Tak, gabinet może używać Google Analytics, jeśli spełni co najmniej te warunki: narzędzie uruchamia się dopiero po zgodzie użytkownika, a gabinet ma podstawę prawną z RODO i informuje o tym pacjentów. Do narzędzia nie powinny też trafiać informacje o zdrowiu, bo wtedy potrzebna byłaby dodatkowo podstawa z art. 9 RODO, ani dane takie jak imię czy telefon. Zgody wymaga przepis o przechowywaniu informacji w urządzeniu użytkownika (art. 399 Prawa komunikacji elektronicznej), a dane o zdrowiu są szczególnie chronione przez RODO. Sam Google zabrania przesyłania do Analytics danych identyfikujących osoby. Ryzyko najczęściej tworzy więc konfiguracja, a nie samo narzędzie.
Na jakich warunkach gabinet może używać Google Analytics
Przechowywanie informacji w urządzeniu użytkownika, np. plików cookie, wymaga jasnej informacji o celu i zgody. Jeden z wyjątków dotyczy sytuacji, gdy jest to konieczne do dostarczenia usługi, której użytkownik żąda. Przepis nie wymienia plików cookie statystyk wśród wyjątków. Grupa Robocza Art. 29 uznała, że pliki cookie analityki własnej nie są zwolnione z wymogu zgody, a niektóre organy, np. francuska CNIL, zwalniają z niej tylko ściśle ograniczone statystyki, dlatego ocenę zostaw prawnikowi. Zgodę trzeba umieć wykazać, a jej wycofanie musi być równie łatwe jak jej wyrażenie. Dla ustawień Analytics:
- adresy IP: w Google Analytics 4 nie są rejestrowane ani przechowywane,
- okres przechowywania danych na poziomie użytkownika: do wyboru 2 albo 14 miesięcy, wybierz najkrótszy, który wystarczy do Twoich raportów,
- dane identyfikujące: Google zabrania ich przesyłania, a ścieżka i parametry adresu URL nie mogą ich zawierać.
Konfiguracja analityki przypomina sterylizację narzędzi: pacjent jej nie widzi, ale od niej zależy bezpieczeństwo.
Kiedy statystyki strony stają się danymi o zdrowiu
RODO definiuje dane dotyczące zdrowia szeroko, także jako informacje o korzystaniu z usług opieki zdrowotnej, jeśli ujawniają informacje o stanie zdrowia, i co do zasady zakazuje ich przetwarzania. TSUE uznał, że dane z przeglądania stron powiązanych np. ze zdrowiem mogą ujawniać informacje szczególnej kategorii, nawet bez wypełnienia formularza. Dla gabinetu oznacza to ostrożność przy stronach usług, które same mówią o problemie zdrowotnym, np. leczeniu uzależnień. Czy w Twojej konfiguracji statystyki takich stron są danymi o zdrowiu, oceni prawnik lub inspektor ochrony danych.
Czy formularz kontaktowy może pytać o objawy
Może, ale każde pole musi być potrzebne, bo RODO wymaga ograniczenia danych do tego, co niezbędne. Opis dolegliwości to dane o zdrowiu, więc wymaga podstawy z art. 9 RODO i zabezpieczenia. Bezpieczniej zapytać tylko o imię, telefon i preferowany termin, a szczegóły zostawić na rozmowę z recepcją. Treść formularza nigdy nie powinna trafiać do Analytics, piksela ani adresu strony z podziękowaniem.
Jakie zgody zbierać na stronie gabinetu
Zwykle potrzebne są trzy rodzaje zgód:
| Zgoda | Kiedy jest potrzebna | Podstawa |
|---|---|---|
| Na pliki cookie statystyk i reklam | Przed uruchomieniem Analytics, piksela i tagów reklamowych | Art. 399 Prawa komunikacji elektronicznej |
| Na informację handlową e-mailem lub SMS-em | Przed wysłaniem newslettera lub oferty | Art. 398 Prawa komunikacji elektronicznej |
| Na przetwarzanie danych w określonym celu | Gdy zgoda jest podstawą przetwarzania | Art. 6 ust. 1 lit. a i art. 7 RODO, a dla danych o zdrowiu wyraźna zgoda z art. 9 ust. 2 lit. a RODO |
Tryb uzyskiwania zgody Google nie wyświetla banera, więc nie zastępuje zbierania zgody. Według raportu Europejskiej Rady Ochrony Danych większość organów ochrony danych uznaje za naruszenie baner, który na pierwszej warstwie ma przycisk zgody, ale nie daje możliwości odmowy. RODO wymaga też, by zgodę można było wycofać w dowolnym momencie i równie łatwo, jak ją wyrażono.
