En una frase. Una farmacia trata datos de salud (art. 9 RGPD) al dispensar medicamentos con receta, gestionar el SPD o programas de fidelización, por lo que debe aplicar medidas de seguridad reforzadas, destruir correctamente las recetas en papel y valorar si necesita DPO por el volumen de datos sensibles que maneja.
La farmacia es un establecimiento sanitario que maneja datos de salud a diario, aunque muchos titulares no lo perciban así. La dispensación con receta, la receta electrónica y los programas de fidelización generan tratamientos de riesgo. Esta guía concreta las obligaciones RGPD de una farmacia española y lo que la AEPD revisa en sus inspecciones.
Puntos clave
- Los datos de dispensación con receta son datos de salud (art. 9 RGPD): revelan la patología del paciente.
- La receta electrónica (SEFV/nodo SNS) somete a la farmacia a medidas de seguridad reforzadas y acceso restringido.
- Las recetas en papel deben destruirse de forma segura: tirarlas a la basura es una infracción sancionada por la AEPD.
- Los programas de fidelización y el marketing exigen una base de legitimación clara y separada de la dispensación.
- El tratamiento a gran escala de datos de salud puede exigir DPO (art. 37 RGPD).
1. La farmacia como responsable de datos de salud
Al dispensar un medicamento con receta, la farmacia conoce una información que revela la salud del paciente. La base de legitimación es la asistencia sanitaria y la dispensación farmacéutica por un profesional sujeto a secreto (art. 9.2.h RGPD, en relación con la normativa de ordenación farmacéutica), no el consentimiento. El acceso a la receta electrónica a través del Sistema de Receta Electrónica del SNS debe limitarse al acto de dispensación.
Esto convierte a la farmacia en responsable de un tratamiento de categoría especial de datos, con las exigencias de seguridad que ello implica y que son comunes al sector sanitario.
2. Tratamientos típicos y sus riesgos
| Tratamiento | Punto crítico | Obligación |
|---|---|---|
| Dispensación con receta | Datos de salud | Base art. 9.2.h, acceso restringido |
| Receta electrónica (nodo SNS) | Seguridad y trazabilidad | Registro de accesos, uso limitado |
| Libro recetario (estupefacientes) | Datos y obligación legal | Conservación conforme normativa |
| SPD (dosificación personalizada) | Datos de salud + domicilio | Contrato con residencias, seguridad |
| Fidelización y parafarmacia | Marketing | Consentimiento separado |
| Videovigilancia | Imágenes de clientes | Información art. 22 LOPDGDD |
El SPD para residencias o pacientes crónicos implica tratar datos de salud de terceros y, a menudo, un contrato de encargado con la residencia. La venta de parafarmacia y los programas de puntos son tratamientos comerciales que necesitan su propia base y no pueden mezclarse con la dispensación.
3. Destrucción de recetas y seguridad
Una de las infracciones más habituales que sanciona la AEPD en farmacias es la destrucción incorrecta de recetas y documentación con datos de salud: aparecen en contenedores de basura accesibles al público. La obligación es destruirlas de forma segura (destructora o gestor autorizado). Junto a ello, la farmacia debe aplicar control de acceso a los sistemas, cifrado de dispositivos y copias de seguridad. Un incidente que exponga datos de salud es de alto riesgo y suele exigir notificar la brecha a la AEPD y comunicarlo a los afectados.
El histórico de la AEPD en el sector se recoge en el resumen de sanciones en sanidad y salud, donde los fallos de seguridad y la mala custodia documental son recurrentes.
4. Fidelización, marketing y minimización
Un programa de fidelización no puede apoyarse en la dispensación: el envío de ofertas o comunicaciones comerciales requiere una base propia, normalmente el consentimiento, recogido de forma separada. Además, rige la minimización: no pida en la tarjeta de fidelización más datos de los necesarios ni cruce el historial de compra de medicamentos con fines comerciales sin una base sólida.
5. Videovigilancia y atención en el mostrador
La videovigilancia del local es legítima para la seguridad, pero exige el cartel informativo del art. 22 LOPDGDD, no grabar la vía pública más allá de lo imprescindible y conservar las imágenes un máximo de un mes. Un punto específico de las farmacias: las cámaras no deben captar la pantalla del sistema de dispensación ni la documentación con datos de salud que se maneja en el mostrador.
La propia disposición del mostrador plantea un reto de confidencialidad. La atención a un paciente sobre su medicación no debería ser audible por el resto de la cola: la AEPD y las buenas prácticas del sector recomiendan medidas como líneas de distancia o mostradores de atención discreta para tratamientos sensibles. Es un ejemplo de que la protección de datos en la farmacia no es solo informática, sino también organizativa.
6. Encargados del tratamiento
El programa de gestión de la farmacia, el proveedor de la nube donde se alojan los datos, la empresa de destrucción documental y la distribuidora que presta servicios informáticos son encargados del tratamiento. Con cada uno hace falta un contrato de encargado del art. 28 RGPD que fije confidencialidad, medidas de seguridad y la prohibición de usar los datos para fines propios. Conviene verificar dónde se alojan físicamente los datos: si es fuera del EEE, hay que cubrir la transferencia con las garantías adecuadas. Este mapa de proveedores debe reflejarse en el registro de actividades como tratamientos con encargado.
7. ¿Necesita DPO una farmacia?
El art. 37.1.c RGPD obliga a designar DPO cuando la actividad principal consiste en el tratamiento a gran escala de datos del art. 9. Una oficina de farmacia individual suele quedar por debajo de ese umbral, pero debe documentar el análisis; las agrupaciones, cadenas o farmacias con SPD para varias residencias deben valorarlo con más detenimiento. La guía sobre cuándo es obligatorio el DPO desarrolla el criterio.
Véase también, para sectores con obligaciones de protección de datos similares: RGPD para clínicas de fisioterapia, RGPD para psicólogos y RGPD para clínicas veterinarias.
FAQ
¿Los datos de una farmacia son datos de salud?
Sí. La dispensación de un medicamento con receta revela la patología del paciente, por lo que constituye un dato de salud del art. 9 RGPD. Esto obliga a la farmacia a aplicar medidas de seguridad reforzadas y a limitar el acceso al personal que dispensa.
¿Puedo tirar las recetas antiguas a la basura?
No. Las recetas y cualquier documento con datos de salud deben destruirse de forma segura, mediante destructora o gestor autorizado. Depositarlas en contenedores accesibles es una de las infracciones que la AEPD sanciona con más frecuencia en farmacias.
¿Necesito consentimiento para dispensar con receta electrónica?
No. La base es la asistencia sanitaria y la dispensación por un profesional sujeto a secreto (art. 9.2.h RGPD). El consentimiento sí es necesario, y separado, para tratamientos ajenos a la dispensación, como los programas de fidelización o el marketing.
¿Está obligada una farmacia a tener DPO?
No de forma automática. Es obligatorio si trata datos de salud a gran escala como actividad principal (art. 37 RGPD). Una farmacia individual suele quedar por debajo del umbral, pero debe documentar el análisis; las cadenas o las que prestan SPD a residencias deben valorarlo con detenimiento.
¿Puede la farmacia guardar el historial de medicación de un cliente?
Solo con una base y una finalidad claras. El seguimiento farmacoterapéutico o el SPD justifican conservar ciertos datos de salud, pero cruzarlos con fines comerciales o conservarlos sin necesidad vulnera la minimización. Cualquier programa que guarde el historial de compra de medicamentos debe apoyarse en el consentimiento del paciente.