Meta Pixel na stronie medycznej - ryzyko, zgoda, test i kiedy go usunąć

Meta Pixel trafia na strony firm przez wtyczkę do WordPressa albo tag w Google Tag Managerze (narzędziu Google, w którym trzyma się kody wstawiane na stronę), także tam, gdzie nikt nie prowadzi reklam. W sklepie z meblami to głównie kwestia zgody na cookies. Na stronie przychodni robi się z tego kłopot.

Ostatnio sprawdzałem stronę przychodni przy wdrażaniu RODO: Meta Pixel, Google Analytics i kilkanaście plików cookies uruchamianych przed jakąkolwiek zgodą, okna zgody brak, a reklam na Facebooku zero. Pokażę Ci, kiedy piksel na stronie medycznej szkodzi bardziej, niż pomaga, i co z nim zrobić.

Meta Pixel na stronie gabinetu: adres podstrony zdradza stan zdrowia

Bo strona medyczna mówi o zdrowiu ludzi, którzy ją oglądają. Adres podstrony „leczenie depresji”, „leczenie ADHD u dorosłych” czy „zapisz się na konsultację ginekologiczną” w połączeniu z identyfikatorem przeglądarki i adresem IP może ujawniać informacje o stanie zdrowia konkretnej osoby.

A dane o zdrowiu to w RODO szczególna kategoria danych, której co do zasady nie wolno przetwarzać (art. 4 pkt 15 i art. 9 ust. 1 RODO). Reklamowy piksel na takiej stronie może oznaczać przekazywanie firmie Meta informacji o zdrowiu pacjentów.

Organy nadzorcze w Europie już to sprawdzają. W Biuletynie UODO 7-8/2025 opisano karę 1,1 mln euro dla fińskiej apteki internetowej, z której do Google i Meta trafiały informacje o lekach w koszyku (podstawą był brak odpowiedniego zabezpieczenia danych, art. 32 i art. 5 ust. 1 lit. f RODO), oraz kontrolę norweskiego urzędu: wszystkie sześć sprawdzonych stron z pikselami bezprawnie udostępniało dane użytkowników.

Pixel Meta wysyła do Facebooka adres podstrony, IP i kliknięcia

Dokumentacja Meta wymienia pięć grup danych. Cztery piksel zbiera sam: wszystko, co jest w nagłówkach zapytania (adres IP, przeglądarka, adres podstrony, strona, z której ktoś przyszedł), identyfikator piksela i plik cookie Facebooka, kliknięte przyciski z ich nazwami oraz nazwy pól formularzy, bez wpisanej treści. Piąta to dane, które właściciel strony dosyła sam, na przykład wartość zamówienia.

Ten plik to _fbp, unikalny identyfikator zapisywany w domenie Twojej strony (opis Meta). Treść formularzy trafia do Meta dopiero przy zaawansowanym dopasowaniu albo gdy strona sama ją dośle. Zaawansowane dopasowanie wysyła wpisane e-maile, telefony czy imiona jako skrót (hash), czyli ciąg znaków wyliczony z danych. To nie jest szyfr: Meta liczy ten sam skrót u siebie i dopasowuje go do konta na Facebooku. Da się je włączyć bez programisty, w ustawieniach piksela w Menedżerze zdarzeń (panelu piksela w koncie reklamowym Meta), więc warto sprawdzić to ustawienie. Sam adres podstrony na stronie medycznej i tak mówi dużo.

Facebook pixel i cookies: bez zgody nie wolno

Piksel zapisuje plik cookie, a na to potrzebna jest uprzednia zgoda użytkownika. Bez zgody wolno zapisać tylko to, bez czego nie da się przesłać komunikatu albo wykonać usługi zamówionej przez użytkownika (art. 399 Prawa komunikacji elektronicznej).

Reklama i analityka do wyjątków nie należą. Urząd Ochrony Danych Osobowych wymienił w Biuletynie 3/2025 obowiązek uzyskania zgody, zwłaszcza na cookies marketingowe i analityczne. Strona, która ładuje piksel i Google Analytics bez okna zgody, łamie przepis przy każdym wejściu. Analityka też dostaje adresy podstron, więc na stronie medycznej uruchamiaj ją dopiero po zgodzie i trzymaj z dala od podstron o leczeniu.

Te same zasady obowiązują stronę, która sprzedaje tylko firmom: co polityka musi powiedzieć o Google Analytics, remarketingu, tagu LinkedIn i CRM, opisałem we wpisie Polityka prywatności na stronie internetowej a marketing B2B.

Piksel bez kampanii reklamowych: usuń go ze strony medycznej

Piksel przydaje się wtedy, gdy mierzysz kampanie i kierujesz reklamy do osób, które były na stronie. Bez kampanii zostaje samo ryzyko. Zasada minimalizacji z art. 5 ust. 1 lit. c RODO mówi jasno: tylko dane niezbędne do celu.

Jeśli reklamy prowadzisz, sam baner nie wystarczy. Art. 9 ust. 2 lit. a RODO przy danych o zdrowiu mówi o zgodzie wyraźnej, a ja nie uważam, żeby jedno kliknięcie w banerze cookies ją dawało. Dlatego przy stronie medycznej piksel powinien działać tylko tam, gdzie adres podstrony nie mówi nic o chorobie, na przykład na stronie głównej czy w zakładce z kontaktem. To decyzja do przemyślenia z kimś, kto zna RODO, a nie ustawienie domyślne wtyczki.

Jeśli reklam nie prowadzisz, sprawa jest prosta. Wyłącz i usuń wtyczkę, która dodaje piksel, w Google Tag Managerze usuń tag z kodem piksela i opublikuj zmiany (bez publikacji tag dalej działa na stronie) i sprawdź, czy skrypt nie siedzi jeszcze w kodzie nagłówka strony. Najlepiej chronione dane to te, których strona w ogóle nie wysyła.

Pliki cookies przed zgodą: test w przeglądarce

Wystarczy przeglądarka Chrome:

Jak przeglądać cookies w narzędziach Chrome, wyjaśnia pomoc Google. Szybciej zrobisz to rozszerzeniem do Chrome od samej Meta: Meta Ads Data Advisor (dawniej Meta Pixel Helper) wyświetla plakietkę z liczbą zdarzeń piksela na oglądanej stronie.

Najczęstsze pytania o Meta Pixel na stronie medycznej

Piksel na stronie medycznej: co zrobić teraz

Zacznij od testu w oknie incognito. Działa piksel, a reklam nie ma? Usuń go. Reklamy są? Zostaw piksel tylko za zgodą i tylko na podstronach, które nic nie mówią o zdrowiu. Na koniec zamów politykę cookies, która opisze narzędzia naprawdę obecne na stronie.

Chcesz mierzyć skuteczność strony bez takiego ryzyka? Zobacz, czym zajmujemy się w analityce internetowej, i napisz, a pomogę Ci to ustawić pod stronę medyczną.