Pot una farmàcia utilitzar l’historial de compra dels seus clients per fer publicitat personalitzada?

Una persona compra periòdicament a la mateixa farmàcia online. Amb el temps, la farmàcia disposa d’informació sobre els productes que adquireix, la freqüència amb què ho fa, l’import de les seves comandes i les categories per les quals mostra més interès.

Des d’un punt de vista comercial, aquesta informació pot resultar molt valuosa. Permet conèixer millor els clients i plantejar accions aparentment senzilles: enviar un descompte sobre un producte que compren habitualment, recordar que fa temps que no realitzen una comanda o seleccionar promocions diferents en funció de les seves compres anteriors.

Aquest tipus d’estratègies són habituals en el comerç electrònic. En una farmàcia, però, la situació presenta una particularitat important: l’historial de compra pot arribar a proporcionar informació sobre la salut d’una persona.

La pregunta, per tant, no és únicament si una farmàcia pot enviar publicitat als seus clients. També cal plantejar-se si pot utilitzar la informació que ha obtingut durant la dispensació o venda per decidir quina publicitat envia a cadascun d’ells.

Enviar publicitat i personalitzar-la no és exactament el mateix

El primer que cal diferenciar és l’enviament d’una comunicació comercial de l’anàlisi de les dades d’un client per personalitzar aquesta comunicació.

La Llei 34/2002, de serveis de la societat de la informació i de comerç electrònic, estableix com a regla general que les comunicacions publicitàries o promocionals per correu electrònic o mitjans equivalents han d’haver estat prèviament sol·licitades o expressament autoritzades pel destinatari.

La mateixa norma, però, preveu una excepció quan existeix una relació contractual prèvia. En aquests casos, l’empresa pot utilitzar les dades de contacte obtingudes lícitament per enviar comunicacions sobre productes o serveis de la seva pròpia empresa que siguin similars als que inicialment van ser objecte de contractació. En qualsevol cas, s’ha d’oferir al destinatari una possibilitat senzilla i gratuïta d’oposar-se a aquests enviaments.

Això pot permetre, en determinades circumstàncies, que una farmàcia enviï una comunicació comercial a un client anterior sense haver d’obtenir necessàriament un nou consentiment per a cada enviament.

Ara bé, aquesta possibilitat no significa que la farmàcia pugui utilitzar indistintament tota la informació que conserva sobre aquell client per seleccionar el contingut de la publicitat.

Una cosa és enviar una promoció general als clients de la farmàcia. Una altra és analitzar què ha comprat cadascun d’ells i utilitzar aquesta informació per decidir quins productes poden interessar-li.

De l’historial de compra al perfil del client

Imaginem que una farmàcia online conserva l’historial de comandes dels seus clients.

A partir d’aquest historial podria crear diferents grups de destinataris. Clients que compren habitualment productes infantils, clients interessats en cosmètica, clients que adquireixen productes esportius o clients que compren reiteradament determinats medicaments.

Aquest procés pot constituir una forma d’elaboració de perfils quan implica un tractament automatitzat de dades personals destinat a analitzar o predir aspectes relacionats amb les preferències, els interessos, el comportament o, fins i tot, la salut d’una persona.

El RGPD contempla expressament aquesta realitat i reconeix el dret de qualsevol persona a oposar-se en qualsevol moment al tractament de les seves dades amb finalitats de màrqueting directe, inclosa l’elaboració de perfils quan estigui relacionada amb aquesta finalitat. Quan l’interessat exerceix aquest dret, les seves dades han de deixar de ser tractades amb aquesta finalitat.

En una farmàcia, però, el problema pot anar més enllà del perfilat comercial ordinari.

Quan el perfil comercial pot convertir-se en un perfil de salut

No tots els historials de compra tenen la mateixa naturalesa.

Saber que una persona compra habitualment productes de cosmètica o protecció solar pot permetre identificar determinades preferències de consum. Però altres compres poden proporcionar informació molt més sensible.

Una successió de compres de determinats medicaments o productes, especialment quan s’analitza conjuntament i durant un període prolongat, pot permetre extreure conclusions sobre l’estat de salut d’una persona, les seves possibles patologies o determinats tractaments.

