1/70 Expediente N.º: EXP202414373 - RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 15 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a A.A.A. (en adelante, A.A.A.), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202414373 (PS/00185/2025) ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: La Agencia Española de Protección de Datos (AEPD) ha tenido conocimiento de ciertos hechos que podrían constituir posibles infracciones imputables a A.A.A. con NIF ***NIF.1 (en adelante, A.A.A., la farmacia o parte denunciada), en tanto que titular de la oficina de ***FARMACIA.2, a raíz de una denuncia presentada por la Direcció General D’Ordenació i Regulació Sanitària de la Comunidad Autónoma de Cataluña tras la realización de inspecciones a oficinas de farmacia en el ejercicio de sus competencias. La denuncia tuvo entrada en la AEPD el 7 de septiembre de 2023, remitida por la Autoritat Catalana de Protecció de Dades en cumplimiento del artículo 14 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. En la misma, la Direcció General D’Ordenació i Regulació Sanitària alerta sobre posibles vulneraciones de la normativa de protección de datos respecto al tratamiento de datos personales de residentes en centros geriátricos por parte de determinadas oficinas de farmacia como, entre otros: presuntos accesos y cesiones ilícitos a datos personales de salud o el intercambio de datos personales a través de medios electrónicos no seguros. SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 19 de octubre de 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/70 diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos en relación con este caso concreto: .-1.1-. Respecto a la información proporcionada por el Servicio de Inspección de Farmacia de Cataluña. Para el caso particular que nos ocupa, el Servicio de Inspección de Farmacia remite un escrito con fecha de registro de 14 de mayo de 2024, en el que se reproducen las principales manifestaciones contenidas en las Actas de Inspección relativas a las inspecciones realizadas entre los meses de febrero y marzo de 2024 a la oficina de farmacia de la parte denunciada, así como a otras vinculadas a esta. En concreto, se hace mención a las farmacias siguientes: B.B.B. (***CÓDIGO.2), de C.C.C. (***CÓDIGO.3) y de D.D.D. (***CÓDIGO.4). Así, se señala, en lo que respecta a A.A.A.: .-1.1.1-. Inspección a la ***FARMACIA.1 (extractos del ACTA ***ACTA.1) “7. El 8 de febrero de 2024 se realizó inspección de la ***FARMACIA.2, situada en la (...), el titular de la cual es A.A.A.. • (…) 1.1.2-. Inspección a ***FARMACIA.8. (extractos del ACTA ***ACTA.2) “8. El 21 de febrero de 2024 se realizó inspección de la ***FARMACIA.3, situada en la (…), la titular de la cual es B.B.B.. •(…) 1.1.3-. Inspección a ***FARMACIA.6 (extractos del ACTA ***ACTA.3) “9. El 18 de marzo de 2024 se realizó inspección de la ***FARMACIA.4, situada en (…), el titular de la cual es C.C.C.. • (…) 1.1.4-. Inspección a ***FARMACIA.9 (extractos del ACTA ***ACTA.4): “10. El 20 de marzo de 2024 se realizó inspección de la ***FARMACIA.5, situada en (…), la titular de la cual es D.D.D.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/70 • (…) .-1.2-. Respecto a las evidencias aportadas junto con las actas de inspección. Para el caso particular de esta oficina de farmacia, el Servicio de Inspección de Farmacia aporta las Actas de Inspección especificadas en el apartado previo, en las que se contienen las manifestaciones anteriores. .-1.2.1-. ACTA ***ACTA.1 a ***FARMACIA.1 Fecha de la inspección: 08/02/2024 Código de la oficina de farmacia: ***CÓDIGO.1 Titular/s: A.A.A. Dirección: (...) El acta está firmada por el personal inspector y por el farmacéutico titular. En el acta, además de las manifestaciones anteriormente recogidas, se realiza la siguiente (traducción no oficial): “(…)”. Se aportan, además, anexas al Acta las siguientes evidencias: ─ Como Anexo 2 al Acta de Inspección se incluye: o o ─ Copia de correo electrónico sin encriptar, de 6 de febrero de 2024, remitido desde la dirección ***EMAIL.1 a ***EMAIL.2 por el que se solicita el alta de una residente, indicando su nombre y apellidos, y se adjunta, en formato pdf, pauta de la medicación y última receta. Copia de documento de la Residencia Geriátrica ***RESIDENCIA.1 en el que se detalla el tratamiento de la residente. El documento recoge los siguientes datos personales de la residente: nombre y apellidos, edad, NIF, número SIP y número de habitación. Como Anexo 3 al Acta de Inspección se incluye: o Copia de cadena de correos electrónicos intercambiados entre la Farmacia titularidad de A.A.A. y distintos servicios de la ***CLÍNICA.1: o Correo electrónico sin encriptar, de 1 de febrero de 2024, remitido desde la dirección ***EMAIL.3 a ***EMAIL.2 por la que se informa de la baja de dos residentes una por traslado y otra por exitus, así como del alta de una residente de nuevo ingreso. Se identifica a las residentes por nombre y apellidos, indicándose, además, el número de DNI de la residente de nuevo ingreso. o Correo electrónico sin encriptar, de 2 de febrero de 2024, remitido desde la dirección ***EMAIL.2 a ***EMAIL.4 por la que se remite factura pendiente de la residente que ha causado baja por traslado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/70 En la factura se identifica a esta residente por nombre, apellidos y NIF. .-1.2.2-. ACTA ***ACTA.2 a ***FARMACIA.8.. Fecha de la inspección: 21/02/2024 Código de la oficina de farmacia: ***CÓDIGO.2 Titular/s: B.B.B. Dirección: (…) El acta está firmada por el personal inspector y por la farmacéutica titular. En la que, además de las anteriormente recogidas, se especifican las manifestaciones mostradas a continuación (traducción no oficial): ─ “(…)”: Los Anexos 1, 2 y 3 arriba mencionados, fueron aportados por el Servicio de Inspección de Farmacia junto a su escrito de respuesta a requerimiento de información de esta Agencia con fecha de registro 14 de mayo de 2024: o Copia de correo electrónico sin encriptar, de fecha 02/02/2024, enviado desde la dirección de correo ***EMAIL.2 a ***EMAIL.5 por el que se renvía email remitido por ***PUESTO.1 de la Residencia ***RESIDENCIA.2 a la farmacia titularidad de A.A.A.. En el campo asunto se indica “DATOS INGRESO”. En el cuerpo del correo renviado se recogen los siguientes datos personales del residente de nuevo ingreso: nombre y apellidos, CIP y número de DNI. o Copia de correo electrónico sin encriptar, de fecha 28/11/2022, enviado desde la dirección de correo ***EMAIL.5 a ***EMAIL.2 por el que se adjuntan dos documentos Word: uno contiene una relación de pañales vendidos por residencia y el otro describe las incidencias relacionadas con la dispensación de pañales identificándose a los pacientes de algunas residencias (Residencia ***RESIDENCIA.2 y Residencia ***RESIDENCIA.3) por su nombre y apellidos. o Copia de correo electrónico sin encriptar, de fecha 24/09/2023, enviado desde la dirección de correo ***EMAIL.5 a ***EMAIL.2 por el que se adjuntan los siguientes documentos: o Factura de 23/09/2023 correspondiente a pañales vendidos. o Cuatro documentos Excel correspondientes a facturas de varias residencias: Residencia ***RESIDENCIA.2, Residencia ***RESIDENCIA.4, Residencia ***RESIDENCIA.5 y Residencia ***RESIDENCIA.3. En particular, se incluye la factura de la residencia ***RESIDENCIA.2 con la relación de pañales dispensados a cada residente, identificados por nombre y apellidos. .-1.2.3-. ACTA ***ACTA.3 a ***FARMACIA.6. Fecha de la inspección: 18/03/2024 Código de la oficina de farmacia: ***CÓDIGO.3 Titular/s: C.C.C. Dirección: (…) El acta está firmada por el personal inspector y por el farmacéutico titular. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/70 Contiene las manifestaciones recogidas anteriormente. .-1.2.4-. ACTA ***ACTA.4 a ***FARMACIA.9. Fecha de la inspección: 20/03/2024 Código de la oficina de farmacia: ***CÓDIGO.4 Titular/s: D.D.D. Dirección: (…) El acta está firmada por el personal inspector y por la farmacéutica titular. En la que se especifican las manifestaciones mostradas a continuación, además, de las recogidas anteriormente (traducción no oficial): ─ “(…)”. En efecto, se acompaña el Acta de las siguientes evidencias: o Copia de correo electrónico sin encriptar, de 29 de febrero de 2024, remitido desde la dirección ***EMAIL.6 a ***EMAIL.2 por el que se adjuntan dos archivos con objeto de revisar pagos pendientes: un documento Excel, con el nombre “ ***RESIDENCIA.6 FEB24”, en el que se recoge una relación de residentes identificados por nombre y apellidos y un documento Word, con el nombre “FACTURA ***RESIDENCIA.6 FEB24”, con la factura correspondiente por el concepto “COPAGO RESIDENCIA ***RESIDENCIA.6”. o Copia de correo electrónico sin encriptar, de 21 de agosto de 2023, remitido desde la dirección ***EMAIL.2 a ***EMAIL.7 por el que se renvía email del Dpt. Infermeria – ***EMPRESA.1 dirigido a la ***FARMACIA.1, informando de la baja por exitus de una residente identificada por nombre y apellidos. o Copia de correo electrónico sin encriptar, de 10 de octubre de 2023, remitido desde la dirección ***EMAIL.2 a ***EMAIL.7 por el que se renvía email del Dpt. Infermeria – ***EMPRESA.1 dirigido a la ***FARMACIA.1 por el que se adjunta, en documento Excel, el listado actualizado de todos los residentes del ***EMPRESA.1 y el código CIP y número de DNI de una residente de nuevo ingreso. o Captura de pantalla de correos electrónicos, apenas legibles, intercambiados entre la ***FARMACIA.9 y ***EMPRESA.2 y que llevan por asunto “Bolquers (pañales) residencia ***RESIDENCIA.6”. .