Marketing diretto in ambito sanitario: 5 regole per essere a norma del GDPR

La Legge di Bilancio 2019 (art. 1 comma 525 e 536) è l’ultimo atto di un percorso che la normativa in tema di pubblicità e marketing sanitario ha percorso. In estrema sintesi, dal 1° gennaio 2019 è fatto divieto alle Strutture sanitarie private e agli iscritti agli albi degli Ordini delle professioni sanitarie di pubblicare comunicazioni aventi contenuti “di carattere suggestivo e promozionale”. Tuttavia, all’interno dei paletti della normativa, le Strutture sanitarie possono realizzare iniziative di comunicazione. Ad esempio, per informare, presentare i servizi, renderli più chiari e accessibili e, nel complesso, fidelizzare la propria utenza.

Ove le iniziative di promozione siano rivolte non a un pubblico generico (es. attraverso il proprio sito web), ma ad un pubblico selezionato (es. attraverso l’invio di e-mail) è indispensabile preoccuparsi del rispetto del Regolamento Generale sulla Protezione dei Dati (o GDPR). I suoi principi difficilmente possono essere tradotti in pratiche generalizzabili, poiché ogni realtà deve esaminare le proprie esigenze e valutare il contesto specifico. Ma possiamo comunque individuare qualche buona pratica per organizzare iniziative di Direct Marketing nel rispetto della normativa europea.

Definire le attività e le finalità di trattamento dei dati

Per svolgere attività di marketing sanitario diretto, ogni struttura si troverà certamente a raccogliere e utilizzare dati di contatto dei destinatari delle comunicazioni. D’altro canto, non tutto ciò che prevede l’utilizzo di dati di contatto corrisponde a marketing. Ecco perché è importante definire correttamente le attività che si intende svolgere, ponendo l’accento sullo scopo per cui il dato sarà trattato.

Così, mentre spesso può risultare ovvio che una qualche comunicazione abbia natura promozionale o pubblicitaria, altre volte non è così chiaro. Il tono, il contenuto e il contesto del messaggio saranno importanti per identificare la natura di una comunicazione e distinguere quelle che pubblicizzano prodotti o servizi, da altre più neutrali volte a fornire informazioni di cui l’individuo ha bisogno.

Insomma, il confine non è sempre netto. Nel dubbio, provate a porvi questa domanda: “Sto cercando di influenzare pensieri e comportamenti, o di incoraggiare un’azione, nell’interesse dell’organizzazione?”. Se la risposta è negativa, l’utilizzo dei dati di contatto dovrebbe essere slegato dal marketing, essendo piuttosto connesso ad altri scopi (amministrativi, organizzativi, di servizio, ecc.), come in caso di reminder per visite e appuntamenti prenotati (contenente, eventualmente, anche indicazioni sulla possibilità di spostare l’appuntamento e rendere più efficiente l’erogazione delle prestazioni), o comunicazioni di servizio della struttura.

Stabilire le basi legali del trattamento di dati

Una volta identificate le attività di marketing, occorre chiedersi cosa rende lecito utilizzare i dati di contatto a questo scopo? Il GDPR riconosce diverse basi giuridiche per il trattamento di dati personali, ma nel caso in questione, l’unico elemento che consentirà l’invio sarà il consenso dell’interessato.

Seguendo un esempio esposto nel punto precedente, al contrario, l’invio di reminder per gli appuntamenti dovrebbe di norma potersi svolgere anche in assenza di consenso, in quanto connesso all’esecuzione di un servizio richiesto dall’interessato.

A prescindere che il consenso per il marketing venga raccolto tramite registrazione al sito web, o al momento dell’accettazione del paziente, per essere valido dovrà essere espresso liberamente, in maniera specifica e informata, attraverso una manifestazione o azione positiva inequivocabile. Occorre poi prevedere di poter gestire il consenso, permettendo alla persona di decidere in piena autonomia se e quando ritirarlo.

Selezionare accuratamente i fornitori e regolarne i rapporti

Quando si pensa ai propri fornitori, c’è la tendenza a trascurare i proprietari di piattaforme informatiche in cloud, la cui gestione contrattuale è spesso più rapida e fluida di quella di altri prestatori di servizi. Eppure, proprio in queste piattaforme si concentrano alcuni dei più delicati trattamenti di dati personali, e ve ne sono numerose dedicate proprio al mailing, fondamentale nelle attività di marketing sanitario diretto.

