Údaje o zdraví jsou podle čl. 9 GDPR zvláštní kategorií osobních údajů. Jejich zpracování je zakázané, pokud nespadá pod některou z výslovně vyjmenovaných výjimek. Pro kliniku je to nejcitlivější místo celého marketingu.
Proč léčba není marketing
Klinika smí údaje o zdraví zpracovávat kvůli poskytování zdravotní péče, opírá se přitom o čl. 9 odst. 2 písm. h) GDPR. Úřad pro ochranu osobních údajů ale výslovně uvádí, že tato výjimka marketing nepokrývá. Pro reklamu tak klinika potřebuje jiný právní základ než pro kartotéku.
Výjimka, která dovoluje zpracovávat údaje o zdraví kvůli léčbě, se na marketing nevztahuje.
Databáze pacientů do reklamních systémů nepatří
Nahrát seznam pacientů do Meta nebo Google a vytvořit z něj vlastní nebo podobné publikum znamená zpracovávat údaje o zdraví k marketingu. Bez výslovného souhlasu každého pacienta k tomu klinika nemá právní základ. Samotná informace, že je někdo pacientem konkrétní ordinace, o jeho zdraví vypovídá.
Měřicí kód na stránce výkonu
Reklamní pixel na stránce konkrétního výkonu předává třetí straně informaci, že si ji daný člověk prohlížel. U některých výkonů z toho lze odvodit zdravotní stav. Proto měřicí kódy nevkládáme do rezervačních a kartotéčních systémů a konverze zaznamenáváme bez vazby na konkrétní výkon.
Formulář objednávky
Jakmile si pacient ve formuláři vybere výkon, formulář může sbírat údaje o zdraví. Potřebuje k tomu samostatnou informaci o zpracování a data by měla zůstat v EU nebo u zpracovatele se zárukou odpovídající ochrany.
Smlouva s agenturou
Agentura, která pro kliniku pracuje s daty, je zpracovatelem. Podle čl. 28 GDPR s ní klinika musí mít smlouvu o zpracování osobních údajů. Pokuty za porušení GDPR dosahují až 20 milionů eur nebo 4 % celosvětového obratu.
Článek vychází z GDPR a stanovisek ÚOOÚ ke zdravotnictví. Nenahrazuje právní posouzení konkrétního zpracování.