-2-. Respecto a la información aportada por A.A.A. en las respuestas a los requerimientos de información realizados durante las actuaciones previas de investigación de la AEPD: Con fecha 6 de noviembre de 2024 se realiza requerimiento de información a la parte denunciada solicitando, entre otros puntos, el listado de las residencias a las que presta o ha prestado servicio, la descripción de los tratamientos realizados y su base de legitimación, la copia del Registro de Actividades de Tratamiento (en lo sucesivo, RAT), el Análisis de Riesgos y la Evaluación del Impacto (en adelante, EIPD) e información sobre el intercambio de los datos personales con terceras entidades. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/70 Con fecha 9 de diciembre de 2024, tras acordarse una ampliación de plazo para atender el requerimiento, se recibe respuesta al mismo por parte de la denunciada. Del análisis del contenido de la respuesta se extraen las siguientes afirmaciones relevantes para la presente investigación: “La farmacia es titularidad de A.A.A., con NIF ***NIF.1. A.A.A. proporciona o ha proporcionado servicio farmacológico y dispensación de absorbentes de incontinencia urinaria a: o (…) Estas residencias también solicitan o han solicitado dispensación de absorbentes de incontinencia urinaria a otras farmacias diferentes a ***FARMACIA.1 con conocimiento de A.A.A. y autorizadas por la residencia y los residentes: o (…) La farmacia investigada afirma que realiza los siguientes tratamientos con datos de los residentes, actuando la farmacia como responsable de tratamiento de los datos personales (aporta RAT, en el que se identifica como responsable, en documento adjunto “Evidencias_3.pdf”): - - - Tratamiento 1: “Facilitar la continuidad terapéutica y el acceso a medicamentos y/o productos sanitarios a los residentes. La ***FARMACIA.1 es cesionaria de datos por parte de las residencias, por lo que el rol que ejerce es el de responsable del Tratamiento”. o Afirma como base de legitimación: Consentimiento del interesado (paciente), art. 6.1.a. RGPD Cumplimiento de una obligación legal aplicable al responsable del tratamiento, art. 6.1.c. RGPD, en concreto la Ley de garantías y uso racional de los medicamentos y productos sanitarios. o Afirma un volumen de 1142 residentes de los que se han tratado datos personales desde la fecha de inicio de los tratamientos, no obstante, actualmente afirman tratar datos de 746 residentes. Tratamiento 2: “Seguimiento farmacoterapéutico y preparación de medicación mediante un sistema personalizado de dosificación”. o Afirma como base de legitimación: Consentimiento del interesado (paciente), art. 6.1.a. RGPD. Cumplimiento de una obligación legal aplicable al responsable del tratamiento, art. 6.1.c. RGPD, en concreto la Ley de garantías y uso racional de los medicamentos y productos sanitarios. o Afirma tratar datos de 1072 residentes en el intervalo total de fechas requerido. Actualmente afirman tratar datos para 676 residentes. Tratamiento 3: “Dispensación y facturación de medicamentos y productos sanitarios”. o Afirma como base de legitimación: Consentimiento del interesado (paciente), art. 6.1.a. RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/70 Cumplimiento de una obligación legal aplicable al responsable del tratamiento, art. 6.1.c. RGPD, en concreto la Ley de garantías y uso racional de los medicamentos y productos sanitarios. Afirma tratar datos para un volumen de 1142 residentes que son el total de residentes de los Centros en las fechas solicitadas. Actualmente tratan para 746 residentes. o De otro lado, afirma llevar a cabo los siguientes tratamientos de datos personales de residentes actuando la farmacia como encargado de tratamiento (aporta el RAT, en el que se identifica como encargado, en fichero adjunto con nombre “Evidencias_3.pdf”): - Tratamiento 1: “Gestión e intermediación entre las residencias y otras oficinas de farmacia que dispensan productos sanitarios a los pacientes de la residencia, fundamentalmente productos de absorbentes de incontinencia urinaria”. o Afirma que disponen de contrato que vincula al encargado respecto del responsable (la residencia), de acuerdo con el art. 28 RGPD. o Volumen total de residentes afectados: 503. No obstante, afirma que en la actualidad no se realiza este tratamiento de datos. - Tratamiento 2: “Colaboración con las residencias en la gestión de cobros y pagos a otras farmacias a las que los Centros solicitan absorbentes de incontinencia urinaria para sus residentes”. o Afirma que disponen de contrato que vincula al encargado respecto del responsable (la residencia), de acuerdo con el art. 28 RGPD. o Volumen de pacientes afectados: 503 (afirma que a veces se realizaba el cobro directamente entre farmacia dispensadora y residencia). En relación con el volumen de pacientes de residencias a los que se prepara medicación a través de sistemas personalizados de dosificación (SPD), afirma: “Actualmente se realiza servicio de SPD a los residentes siguientes relacionados por residencia: (…)”. “Respecto a residencias con las que actualmente no se trabaja, pero sí se ha realizado servicio de SPD: (…)”. En relación con el número de pacientes a los que se proporciona absorbentes de incontinencia urinaria, aporta una cifra aproximada y proporciona la siguiente afirmación relevante para la investigación: “Las residencias, en función de las necesidades de cada residente, solicita la dispensación de absorbentes de incontinencia urinaria a A.A.A. o a otras farmacias que designe la residencia mediante el consentimiento de los residentes. Por tanto el número de residentes puede variar”. En respuesta al requerimiento efectuado por la AEPD para que acredite los contratos de encargo y acuerdos de cesión de datos formalizados con las distintas residencias, proporciona fichero adjunto con nombre “Evidencias_1.pdf” que incluye los siguientes contratos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/70 - Para residencia ***RESIDENCIA.1: o Aportan contrato de cesión de datos suscrito en fecha 1 de junio de 2023 entre la residencia (con rol de responsable de tratamiento) y la ***FARMACIA.1 (con el rol de cesionaria de los datos). El documento está firmado por ambas entidades. Se detallan las obligaciones y derechos tanto del responsable como del destinatario. No se incluyen los consentimientos informados firmados por los residentes para llevar a cabo esta cesión. De este contrato se extraen las siguientes afirmaciones relevantes: “Que el RESPONSABLE necesita transferir datos personales al DESTINATARIO para Dispensación y facturación de recetas y otros productos sanitarios, gestión de cobros y pagos, atención farmacéutica y gestión de SPD (Sistema Personalizado de Dosificación), habiendo informado de ello a los interesados” … “Que el RESPONSABLE comunicará al DESTINATARIO los datos personales necesarios para cumplir el fin del tratamiento y que, a partir de su recepción, será el responsable de tratamiento de los mismos” … “El RESPONSABLE garantiza que los datos facilitados al DESTINATARIO se han obtenido lícitamente y que son adecuados, pertinentes y limitados a los fines del tratamiento. De la misma manera advierte al DESTINATARIO que será considerado responsable del tratamiento de los datos recibidos y estará sujeto a cumplir las disposiciones de la normativa vigente aplicables como tal.” o Aporta contrato de encargo suscrito en fecha 1 de junio de 2023 entre residencia (rol de responsable de tratamiento) y ***FARMACIA.1 (rol de encargado de tratamiento). Firmado por ambas entidades. El objeto del encargo es: “Gestión e intermediación entre la residencia y otras oficinas de farmacia que dispensan productos sanitarios a los pacientes de las residencias, fundamentalmente productos de contingencia urinaria. Gestiona además la gestión de cobros y pagos de estos productos sanitarios”. El documento incluye el siguiente párrafo relevante en relación con las medidas de seguridad a implantar para garantizar el tratamiento de los datos: “…el ENCARGADO garantiza que, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, implementará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que entrañe el tratamiento, que en su caso incluya, entre otros: - Seudonimización y cifrado de datos personales. -Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. -Restaurar la disponibilidad y el acceso a datos de forma rápida en caso de incidente físico o técnico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/70 -Procedimientos de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento”. - Para residencia ***RESIDENCIA.7: o Contrato de cesión de datos suscrito en fecha 11 de junio de 2021 entre la residencia y la ***FARMACIA.1, en este contrato se especifica: Finalidad de la comunicación de los datos: “dispensación y facturación de recetas y otros productos sanitarios, gestión de cobros y pagos, atención farmacéutica y gestión SPD, habiendo informado de ello a los interesados”. o Contrato de encargo de tratamiento suscrito en fecha 11 de junio de 2021 entre la residencia y la ***FARMACIA.1, entre su contenido destaca: Finalidad del encargo: “Gestión e intermediación entre la residencia y otras oficinas de farmacia que dispensan productos