Первое предположение, которое делает большинство клиник о данных пациентов в маркетинге, оказывается неверным: что они подпадают под общий закон ОАЭ о защите данных — тот же закон, что регулирует рассылку розничного магазина. Это не так. Медицинские данные, уже регулируемые собственным отраслевым законодательством, прямо исключены из сферы действия общего закона, а значит реально применимые правила строже и конкретнее, чем предполагает большинство маркетинговых команд — и затрагивают обычный маркетинговый стек глубже, чем можно подумать, глядя на экспорт из CRM или пиксель ретаргетинга.
Закон, который реально это регулирует
Федеральный декрет-закон № 45 от 2021 года о защите персональных данных — это общий закон ОАЭ о защите данных, и он исключает из своей сферы действия персональные медицинские данные, уже подпадающие под собственное отраслевое законодательство. Для клиники действующим инструментом является Федеральный закон № 2 от 2019 года об использовании ИКТ в сфере здравоохранения, который устанавливает обязательства по конфиденциальности и безопасности именно для медицинских данных и требует согласия перед тем, как эти данные передаются другим сторонам или становятся им доступны. Там, где маркетинговые данные действительно лежат вне сферы медицинских данных — имя, телефон и e-mail по общему запросу, не связанному с диагнозом или лечением, — по-прежнему применяются правила прямого маркетинга из общего закона: согласие должно быть свободным, конкретным, информированным и однозначным, без заранее отмеченных галочек, с работающим механизмом отказа, таким же простым, как и подписка.
Факт, который должен изменить то, как вы оцениваете маркетинговую платформу
Действующий стандарт Управления здравоохранения Дубая (DHA) по профессиональному поведению прямо указывает, что медицинские учреждения обязаны обеспечить хранение медицинских данных на территории ОАЭ и не передавать, не обрабатывать и не хранить их за пределами страны без специального разрешения соответствующего органа здравоохранения по согласованию с профильным министерством. Это единственное требование — самое коммерчески значимое в этой статье, поскольку оно напрямую затрагивает маркетинговый стек, которым уже пользуется большинство клиник: CRM, платформа рассылок или поставщик рекламного пикселя, размещённые на серверах за пределами ОАЭ, действуют вне этого стандарта, если хранят или обрабатывают данные, позволяющие идентифицировать пациента, без такого разрешения. Прежде чем внедрять или продолжать использовать любой маркетинговый инструмент, соприкасающийся с данными пациентов, стоит прямо спросить, где именно этот поставщик их хранит.
Маркетинг считается отдельным использованием, требующим отдельного согласия
Политика DHA по защите и конфиденциальности данных прямо трактует маркетинг как «вторичное использование» данных пациента, отдельное от согласия, которое пациент даёт на лечение, — исследования, общественное здравоохранение, клинический аудит и маркетинг названы вторичными использованиями, требующими собственного, отдельного согласия пациента. Пациент, согласившийся на лечение, этим самым действием не давал согласия на включение в маркетинговый список, в процесс запроса отзывов или в аудиторию для ретаргетинга. Это согласие нужно получать на собственных условиях.
Почему нельзя просто загрузить список пациентов как рекламную аудиторию
Обе крупные рекламные платформы независимо друг от друга ограничивают то, что клиника может делать с данными, связанными с пациентами, в рекламе, и это ограничение столько же техническое, сколько и политическое. Meta классифицирует сайты категории «здоровье и благополучие» и ограничивает, какие данные о конверсиях и аудиториях могут возвращаться через её пиксель и Conversions API для таких сайтов. Политика персонализированной рекламы Google идёт дальше: для контента, касающегося хронических состояний, проблем со здоровьем интимных частей тела, инвазивных процедур, инвалидности или консультаций по психическому здоровью, аудитории, сформированные самим рекламодателем, — соответствие клиентов, загруженные списки, ретаргетинг на основе CRM — вообще не допускаются, и можно использовать только собственные предустановленные категории аудиторий Google. Загрузка списка пациентов как индивидуализированной аудитории для такого контента — не просто репутационный риск; для реальной части клиникового маркетинга это технически ограничено на уровне самой платформы.
Что на практике сохраняет эту границу чистой
Несколько привычек, которые стоит воспринимать как операционную гигиену, а не как юридическую цитату, делают большую часть работы: сегментировать CRM так, чтобы клинические поля — диагноз, лечение, история визитов — никогда не экспортировались в общий маркетинговый список или список для ретаргетинга; получать маркетинговое согласие отдельно от клинического, в момент захвата лида, а не полагать, что одно покрывает другое; и периодически проверять, какие сторонние инструменты — CRM, платформа рассылок, инструмент запроса отзывов, рекламные пиксели — действительно получают данные, идентифицирующие пациента, а затем сокращать этот список до реально необходимого.
Это собственная рекомендация HEYA о том, как вести это на практике изо дня в день, а не цитата конкретного нормативного акта — закон говорит, что требует согласия и где должны храниться данные; то, как вы организуете свой маркетинговый стек вокруг этого, — вопрос суждения. Стоит также отметить, что клиника, работающая в свободной зоне с собственным режимом данных, например DIFC или ADGM, может подпадать под иную структуру, чем правила материковых ОАЭ, и эта статья не предполагает, что один режим применяется повсеместно.
Ничто из этого не является юридической консультацией. Подтвердите действующие обязательства по защите данных и медицинских данных — и какой режим применяется именно к вашему учреждению — у юридического консультанта или специалиста по защите данных в ОАЭ, прежде чем утверждать любую политику работы с данными, поскольку такие обязательства — это именно то, что нужно проверять по действующему тексту закона, а не по маркетинговой статье.
Это перекликается с более широким вопросом о том, как практика позиционирует себя через специализацию, а не через скидку — описанная здесь дисциплина работы с данными как раз и делает маркетинг привлечения пациентов для конкретной специализации устойчивым, а не разовым списком имён, которым никто больше не сможет законно воспользоваться.
