La venda online de medicaments no subjectes a prescripció: quines implicacions té en matèria de protecció de dades?

La digitalització de les farmàcies ha obert noves vies per relacionar-se amb els usuaris. Disposar d'una pàgina web, oferir productes de parafarmàcia o habilitar una botiga online són opcions cada vegada més presents en el sector.

Tanmateix, quan una oficina de farmàcia decideix comercialitzar medicaments a través d'Internet, la qüestió deixa de ser la pròpia d'un comerç electrònic ordinari. La naturalesa dels productes dispensats, la intervenció professional del farmacèutic i la informació que pot arribar a obtenir-se del comprador fan confluir la normativa farmacèutica amb la normativa de protecció de dades.

A Espanya, la venda online està permesa respecte dels "medicaments d'ús humà elaborats industrialment no subjectes a prescripció mèdica", habitualment coneguts com a medicaments "OTC". Aquesta és, precisament, la terminologia utilitzada pel Reial decret 870/2013, de 8 de novembre, que regula la seva venda a distància a través dels llocs web de les oficines de farmàcia.

Però què implica, des del punt de vista de la protecció de dades, que una farmàcia comenci a dispensar aquests medicaments a través d'Internet?

No tots els medicaments es poden vendre online

El primer element que cal tenir present és que la venda online de medicaments està sotmesa a un règim específic.

El Reial decret 870/2013 limita aquesta possibilitat als medicaments d'ús humà elaborats industrialment que no estiguin subjectes a prescripció mèdica. A més, només poden realitzar aquesta activitat les oficines de farmàcia obertes al públic i legalment autoritzades que hagin efectuat la comunicació corresponent a l'autoritat competent.

La venda s'ha de realitzar directament des de l'oficina de farmàcia responsable de la dispensació, sense intermediaris i amb la intervenció d'un farmacèutic.

Per iniciar l'activitat, la farmàcia ha de comunicar a l'autoritat competent de la comunitat autònoma, amb una antelació mínima de quinze dies, determinada informació sobre el titular, el lloc web, la data prevista d'inici de l'activitat i els procediments d'enviament dels medicaments.

Per tant, vendre un medicament no subjecte a prescripció per Internet no equival simplement a incorporar un nou producte al catàleg d'una botiga online.

Una comanda de medicaments implica tractar dades personals

La diferència també es manifesta en les dades que la farmàcia necessita obtenir del comprador.

L'article 10 del Reial decret 870/2013 estableix que, perquè la comanda sigui vàlida, s'han de facilitar el nom i cognoms, el telèfon, el correu electrònic i l'adreça postal del comprador.

Aquesta informació permet al farmacèutic contactar amb la persona quan ho consideri necessari, proporcionar informació relacionada amb l'ús correcte del medicament i gestionar-ne l'enviament.

A aquestes dades s'hi afegeix inevitablement informació sobre la pròpia operació: quin medicament s'ha dispensat, en quina quantitat, quan s'ha realitzat l'enviament i a quina adreça.

La farmàcia passa així a disposar d'un conjunt d'informació que vincula una persona identificada amb l'adquisició d'un determinat medicament.

I és en aquest punt on apareix una de les qüestions més interessants des de la perspectiva de la protecció de dades.

Comprar un medicament significa facilitar una dada de salut?

La resposta requereix alguns matisos.

El mateix RGPD precisa que aquest concepte inclou la informació relativa, entre altres aspectes, a una malaltia, un risc de patir-la, l’historial mèdic, un tractament clínic o l’estat fisiològic o biomèdic d’una persona.

Això no significa, però, que qualsevol compra realitzada en una farmàcia sigui automàticament una dada relativa a la salut.

El Tribunal de Justícia de la Unió Europea, a la Sentència del 4 d’octubre de 2024, ECLI:EU:C:2024:846 5, ha abordat específicament el tractament de dades derivades de comandes online de medicaments no subjectes a prescripció. La qüestió determinant és si, a partir de la informació tractada, es pot revelar informació sobre l'estat de salut de la persona interessada.

Aquesta distinció és especialment important.

No és el mateix conèixer que una persona ha adquirit un producte de cosmètica que disposar d'informació que, per la naturalesa del medicament adquirit o per la seva combinació amb altres dades, permeti obtenir conclusions sobre el seu estat de salut.

Tampoc és necessàriament equivalent una compra puntual a disposar d'un historial complet de comandes durant un període prolongat.

Per això, una farmàcia online ha d'analitzar quina informació tracta realment i què permet conèixer aquesta informació sobre els seus clients. No és suficient classificar totes les dades generades per l'e-commerce com a simples "dades comercials".

El Registre d'Activitats de Tractament de la farmàcia ha de reflectir precisament les dades tractades, les seves finalitats i els destinataris que hi poden tenir accés. La documentació preparada per a aquest tipus d'activitat ja identifica, entre altres elements, les dades de contacte, les dades de la transacció, l'adreça de lliurament i l'historial de comandes.

La farmàcia ha de conservar un registre de les dispensacions

Una altra particularitat de la venda online de medicaments és que determinades dades no desapareixen una vegada entregada la comanda.

El Reial decret 870/2013 obliga les farmàcies a conservar durant almenys dos anys un registre dels medicaments dispensats a través d'Internet.