sanitarios a pacientes de la residencia, fundamentalmente productos de contingencia urinaria. Gestiona además los cobros y pagos de estos productos sanitarios”. Tipos de datos tratados: “nombre, apellidos, tarjeta sanitaria, datos de salud de pacientes”. Medidas de seguridad: “…el ENCARGADO garantiza que, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, implementará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que entrañe el tratamiento, que en su caso incluya, entre otros: -Seudonimización y cifrado de datos personales. -Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. -Restaurar la disponibilidad y el acceso a datos de forma rápida en caso de incidente físico o técnico. -Procedimientos de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento”. Comunicación de los datos: “El encargado no podrá comunicar los datos a terceros destinatarios salvo que hubiera obtenido una autorización del responsable, en este caso se cederán, siguiendo las instrucciones del responsable, datos a las farmacias que gestionan igualmente las dispensaciones de productos farmacéuticos, contando para ello con acuerdos en los que el responsable así lo autoriza y se anexan a este contrato”. En relación con los anexos mencionados en párrafo anterior, se adjuntan: Documento firmado el 1 de abril de 2024 en el que se autoriza la cesión de los datos por parte de la ***FARMACIA.1 a la ***FARMACIA.7. con NIF ***NIF.2, con la finalidad de “Facilitar la continuidad terapéutica y acceso a medicamentos y/o productos sanitarios”. En relación con la información proporcionada al interesado por parte de la Farmacia cesionaria, se afirma que no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/70 existe contacto directo de esta farmacia con el afectado, por lo que se incorpora un texto en el documento con la información pertinente del tratamiento a fin de que la propia residencia la comunique a los interesados. - Para residencias ***RESIDENCIA.3: o Residencia ***RESIDENCIA.3: Contrato de cesión de datos suscrito entre la empresa titular de la residencia ***RESIDENCIA.3 y la ***FARMACIA.1, como destinario de los datos. La fecha de firma es 2 de enero de 2019. De este contrato destaca: “Que el responsable necesita transferir datos para la dispensación y facturación de recetas y otros productos sanitarios, gestión de cobros y pagos, atención terapéutica y gestión de SPD, habiendo informado de ello a los interesados”. Contrato de encargo de tratamiento suscrito entre la empresa titular de la residencia ***RESIDENCIA.3 y la ***FARMACIA.1, en fecha 2 de enero de 2019, con el objeto “prestar servicios de gestión farmacéutica”. De este documento se extrae la siguiente información relevante: Finalidad del encargo: “gestión e intermediación entre la residencia y otras oficinas de farmacia que dispensan productos sanitarios a los pacientes de la residencia, fundamentalmente productos de contingencia urinaria. Gestiona además la gestión de cobros y pagos entre productos sanitarios”. Comunicación de los datos: “Para el cumplimiento del encargo, y siguiendo las instrucciones del responsable, se ceden datos a las farmacias que gestionan igualmente las dispensaciones de productos farmacéuticos, contando para ello con acuerdos en los que el responsable así lo autoriza y que se anexa a este contrato”. En relación con las autorizaciones mencionadas en párrafo anterior, se adjuntan los siguientes documentos: o Documento con fecha de firma 1 de octubre de 2021 en el que se acuerda que la ***FARMACIA.1 cederá los datos a ***FARMACIA.8., con la finalidad de facilitar la continuidad terapéutica y acceso a medicamentos y/o productos sanitarios. En relación con la información proporcionada a los interesados, exigible conforme al RGPD respecto al tratamiento de sus datos personales, se incluye en el mismo contrato suscrito tanto por la residencia, como por ambas farmacias, un documento con título Anexo 1. Información a los interesados que señala: “de acuerdo con el artículo 13 y 14 del RGPD, cuando los datos no se reciben del interesado, la farmacia cesionaria tiene la obligación de informar a los interesados sobre el tratamiento de sus datos personales en el plazo máximo de un mes. Dada la naturaleza de la relación mantenida, en la que no existe un contacto directo entre la cesionaria y el interesado, se procede como sigue: se facilita la siguiente información a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/70 residencia que suscribe, a fin de que comunique la información a los interesados. Si la residencia ostenta poder de presentación suficiente de cada uno de sus pacientes, se da por informada mediante este anexo, dándose así cumplimiento a la mencionada obligación. (…) responsable: ***FARMACIA.8. (…) Datos tratados(…) finalidad del tratamiento de datos (…) legitimación (…). o Residencia ***RESIDENCIA.3I: Se aportan documentos idénticos a los aportados para ***RESIDENCIA.3 (contrato de cesión y contrato de encargo) pero con distinta fecha de firma. En relación con el contrato de encargo formalizado, se incluyen anexos con las autorizaciones para la cesión de los datos a terceras farmacias, en concreto se aporta: Documento que autoriza para ceder los datos a las Farmacias B.B.B. y F.F.F. (NIF ***NIF.3). - Para residencias ***RESIDENCIA.21: o Documento de acuerdo de cesión de datos a ***FARMACIA.1 (cesionario) con la finalidad de “dispensación y facturación de recetas y otros productos sanitarios, gestión de cobros y pagos, atención farmacéutica y gestión SPD”. Este documento tiene fecha de firma 2 de enero de 2019. o Documento que formaliza el contrato de encargo entre la residencia y la ***FARMACIA.1, con fecha de firma 2 de enero de 2019, incluyendo como objeto del contrato la “gestión e intermediación con otras oficinas de farmacia que dispensan productos sanitarios a los pacientes de la residencia, fundamentalmente productos de contingencia urinaria”. El documento incluye el texto: “se ceden datos a las farmacias que gestionan igualmente las dispensaciones de productos farmacéuticos, contando para ello con acuerdos en los que el responsable así lo autoriza y que se anexan al contrato”. Entre los anexos incluidos consta documento relativo a la cesión de datos a la ***FARMACIA.6 (NIF ***NIF.4), con fecha de firma 1 de octubre de 2021, y documento relativo a la cesión de datos a la ***FARMACIA.7. (NIF ***NIF.2). - Para residencia ***RESIDENCIA.4: o Documento para la cesión de datos entre residencia ***RESIDENCIA.4 (actuando como responsable tratamiento) y la ***FARMACIA.1 (cesionario), con fecha de firma 2 de enero 2019 y con la siguiente finalidad: “dispensación y facturación de recetas y otros productos sanitarios, gestión de cobros y pagos, atención farmacéutica y gestión SPD”. El documento es similar en contenido a los analizados anteriormente. o Documento que formaliza contrato de encargo entre residencia ***RESIDENCIA.4 (responsable tratamiento) y ***FARMACIA.1 (encargado) con la finalidad de “Gestión e intermediación entre residencia y otras farmacias que dispensan productos sanitarios de pacientes”. Documento con fecha de firma 2 de enero de 2019 e idéntico contenido a los analizados anteriormente. En relación con este encargo, se adjuntan dos anexos firmados con autorizaciones para la cesión de datos por parte del encargado de tratamiento a las farmacias B.B.B. y E.E.E.. En relación con las medidas de seguridad incluidas en el contrato destaca el siguiente párrafo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/70 - - - - - - “…, el ENCARGADO garantiza que, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, implementará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que entrañe el tratamiento, que en su caso incluya, entre otros: -Seudonimización y cifrado de datos personales. -Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. -Restaurar la disponibilidad y el acceso a datos de forma rápida en caso de incidente físico o técnico. -Procedimientos de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento”. Para residencia ***RESIDENCIA.2: o Contrato de cesión de datos a ***FARMACIA.1 con fecha de firma 2 de enero 2019 (idéntico en contenido a los analizados anteriormente). o Contrato de encargo entre la residencia (responsable) y ***FARMACIA.1 (encargado), con fecha de firma 2 de enero de 2019 (idéntico en contenido a los analizados anteriormente), incluye como anexo las autorizaciones para la cesión de datos de residentes a las farmacias B.B.B. y G.G.G. (NIF ***NIF.5). Para residencia ***RESIDENCIA.8: o Contrato de cesión de datos a ***FARMACIA.1 con fecha de firma 2 de enero 2019 (idéntico en contenido a los analizados anteriormente). o Contrato de encargo con ***FARMACIA.1, con fecha de firma 2 de enero de 2019 (idéntico en contenido a los analizados anteriormente), incluye anexos para autorizar cesión de datos las farmacias B.B.B. (Fecha de firma 1 de octubre de 2021) y F.F.F. (Fecha de firma 1 de marzo de 2023). Para residencia ***RESIDENCIA.9: o Contrato de cesión de datos a ***FARMACIA.1 con fecha de firma 9 de julio 2020 (idéntico en contenido a los analizados anteriormente). o Contrato de encargo con ***FARMACIA.1, con fecha de firma 9 de julio de 2020 (idéntico en contenido a los analizados anteriormente). Incluye anexo para autorizar la cesión de datos a la ***FARMACIA.6 (NIF ***NIF.4), con fecha de firma 1 octubre 2021. Para residencia ***RESIDENCIA.10: o Contrato de cesión de datos a ***FARMACIA.1 con fecha de firma 2 de enero 2019 (idéntico en contenido a los analizados anteriormente). o Contrato de encargo con ***FARMACIA.1, con fecha de firma 2 de enero de 2019 (idéntico en contenido a los analizados anteriormente), incluye anexos que autoriza la cesión de datos a la ***FARMACIA.7. (fecha de firma 1 abril de 2024) y ***FARMACIA.11 (con fecha de firma 1 marzo 2023). Para residencia ***RESIDENCIA.6: o Contrato de cesión de datos a ***FARMACIA.1 con fecha de firma 1 de marzo 2021 (idéntico en contenido a los analizados anteriormente). o Contrato de encargo con ***FARMACIA.1, con fecha de firma 1 marzo 2021 (idéntico en contenido a los analizados anteriormente). Anexo de autorización de cesión a la ***FARMACIA.9. Para residencia ***RESIDENCIA.11: o Contrato de cesión de datos a ***FARMACIA.1 con fecha de firma 1 de junio de 2024 (idéntico en contenido a los analizados anteriormente). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/70 - - - - - - o Contrato de encargo con ***FARMACIA.1, con fecha de firma 1 junio 2024 (idéntico en contenido a los analizados anteriormente). No se incluyen anexos con autorizaciones para la cesión en el marco del encargo. Para residencia ***RESIDENCIA.12: o Contrato de cesión de datos a ***FARMACIA.1 con fecha de firma 1 de julio 2024 (idéntico en contenido a los analizados anteriormente). o No existe contrato de encargo. Para residencia ***RESIDENCIA.13: o Contrato de cesión de datos a ***FARMACIA.1 con fecha de firma 1 de septiembre 2024 (idéntico en contenido a los analizados anteriormente). o Contrato de encargo con ***FARMACIA.1, con fecha de firma 1 septiembre 2024 (idéntico en contenido a los analizados anteriormente). No se aportan anexos con autorizaciones para la cesión. Para residencia ***RESIDENCIA.14: o Contrato de cesión de datos a ***FARMACIA.1 con fecha de firma 11 de junio de 2021 (idéntico en contenido a los analizados anteriormente). o Contrato de encargo con ***FARMACIA.1, con fecha de firma 11 junio 2021 (idéntico en contenido a los analizados anteriormente). Incluye anexos con autorización de cesión a ***FARMACIA.6 (***NIF.4). Para residencia ***RESIDENCIA.15: o Contrato de cesión de datos a ***FARMACIA.1 con fecha de firma marzo 2023 (idéntico en contenido a los analizados anteriormente). o Contrato de encargo con ***FARMACIA.1, con fecha de firma 1 marzo 2023 (idéntico en contenido a los analizados anteriormente). No se incluyen anexos con autorización de cesión. Para residencia ***RESIDENCIA.16: o Contrato de cesión de datos a ***FARMACIA.1 con fecha de junio 2021 (idéntico en contenido a los analizados anteriormente). o No existe contrato de encargo. Para residencia ***RESIDENCIA.17: oContrato de encargo de tratamiento entre la residencia y la ***FARMACIA.1, con fecha de firma 25 de octubre de 2022 y con la finalidad “prestación de servicios farmacéuticos”, afectando a datos de expedientes de salud de los usuarios. Este contrato es distinto en contenido a los proporcionados para las residencias analizadas en puntos anteriores, en concreto destacan los siguientes párrafos relevantes: Identificación de la información afectada: expedientes de salud. Obligaciones del encargado: “…Implantar las medidas de seguridad que permitan:
- a)garantizar la confidencialidad, integridad y resiliencia permanentes
- b)Restaurar la disponibilidad y acceso a datos personales de forma rápida
- c)Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas
- d)Seudonimizar y cifrar los datos, en su caso” ….. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/70 “El encargado puede comunicar los datos a otros encargados de tratamiento del mismo responsable, de acuerdo con las instrucciones del responsable. El responsable identificará, de forma previa y por escrito, la entidad a la que se pueden comunicar los datos…” - Para residencia ***RESIDENCIA.18: o Contrato de cesión de datos a ***FARMACIA.1 con fecha 1 enero 2019 (idéntico en contenido a los analizados en las primeras residencias). o Contrato de encargo con ***FARMACIA.1, con fecha de 1 enero 2019 (idéntico en contenido a los analizados en las primeras residencias). No se incluyen anexos autorizando cesiones. - Para residencia ***RESIDENCIA.19: o Contrato de cesión de datos a ***FARMACIA.1 con fecha 10 enero 2019 (idéntico en contenido a los analizados anteriormente). o No existe contrato de encargo. - Para residencia ***RESIDENCIA.20: o Contrato de encargo entre la residencia (responsable) y ***FARMACIA.1 (encargado) con fecha de firma 2 enero 2023, cuyo objeto es el de prestar servicio farmacéutico, consistiendo el tratamiento en “Elaboración de blísteres obteniendo información sensible del residente”, afectando a datos identificativos y datos de salud de clientes. Destacando los siguientes párrafos: “El encargado de tratamiento se obliga a …. implantar las medidas de seguridad siguientes: -garantizar la confidencialidad, integridad y resiliencia permanentes -Restaurar la disponibilidad y acceso a datos personales de forma rápida -Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas -Seudonimizar y cifrar los datos, en su caso.” En respuesta a la pregunta del requerimiento para que aporte información sobre los consentimientos informados que se recaban de los pacientes para poder acceder al SPD, afirma: “Se adjunta a continuación la hoja de consentimiento informado donde se indican las condiciones del servicio de seguimiento farmacoterapéutico con sistemas de SPD y se incluye la política de privacidad de acuerdo al RGPD. En esta hoja de consentimiento se adjunta como Anexo 2 la Guía de seguimiento farmacoterapéutico con los sistemas de SPD. Estos documentos están firmados con los residentes a los que se realiza SPD, si bien lo que se aporta como evidencia es la plantilla en blanco, a fin de respetar los derechos y la protección de los titulares de los datos. No obstante, nuestra entidad está dispuesta a colaborar en todo lo necesario. Si así se requiere y se ajusta al cumplimiento de la normativa vigente, no tenemos ninguna objeción en proporcionar dichas evidencias”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/70 Del análisis de la plantilla modelo de consentimiento aportada se obtiene el siguiente texto traducido al español (traducción no oficial, el documento está Catalán): “He leído y entendido toda la información incluida en el Anexo 2 de la Guía de seguimiento farmacoterapéutico con sistemas de SPD que se me ha proporcionado en la hoja de información del servicio. He recibido una respuesta satisfactoria de todas mis preguntas y cuando no he entendido alguna de las palabras, el farmacéutico me ha explicado el significado. Autorizo al titular de la oficina de farmacia ______________________________________________________________ que me proporcione el servicio de seguimiento farmacoterapéutico y que prepare la medicación en un sistema personalizado de dosificación. Para el buen funcionamiento del servicio, a la vez los autorizo a grabar los datos necesarios personales, clínicas y farmacoterapéuticas, de los cuales no es para otro uso sin mi consentimiento explícito. Dejo en depósito a la farmacia mi medicación previamente dispensada, para la finalidad de recibir el servicio mencionado. Presentaré a la farmacia, con suficiente antelación, la prescripción médica que avale un cambio en la medicación o avisaré de cualquier otra circunstancia que pueda modificar las condiciones iniciales de mi tratamiento. Sé que me puedo dar de baja libremente de la prestación de este servicio en cualquier momento, sin que esto repercuta en mi atención farmacéutica, médica y sanitaria. Autorizo al farmacéutico a compartir con el médico que me trata la información sobre la medicación que tomo. Que he sido informado de la política de privacidad de acuerdo con el que RGPD 2016/679 de la UE, y que seguidamente se expone”: En respuesta al requerimiento de la AEPD para que la parte denunciada informe de los procedimientos para cumplir con el deber de información a los residentes sobre el tratamiento de sus datos, la farmacia afirma: “Para la prestación del servicio de seguimiento farmacológico, los residentes firman un consentimiento explícito que se adjunta como evidencia en el apartado anterior. Para el resto de los tratamientos, el residente firma un documento por el cual delega a favor de la residencia el derecho a escoger una farmacia para prestar el servicio de gestión farmacológica y dispensación de medicamentos y productos sanitarios, siendo este centro el encargado de gestionar la comunicación con la farmacia sobre las recetas y la medicación”. Aportan plantilla con el modelo para la delegación de elección de farmacia a favor de la residencia, pero no se acredita documento firmado por pacientes y tampoco se detecta consentimiento de los residentes para la cesión de datos entre las distintas farmacias. El modelo aportado contiene el siguiente texto traducido del catalán al español (traducción no oficial): “Yo………..con DNI….delego/cedo el derecho de escoger la farmacia por parte del usuario/a a favor de la residencia…………..De este modo será el centro el encargado de gestionar la comunicación con la farmacia sobre recetas y medicación”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/70 En relación con los consentimientos, aportan la siguiente afirmación relevante: “La ***FARMACIA.1 firma con cada residencia un contrato de cesión de datos, así