WhatsApp lub czat na stronie gabinetu ma sens jako dodatkowa droga do umawiania wizyt i pytań organizacyjnych, jeśli recepcja odpowiada w ustalonych godzinach, a wiadomości trafiają na konto gabinetu, a nie na prywatny telefon. Nie jest dobrym miejscem na rozmowy o objawach: opis dolegliwości to dane dotyczące zdrowia, które RODO chroni szczególnie (art. 4 pkt 15 i art. 9 ust. 1). Zanim włączysz komunikator, ustal, kto przetwarza wiadomości, czy dane trafiają poza Europejski Obszar Gospodarczy i jaką umowę masz z dostawcą. Decyzję podejmuje gabinet jako administrator danych.
Kiedy komunikator na stronie gabinetu ma sens
Komunikator pomaga pacjentom, którzy nie mogą zadzwonić w godzinach pracy recepcji albo wolą napisać krótkie pytanie: czy jest wolny termin, ile kosztuje wizyta, czy potrzebne jest skierowanie. Jest kolejną drogą obok telefonu i formularza, o których piszemy we wpisie Jak ułatwić pacjentowi kontakt ze strony gabinetu?.
Sprawdź przed włączeniem:
| Pytanie | Jeśli odpowiedź brzmi "nie" |
|---|---|
| Czy ktoś odpowiada na wiadomości w ustalonych godzinach? | Pacjent czeka bez odpowiedzi |
| Czy wiadomości trafiają na konto gabinetu, do którego ma dostęp kilka osób z recepcji? | Rozmowy zostają w telefonie jednej osoby |
| Czy wiesz, kto technicznie obsługuje komunikator i gdzie przechowuje wiadomości? | Nie ocenisz, czy dane są bezpieczne |
| Czy masz z dostawcą umowę powierzenia przetwarzania danych? | Omów umowę i warunki dostawcy z prawnikiem lub inspektorem ochrony danych, zanim włączysz kanał |
| Czy recepcja wie, co odpisać, gdy pacjent opisze objawy? | Ustal gotową odpowiedź, zanim włączysz kanał |
Ile kosztuje obsługa czatu i jak policzyć, czy daje wizyty, opisuje wpis "Jak recepcja gabinetu może zamieniać zapytania w wizyty?". Tu skupiamy się na danych pacjentów i wyborze narzędzia.
Czat na stronie, WhatsApp i Messenger: czym się różnią dla gabinetu
Te narzędzia mogą się różnić dostawcą, warunkami i miejscem przechowywania wiadomości. W uproszczeniu:
| Narzędzie | Z kim gabinet ma umowę lub warunki | Co sprawdzić |
|---|---|---|
| Czat na stronie (wtyczka lub usługa zewnętrzna) | Firma, od której kupujesz czat | Umowę i warunki dostawcy, miejsce przechowywania rozmów, dostęp pracowników dostawcy |
| WhatsApp Business w aplikacji na telefonie | Dostawca komunikatora, na jego warunkach dla firm | Czy konto jest firmowe, na czyim telefonie działa, kto ma dostęp |
| WhatsApp podłączony do systemu obsługi wiadomości | Zapytaj o to firmę, która dostarcza system | Kto jest stroną umowy, gdzie przechowywane są wiadomości |
| Messenger | Dostawca komunikatora, na jego warunkach dla firm | Warunki dla firm, co dzieje się z danymi z rozmów |
Niezależnie od nazwy narzędzia sprawdź umowę, miejsce przechowywania wiadomości i to, kto ma do nich dostęp.
Dane dotyczące zdrowia w wiadomościach od pacjentów
RODO definiuje dane dotyczące zdrowia jako dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej (art. 4 pkt 15). Wiadomość "od tygodnia boli mnie ząb po lewej stronie, czy przyjmie mnie Pan jutro?" zawiera takie dane. Art. 9 ust. 1 RODO co do zasady zakazuje przetwarzania danych dotyczących zdrowia, a art. 9 ust. 2 wymienia wyjątki. Co to oznacza dla komunikatora w Twoim gabinecie, ustal z prawnikiem lub inspektorem ochrony danych.
W praktyce lepiej, żeby kanał nie zachęcał do opisywania objawów, a wiadomości, które przyjdą, chroń tak jak inne dane pacjentów w gabinecie. Warto ustalić, kto w gabinecie czyta wiadomości z komunikatora i czy dostęp do nich ma ktoś spoza zespołu. Tajemnicę przewidują też art. 13 i art. 14 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta: osoby wykonujące zawód medyczny mają zachować w tajemnicy informacje związane z pacjentem, w szczególności o stanie jego zdrowia.
Bezpieczniejszy układ:
- Wiadomość powitalna. "Tu umówisz wizytę i zapytasz o termin lub cenę. Nie opisuj objawów, porozmawiamy o nich na wizycie."
