W 2025 roku administratorzy zgłosili do UODO 22 435 naruszeń ochrony danych osobowych wobec 14 842 rok wcześniej, a łączna kwota kar wzrosła z 13,9 mln zł do niemal 64,5 mln zł. Równocześnie UODO wpisał podmioty przetwarzające dane o stanie zdrowia, w tym praktyki lekarskie i kliniki dentystyczne, do planu kontroli sektorowych na 2025 rok. Dla gabinetu medycyny estetycznej oznacza to jedno: baza klientek, z której wysyłasz SMS-y o promocji na botoks, jest zbiorem danych o zdrowiu i podlega ostrzejszemu reżimowi niż baza sklepu z kosmetykami.
Ten tekst nie jest opinią prawną. Jest narzędziem operacyjnym: macierzą, która porządkuje, co wolno wysłać, do kogo i na jakiej podstawie, oraz audytem, który przejdziesz w pół godziny.
Dlaczego klinika estetyczna gra na trudniejszym boisku
Trzy rzeczy odróżniają gabinet od zwykłego e-commerce.
- Dane o zdrowiu. Informacja, że ktoś był na zabiegu z użyciem toksyny botulinowej albo na konsultacji trądziku, to dana szczególnej kategorii z art. 9 RODO. Domyślnie jej przetwarzanie jest zakazane, a wyjątki są wąskie.
- Podwójny reżim zgody. Marketing wymaga podstawy z RODO oraz osobnej zgody z Prawa komunikacji elektronicznej na kanał (SMS, e-mail, komunikator, telefon).
- Dwa organy. RODO egzekwuje UODO, kanał komunikacji nadzoruje UKE. Jedna kampania może naruszyć oba przepisy naraz.
Co zmieniło się 10 listopada 2024
Tego dnia weszło w życie Prawo komunikacji elektronicznej, zastępując dotychczasowe prawo telekomunikacyjne. Art. 398 PKE zakazuje przesyłania informacji handlowej, w tym marketingu bezpośredniego, przez e-mail, SMS, komunikatory i automatyczne systemy wywołujące bez uprzedniej zgody odbiorcy. Zmiany, które dotykają gabinety najmocniej:
| Co | Jak jest po 10.11.2024 |
|---|---|
| Kto jest chroniony | Wszyscy odbiorcy, także firmy (wcześniej głównie osoby fizyczne) |
| Charakter zgody | Wyraźna, aktywna, nie z domniemania i nie z braku sprzeciwu |
| Zakres zgody | Konkretna: osobno kanał, osobno cel |
| Stare zgody | Zostają ważne, jeśli już spełniały wymogi RODO i poprzednich przepisów |
| Kara | Prezes UKE do 3% rocznego przychodu albo do 1 mln zł, kwota wyższa |
Praktyczny wniosek: jedno pole „zgadzam się na regulamin i marketing" pod formularzem rezerwacji nie jest już bezpiecznym rozwiązaniem, jeśli kiedykolwiek nim było.
Macierz zgód: cel, kanał, podstawa prawna
To jest sedno. Większość gabinetów myśli w kategoriach „mam zgodę albo nie mam". Kontrola myśli w kategoriach „na co dokładnie i kto to udowodni". Rozbij komunikację na cele i przypisz każdemu podstawę.
