Strona internetowa gabinetu a RODO - polityka i cookies

Michał zbudował ładną stronę gabinetu z formularzem "Umów wizytę online". Pacjenci wpisywali imię, telefon, e-mail, a czasem i opis dolegliwości. Strona nie miała polityki prywatności ani banera cookies, a formularz nie zawierał żadnej klauzuli informacyjnej. Wystarczyła jedna skarga niezadowolonego pacjenta do Urzędu Ochrony Danych Osobowych, by Michał musiał tłumaczyć, na jakiej podstawie przetwarza dane i dlaczego nikogo o niczym nie poinformował.

Strona internetowa gabinetu to nie tylko wizytówka -- to narzędzie, które zbiera dane osobowe, często dane szczególnej kategorii (o zdrowiu). RODO obejmuje też inne obszary gabinetu, np. prowadzenie rejestru udostępnień dokumentacji medycznej. W tym artykule pokażemy, jak dostosować stronę do RODO: polityka prywatności, baner cookies, formularze i newsletter, aby uniknąć problemów.

Dlaczego strona gabinetu podlega RODO?

RODO (rozporządzenie UE 2016/679) stosuje się zawsze, gdy przetwarzasz dane osobowe - podstawy ochrony danych w gabinecie opisujemy w artykule o RODO w gabinecie fizjoterapii. Strona gabinetu zbiera dane na kilka sposobów:

• formularz kontaktowy / rezerwacji -- imię, telefon, e-mail
• opis dolegliwości -- to dane o zdrowiu, czyli szczególna kategoria (art. 9 RODO)
• pliki cookies i narzędzia analityczne -- identyfikatory, adres IP
• newsletter -- adresy e-mail
• czat / komunikator -- treść rozmów

Jako administrator danych odpowiadasz za zgodność z RODO, w tym za spełnienie obowiązku informacyjnego (art. 13) i za bezpieczeństwo danych.

Polityka prywatności -- obowiązkowy element

Polityka prywatności to dokument realizujący obowiązek informacyjny. Musi zawierać:

• tożsamość i dane kontaktowe administratora (Twój gabinet)
• cele i podstawy prawne przetwarzania
• kategorie przetwarzanych danych
• odbiorców danych (np. dostawca systemu rezerwacji, hosting)
• okres przechowywania danych
• prawa osoby (dostęp, sprostowanie, usunięcie, sprzeciw, przenoszenie)
• informację o prawie skargi do Prezesa UODO
• informację o profilowaniu i cookies

Polityka powinna być łatwo dostępna z każdej podstrony (zwykle stopka). Więcej o ochronie danych znajdziesz w kategorii RODO i ochrona danych.

Podstawy prawne przetwarzania na stronie

Sytuacja	Podstawa prawna RODO
Formularz kontaktowy	prawnie uzasadniony interes / czynności przed zawarciem umowy
Rezerwacja wizyty (dane zdrowotne)	zgoda lub świadczenie zdrowotne (art. 9 ust. 2 RODO)
Newsletter marketingowy	zgoda
Cookies analityczne i marketingowe	zgoda
Cookies niezbędne do działania strony	prawnie uzasadniony interes

Kluczowe: danych o zdrowiu nie zbieraj w formularzu, jeśli nie jest to konieczne. Wystarczy imię i kontakt, a szczegóły dolegliwości omówisz na wizycie.

Baner cookies -- jak zrobić go poprawnie

Wbrew popularnej praktyce, sam napis "Ta strona używa cookies. OK" nie wystarcza. Zgodnie z RODO oraz art. 399 Prawa komunikacji elektronicznej (PKE, obowiązuje od 10 listopada 2024 r.) baner cookies powinien:

• informować o rodzajach cookies (niezbędne, analityczne, marketingowe)
• umożliwiać zgodę i odmowę na równych zasadach (przycisk "Odrzuć" równorzędny z "Akceptuj")
• nie ustawiać cookies innych niż niezbędne przed uzyskaniem zgody
• umożliwiać zmianę decyzji (ustawienia cookies)

Cookies niezbędne do działania strony nie wymagają zgody, ale analityczne (np. statystyki) i marketingowe -- już tak.

Formularze -- klauzula informacyjna i zgody

Każdy formularz zbierający dane powinien mieć:

• klauzulę informacyjną (skróconą, z linkiem do pełnej polityki)
• checkboxy zgody tam, gdzie podstawą jest zgoda (np. newsletter) -- niezaznaczone domyślnie
• rozdzielenie zgód (osobno kontakt, osobno marketing)

Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Nie możesz uzależniać umówienia wizyty od zgody marketingowej -- to naruszenie zasady dobrowolności.