- Gotowa odpowiedź recepcji. Gdy pacjent opisze dolegliwości, recepcja proponuje termin lub telefon i nie prowadzi rozmowy o leczeniu.
Kto przetwarza wiadomości i gdzie trafiają dane
Gabinet, który ustala cele i sposoby przetwarzania danych z rozmów, jest ich administratorem (art. 4 pkt 7 RODO). Firma, która dostarcza czat i przetwarza rozmowy w imieniu gabinetu, jest podmiotem przetwarzającym (art. 4 pkt 8 RODO); to, jaką rolę ma konkretny dostawca, zależy od tego, co faktycznie robi z danymi; wskazówką są jego umowa i warunki. Art. 28 ust. 1 RODO mówi, że administrator korzysta wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. Art. 28 ust. 3 wymaga, żeby podmiot przetwarzający działał na podstawie umowy lub innego instrumentu prawnego; w praktyce mówi się o umowie powierzenia. Trzeba też sprawdzić, jak dostawca chroni dane: art. 32 ust. 1 RODO każe dobierać środki bezpieczeństwa, np. szyfrowanie, do charakteru przetwarzania i ryzyka.
Druga sprawa to przekazanie danych poza Europejski Obszar Gospodarczy (EOG). O zamiarze takiego przekazania pacjent ma się dowiedzieć przy zbieraniu danych (art. 13 ust. 1 lit. f RODO), a podstawy samego przekazania określa rozdział V RODO. Dla Stanów Zjednoczonych Komisja Europejska przyjęła 10 lipca 2023 r. decyzję wykonawczą (UE) 2023/1795 w sprawie ram ochrony danych UE-USA. Według UODO decyzja nie dotyczy USA jako kraju, ale konkretnych organizacji, więc przed przekazaniem danych sprawdź, czy odbiorca ma status certyfikowanego odbiorcy na liście amerykańskiego Departamentu Handlu. Sąd Unii Europejskiej oddalił 3 września 2025 r. skargę na tę decyzję (sprawa T-553/23). Poproś dostawcę o wskazanie, gdzie przechowuje wiadomości i na jakiej podstawie przekazuje dane poza EOG, a odpowiedź i aktualny stan sporu o tę decyzję omów przed zawarciem umowy z prawnikiem lub inspektorem ochrony danych, jeśli gabinet go wyznaczył.
Prywatny telefon recepcji to nie kanał gabinetu
Bywa, że problemem nie jest samo narzędzie. Recepcjonistka zakłada konto komunikatora na prywatnym telefonie, bo tak jest szybciej, a rozmowy z pacjentami zostają w telefonie, który wychodzi z nią z pracy.
Prezes UODO opisał w komunikacie z 22 czerwca 2026 r. sprawę przedstawicieli handlowych, którzy komunikowali się przez WhatsApp; na prywatnym telefonie jednego z nich były polecenia służbowe oraz skany i zdjęcia umów z klientami. Organ wskazał, że nieautoryzowana przez administratora aplikacja była przez wiele miesięcy narzędziem przetwarzania danych osobowych. Upomnienia dostali administrator i dwa podmioty przetwarzające, a na trzeci podmiot przetwarzający, który dopuścił korzystanie z komunikatora przez pracowników, Prezes UODO nałożył karę 10 145 zł. Sprawa nie dotyczyła gabinetu, ale pokazuje ryzyko: jeśli gabinet nie wyznaczy kanału, pracownicy mogą wybrać go sami.
Dlatego:
- Konto gabinetu. Komunikator działa na telefonie lub komputerze gabinetu, a nie na prywatnym urządzeniu.
- Zasady przechowywania. Ustal, jak długo rozmowy zostają w komunikatorze i co trafia do systemu gabinetu.
- Zakończenie współpracy. Gdy pracownik odchodzi, odbierasz mu dostęp do konta.
Jak ustawić komunikator, żeby chronić pacjenta i recepcję
Kilka ustawień ogranicza ryzyko bez rezygnacji z komunikatora:
- Godziny odpowiedzi w wiadomości powitalnej i na stronie przy przycisku.
- Informacja o danych przy przycisku czatu, z odesłaniem do pełnej informacji o przetwarzaniu. Jej treść ustal z inspektorem ochrony danych lub prawnikiem.
- Przycisk tylko tam, gdzie pomaga, np. na stronie kontaktu i stronach usług, a nie na stronach opisujących choroby.
- Brak narzędzi reklamowych na rozmowach. Nie podłączaj rozmów do kampanii ani do narzędzi analitycznych. O tym, jak ostrożnie podchodzić do narzędzi Meta na stronie gabinetu, piszemy osobno, podobnie jak o analityce na stronie gabinetu.
Komunikator nie zastępuje telefonu ani formularza. Krótki formularz zapisu, opisany we wpisie Jak zaprojektować formularz zapisu do gabinetu?, może dać recepcji to samo przy mniejszej liczbie danych.