como otro en el que, en los casos que procede, la residencia autoriza la cesión de datos a otras farmacias (determinadas e identificadas en este documento) para facilitar la continuidad terapéutica y acceso a medicamentos y productos sanitarios, que fundamentalmente (salvo casos muy excepcionales) son absorbentes de incontinencia urinaria”. A continuación, precisa que en el archivo “Evidencias 1”, se incluye la información exigida de acuerdo con los artículos 13 y 14 del RGPD. El archivo indicado recoge los “Contratos suscritos con cada residencia”. Examinado el archivo, se observa que en los “Acuerdos de Cesión de Datos a terceros y confidencialidad” suscritos se adjunta, como Anexo 1, hoja informativa bajo el nombre “Información a los interesados” en la que se hace mención expresa a los artículos 13 y 14 del RGPD. Esta hoja informativa está firmada, por la residencia correspondiente. En relación con la adhesión de la farmacia al Convenio de colaboración entre el Departamento de Salud y el Consejo de Colegios de Farmacéuticos de Cataluña para la prestación del servicio de seguimiento farmacoterapéutico con sistemas personalizados de dosificación en las oficinas de farmacia, A.A.A. aporta el documento “Evidencia 2 – SPD” que contiene: - “Hoja de información del servicio de seguimiento farmacoterapéutico con SPD proporcionado por el Colegio de Farmacéuticos de Barcelona, el cual proporcionamos al paciente junto al consentimiento informado. - Procedimiento Normalizado de Trabajo (PNT) para la producción de dosis SPD, en referencia a la Guía de Seguimiento farmacoterapéutico con SPD, elaborada por representantes del Consejo de Colegios de Farmacéuticos de Cataluña y del Departamento de Salud de la Generalitat, con el objetivo de contribuir a mejorar la optimización de resultados terapéuticos a los usuarios del servicio. La Guía proporciona las herramientas para que las farmacias reúnan los requisitos para preparar los SPD dentro del servicio de Seguimiento Farmacoterapéutico. - Acta número E0000476/2021 de la visita del Inspector del Colegio de Farmacéuticos de Barcelona donde se recogen las adecuaciones a los requisitos mínimos de obligado cumplimiento respecto a la elaboración de SPD”. Se aporta, además, captura de pantalla, obtenida de la página web oficial del Colegio de Farmacéuticos de Barcelona con fecha 05/12/2024, en la que consta una relación de farmacias, entre las que figura la farmacia titularidad de la parte denunciada, que prestan el servicio SPD en Barcelona. Se adjunta informe firmado por la empresa asesora en protección de datos, CoFB Serveis, con fecha marzo de 2022, el documento tiene como título: “RELACIÓN SUCINTA DE ACTUACIONES QUE DEBE REALIZAR EL TITULAR DE LA OFICINA DE FARMACIA PARA CUMPLIR CON LA NORMATIVA DE PROTECCIÓN DE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/70 DATOS, PARA CUMPLIR CON EL REGLAMENTO (UE) 2016/679”. De su contenido destacan los siguientes puntos como actuaciones relevantes propuestas por esta empresa asesora: - (…). En relación con las terceras entidades relacionadas con la farmacia que realizan tratamientos de datos de los residentes afirman: “Si bien en este momento no existe relación alguna con otras farmacias que dispensen absorbentes de incontinencia urinaria a las residencias, en el intervalo de fechas solicitadas en el presente requerimiento sí se podrían identificar las siguientes entidades: - ***FARMACIA.7.. ***NIF.2 (185 residentes). Comienzo: 01/04/2024. Fin: 30/04/2024 - ***FARMACIA.8. ***NIF.6 (200 residentes). Comienzo: 01/10/2021. Fin: marzo 2024 - ***FARMACIA.6. ***NIF.4 (146 residentes). Comienzo: 01/10/2021. Fin: marzo 2024 - ***FARMACIA.9. ***NIF.7 (67 residentes). Comienzo 01/08/2021. Fin: 24/03/2023 - ***FARMACIA.10 ***NIF.5 (68 residentes). Comienzo: 02/04/2024. Fin: 30/04/2024. -***FARMACIA.11. ***NIF.3 (131 residentes) Comienzo: 01/03/2023. Fin: 30/03/2024” Tratamiento: Dispensación y facturación de productos sanitarios, fundamentalmente absorbentes de incontinencia urinaria. Base legítima Art.6.1.a. con el consentimiento del interesado. El tratamiento de datos no se basa en un subencargo de tratamiento, ya que cada farmacia pasa a ser responsable del tratamiento respecto a la dispensación de los productos sanitarios, por lo que está basado en una cesión de datos, aportamos evidencias al respecto (Acuerdo de Cesión a de Datos a terceros y confidencialidad en el archivo Evidencias 1) firmado con la residencia y cada una de las farmacias a las que cada residencia decide solicitar la dispensación de absorbentes de incontinencia urinaria”. En relación con el procedimiento para el intercambio de la información entre la farmacia y las residencias, afirma: “Dependiendo de la residencia el procedimiento es diferente, si bien como regla general la residencia le entrega en un sobre cerrado los datos de los pacientes (nombre y apellidos, copia de CIP, de la Tarjeta sanitaria y de la receta prescrita, así como datos farmacológicos en caso de que se vaya a realizar SPD). Este es el procedimiento que A.A.A. propicia ya que es el que menores riesgos entraña en el tratamiento de datos personales y datos de salud. (…)”. “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/70 “Resulta fundamental destacar que los datos que se envían por correo electrónico son datos identificativos (Nombre y Apellidos y número de Tarjeta Sanitaria) ya que únicamente con estos datos no es posible que cualquier persona (no farmacéutico) acceda a datos de salud de los residentes”. “Para el envío de la medicación mediante SPD a las residencias, se remiten en cajas cerradas y selladas, por lo que no es posible acceder a los datos personales del paciente que van en el interior de estas cajas.” En relación con el procedimiento de intercambio de información de datos de residentes entre la farmacia y otras oficinas de farmacia, afirma: “Respecto a otras farmacias, en la actualidad no hay intercambio alguno de datos, pero en las fechas referenciadas, desde octubre de 2021 hasta marzo de 2024 como se ha indicado anteriormente, se realizaba el siguiente procedimiento, si bien resulta fundamental destacar que el procedimiento habitual es que la residencia solicite a la farmacia dispensadora los datos de los residentes que necesitan de absorbentes de incontinencia urinaria: - En caso de que, habiendo firmado la residencia un contrato de cesión de datos en que autoriza a A.A.A. a solicitar a otra farmacia debidamente identificada y autorizada los datos de los residentes que necesitan de estos productos, A.A.A. remite a dicha farmacia, por orden de la residencia, los datos de los residentes, siendo estos datos identificativos: Nombre y Apellidos, número de Tarjeta Sanitaria y código CIP. - Estas mismas farmacias autorizadas, en ocasiones, remitían a la residencia, con copia a A.A.A. los importes a facturar por la dispensación de absorbentes, indicando únicamente el nombre del residente y la aportación económica, por lo que tampoco se indicaban datos de salud, no aplicándose ninguna excepción específica de las establecidas en el art. 9.2”. En relación con los medios utilizados para el registro de datos personales de residentes por parte de la farmacia, la parte denunciada, afirma: “El registro y seguimiento de los residentes se gestiona internamente por A.A.A. a través de (…). Este archivo en el que el farmacéutico lleva el control y gestión está (…) y sólo accede A.A.A.. De este Excel extrae la información en otros archivos de la misma extensión, en los que sólo indica el nombre y apellidos y TSI para gestionar la dispensación de absorbentes de incontinencia, tal y como se indica en apartados anteriores, siempre y cuando esté autorizado por el residente y, en su caso por la residencia correspondiente para remitir la información a la farmacia dispensadora. En la actualidad no se remite información a ninguna otra farmacia ni entidad, pero en caso de tener que enviar información por correo electrónico, (…)” En relación con la conservación de los datos, la farmacia señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/70 “Respecto a la conservación de copias de Tarjeta Sanitaria de los pacientes en la farmacia: La conservación de la tarjeta sanitaria del paciente en un lugar fijo, como en la residencia o en un archivo seguro, reduce significativamente el riesgo asociado con el transporte recurrente de tarjetas físicas. Cada vez que se traslada una tarjeta sanitaria desde la residencia a la farmacia, existe un riesgo potencial de pérdida, robo o acceso no autorizado a la información sensible contenida en ella. La conservación adecuada de la tarjeta sanitaria es una medida crucial para asegurar la protección de los datos personales y de salud de nuestros pacientes, y para cumplir con las obligaciones establecidas por la normativa de protección de datos. Tras realizar un análisis de riesgos en el que determinamos el riego inicial elevado al trasladar recurrentemente las tarjetas físicas a la farmacia para proceder a la dispensación, determinamos como medida de seguridad idónea para aminorar el riesgo residual que (…). La legislación sanitaria en España garantiza el derecho de los pacientes a elegir libremente la oficina de farmacia donde desean recibir sus medicamentos. La conservación de la tarjeta sanitaria en este caso en concreto no vulneraría la libre elección de farmacia, puesto que el residente delega en la residencia la elección de la farmacia y el Centro es quien elige a la farmacia dispensadora.” CUARTO: La oficina de ***FARMACIA.2, con nombre ***FARMACIA.1 es titularidad de A.A.A. con NIF ***NIF.1. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/70 El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas 1. Normativa sectorial aplicable 1.1 Oficinas de farmacia Las oficinas de farmacia son, de acuerdo con el artículo 86.6 del Real Decreto Legislativo 1/2015, de 24 de julio, por el que se aprueba el texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios, establecimientos sanitarios privados, de interés público. Su regulación se encuentra, entre otras normas de aplicación, en la Ley 14/1986, de 25 de abril, General de Sanidad; la Ley 16/1997, de 25 de abril, de Regulación de Servicios de las Oficinas de Farmacia; el Real Decreto Legislativo 1/2015, de 24 de julio, por el que se aprueba el texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios; así como en la legislación autonómica aplicable como, en el caso de Cataluña, la Ley 31/1991, de 13 de diciembre, de Ordenación Farmacéutica de Cataluña. Tanto la Ley 14/1986, de 25 de abril como la Ley 16/1997, de 25 de abril, señalan: “el farmacéutico titular-propietario de las mismas, asistido, en su caso, de ayudantes o auxiliares, deberá prestar los siguientes servicios básicos a la población: 1. La adquisición, custodia, conservación y dispensación de los medicamentos y productos sanitarios. 2. La vigilancia, control y custodia de las recetas médicas dispensadas (…)”. Por su parte, el artículo 3 del Real Decreto Legislativo 1/2015, de 24 de julio, es más tajante al afirmar que la custodia, conservación y dispensación de medicamentos de uso humano corresponde exclusivamente a: “
- a)A las oficinas de farmacia abiertas al público, legalmente autorizadas.
- b)A los servicios de farmacia de los hospitales, de los centros de salud y de las estructuras de atención primaria del Sistema Nacional de Salud para su aplicación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/70 dentro de dichas instituciones o para los medicamentos que exijan una particular vigilancia, supervisión y control del equipo multidisciplinar de atención a la salud, de conformidad con la calificación otorgada por la Agencia Española de Medicamentos y Productos Sanitarios para tales medicamentos (…)”. Las oficinas de farmacia están obligadas, de acuerdo con el artículo 86.3 del Real Decreto Legislativo 1/2015, de 24 de julio, a la “dispensación de medicamentos que se les demanden tanto por los particulares como por el Sistema Nacional de Salud en las condiciones reglamentarias establecidas”. No obstante, debe respetarse el principio de libre elección de farmacia. Así esta norma consagra como infracción grave en su artículo 111 b): “26.ª Coartar la libertad del usuario en la elección de la oficina de farmacia mediante cualquier acto u omisión”. También se tipifica como infracción grave en el mismo artículo: “22.ª Defraudar, las oficinas de farmacia, al Sistema Nacional de Salud o al beneficiario del mismo con motivo de la facturación y cobro de recetas oficiales”. Se subraya, asimismo, que, de acuerdo con el mencionado Real Decreto Legislativo, 1/2015, de 24 de julio, constituye una infracción muy grave según el artículo 111 c): “23.ª Realizar, por parte de las oficinas de farmacia, actividades de distribución de medicamentos a otras oficinas de farmacia, entidades de distribución autorizadas, u otras entidades, centros o personas físicas sin autorización para la actividad de distribución o bien la realización de envíos de medicamentos fuera del territorio nacional” Por su parte, la Ley 16/1997, de 25 de abril, consagra la figura del farmacéutico como elemento esencial e imprescindible para el funcionamiento de una oficina de farmacia al determinar en su artículo 5: “1. La presencia y actuación profesional de un farmacéutico es condición y requisito inexcusable para la dispensación al público de medicamentos. La colaboración de ayudantes o auxiliares no excusa la actuación de farmacéutico en la oficina de farmacia, mientras permanezca abierta al público, ni excluye su responsabilidad profesional. 2. Las Comunidades Autónomas podrán regular el número mínimo de farmacéuticos adjuntos, que, además del titular, deban prestar servicios en las oficinas de farmacia al objeto de garantizar la adecuada asistencia profesional a los usuarios. Esta regulación deberá tener en cuenta, entre otros factores, el volumen y tipo de actividad de las oficinas de farmacia y el régimen de horario de los servicios. 3. Sin perjuicio de la actuación del adjunto, el farmacéutico titular será responsable de garantizar el servicio a los usuarios”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/70 Asimismo, el artículo 103 de la Ley 14/1986, de 25 de abril, General de Sanidad señala: “1. La custodia, conservación y dispensación de medicamentos corresponderá:
- a)A las oficinas de farmacia legalmente autorizadas.
- b)A los servicios de farmacia de los hospitales, de los Centros de Salud y de las estructuras de Atención Primaria del Sistema Nacional de Salud para su aplicación dentro de dichas instituciones o para los que exijan una particular vigilancia, supervisión y control del equipo multidisciplinario de atención a la salud. 2. Las oficinas de farmacia abiertas al público se consideran establecimientos sanitarios a los efectos previstos en el título IV de esta Ley. 3. Las oficinas de farmacia estarán sujetas a la planificación sanitaria en los términos que establezca la legislación especial de medicamentos y farmacias. 4. Sólo los farmacéuticos podrán ser propietarios y titulares de las oficinas de farmacia abiertas al público”. En consecuencia, el titular de la farmacia es quien responde de las actuaciones realizadas por la oficina de farmacia y a quien cabe exigir responsabilidades. 1.2 Dispensación de medicamentos Además de la normativa anteriormente mencionada, resulta de interés en materia de dispensación farmacéutica el Real Decreto 1718/2010, de 17 de diciembre, sobre receta médica y órdenes de dispensación cuyo capítulo IV está dedicado a “la receta médica electrónica oficial del SNS”, contemplando los criterios generales de su desarrollo, así como la coordinación en el SNS. En su artículo 9, se señala: “1. La dispensación será realizada por las oficinas de farmacia conectadas al sistema de receta médica electrónica, mediante el procedimiento normalizado establecido por las autoridades sanitarias competentes, que determinarán sus condiciones específicas, siendo necesario el certificado electrónico del titular de la oficina de farmacia, o, en su caso, del farmacéutico regente, adjunto o sustituto, expedido por la entidad competente. 2. Tras la identificación inequívoca del paciente, y en su caso de la persona en quien delegue, el farmacéutico sólo podrá acceder desde los equipos instalados en la oficina de farmacia, con los requisitos y condiciones que se establecen en el apartado siguiente, a los datos necesarios para una correcta dispensación informada y seguimiento del tratamiento y dispensará exclusivamente, de entre las prescripciones pendientes de dispensar, las que el paciente solicite. 3. Sólo se permitirá el acceso de los farmacéuticos al sistema electrónico mediante la tarjeta sanitaria del paciente debidamente reconocida por el sistema de receta electrónica, debiendo ser devuelta de forma inmediata a su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/70 titular y sin que pueda ser retenida en la oficina de farmacia. El acceso del farmacéutico siempre quedará registrado en el mencionado sistema. 4. En el momento de la dispensación, los sistemas de receta electrónica deberán incorporar y remitir a las Administraciones sanitarias correspondientes, los datos de identificación del producto dispensado, codificados conforme al Nomenclátor oficial de productos farmacéuticos del Sistema Nacional de Salud, número de envases dispensados y su identificación unitaria cuando sea posible, identificación de la oficina de farmacia dispensadora, utilizando para ello el NIF/CIF de su titular, así como el número de identificación de la oficina de farmacia otorgado por la Administración sanitaria competente, y la fecha de dispensación, en el formato que el nodo nacional de intercambio tenga establecido al efecto. Esta información será la única que quedará a efectos de facturación en la organización farmacéutica colegial, en tanto intervenga como responsable de la misma, y estará a disposición de las Administraciones sanitarias competentes de conformidad con su normativa de aplicación”. Asimismo, en su artículo 11 determina: “El sistema de receta médica electrónica garantizará la seguridad en el acceso y transmisión de la información, así como la protección de la confidencialidad de los datos, de conformidad con lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Se implantarán las medidas de seguridad de nivel alto, previstas en la referida normativa de protección de datos de carácter personal. Para garantizar dichos niveles de seguridad, esta información sólo será accesible desde la oficina de farmacia a efectos de dispensación, residirá de forma permanente en los sistemas de receta electrónica gestionados por las Administraciones sanitarias y no podrá ser almacenada en los repositorios o servidores ajenos a éstas, establecidos para efectuar la facturación, una vez esta se haya producido.” A nivel autonómico, en Cataluña destaca el Real Decreto 159/2007, de 24 de julio, Recepta electrònica i la tramitació telemàtica de la prestació farmacèutica a càrrec del Servei Català de la Salut. Por último, señalar la Orden SLT/72/2008, de 12 de febrero, por la que se desarrolla el Decreto 159/2007, de 24 de julio, por el que se regula la receta electrónica y la tramitación telemática de la prestación farmacéutica a cargo del Servicio Catalán de la Salud. En su artículo 7 determina: “Con el fin de acceder a la dispensación de recetas electrónicas, se tiene que identificar la persona paciente como titular del derecho a la prestación farmacéutica a la oficina de farmacia mediante la presentación de la tarjeta sanitaria individual, y se tiene que entregar al farmacéutico o farmacéutica la hoja de medicación activa donde se recoja el tratamiento para el que se solicita la dispensación del producto incluido en la prestación farmacéutica.” 