Analityka bez danych pacjenta: jak mierzyć kampanie w e-zdrowiu

Firma z branży zdrowotnej może mierzyć ruch i skuteczność reklam, ale analityka bez danych pacjenta wymaga innego układu niż w zwykłym sklepie. Skrypty reklamowe na każdej podstronie, pełne adresy URL w raportach i formularze śledzone w przeglądarce potrafią wysłać na zewnątrz informacje, które nie powinny opuścić systemu. Ten tekst pokazuje, jak takie mierzenie ułożyć: własne narzędzie analityczne, zdarzenia wysyłane z serwera, konwersje z anonimowym identyfikatorem i przekierowania, które nie gubią danych o kampanii.

Opieram się na pracy przy platformie telemedycznej precisiontelemed.com w USA, gdzie dane pacjentów chroni HIPAA. Zasady pasują jednak do każdej firmy, która przetwarza dane o zdrowiu, także w Polsce.

Analityka bez danych pacjenta: dlaczego zwykły zestaw nie pasuje

Standardowy zestaw skryptów analitycznych i pikseli reklamowych wysyła do zewnętrznych dostawców adres odwiedzanej strony, dane z formularzy i identyfikatory użytkownika. Na stronie sklepu z butami to mało groźne. Na stronie, gdzie adres podstrony mówi o konkretnej chorobie albo leku, z samego adresu da się wyczytać informację o zdrowiu konkretnej osoby.

Do tego dochodzi zasada, od której zaczynam w projektach medycznych: dane pacjenta mogą trafić tylko do dostawcy, z którym jest podpisana odpowiednia umowa, w USA umowa BAA. Jeśli dostawca narzędzia jej nie podpisze, nie może dostać niczego, co pozwala powiązać osobę z jej zdrowiem. Ta sama logika obowiązywała przy migracji aplikacji medycznej, tylko po stronie hostingu.

Matomo na własnym serwerze jako podstawa

Najprostszy sposób, żeby dane o ruchu nie wychodziły na zewnątrz, to analityka zainstalowana na własnej infrastrukturze. W tym projekcie rolę tę pełni Matomo on-premise, czyli uruchomione na serwerze kontrolowanym przez klienta, a nie w usłudze zewnętrznej.

Daje to trzy rzeczy. Dane o odwiedzinach zostają w tej samej infrastrukturze co aplikacja. Można wyciąć z raportów elementy, które niosą informacje wrażliwe, na przykład parametry w adresach. I można świadomie zdecydować, co i w jakiej postaci przekazać dalej do systemów reklamowych.

W konfiguracji takiego narzędzia warto od razu ustawić kilka rzeczy: skracanie adresów IP odwiedzających, wycinanie z raportów parametrów, które mogą nieść dane z formularzy, oraz rozsądny okres przechowywania surowych danych. Dostęp do panelu analityki też powinien być ograniczony do osób, które go naprawdę potrzebują, bo nawet okrojone dane o ruchu w serwisie medycznym są informacją wrażliwą dla firmy.

Zdarzenia z backendu zamiast skryptów w przeglądarce

Kluczowe zdarzenia, takie jak założenie konta czy zakup usługi, wysyłam z backendu aplikacji, a nie ze skryptu na stronie. Serwer wie, że zdarzenie naprawdę zaszło, i sam decyduje, jakie pola trafią do analityki.

Takie podejście ma dwie zalety:

• Odporność na blokery: rozszerzenia blokujące reklamy i ustawienia przeglądarek nie gubią zdarzeń, bo te nie przechodzą przez przeglądarkę.
• Kontrola nad danymi: do analityki trafia tylko to, co zostało jawnie wpisane w kod, a nie wszystko, co skrypt zdoła zebrać ze strony.

Podobną zasadę minimalizacji stosuję przy przekazywaniu danych do innych zewnętrznych usług, o czym pisałem w tekście o tym, jakie dane firmowe wysyłać do narzędzi AI.

Konwersje do Google i Meta tylko z anonimowym identyfikatorem

Kampanie reklamowe potrzebują informacji, która reklama przyniosła klienta. Da się ją przekazać bez danych pacjenta. Do Google i Meta wysyłam z serwera tylko identyfikator kliknięcia, który system reklamowy sam nadał przy wejściu z reklamy, oraz wartość konwersji.

Nie wysyłam imienia, adresu e-mail, numeru telefonu, nazwy usługi medycznej ani adresu podstrony, z której pochodzi zdarzenie. System reklamowy dowiaduje się tylko, że jego kliknięcie zakończyło się konwersją o danej wartości. To wystarcza do rozliczenia i optymalizacji kampanii, a nie mówi nic o zdrowiu konkretnej osoby.

Tak zbudowana analityka bez danych pacjenta ma swoją cenę: raporty w systemach reklamowych są uboższe niż przy pełnym śledzeniu. Uważam to za uczciwą wymianę, bo szczegóły kampanii i tak lepiej oglądać we własnej analityce.

Ograniczenia Meta dla kategorii zdrowotnych

Meta traktuje część reklamodawców z branży zdrowotnej osobno i ogranicza im zarówno zakres danych, które mogą przesyłać, jak i optymalizację kampanii pod zdarzenia z końca ścieżki zakupowej. Konto może dostać takie ograniczenie niezależnie od tego, jak starannie przygotujesz przesyłane dane.

Dla kampanii wynikają z tego praktyczne wnioski:

• przed startem sprawdź w panelu reklamowym, czy konto i domena mają ograniczenia,
• planuj kampanie tak, żeby działały także przy optymalizacji pod zdarzenia wcześniejsze niż zakup,
• wyniki mierz we własnej analityce, a nie wyłącznie w raportach systemu reklamowego,
• zasady Meta się zmieniają, więc przegląd ustawień rób regularnie, a nie raz na start.

Przekierowania starych adresów bez gubienia identyfikatora kliknięcia

Reklamy żyją dłużej niż struktura strony. Gdy po zmianach w serwisie stary adres z reklamy przekierowuje na nowy, łatwo zgubić parametry z identyfikatorem kliknięcia. Wtedy konwersja się wydarza, ale system reklamowy nie wie, skąd przyszła.

Dlatego przy każdej zmianie adresów sprawdzam:

1. czy przekierowanie przenosi wszystkie parametry z oryginalnego adresu,
2. czy po drodze nie ma kilku przekierowań, z których któreś je obcina,
3. czy identyfikator kliknięcia trafia do backendu i zostaje zapisany do momentu konwersji,
4. czy stare adresy z aktywnych kampanii nie kończą się błędem.

Najprościej zrobić test: wejść na stary adres z dopisanym testowym identyfikatorem i sprawdzić, czy dotarł do zapisu w aplikacji.

Jeśli prowadzisz serwis medyczny i reklamy, zacznij od listy danych, które dziś wychodzą ze strony do zewnętrznych narzędzi. Analityka bez danych pacjenta zaczyna się od tej listy, a dopiero potem od wyboru narzędzi. Inne realizacje znajdziesz w projektach Web Systems, a jeśli chcesz przejrzeć swój układ, sprawdź, jak wygląda współpraca ze mną.