kluczowe jest "jak", bo wysyłka dokumentacji na błędny adres to gotowe naruszenie ochrony danych.

Bezpieczny schemat wysyłki wygląda tak:

1. Zweryfikuj adres - wysyłaj wyłącznie na adres podany przez pacjenta w dokumentacji lub we wniosku, nie na adres "podyktowany przez telefon" przez osobę, której tożsamości nie potwierdzisz.
2. Zaszyfruj załącznik - PDF w zaszyfrowanym archiwum lub plik z hasłem. Hasło przekaż innym kanałem, np. SMS-em na numer pacjenta z dokumentacji.
3. Nie wpisuj danych medycznych w treść ani tytuł maila - wszystko, co wrażliwe, jedzie w zaszyfrowanym załączniku.
4. Odnotuj udostępnienie - wpis w wykazie udostępnień dokumentacji: komu, kiedy, w jakim zakresie.
5. Sprawdź dwa razy przed kliknięciem "wyślij" - autouzupełnianie adresatów to jedna z najczęstszych przyczyn wysyłki do złej osoby.

Przykład: Recepcjonistka pani Karoliny wysłała skan karty pacjenta na adres z autouzupełniania - do innego pacjenta o tym samym imieniu. Plik nie miał hasła. To klasyczne naruszenie ochrony danych: trafiło do osoby nieuprawnionej i obejmowało dane o zdrowiu, więc gabinet musiał ocenić ryzyko, odnotować zdarzenie i zgłosić je do UODO. Gdyby załącznik był zaszyfrowany, a hasło szło osobnym kanałem, ta sama pomyłka skończyłaby się najpewniej adnotacją w rejestrze naruszeń - bo osoba postronna nie miałaby dostępu do treści.

Komunikatory - WhatsApp, Messenger i spółka

Pacjenci sami piszą na Messengerze czy WhatsAppie, bo tak im wygodnie. Możesz odpowiadać w sprawach organizacyjnych (termin, odwołanie wizyty), ale nie prowadź tam rozmów o stanie zdrowia i nie przesyłaj dokumentacji. Powody są praktyczne: brak kontroli nad tym, kto ma dostęp do konta pacjenta, przetwarzanie danych przez dostawcę komunikatora na jego zasadach oraz brak integracji z dokumentacją gabinetu. Jeśli korzystasz z komunikatora firmowo, ujmij to w rejestrze czynności przetwarzania i ustal zasady w polityce ochrony danych: co wolno załatwiać tym kanałem, a co wymaga telefonu lub wizyty.

Wdrożenie w gabinecie - krótka checklista

• Zaktualizuj klauzulę informacyjną o informację, że numer telefonu i e-mail służą do potwierdzeń i przypomnień o wizytach.
• Rozdziel zgody - osobna, nieobowiązkowa zgoda marketingowa, poza formularzem zgody na zabieg.
• Ustal szablony wiadomości - gotowe treści przypomnień bez danych o zdrowiu, jednakowe dla całego zespołu.
• Opisz zasady wysyłki dokumentacji e-mailem w polityce ochrony danych: weryfikacja adresu, szyfrowanie, wpis do wykazu udostępnień.
• Sprawdź dostawcę SMS-ów - firma wysyłająca SMS-y w Twoim imieniu przetwarza dane pacjentów, więc potrzebujesz z nią umowy powierzenia przetwarzania danych.
• Przeszkol zespół - najwięcej naruszeń w komunikacji to pomyłki ludzkie: zły adresat, za dużo treści, brak weryfikacji.

Najczęściej zadawane pytania

Czy przypomnienie SMS o wizycie wymaga zgody pacjenta?

Nie wymaga osobnej zgody marketingowej. Przypomnienie o umówionej wizycie to element obsługi świadczenia i opiera się na realizacji umowy, a nie na zgodzie. Pacjent powinien jednak dowiedzieć się o takim wykorzystaniu numeru z klauzuli informacyjnej i mieć możliwość rezygnacji z przypomnień.

Czy mogę wysłać pacjentowi SMS z promocją gabinetu?

Tylko jeśli pacjent wyraził wcześniej dobrowolną zgodę marketingową. Wiadomość zachęcająca do skorzystania z nowej usługi lub rabatu to informacja handlowa, która wymaga zgody na komunikację elektroniczną. Zgody nie wolno łączyć z formularzem zgody na zabieg ani uzależniać od niej umówienia wizyty. Pamiętaj też o ograniczeniach reklamy podmiotów wykonujących działalność leczniczą.

Czy mogę wysłać dokumentację medyczną e-mailem?

Tak, na wniosek pacjenta dokumentację można udostępnić w formie elektronicznej. Wysyłaj ją wyłącznie na zweryfikowany adres z dokumentacji lub wniosku, w zaszyfrowanym załączniku z hasłem przekazanym innym kanałem, bez danych medycznych w treści i tytule wiadomości. Każde udostępnienie odnotuj w wykazie udostępnień dokumentacji.

Co zrobić, gdy wiadomość z danymi pacjenta trafi do złej osoby?

Potraktuj to jako potencjalne naruszenie ochrony danych. Oceń ryzyko dla praw i wolności pacjenta, odnotuj zdarzenie w rejestrze naruszeń, a jeśli ryzyko nie jest mało prawdopodobne - zgłoś naruszenie do UODO w ciągu 72 godzin od jego stwierdzenia. Przy wysokim ryzyku poinformuj także samego pacjenta. Zabezpieczenia takie jak szyfrowanie załączników znacząco obniżają ryzyko i wpływają na ocenę zdarzenia.

CTA: Chcesz mieć gotowe zasady komunikacji z pacjentami, klauzule informacyjne i wzory zgód marketingowych w jednym pakiecie? Pakiet TARCZA FizjoReady zawiera komplet dokumentów RODO dopasowanych do codziennej pracy gabinetu fizjoterapii. Zobacz pakiety FizjoReady →

Powiązane artykuły:
- Klauzula informacyjna dla pacjenta - co musi zawierać i gdzie ją umieścić
- Naruszenie ochrony danych w gabinecie - masz 72 godziny
- Marketing gabinetu fizjoterapii a prawo
- Pacjent prosi o dokumentację medyczną - procedura krok po kroku