CTA: Nie masz polityki prywatności ani poprawnego banera cookies? Pakiet TARCZA FizjoReady zawiera wzór polityki prywatności dla gabinetu, klauzule informacyjne do formularzy i checklistę zgodności strony z RODO. Wdrażasz gotowe dokumenty zamiast pisać od zera. Zobacz pakiety FizjoReady →

Newsletter i marketing e-mail

Wysyłka newslettera wymaga zgody na komunikację marketingową (RODO) oraz zgody na przesyłanie informacji handlowych środkami komunikacji elektronicznej -- od 10 listopada 2024 r. reguluje to art. 398 Prawa komunikacji elektronicznej (PKE), które zastąpiło w tym zakresie dawne prawo telekomunikacyjne i ustawę o świadczeniu usług drogą elektroniczną. Zapewnij:

• zapis do newslettera z osobną, dobrowolną zgodą
• łatwą możliwość wypisania się (link w każdej wiadomości)
• rejestr zgód (kto, kiedy, na co się zgodził)

Powierzenie przetwarzania -- umowy z dostawcami

Jeśli korzystasz z zewnętrznych narzędzi (system rezerwacji, hosting, e-mail marketing, czat), przekazujesz im dane pacjentów. Wymaga to umowy powierzenia przetwarzania danych (art. 28 RODO). Bez niej odpowiadasz za lukę w systemie ochrony danych. Wielu dostawców udostępnia gotowe wzory takich umów do zaakceptowania.

Bezpieczeństwo strony

Skoro strona zbiera dane, w tym potencjalnie o zdrowiu, zadbaj o:

• certyfikat SSL (https) -- absolutne minimum
• aktualizacje systemu (CMS, wtyczki)
• silne hasła i ograniczony dostęp do panelu
• kopie zapasowe
• zabezpieczenie formularzy przed spamem i wyciekami

Narzędzia analityczne i piksele reklamowe

Wiele gabinetów instaluje na stronie narzędzia analityczne (statystyki odwiedzin) oraz piksele reklamowe - jeśli prowadzisz kampanie online, sprawdź także prawne aspekty marketingu gabinetu. Takie skrypty przetwarzają identyfikatory i adresy IP, więc wymagają zgody użytkownika udzielonej przez baner cookies. Nie wolno ich uruchamiać, zanim odwiedzający wyrazi zgodę na cookies marketingowe i analityczne. W polityce prywatności wymień, z jakich narzędzi korzystasz i w jakim celu. Jeśli dostawca narzędzia przekazuje dane poza Europejski Obszar Gospodarczy, sprawdź, czy zapewniono odpowiednie mechanizmy transferu -- to element, o który coraz częściej pytają zarówno użytkownicy, jak i organy nadzoru.

Najczęstsze błędy na stronie gabinetu

• brak polityki prywatności lub jej niedostępność ze stopki
• baner cookies bez realnej możliwości odrzucenia
• uruchamianie analityki i pikseli przed uzyskaniem zgody
• zbieranie danych o zdrowiu w formularzu bez odpowiedniej podstawy

Najczęściej zadawane pytania

Czy mały gabinet naprawdę musi mieć politykę prywatności na stronie?

Tak. RODO nie zwalnia małych podmiotów z obowiązku informacyjnego. Jeśli strona zbiera jakiekolwiek dane (choćby przez formularz kontaktowy czy cookies analityczne), musisz mieć politykę prywatności i realizować obowiązek informacyjny. Wielkość gabinetu nie ma tu znaczenia.

Czy wystarczy baner "Ta strona używa cookies. OK"?

Nie. Taki baner nie spełnia wymogów RODO, bo nie daje realnego wyboru. Prawidłowy baner umożliwia zarówno akceptację, jak i odrzucenie cookies innych niż niezbędne na równych zasadach oraz nie ustawia ich przed uzyskaniem zgody. Powinien też pozwalać na zmianę decyzji w dowolnym momencie.

Czy mogę zbierać opis dolegliwości w formularzu rezerwacji?

Możesz, ale to dane o zdrowiu, czyli szczególna kategoria wymagająca szczególnej ostrożności i odpowiedniej podstawy. Najbezpieczniej ograniczyć formularz do imienia i kontaktu, a szczegóły omówić na wizycie. Jeśli już zbierasz takie dane, zapewnij odpowiednią klauzulę, podstawę przetwarzania i wysoki poziom zabezpieczeń.

Czy potrzebuję umowy z firmą hostingową i systemem rezerwacji?

Tak. Jeśli zewnętrzny dostawca przetwarza dane pacjentów w Twoim imieniu (hosting, system rezerwacji, e-mail marketing), potrzebujesz umowy powierzenia przetwarzania danych zgodnie z art. 28 RODO. Wielu dostawców ma gotowe wzory. Bez takiej umowy odpowiadasz za brak właściwych zabezpieczeń w łańcuchu przetwarzania.

---

CTA: Chcesz mieć stronę zgodną z RODO bez pisania dokumentów od zera? Pakiet TARCZA FizjoReady to polityka prywatności, klauzule i checklista w jednym pliku. Zobacz pakiety FizjoReady →

Powiązane artykuły:
- RODO w gabinecie fizjoterapii
- Marketing gabinetu fizjoterapii a prawo
- Dokumentacja medyczna w fizjoterapii