Aquest registre ha d'incloure la identificació del medicament, la quantitat dispensada, la data d'enviament, les dades del comprador, inclosa l'adreça de lliurament, i la identificació del farmacèutic responsable de la dispensació. La seva conservació respon a les funcions d'inspecció i control de les autoritats competents.

Aquesta obligació és especialment rellevant des del punt de vista de la protecció de dades.

La farmàcia no pot establir els terminis de conservació de manera arbitrària ni aplicar automàticament els mateixos criteris que utilitzaria qualsevol altra botiga online. Ha d'identificar quines dades conserva perquè són necessàries per executar la compravenda, quines ha de conservar per una obligació legal i durant quant temps correspon mantenir-les.

La política de privacitat, el Registre d'Activitats de Tractament i els procediments interns de la farmàcia han de ser coherents amb aquesta realitat.

La intervenció del farmacèutic també existeix a Internet

La dispensació online no elimina la funció professional del farmacèutic.

La normativa estableix expressament que la seva actuació és un requisit imprescindible en la dispensació a través d'un lloc web. A més, permet que la farmàcia habiliti qüestionaris per obtenir informació rellevant amb l'objectiu d'identificar adequadament el medicament sol·licitat i assegurar-ne un bon ús.

Aquest és un punt especialment sensible.

Una cosa és recollir el nom i l'adreça necessaris per gestionar una comanda. Una altra és preguntar al comprador sobre els seus símptomes, altres medicaments que consumeix, possibles contraindicacions o qualsevol altra circumstància relacionada amb la seva salut.

En aquests casos, la farmàcia ha d'analitzar amb especial cura el tractament efectuat i determinar, entre altres qüestions, quines dades són realment necessàries, amb quina finalitat es recullen, quina base jurídica legitima el tractament, si resulta aplicable el règim de categories especials de dades de l'article 9 del RGPD i durant quant temps és necessari conservar la informació.

La documentació jurídica del web haurà de reflectir el tractament efectivament realitzat. Una clàusula genèrica de protecció de dades no pot substituir aquesta anàlisi.

Què passa amb el transportista i la resta de proveïdors?

Una farmàcia online no funciona de manera aïllada.

El servei pot implicar la intervenció de proveïdors d'allotjament web, plataformes de comerç electrònic, passarel·les de pagament, empreses de transport, serveis de correu electrònic o altres proveïdors tecnològics.

La mateixa documentació de privacitat prevista per a una farmàcia online identifica alguns d'aquests actors i obliga a determinar en cada cas quines dades reben i quin paper ocupen en el tractament.

El cas del transport és especialment significatiu. El Reial decret 870/2013 estableix que el transport del medicament fins al domicili indicat pel comprador és responsabilitat de la farmàcia. Quan el transport el realitza un tercer, ha d'existir un contracte que reguli les responsabilitats de les parts, les condicions del servei i les previsions exigides per la normativa de protecció de dades.

Des de la perspectiva del RGPD, això obliga a plantejar una pregunta molt concreta: quines dades necessita realment cada proveïdor per prestar el seu servei?

El fet que una empresa participi en el procés de compra no significa que necessiti conèixer tota la informació de què disposa la farmàcia.

La protecció de dades ha de formar part del projecte des del principi

Un dels errors que es poden cometre en obrir una farmàcia online és deixar la protecció de dades per al final del projecte.

Primer es dissenya el web, s'escull la plataforma, es configura el sistema de pagament, es contracta el transportista, s'instal·len eines d'analítica i màrqueting i, quan tot està pràcticament preparat, s'incorporen una política de privacitat i un banner de cookies.

L'ordre hauria de ser diferent.

El principi de "protecció de dades des del disseny i per defecte" exigeix integrar aquestes qüestions en la configuració mateixa del tractament. Això significa determinar des del principi quines dades són necessàries, qui hi tindrà accés, durant quant temps es conservaran, quins proveïdors intervindran i quines mesures tècniques i organitzatives seran necessàries.

En una farmàcia online aquesta anàlisi és especialment rellevant perquè la informació tractada pot anar més enllà de les dades habituals d'un comerç electrònic.

Obrir una farmàcia online és alguna cosa més que crear una botiga virtual

La venda online de medicaments no subjectes a prescripció ofereix a les oficines de farmàcia una nova via per arribar als seus usuaris, però també incorpora obligacions específiques que no existeixen en altres sectors del comerç electrònic.

La normativa farmacèutica determina quins medicaments poden dispensar-se per aquesta via, qui pot fer-ho, com s'ha de realitzar la dispensació, quina informació ha de proporcionar el lloc web i quines dades s'han de conservar.

Paral·lelament, el RGPD obliga a analitzar què succeeix amb tota la informació generada durant aquest procés.

Per això, la protecció de dades d'una farmàcia online no pot reduir-se a disposar d'una política de privacitat. Requereix conèixer els tractaments que es realitzen, revisar els fluxos d'informació, configurar adequadament els proveïdors i establir procediments interns coherents amb la naturalesa sanitària de l'activitat.

I aquesta anàlisi no acaba quan s'entrega la comanda.

La informació acumulada per la farmàcia pot tenir un valor comercial evident. Historials de compra, recurrència, preferències o determinats patrons de consum podrien utilitzar-se per segmentar clients i personalitzar comunicacions.

És aquí on apareix la següent qüestió: pot una farmàcia utilitzar l'historial de compra dels seus clients per fer publicitat personalitzada?

Aquesta serà la qüestió que abordarem en la propera entrada.