En aquests casos, ja no estaríem simplement davant d’un perfil comercial.

El Comitè Europeu de Protecció de Dades ha advertit que les categories especials de dades també poden sorgir mitjançant inferències. És a dir, informació que, considerada individualment, pot no constituir una dada especialment protegida pot adquirir aquesta naturalesa quan es combina amb altres dades i permet deduir, per exemple, l’estat de salut d’una persona.

Aquesta qüestió és especialment rellevant per a les farmàcies perquè, com vam veure en l’anterior entrada, la informació associada a l’adquisició de determinats medicaments pot arribar a revelar informació relativa a la salut.

Per tant, utilitzar un historial de compra per determinar que un client probablement presenta una determinada situació de salut i, a partir d’aquesta conclusió, dirigir-li una campanya comercial específica planteja un problema jurídic molt diferent del simple enviament d’un butlletí general.

Les dades de salut tenen una protecció reforçada

El RGPD inclou les dades relatives a la salut entre les “categories especials de dades personals” i estableix, com a principi general, la prohibició del seu tractament, llevat que concorri alguna de les excepcions previstes en el mateix article 9.

Una d’aquestes excepcions és que l’interessat hagi prestat el seu consentiment explícit per al tractament d’aquestes dades per a una o diverses finalitats específiques.

Això és important perquè no s’ha de confondre el tractament necessari per prestar assistència o consell farmacèutic amb la utilització posterior de la mateixa informació amb finalitats comercials.

La normativa permet tractar dades de salut sense consentiment en determinades situacions vinculades a la prestació d’assistència sanitària, al diagnòstic o a la gestió dels serveis sanitaris, sempre que concorrin els requisits previstos legalment.

Aquesta habilitació, però, no converteix automàticament aquestes dades en informació disponible per a qualsevol altra finalitat.

Que una farmàcia pugui necessitar determinada informació per realitzar correctament una dispensació no significa que pugui reutilitzar-la posteriorment per construir un perfil comercial del client.

La finalitat és diferent i, en conseqüència, també ho és l’anàlisi jurídica que s’ha de realitzar.

El consentiment per rebre publicitat no ho resol tot

Aquest és probablement un dels punts més importants des d’un punt de vista pràctic.

Imaginem que, en registrar-se a la botiga online, un client marca voluntàriament una casella amb el text “Vull rebre ofertes i novetats de la farmàcia”.

Aquesta autorització pot legitimar l’enviament de determinades comunicacions comercials, però no s’hauria d’interpretar automàticament com una autorització perquè la farmàcia analitzi informació potencialment relacionada amb la salut per elaborar un perfil del client.

El consentiment ha de ser lliure, informat, específic i inequívoc. A més, quan el tractament afecta categories especials de dades, el RGPD exigeix que sigui explícit. L’Agència Espanyola de Protecció de Dades recorda també que les caselles premarcades o la simple inacció de l’usuari no constitueixen un consentiment vàlid.

Per això, no és recomanable intentar agrupar sota una única acceptació genèrica activitats substancialment diferents.

“Vull rebre novetats i promocions” i “autoritzo que s’analitzi el meu historial de compra per personalitzar les promocions que rebo” no descriuen necessàriament el mateix tractament.

I la diferència esdevé encara més rellevant quan aquesta personalització pot implicar dades relatives a la salut.

Un exemple permet veure millor la diferència

Pensem en una farmàcia que vol promocionar una nova línia de productes.

Una primera possibilitat seria enviar la mateixa comunicació als clients que hagin acceptat rebre novetats comercials o respecte dels quals resulti aplicable el règim previst per als clients previs.

Una segona possibilitat seria seleccionar únicament les persones que anteriorment han comprat productes de cosmètica i enviar la promoció només a aquest grup.

Una tercera possibilitat seria identificar les persones que han adquirit reiteradament determinats medicaments, deduir d’aquest comportament una possible situació de salut i utilitzar aquesta conclusió per oferir-los altres productes relacionats.

Les tres accions poden semblar similars des del departament de màrqueting. Des del punt de vista de la protecció de dades, no ho són.