Attenzione quindi alle loro caratteristiche di sicurezza, di affidabilità, e alla corretta configurazione delle loro impostazioni. Spesso è lasciato all’utente definire se opera all’interno dell’Unione Europea, ed è quindi utile porre attenzione ai necessari accorgimenti. In ogni caso, se non già previsto all’interno di Termini e Condizioni, l’attività di queste piattaforme andrà definita attraverso la nomina delle Società sottostanti quali Responsabili del trattamento ex Art. 28 GDPR. (Per approfondire, leggi anche Il trattamento dati in un contratto di fornitura: cosa non fare)

Informare gli interessati e garantirne l’esercizio dei diritti

Avendo definito il cosa, il come e il perché, restano i diritti degli interessati, in primis il diritto di essere informati. Gli obblighi di trasparenza vengono espressi attraverso l’informativa, sia che sia fornita all’accettazione, nella registrazione al sito, o in altra circostanza di raccolta dati. L’informativa dovrà spiegare le diverse finalità di trattamento evitando termini vaghi e poco chiari (es. un generico “marketing”).

Tra i vari diritti che occorre garantire, quello di opposizione è categorico nel contesto del marketing diretto. Se qualcuno si oppone, bisogna interrompere immediatamente il trattamento. A tal proposito, ricordiamo che l’interruzione dei trattamenti finalizzati al marketing diretto dovrebbe coincidere con l’aggiunta dell’interessato a una “lista di soppressione”. Questa, servirà ad assicurarsi di poter rispettare anche in futuro la scelta, evitando il suo inserimento in nuove mailing-list.

Per tutelare i diritti degli interessati occorrerà ovviamente effettuare ogni trattamento in sicurezza. Nomi e dati di contatto, certamente, non sono dati sensibili. Ma il fatto che siano inseriti nella lista di destinatari delle comunicazioni di una struttura, a seconda del contesto, potrebbe renderli tali. In particolar modo quando si pensa a cliniche specializzate in specifici trattamenti (es. che accompagnano nella transizione di genere, o si focalizzano sulla cura di una particolare patologia). Non si sottostimi, quindi, la delicatezza di queste informazioni, che dovranno essere sempre conservate nel totale rispetto della riservatezza.

Attenzione ai contenuti

Non è questa la sede di esaminare gli aspetti di liceità dei contenuti di una comunicazione “pubblicitaria” rispetto alla citata normativa di riferimento. Vale però la pena di ricordare che, oltre alle necessarie cautele sui paletti normativi citati in premessa (che implicano, giusto per citare alcuni esempi, di non utilizzare foto “prima e dopo” specie se non adeguatamente supportate da informazioni scientifiche, di non stipulare contratti con testimonial e influencer per suggerire l’accesso alla propria struttura, e di evitare frasi esorbitanti che enfatizzino gli effetti di qualche tecnica), occorre sempre prestare attenzione, anche nei contenuti del marketing sanitario, al possibile utilizzo di dati di terzi. In particolare di pazienti: parliamo quindi di testimonianze, video-testimonianze, recensioni, anche online.

Questo genere di contenuti richiede infatti qualche ulteriore considerazione. Al momento in cui vengono raccolte le recensioni, gli utenti dovrebbero essere già informati dell’utilizzo che ne sarà fatto. Richiedere un feedback per valutare l’efficacia del proprio servizio per migliorarne la qualità, è molto diverso dall’utilizzarlo, inviarlo o pubblicarlo sul proprio sito web o nella propria campagna di comunicazione e marketing sanitario. Azioni che, di fatto, comportano la diffusione di informazioni. Qualche tecnica per ritagliare un margine di fattibilità? Impedire l’identificabilità delle persone riducendo al massimo l’utilizzo di dati personali, da rendere anonimi ove sia possibile, e richiedere il consenso/autorizzazione specifica. Evitare poi il coinvolgimento di minorenni, e ricordare sempre che anche immagini, ritratti e segni distintivi come tatuaggi o cicatrici, possono permettere il riconoscimento di una persona ed esporla a rischi importanti legati alla perdita di riservatezza.