| Wiadomość | Cel | Podstawa RODO | Zgoda z PKE? |
|---|---|---|---|
| Potwierdzenie i przypomnienie o wizycie | Wykonanie umowy | art. 6 ust. 1 lit. b | Nie, to nie jest informacja handlowa |
| Zalecenia pozabiegowe, karta kwalifikacji | Dokumentacja i opieka | art. 9 ust. 2 lit. h | Nie |
| Newsletter z promocją na zabieg | Marketing | zgoda, art. 6 ust. 1 lit. a | Tak, osobno e-mail i SMS |
| SMS „minęło 6 miesięcy od zabiegu, czas na powtórkę" | Marketing oparty na danych o zdrowiu | wyraźna zgoda, art. 9 ust. 2 lit. a | Tak |
| Prośba o opinię Google po wizycie | Marketing | zgoda lub uzasadniony interes, zależnie od treści | Tak, jeśli idzie SMS-em lub mailem |
| Rozliczenia, faktury, reklamacje | Obowiązek prawny | art. 6 ust. 1 lit. c | Nie |
Dwie zasady, które wynikają z tej tabeli i które najczęściej są łamane:
- Przypomnienie o wizycie to nie marketing. Możesz je wysyłać bez zgody marketingowej. Ale w chwili, gdy dokleisz do niego zdanie „a przy okazji, w tym tygodniu minus 20% na mezoterapię", zmienia się w informację handlową i wymaga zgody z art. 398 PKE.
- Segmentacja po zabiegu to przetwarzanie danych o zdrowiu. Wysyłka „do wszystkich klientek" na zwykłej zgodzie marketingowej to jedno. Kampania „do osób po zabiegu X" wymaga wyraźnej zgody na przetwarzanie danych o zdrowiu w celu marketingowym. Zwykły checkbox „zgoda na marketing" tego nie pokrywa.
Audyt zgód w 30 minut
Siedem pytań. Na każde odpowiadasz, otwierając system, a nie z pamięci.
1.
Czy widzę datę i treść zgody przy każdym rekordzie?
Jeśli w kartotece jest tylko „tak/nie", nie masz rozliczalności. Potrzebujesz znacznika czasu, wersji klauzuli i źródła (formularz, recepcja, landing). 2.
Czy zgody są rozdzielone na kanały?
E-mail i SMS to dwie odrębne zgody. Jedna wspólna to najczęstszy błąd po wejściu PKE. 3.
Czy mam osobną zgodę na marketing oparty o historię zabiegów?
Jeśli automatyzacja segmentuje po nazwie zabiegu, ta zgoda jest obowiązkowa. 4.
Czy da się wycofać zgodę tak łatwo, jak ją wyrazić?
Link rezygnacji w każdej wysyłce, słowo STOP w SMS, natychmiastowy zapis w kartotece. 5.
Czy baza z Meta Lead Ads trafia do systemu z zapisaną zgodą?
Import CSV bez pola zgody to zbiór, którego nie obronisz. 6.
Kto ma dostęp do kartotek?
Kontrola sektorowa UODO w 2025 dotyczyła właśnie sposobu zapewnienia bezpieczeństwa danych. Wspólne konto na recepcji jest najprostszym sposobem, żeby oblać ten punkt. 7.
Czy mam rejestr naruszeń?
Obowiązek dokumentowania naruszeń obejmuje także te, których nie zgłaszasz.
Czego kontrola szuka najczęściej
Dane z całej UE są tu jednoznaczne. Według GDPR Enforcement Tracker Report organy z 27 krajów nałożyły na podmioty ochrony zdrowia 265 kar o łącznej wartości około 32,3 mln EUR, a liczba nowych kar w 2025 roku była o 26% wyższa niż w poprzednim okresie. Najczęstszą przyczyną nie była zła klauzula, tylko brak wystarczających środków technicznych i organizacyjnych: 100 kar na łączną kwotę 22,8 mln EUR, średnio ponad 228 tys. EUR za sprawę.
Przekładając na gabinet: dokument polityki bezpieczeństwa w segregatorze nie chroni. Chronią indywidualne konta w systemie, ograniczone role, szyfrowanie, kopie zapasowe i logi, kto otwierał którą kartotekę.
Jak zbierać zgody i nie zabić konwersji
Najczęstsza obawa właścicieli brzmi: rozbicie jednego checkboxa na trzy obniży liczbę zapisów. W praktyce cierpi na tym objętość bazy, a nie jej wartość. Ochrona zdrowia ma najwyższy wskaźnik opt-in do SMS spośród branż, 49%, a średni odsetek rezygnacji utrzymuje się poniżej 3,5% na wysyłkę. Ludzie zgadzają się na kontakt od gabinetu, któremu powierzyli twarz. Nie zgadzają się na zaskoczenie.