Co to jest Consent Mode v2 i czy go potrzebujesz
Consent Mode, po polsku tryb uzyskiwania zgody, przekazuje tagom Google decyzję z banera, m.in. przez parametry zgody na wysyłanie danych do celów reklamowych i na reklamy spersonalizowane. Różnice między trybem podstawowym i zaawansowanym opisuje wpis Co to jest Consent Mode v2?.
Czy piksel Facebooka na stronie gabinetu jest legalny
Piksel podlega tym samym zasadom zgody (art. 399 Prawa komunikacji elektronicznej). Wyrok TSUE w sprawie Meta Platforms dotyczył właśnie danych z przeglądania stron zbieranych przez operatora sieci społecznościowej i łączonych z kontem użytkownika, dlatego na stronie gabinetu piksel wymaga szczególnej ostrożności. Szczegóły są we wpisie Czy piksel Facebooka na stronie gabinetu jest legalny?.
Czy remarketing jest dozwolony w branży medycznej
Google zalicza zdrowie do kategorii wrażliwych, w których reklamodawca nie może kierować reklam do własnych grup odbiorców, np. osób, które odwiedziły stronę. Granice i bezpieczne alternatywy opisuje wpis Czy remarketing jest dozwolony w branży medycznej?.
Czy agencja marketingowa ma dostęp do danych pacjentów
Do prowadzenia reklamy i analityki agencja potrzebuje dostępu do kont reklamowych i statystyk, a nie do dokumentacji, systemu rejestracji ani listy pacjentów. Daj jej dostęp z odpowiednimi uprawnieniami do narzędzi, a dane pacjentów zostaw w gabinecie. Jeśli agencja obsługuje formularze, system CRM lub bazę newslettera według Twoich poleceń, zwykle przetwarza dane osobowe w Twoim imieniu jako podmiot przetwarzający.
Czy trzeba podpisać umowę powierzenia z agencją
Tak, jeśli agencja przetwarza dane osobowe w imieniu gabinetu, np. odbiera zgłoszenia z formularza albo wysyła newsletter. RODO wymaga wtedy umowy, która określa m.in. przedmiot, czas, cel i rodzaj danych oraz obowiązki stron. Gabinet może powierzać dane osobowe tylko wykonawcom, którzy dają wystarczające gwarancje ochrony danych. To, czy dostęp agencji do kont reklamowych też wymaga takiej umowy, ustal z inspektorem ochrony danych.
Czy można wysyłać newsletter do pacjentów
Tak, ale tylko osobom, które wcześniej wyraziły zgodę na otrzymywanie informacji handlowej e-mailem lub SMS-em. Prawo komunikacji elektronicznej wymaga uprzedniej zgody na przesyłanie informacji handlowej (art. 398 ust. 1). Newsletter nie powinien też zdradzać, z jakiej usługi korzystał adresat, a wypisanie się musi być proste.
Jakie kary grożą za naruszenie RODO w gabinecie
Za naruszenie podstawowych zasad przetwarzania, w tym warunków zgody i przepisów o danych szczególnych, RODO przewiduje karę do 20 000 000 EUR, a w przypadku przedsiębiorstwa do 4% rocznego światowego obrotu, przy czym stosuje się kwotę wyższą. Za naruszenie m.in. obowiązków administratora i podmiotu przetwarzającego, np. przy umowie powierzenia, kara wynosi do 10 000 000 EUR, a w przypadku przedsiębiorstwa do 2% rocznego światowego obrotu, przy czym stosuje się kwotę wyższą. To górne granice, a nie typowe kwoty. Dla samodzielnych publicznych zakładów opieki zdrowotnej art. 102 ust. 1 ustawy o ochronie danych osobowych ogranicza karę do 100 000 zł. Niezależnie od kary każda osoba, która poniosła szkodę, może żądać odszkodowania.
FAQ - o to najczęściej pytacie
Czy Google Analytics 4 jest zgodny z RODO?
Narzędzie samo w sobie nie jest ani zgodne, ani niezgodne. O zgodności decydują m.in. zgoda, zakres danych, okres przechowywania, informacja dla pacjentów, umowy i zasady przekazywania danych poza Europejski Obszar Gospodarczy. Ocenę konfiguracji zostaw inspektorowi ochrony danych.
Czy mogę używać Analytics bez banera zgód?
Pliki cookie statystyk wymagają zgody, chyba że są konieczne do dostarczenia usługi, której żąda użytkownik. Według Grupy Roboczej Art. 29 statystyki zwykle tego warunku nie spełniają. W podstawowym trybie uzyskiwania zgody tagi Google nie wczytują się przed decyzją użytkownika.
Ile czasu przechowywać dane w Analytics?
Dane na poziomie użytkownika możesz przechowywać 2 albo 14 miesięcy. Wybierz krótszy okres, jeśli nie porównujesz danych rok do roku.