1.3 Sistema personalizado de dosificación (SPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/70 El artículo 86.1 del Real Decreto Legislativo 1/2015, de 24 de julio, señala que, en las oficinas de farmacia, los farmacéuticos, son responsables de la dispensación de medicamentos a los ciudadanos y participarán en el uso racional de los mismos y abre la puerta a la posibilidad de implementación de este tipo de sistemas: “1. En las oficinas de farmacia, los farmacéuticos, como responsables de la dispensación de medicamentos a los ciudadanos, velarán por el cumplimiento de las pautas establecidas por el médico responsable del paciente en la prescripción y cooperarán con él en el seguimiento del tratamiento a través de los procedimientos de atención farmacéutica, contribuyendo a asegurar su eficacia y seguridad. Asimismo, participarán en la realización del conjunto de actividades destinadas a la utilización racional de los medicamentos, en particular a través de la dispensación informada al paciente. Una vez dispensado el medicamento podrán facilitar sistemas personalizados de dosificación a los pacientes que lo soliciten, en orden a mejorar el cumplimiento terapéutico, en los tratamientos y con las condiciones y requisitos que establezcan las administraciones sanitarias competentes”. La regulación del SPD parte de los Criterios consensuados entre las diferentes Comunidades Autónomas y la Agencia Española del Medicamento y Productos Sanitarios, para la preparación de sistemas personalizados de dosificación por parte de las oficinas de farmacia que define el SPD como (el subrayado es de la AEPD): “el conjunto de actuaciones profesionales farmacéuticas post dispensación desarrolladas por la oficina de farmacia, previa autorización por parte del paciente o de su representante legal, que confluyen en el proceso de reacondicionamiento de todos o de parte de los medicamentos que toma un paciente polimedicado en dispositivos de dosificación personalizada (DDP), tipo multidosis (blíster con alvéolos), multicompartimental (pastilleros semanales o bandejas de medicación compartimentadas) u otros similares con igual finalidad, para un periodo determinado, con el objetivo de facilitar la correcta utilización de los mismos mediante una buena información al paciente y una adecuada preparación y supervisión del tratamiento. Los medicamentos pueden extraerse de su envase primario original antes de prepararse en DDP o ser preparados en DDP manteniendo el envase primario”. Tal y como se establece en los criterios, los requisitos en estos establecidos serán de aplicación tanto en lo casos en los que la SPD se realice a pacientes que los recojan en la propia oficina de farmacia, como en aquellos supuestos en los que los pacientes se encuentren en centros residenciales: “Los requisitos establecidos en este documento serán de aplicación tanto en los casos de SPD preparados a solicitud de pacientes para su entrega en la oficina de farmacia como en aquellos otros casos que vayan destinados a pacientes institucionalizados. Las oficinas de farmacia pueden preparar medicación en SPD para aquellos pacientes de la misma que lo soliciten, una vez les hayan dispensado la medicación prescrita por un facultativo. En cualquier caso, la receta médica (o documento de indicación facultativa en caso de medicamentos no sujetos a prescripción médica) debe estar disponible en la farmacia en su formato original, u otro soporte válido autorizado (receta electrónica), antes de dispensar los medicamentos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/70 Asimismo, se establecen, con carácter general los siguientes requisitos para que una oficina de farmacia pueda prestar este tipo de servicios: “- Declaración responsable del titular de la oficina de farmacia (…) - Preparación: La preparación de los medicamentos en SPD debe realizarse por la misma oficina de farmacia en la cual han sido dispensados y que es la que lleva a cabo la entrega de los dispositivos y el seguimiento del cumplimiento terapéutico de los pacientes. En ningún caso, puede encargarse la preparación de los SPD a otra oficina de farmacia o a un tercero, ni tampoco pueden prepararse SPD para terceros. (…) - Documentación necesaria: Registro de datos de los pacientes que deben cumplir con la normativa vigente de protección de datos. Hojas de control de la medicación activa del paciente deben incluir la dosis, posología y duración del tratamiento. Justificantes de cambios de tratamiento del prescriptor del centro. Consentimiento por escrito del paciente (…)” A partir de estos criterios consensuados, cada Comunidad Autónoma puede establecer sus propias guías, instrucciones o documentos. Así, Cataluña cuenta con la Guia de seguiment farmacoterapèutic amb Sistemes Personalitzats de Dosificació (Guía de seguimiento farmacoterapéutico con sistemas personalizados de dosificación, en adelante, Guía SPD) de 2012, que exigía contar con una autorización administrativa específica concedida por el órgano competente ya sea para preparar SPD de manera manual o de manera automatizada. La autorización deberá renovarse cada 5 años y cuando se produzca un cambio de titularidad o de robot, entre otros supuestos (traducción no oficial): “(…) 5. Autorización administrativa: Los farmacéuticos titulares de una oficina de farmacia que quiera llevar a cabo el servicio de SPD requieren de una autorización administrativa al efecto. La resolución de las solicitudes corresponde al Director General de Regulación, Planificación y Recursos Sanitarios del Departamento de Salud (…)”. En el año 2014 fue actualizada la Guía SPD, pasando de un sistema basado en la autorización administrativa a un sistema de adhesión al Convenio suscrito entre la Administración y el Colegio de Farmacéuticos de Cataluña (traducción no oficial): “5. Adhesión Los farmacéuticos titulares de la oficina de farmacia que quieran llevar a cabo el servicio de seguimiento farmacoterapéutico con SPD han de formalizar su adhesión al convenio de colaboración entre el Departamento de Salud y el Consejo del Colegio de Farmacéuticos de Cataluña para la prestación del servicio de seguimiento farmacoterapéutico con sistemas personalizados de dosificación a las oficinas de farmacia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/70 La adhesión al convenio de colaboración comporta el cumplimiento de los siguientes requisitos: a. Asumir las responsabilidades inherentes a esta actividad y durante el tiempo dentro del conjunto de actividades de atención farmacéutica, siguiendo el protocolo de la Guía de seguimiento farmacoterapéutico con sistemas personalizados de dosificación del Departamento de Salud y el Consejo del Colegio de Farmacéuticos de Cataluña. b. En el caso de traslado de la oficina de farmacia, cambio de titularidad, o modificación estructural sustancial posterior de las condiciones existentes en el momento de la adhesión, debe formalizarse de nuevo. El formulario de adhesión (anexo I) debe presentarse en el Colegio de Farmacéuticos del ámbito territorial correspondiente a través de la página web del Colegio de Farmacéuticos. El Colegio Oficial de Farmacéuticos verificará los datos del formulario y formalizará la adhesión. Adherido al Convenio, el farmacéutico titular también deberá notificar a la Agencia Española de Protección de Datos (AEPD) el nuevo fichero creado por la prestación del servicio. El formulario de adhesión debe contener la siguiente información: a. Datos de la oficina de farmacia: Nombre y apellidos del/los farmacéutico/s titular/es de la oficina de farmacia. Datos de identificación de la oficina de farmacia (dirección y número de oficina de farmacia). Datos de contacto: teléfono, correo electrónico. b. Datos del personal de la oficina de farmacia que interviene en el programa: Nombre y apellidos de los distintos trabajadores. Para cada uno de ellos: Titulación académica Puesto de trabajo: farmacéutico titular, regente, adjunto, sustituto, técnico o auxiliar. Tipo de responsabilidad atribuida en el programa, de acuerdo con el punto 4.2.3. de la presente guía.” Además, se establece que, una vez que se tuviera la condición previa necesaria que habilita para poder preparar SPD, es necesario contar con el consentimiento previo informado del paciente (traducción no oficial): “4.4.3. Consentimiento informado del paciente Para poder llevar a cabo el servicio, es necesario disponer de la autorización firmada del paciente o el representante legal (Anexo 