Co działa:
- Zgoda w momencie wartości. Pytaj po wizycie, przy zaleceniach pozabiegowych, a nie na zimnym landingu.
- Konkret zamiast prawniczego bloku. „Chcę dostawać SMS z przypomnieniem o powtórce zabiegu i terminach wolnych" konwertuje lepiej niż „wyrażam zgodę na przetwarzanie w celach marketingowych".
- Deklaracja częstotliwości. Podanie „maksymalnie 2 wiadomości w miesiącu" ogranicza wypisy, bo to nadmiar wysyłek, a nie sam fakt zapisu, wypycha ludzi z bazy.
- Jedno źródło prawdy. Zgoda zebrana na recepcji i zgoda z formularza online muszą lądować w tym samym rekordzie. Dwa równoległe zbiory to gwarancja, że ktoś dostanie wiadomość po wypisaniu się.
FAQ
Czy mogę wysłać SMS z przypomnieniem o wizycie bez zgody marketingowej?
Tak. Przypomnienie o umówionym terminie służy wykonaniu umowy i nie jest informacją handlową. Warunek: wiadomość nie zawiera oferty, promocji ani zachęty do kolejnego zakupu.
Czy zgody zebrane przed 10 listopada 2024 są nadal ważne?
Pozostają ważne, jeśli w momencie zbierania spełniały wymogi RODO i ówczesnych przepisów, czyli były dobrowolne, konkretne, świadome i jednoznaczne. Zbiorcza zgoda „na marketing" bez wskazania kanału jest najsłabszym ogniwem i warto ją odnowić.
Czy potrzebuję zgody na wysyłkę do bazy firmowej, na przykład do partnerów?
Tak. Po wejściu PKE ochrona obejmuje wszystkich odbiorców, także osoby prawne. Adres w domenie firmowej nie jest już furtką.
Jaka kara realnie grozi małemu gabinetowi?
Dwie ścieżki naraz. UODO może nałożyć karę za naruszenie RODO, a Prezes UKE za marketing bez zgody, do 3% rocznego przychodu albo do 1 mln zł, w zależności od tego, która kwota jest wyższa. Dla małego podmiotu wiążąca będzie zwykle ta druga.
Czy zdjęcia „przed i po" wymagają osobnej zgody?
Tak. Wizerunek powiązany z informacją o zabiegu to dana o zdrowiu, a publikacja w celach marketingowych wymaga wyraźnej, odrębnej zgody, wycofywalnej w każdej chwili.
Zgoda jest funkcją systemu, nie dokumentu
Kontrola nie pyta o segregator, tylko o rekord: kto, kiedy, na co i przez jaki kanał wyraził zgodę oraz kto miał do niej dostęp. Jeżeli odpowiedź wymaga przeszukiwania maili i papierowych kart, problem nie leży w klauzuli, tylko w architekturze danych. W Palyri zgody są polami kartoteki klientki, z historią zmian i kanałem, a automatyzacje marketingowe czytają je przed wysyłką, więc segment „po zabiegu X" nie może wyjść do osoby, która takiej zgody nie dała. To najtańszy sposób, żeby audyt był kwestią jednego widoku, a nie tygodnia pracy.
Źródła
Chcesz wdrożyć to w swojej klinice?
Umów bezpłatne demo Palyri. Pokażemy jak działa na danych Twojej kliniki.
Umów demo przez WhatsAppPaulina Zielińska
Konsultant w branży beauty
Ponad 4 lata doświadczenia w branży beauty: najpierw od środka jako manager kliniki, teraz jako niezależny konsultant. Wdrożyła systemy automatyzacji sprzedaży i CRM w kilkudziesięciu klinikach estetycznych w Polsce.