Czy adres IP pacjenta trafia do Google Analytics?
Google podaje, że Google Analytics 4 nie rejestruje ani nie przechowuje adresów IP. Inne identyfikatory, np. z plików cookie, co do zasady nadal wymagają zgody, chyba że zachodzi wyjątek z art. 399 ust. 3 Prawa komunikacji elektronicznej.
Czy mogę mierzyć wysłanie formularza?
Tak, jako zdarzenie "wysłany formularz" bez treści pól. Nie przekazuj imienia, telefonu ani opisu dolegliwości. Jak z takich zdarzeń policzyć koszt pacjenta, opisuje wpis Jak obliczyć koszt pozyskania pacjenta?.
Kto odpowiada za konfigurację: gabinet czy agencja?
Gabinet decyduje o celach przetwarzania, więc odpowiada za nie. Agencja wykonuje konfigurację według ustaleń, które warto zapisać w umowie.
Czy lepiej zrezygnować z Analytics na rzecz innego narzędzia?
Każde narzędzie wymaga podobnej oceny: czy potrzebuje zgody, jaki zakres danych zbiera i czy z dostawcą trzeba zawrzeć umowę powierzenia. Wybierz to, którego dane rzeczywiście wykorzystasz.
Od czego zacząć porządkowanie analityki
Spisz narzędzia na stronie, sprawdź w prywatnym oknie przeglądarki, czy uruchamiają się przed zgodą, skróć okres przechowywania danych i usuń pytania o dolegliwości z formularza. Listę pokaż prawnikowi lub inspektorowi ochrony danych. Sprawdzenie pomiaru konwersji obejmuje też audyt opisany we wpisie Co obejmuje audyt kampanii Google Ads?. Pomiar reklamy po takich zmianach możemy omówić w rozmowie.
Źródła
Dostęp do wszystkich źródeł: 7 listopada 2026 r.
Dokumentacja Google
- Maskowanie adresów IP w Universal Analytics: https://support.google.com/analytics/answer/2763052
- Przechowywanie danych w Google Analytics: https://support.google.com/analytics/answer/7667196
- Jak unikać przesyłania informacji umożliwiających identyfikację użytkowników: https://support.google.com/analytics/answer/6366371
- Tryb uzyskiwania zgody: https://support.google.com/google-ads/answer/10000067
- Tryb uzyskiwania zgody, dokumentacja dla deweloperów: https://developers.google.com/tag-platform/security/concepts/consent-mode
- Ograniczone kierowanie w reklamach spersonalizowanych: https://support.google.com/adspolicy/answer/143465
Przepisy i dokumenty samorządu
- Prawo komunikacji elektronicznej, art. 399 ust. 1 i 3, Dz.U. 2024 poz. 1221: https://api.sejm.gov.pl/eli/acts/DU/2024/1221/text.pdf
- RODO, art. 6 ust. 1 lit. a oraz art. 7 ust. 1 i 3: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32016R0679
- RODO, art. 4 pkt 15 i art. 9 ust. 1-2: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32016R0679
- TSUE, wyrok z 4 lipca 2023 r., C-252/21 Meta Platforms: https://eur-lex.europa.eu/legal-content/PL/TXT/HTML/?uri=CELEX:62021CJ0252
- RODO, art. 5 ust. 1 lit. c: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32016R0679
- Prawo komunikacji elektronicznej, art. 398 ust. 1, Dz.U. 2024 poz. 1221: https://api.sejm.gov.pl/eli/acts/DU/2024/1221/text.pdf
- RODO, art. 28 ust. 1 i 3: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32016R0679
- RODO, art. 82 ust. 1 i art. 83 ust. 4-5: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32016R0679
- RODO, art. 13 i rozdział V (przekazywanie danych do państw trzecich): https://uodo.gov.pl/pl/file/727
- Ustawa o ochronie danych osobowych, art. 102 ust. 1, Dz.U. z 2019 r. poz. 1781 ze zm.: https://api.sejm.gov.pl/eli/acts/DU/2019/1781/text.pdf
- Grupa Robocza Art. 29, Opinia 04/2012 w sprawie zwolnienia z wymogu uzyskania zgody na stosowanie plików cookie (WP 194), pkt 4.3: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2012/wp194_en.pdf
- CNIL, pliki cookie narzędzi pomiaru oglądalności: https://www.cnil.fr/fr/cookies-solutions-pour-les-outils-de-mesure-daudience
- Europejska Rada Ochrony Danych, raport grupy zadaniowej do spraw banerów cookie, pkt 8: https://www.edpb.europa.eu/system/files/2023-01/edpb_20230118_report_cookie_banner_taskforce_en.pdf
Stan prawny na 09.11.2026. Artykuł ma charakter informacyjny i nie zastępuje porady prawnej.
