La première hypothèse que font la plupart des cliniques sur les données patients en marketing est la mauvaise : qu'elles relèvent de la loi générale de protection des données des Émirats, la même loi qui encadre le fichier client d'un commerçant. Ce n'est pas le cas. Les données de santé déjà régies par leur propre législation sectorielle sont explicitement exclues du champ de la loi générale, ce qui signifie que les règles réellement applicables sont plus strictes et plus spécifiques que ne le suppose la plupart des équipes marketing — et qu'elles touchent plus profondément la pile marketing ordinaire qu'un export CRM ou un pixel de reciblage ne le laisserait penser.
La loi qui régit réellement ce sujet
Le décret-loi fédéral n° 45 de 2021 sur la protection des données personnelles est la loi générale de protection des données des Émirats, et elle exempte de son champ les données de santé personnelles déjà soumises à leur propre législation sectorielle. Pour une clinique, l'instrument opérant est la loi fédérale n° 2 de 2019 sur l'utilisation des TIC dans les domaines de la santé, qui fixe des obligations de confidentialité et de sécurité spécifiques aux données de santé et exige un consentement avant que ces données soient partagées avec d'autres parties ou consultées par elles. Là où des données marketing se trouvent réellement hors du champ des données de santé — le nom, le téléphone et l'e-mail issus d'une demande générale, sans lien avec un diagnostic ou un traitement — les règles de marketing direct de la loi générale s'appliquent toujours : le consentement doit être donné librement, être spécifique, informé et non ambigu, sans case pré-cochée, avec un mécanisme de désinscription aussi simple que l'inscription elle-même.
Le fait qui devrait changer votre façon d'évaluer une plateforme marketing
La norme actuelle de la Dubai Health Authority sur la conduite professionnelle indique clairement que les établissements de santé doivent s'assurer que les données de santé sont stockées aux Émirats et ne sont ni transférées, ni traitées, ni stockées en dehors du pays, sauf autorisation spécifique de l'autorité de santé compétente en coordination avec le ministère concerné. Cette seule exigence est l'élément le plus significatif commercialement de cet article, car elle implique directement la pile marketing que la plupart des cliniques utilisent déjà : un CRM, une plateforme d'e-mailing ou un fournisseur de pixel publicitaire hébergé sur des serveurs hors des Émirats opère en dehors de cette norme s'il stocke ou traite des données identifiant un patient sans cette autorisation. Avant d'adopter ou de continuer à utiliser un outil marketing touchant aux données patients, il vaut la peine de demander clairement où ce fournisseur les stocke réellement.
Le marketing compte comme un usage distinct, nécessitant un consentement distinct
La politique de protection et de confidentialité des données de la DHA traite explicitement le marketing comme un « usage secondaire » des données patients, distinct du consentement donné pour un traitement — la recherche, la santé publique, l'audit clinique et le marketing sont tous nommés comme des usages secondaires nécessitant leur propre consentement séparé du patient. Un patient ayant consenti à un traitement n'a pas, par cet acte seul, consenti à être ajouté à une liste marketing, intégré à un parcours de demande d'avis, ou inclus dans une audience de reciblage. Ce consentement doit être recueilli selon ses propres termes.
Pourquoi vous ne pouvez pas simplement charger une liste de patients comme audience publicitaire
Les deux grandes plateformes publicitaires restreignent chacune indépendamment ce qu'une clinique peut faire avec des données liées aux patients en publicité, et c'est une contrainte autant technique que politique. Meta classe les sites santé et bien-être et limite les données de conversion et d'audience pouvant remonter via son pixel et son API Conversions pour ces sites. La politique de publicité personnalisée de Google va plus loin : pour un contenu abordant des affections chroniques, des problèmes de santé liés à des parties intimes du corps, des interventions invasives, des handicaps ou un accompagnement en santé mentale, les audiences constituées par l'annonceur — correspondance client, listes chargées, reciblage basé sur le CRM — ne sont pas du tout autorisées, et seules les catégories d'audience prédéfinies de Google peuvent être utilisées. Charger une liste de patients comme audience personnalisée pour ce type de contenu n'est pas simplement un risque de politique ; pour une part réelle du marketing des cliniques, c'est techniquement restreint au niveau de la plateforme.
Ce qui garde cette frontière nette en pratique
Quelques habitudes, traitées comme une hygiène opérationnelle plutôt qu'une citation juridique, font l'essentiel du travail : segmenter le CRM pour que les champs cliniques comme le diagnostic, le traitement et l'historique des visites ne soient jamais exportés vers une liste marketing générale ou de reciblage ; recueillir le consentement marketing séparément du consentement clinique, au moment de la capture du prospect, plutôt que de supposer que l'un couvre l'autre ; et auditer périodiquement quels outils tiers — CRM, plateforme d'e-mailing, outil de demande d'avis, pixels publicitaires — reçoivent réellement des données identifiant un patient, puis réduire cette liste à ce qui est réellement nécessaire.
C'est la recommandation propre de HEYA sur la manière de gérer cela au quotidien, et non la citation d'une réglementation précise — la loi vous dit ce qui nécessite un consentement et où les données doivent résider ; la façon dont vous organisez votre pile marketing autour de cela relève du jugement. Il faut aussi noter qu'une clinique opérant dans une zone franche avec son propre régime de données, comme le DIFC ou l'ADGM, peut relever d'un cadre différent des règles de l'Émirat continental, et cet article ne suppose pas qu'un seul cadre s'applique universellement.
Rien de tout cela ne constitue un conseil juridique. Confirmez les obligations actuelles en matière de protection des données et de données de santé — et quel régime s'applique à votre établissement précis — auprès d'un conseiller juridique ou en protection des données aux Émirats avant de finaliser toute politique de gestion des données, car ces obligations sont exactement le genre de chose à vérifier auprès du texte en vigueur, pas d'un article marketing.
Cela s'inscrit dans la question plus large de la manière dont une pratique se positionne par spécialité plutôt que par la remise — la discipline sur les données décrite ici est ce qui rend le marketing d'acquisition de patients d'une spécialité durable, plutôt qu'une simple liste de noms à usage unique que plus personne ne peut légalement réutiliser.