Especialment en el tercer supòsit, la farmàcia podria estar tractant o inferint dades relatives a la salut amb una finalitat estrictament comercial. En aquest escenari, caldria analitzar tant la base jurídica exigida per l’article 6 del RGPD com alguna de les excepcions de l’article 9.2 que permeten aixecar la prohibició general de tractar categories especials de dades. El Comitè Europeu de Protecció de Dades recorda expressament aquesta doble exigència quan s’utilitzen categories especials per a activitats de segmentació.

La informació obtinguda per dispensar no és una base de dades comercial

Aquest principi hauria de formar part del disseny de qualsevol farmàcia online.

La informació que es recull perquè és necessària per gestionar una comanda, complir una obligació legal o prestar adequadament el servei farmacèutic respon a unes finalitats determinades.

La utilització posterior d’aquesta informació per a màrqueting és una finalitat diferent que s’ha d’analitzar separadament.

Aquesta separació també s’ha de reflectir en els sistemes informàtics de la farmàcia.

No tots els treballadors haurien de tenir necessàriament accés a tota la informació disponible sobre un client, ni totes les dades existents a la plataforma de comerç electrònic haurien d’incorporar-se automàticament a una eina de màrqueting.

El principi de minimització exigeix tractar únicament les dades adequades, pertinents i limitades al que sigui necessari per a cada finalitat.

La política de privacitat de la farmàcia també ha de descriure amb claredat aquestes finalitats. La documentació preparada per a la botiga online ja diferencia la gestió de comandes, els comptes d’usuari, les comunicacions comercials i l’elaboració de perfils, una separació que resulta essencial quan es dissenyen els tractaments de dades.

I si el client no vol continuar rebent publicitat?

El dret d’oposició té una especial importància en aquest àmbit.

El RGPD estableix que, quan les dades personals es tracten amb finalitats de màrqueting directe, la persona interessada pot oposar-s’hi en qualsevol moment. Aquest dret inclou també l’elaboració de perfils quan estigui relacionada amb aquest màrqueting.

Una vegada exercit el dret d’oposició, les dades ja no poden continuar tractant-se amb aquesta finalitat.

La LSSI arriba a una conclusió pràctica similar respecte de les comunicacions comercials electròniques i exigeix facilitar un procediment senzill i gratuït perquè el destinatari pugui oposar-se al tractament amb finalitats promocionals. Aquesta possibilitat s’ha d’oferir tant en el moment de recollir les dades com en cadascuna de les comunicacions enviades.

Per tant, la baixa de les comunicacions comercials no hauria de convertir-se en un procediment complex ni exigir que el client contacti personalment amb la farmàcia per aconseguir-la.

La personalització comercial requereix saber exactament quines dades s’estan utilitzant

L’historial de compra pot ser una eina comercial molt potent, però en una farmàcia la seva utilització exigeix una cautela especial.

No és el mateix enviar una comunicació general sobre una promoció que analitzar individualment les compres efectuades per cada client. I tampoc és el mateix segmentar clients segons preferències comercials ordinàries que utilitzar informació que permet conèixer o inferir aspectes relacionats amb la seva salut.

La qüestió fonamental no és, per tant, si una farmàcia pot fer màrqueting.

La pregunta correcta és quines dades utilitza per fer-lo, què pot arribar a revelar aquesta informació i amb quina base jurídica està tractant-la.

A mesura que les farmàcies incorporen eines de comerç electrònic, CRM, automatització de màrqueting i sistemes de fidelització, aquesta distinció serà cada vegada més important.

I encara existeix un pas addicional.

La farmàcia pot decidir no utilitzar directament l’historial de compra, però instal·lar al seu web eines capaces de registrar quines pàgines visita cada usuari, quins productes consulta o en quines categories mostra interès.

En aquest cas, la informació ja no prové només del que el client compra, sinó també del que consulta.

Què succeeix quan les cookies i altres tecnologies de seguiment poden revelar informació sobre la salut dels usuaris d’una farmàcia online?

Aquesta serà la qüestió que abordarem en la propera entrada.