FAQ - o to najczęściej pytacie
Czy WhatsApp jest zgodny z RODO?
Tego nie rozstrzygniemy w artykule. Na ocenę wpływają funkcje samej aplikacji i sposób jej użycia: konto gabinetu, umowy z dostawcami, podstawa przekazania danych poza EOG, informacja dla pacjentów i to, czy kanał zachęca do wysyłania danych o zdrowiu. Ocenę warto zrobić z prawnikiem albo z inspektorem ochrony danych, jeśli gabinet go wyznaczył.
Czy szyfrowanie wiadomości rozwiązuje problem?
Szyfrowanie jest jednym ze środków ochrony, ale nie zastępuje umowy powierzenia, zasad dostępu w gabinecie ani sprawdzenia, gdzie wiadomości są przechowywane i kto poza gabinetem może je odczytać.
Czy mogę odpisywać pacjentom z prywatnego numeru?
Lepiej nie. Rozmowy z pacjentami zostają wtedy poza kontrolą gabinetu: nie wiesz, kto je czyta, i nie odbierzesz do nich dostępu, gdy pracownik odejdzie. Sprawa opisana wyżej pokazuje, że Prezes UODO ocenia także narzędzia, których administrator nie zatwierdził.
Co zrobić, gdy pacjent przyśle zdjęcie wyników badań?
Nie przesyłaj go dalej i poproś pacjenta, by wyniki przyniósł na wizytę. Co zrobić z plikiem, który już przyszedł, ustal z inspektorem ochrony danych lub prawnikiem.
Czy czat z automatycznymi odpowiedziami to dobry pomysł?
Do godzin otwarcia, cen i dojazdu tak. Do objawów nie, bo automat nie oceni, czy sprawa jest pilna; powinien kierować do telefonu. Jeśli odpowiedzi tworzy sztuczna inteligencja, zasady takiego czatu omów z prawnikiem.
Czy muszę informować pacjentów, że korzystam z WhatsAppa?
Art. 13 ust. 1 RODO wymienia informacje, które pacjent dostaje przy zbieraniu od niego danych, w tym, gdy ma to zastosowanie, o zamiarze przekazania danych do państwa trzeciego. W praktyce często stosuje się krótką informację przy przycisku i pełny opis w polityce prywatności.
Czy komunikator zwiększy liczbę wizyt?
Nie znamy rzetelnego badania dla polskich gabinetów. Sprawdź to sam: licz wiadomości, które skończyły się umówieniem wizyty, przez dwa lub trzy miesiące.
Od czego zacząć decyzję o komunikatorze
Zacznij od trzech pytań: kto będzie odpisywał, na jakim urządzeniu i z jaką umową z dostawcą. Jeśli na któreś nie masz odpowiedzi, popraw najpierw telefon i formularz na stronie, a komunikator dodaj później. Przed włączeniem pokaż plan prawnikowi albo inspektorowi ochrony danych, jeśli gabinet go wyznaczył.
W abonamentowym pozyskiwaniu pacjentów EVILLAGE.PL łatwość kontaktu na stronie poprawiamy razem z gabinetem: mierzymy telefony i formularze, dzięki temu widać, którędy pacjenci się zgłaszają, co oznacza, że o nowym kanale decydujesz na podstawie liczb. Współpraca zaczyna się od bezpłatnej 30-minutowej rozmowy.
Stan prawny na 13.11.2026. Artykuł ma charakter informacyjny i nie zastępuje porady prawnej.
Źródła
Dostęp do wszystkich źródeł: 13 listopada 2026 r.
Przepisy
- RODO, art. 4 pkt 7, 8 i 15, art. 9, art. 13, art. 28, art. 32, tekst na stronie UODO: https://uodo.gov.pl/pl/file/1460
- Ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta, art. 13 i 14, tekst jednolity Dz.U. z 2024 r. poz. 581 ze zm.: https://api.sejm.gov.pl/eli/acts/DU/2024/581/text.html
Organy nadzorcze i sądy
- Prezes UODO, komunikat o wykorzystaniu nieautoryzowanych narzędzi przetwarzania danych: https://uodo.gov.pl/pl/138/4444
- UODO, przekazywanie danych na podstawie decyzji Komisji Europejskiej o odpowiednim poziomie ochrony: https://uodo.gov.pl/pl/634/4011
- Trybunał Sprawiedliwości UE, komunikat prasowy nr 106/25 w sprawie T-553/23: https://curia.europa.eu/site/upload/docs/application/pdf/2025-09/cp250106en.pdf
- Prezes UODO, decyzja DKN.5131.7.2022: https://orzeczenia.uodo.gov.pl/document/urn:ndoc:gov:pl:uodo:2022:dkn_5131_7/content
