Una farmacia di quartiere serve ogni giorno decine di persone e, senza che nessuno ci pensi, raccoglie una delle concentrazioni di dati sanitari più dense che esistano fuori da un ospedale. È per questo che la privacy nelle farmacie a Napoli, come nel resto d’Italia, non è un adempimento di facciata: ogni ricetta, ogni tessera fedeltà, ogni prenotazione di un servizio comporta il trattamento di categorie particolari di dati, con il regime più severo che il Regolamento europeo conosce.
Quali dati passano, davvero, da una farmacia
L’elenco è più lungo di quanto il titolare immagini. Ricette mediche, elettroniche e cartacee, con l’indicazione del farmaco e quindi, indirettamente, della patologia. Dati identificativi collegati alle esenzioni. Informazioni raccolte per i servizi aggiuntivi: prenotazioni, misurazioni, test, somministrazioni. Dati di contatto per le comunicazioni ai clienti. Immagini della videosorveglianza. Dati dei dipendenti e dei collaboratori.
L’articolo 9 del Regolamento UE 2016/679 vieta in via generale il trattamento dei dati relativi alla salute, ammettendolo solo al ricorrere di condizioni specifiche, tra cui quelle legate alle finalità di medicina preventiva, diagnosi e assistenza sanitaria prestata da un professionista soggetto al segreto professionale. È un titolo di legittimazione che copre l’attività tipica, non tutto ciò che accade in farmacia: le finalità promozionali, i programmi di fidelizzazione e le comunicazioni commerciali seguono regole proprie.
Privacy nelle farmacie a Napoli: dove nascono le contestazioni
Nella pratica, le criticità ricorrenti sono poche e sempre le stesse.
La prima riguarda la riservatezza del banco. Un ambiente in cui il cliente successivo sente il nome del farmaco richiesto, o legge il monitor del gestionale, è un ambiente in cui il titolare non ha adottato le misure tecniche e organizzative adeguate che l’articolo 32 del Regolamento richiede, come ricordato nell’approfondimento sulle misure di sicurezza e le sanzioni. È una misura che non costa nulla e la cui assenza si nota immediatamente.
La seconda riguarda gli accessi al gestionale. Credenziali condivise tra gli addetti, profili non differenziati, assenza di log consultabili: sono gli stessi rilievi che l’Autorità muove alle strutture sanitarie quando verifica chi abbia consultato un fascicolo, tema trattato nell’articolo sul controllo degli accessi ai dossier sanitari.
La terza riguarda le finalità ulteriori. La tessera fedeltà che profila gli acquisti, l’invio di messaggi promozionali, la segnalazione di promozioni su prodotti collegati a una patologia: sono trattamenti distinti, che richiedono una base giuridica autonoma e un’informativa separata, e che non possono essere coperti dal consenso prestato per l’assistenza farmaceutica.
Il responsabile della protezione dei dati
L’articolo 37 del Regolamento impone la designazione del responsabile della protezione dei dati quando le attività principali del titolare consistono nel trattamento, su larga scala, di categorie particolari di dati. Stabilire se una singola farmacia rientri in quella soglia richiede una valutazione concreta, che tenga conto del volume dei trattamenti, dell’ampiezza dell’attività e dei servizi offerti; la valutazione va però fatta, e documentata, perché l’assenza di designazione, quando l’obbligo sussiste, è essa stessa una violazione.
Per le strutture associate o per i gruppi di farmacie il tema si pone in termini ancora più netti. Lo studio ha trattato il perimetro della figura negli articoli sulla nomina obbligatoria del DPO e sul DPO esterno per enti e aziende.
Fornitori, software e conservazione
Il gestionale della farmacia, il servizio di assistenza remota, la piattaforma di prenotazione dei servizi, il laboratorio esterno: ciascuno tratta dati per conto della farmacia e va regolato con l’atto di nomina previsto dall’articolo 28, questione affrontata nell’articolo sulla nomina del responsabile del trattamento. Un contratto di manutenzione che consente al fornitore di accedere all’archivio senza alcun inquadramento è una delle carenze più facili da rilevare in un’ispezione.
Quanto alla conservazione, le ricette e la documentazione contabile seguono termini di legge; tutto il resto no, e va definito. Archivi di dati promozionali mantenuti per anni, registrazioni di videosorveglianza conservate oltre il necessario, rubriche di contatti mai ripulite: sono trattamenti in corso, non materiale dimenticato.
L’esposizione sanzionatoria
La violazione delle condizioni poste dall’articolo 9 rientra, in base all’articolo 83 del Regolamento, nella fascia sanzionatoria più alta. Per un’impresa di dimensioni contenute il riferimento rilevante è il massimale assoluto, e il dato è sufficiente a rendere l’idea. Accanto alla sanzione restano i poteri correttivi del Garante, compreso il divieto di proseguire un trattamento, e il rischio risarcitorio verso i clienti.
Da dove partire
La verifica utile non si fa sui modelli scaricati da internet: si fa guardando il registro dei trattamenti reale, le informative effettivamente esposte, la configurazione degli accessi al gestionale, i contratti con i fornitori e la disposizione fisica degli spazi. È un lavoro di poche ore, che evita di scoprire le carenze quando arriva una richiesta di informazioni.
Lo studio, con sede a Napoli e attività in tutta Italia, assiste farmacie, poliambulatori e strutture sanitarie private nella verifica dei trattamenti, nella designazione del responsabile della protezione dei dati e nella gestione dei reclami: il punto di ingresso è la pagina sulla consulenza e compliance privacy e, per un primo contatto, la pagina contatti. Per il contenzioso amministrativo che riguarda le farmacie — sedi, concorsi, autorizzazioni — il riferimento è avvocatoelioerrichiello.it.
Avv. Elio Errichiello