3). En el documento de consentimiento informado, con la firma del paciente y del farmacéutico, quedará constancia de que el paciente o el representante: • Conoce y ha entendido en qué consiste el servicio de seguimiento farmacoterapéutico con SPD y cuál es su finalidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/70 • Asume voluntariamente que se le preste el servicio, y que se mantendrá mientras dure el acuerdo. • Consiente el registro de sus datos personales, farmacológicos y sanitarios para ser usados exclusivamente en el servicio de seguimiento con SPD. • Deja en depósito en la farmacia la medicación previamente dispensada para la preparación de los DDP. • Avisará de cualquier cambio de medicación u otras circunstancias que puedan modificar las condiciones iniciales del tratamiento.” También se prevé la necesidad de informar al paciente (traducción no oficial): “(…) La información que el farmacéutico debe proporcionar al paciente tiene que incluir la siguiente: - Explicar de forma clara y sencilla qué es y en qué consiste el servicio de SPD (…) - Explicar que para el buen funcionamiento del servicio farmacéutico necesita disponer de sus datos personales y farmacéuticos actualizados, manteniendo confidencialidad total y garantía de protección de datos, para lo que deberá otorgar su consentimiento informado”. De la misma manera, se establece como responsable al farmacéutico titular de la farmacia (traducción no oficial): “(…) El farmacéutico titular de la oficina de farmacia es el responsable de las actividades que se llevan a cabo en la farmacia. Cualquier incidencia con el producto final es responsabilidad de la oficina de farmacia y, por tanto, del farmacéutico titular(…)”. En cualquier caso, no cabe realizar subcontrataciones a otra farmacia y requiere de formación continuada y la determinación precisa de las funciones de cada empleado. 2. Sobre la presunción de veracidad de las actas de la Inspección de farmacia El artículo 108 del Real Decreto Legislativo 1/2015, de 24 de julio, por el que se aprueba el texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios, señala que compete a las administraciones sanitarias en el ámbito de sus competencias la realización de las inspecciones necesarias para asegurar el cumplimiento de lo previsto en esta ley. Este artículo supone prácticamente una reproducción de lo previsto por el artículo 30 de la Ley 14/1986, de 25 de abril, General de Sanidad que determina que “todos los centros y establecimientos sanitarios, así como las actividades de promoción y publicidad, estarán sometidos a la inspección y control por las Administraciones Sanitarias competentes”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/70 Ambas normas prevén, en sus artículos 108.3 y 31 respectivamente, a tales efectos, una serie de potestades para el personal al servicio de las Administraciones Públicas en el ejercicio de la potestad inspectora entre las que se incluyen la posibilidad de entrar libremente y sin notificación en los centros sujetos a las mismas, como son las oficinas de farmacia; así como proceder a las pruebas, investigaciones o exámenes necesarios para comprobar el cumplimiento normativo; tomar muestras, en orden a la comprobación del cumplimiento de las mismas, así como realizar cuantas actuaciones sean precisas en orden al cumplimiento de las funciones de inspección que desarrollen. En el ámbito autonómico, la Ley 26/2010, de 3 de agosto, de régimen jurídico y de procedimiento de las administraciones públicas de Catalunya consagra en su artículo 89.2 la consideración de autoridad del personal de su Administración encargado de las funciones públicas de inspección y control. A este respecto conviene señalar que el artículo 77.5 de la LPACAP establece la presunción de veracidad de los documentos firmados por empleados públicos que tengan la consideración de autoridad, salvo prueba en contrario. En concreto, señala: “los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observándose los requisitos legales correspondientes recojan los hechos constatados por aquéllos, harán prueba de éstos salvo que se acredite lo contrario”. En el mismo sentido, la anteriormente citada Ley 26/2010, de 3 de agosto, de Catalunya en su artículo 90. 1 determina que los hechos constatados por el personal de la Administración encargado de las funciones públicas de inspección y control, y que se formalizan en un documento público observando los requisitos legalmente establecidos, tienen valor probatorio, sin perjuicio de las pruebas que puedan aportar las personas interesadas en defensa de sus derechos e intereses. En consecuencia, las actas han de estar firmadas ineludiblemente por el inspector, sin perjuicio de que la falta de firma por parte del inspeccionado no invalide el acta ni su valor probatorio. 3. Responsabilidad del tratamiento en el ámbito de protección de datos personales El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/70 El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Por su parte, las Directrices 07/2020 del Comité Europeo de Protección de Datos sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» (en adelante, Directrices 07/2020) destacan que los conceptos de responsable del tratamiento y encargado del tratamiento son conceptos funcionales, siendo necesario establecerlos en virtud de sus actividades concretas en el caso analizado y no en función de la designación formal que pueda figurar en el contrato: “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato).Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable.” (subrayado de la AEPD). En definitiva, la identificación del responsable debe realizarse atendiendo a criterios materiales de acuerdo con las condiciones y circunstancias reales de cada tratamiento, no puede entenderse como una mera constatación formal de lo que figure, por ejemplo, en un contrato suscrito entre partes. Así, habrá ocasiones en las que los partícipes en una cadena de tratamientos se hayan identificado respectivamente como responsable y encargado y, sin embargo, atendiendo a quién determina la finalidad del tratamiento y los medios esenciales del mismo la figura de responsable le corresponde a quien fue identificado formalmente como tal. A lo ya expuesto hasta el momento, cabe añadir que dichas Directrices del CEPD destacan: “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las determina. Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” (subrayado de la AEPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/70 Asimismo, las referidas Directrices del CEPD 07/2020 abogan por una interpretación amplia del concepto de responsable del tratamiento con el fin de promover una protección eficaz y completa de los interesados. En este sentido, prevén: “14. Puesto que el objetivo último de la atribución de la función de responsable del tratamiento es garantizar la responsabilidad proactiva y una protección eficaz e integral de los datos personales, el concepto de «responsable» debería interpretarse de un modo suficientemente amplio, de manera que promueva, en la medida de lo posible, una protección eficaz y completa de los interesados , con el fin de garantizar la plena eficacia del Derecho de la Unión en materia de protección de datos, evitar lagunas y prevenir las posibles elusiones de la normativa, sin que todo ello suponga una merma de las atribuciones del encargado del tratamiento.” (subrayado de la AEPD). Por otra parte, tal y como enuncia el artículo 4.7 del RGPD, es posible que en ocasiones sea una norma la que defina al responsable, ya sea de manera implícita o explícita. Así, puede ocurrir que una norma establezca obligaciones que suponen tratamientos de datos personales y se lo encomiende a un determinado ente, que tendrá la condición de responsable del tratamiento desde la perspectiva de protección de datos. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que, la dispensación de medicamentos y pañales, incluyendo la preparación de SPD, llevada a cabo por la oficina de ***FARMACIA.1, conlleva un conjunto de operaciones realizadas sobre datos personales como, entre otras, el acceso a los datos personales que constan en el Sistema Nacional de Salud (SNS), la consulta y cotejo de los mismos, así como su estructuración y organización. Asimismo, en el presente caso se observa que la ***FARMACIA.1 ha llevado a cabo otras operaciones de tratamiento como la recogida, conservación y transmisión de datos personales de pacientes o residentes de centros geriátricos, incluyendo la comunicación de estos datos personales a diferentes farmacias para la dispensación por parte de estas de productos sanitarios, fundamentalmente pañales, así como para la gestión de cobros y pagos de estos productos sanitarios. La parte denunciada se identifica como encargada de las residencias, que actuarían como responsables, para todo lo relativo a la cesión o comunicación de datos personales de residentes por parte de A.A.A. a terceras farmacias para que estas procedan a la dispensación de absorbentes de incontinencia urinaria y otros productos sanitarios. Así, de acuerdo con la parte denunciada, en el marco de un contrato de encargo con una residencia, existirían anexos a este, por los que A.A.A., en su condición de encargado de una residencia, actuaría como “cedente” de datos personales, en favor de terceras farmacias (“cesionarias”). A este respecto conviene señalar que, aun cuando consten contratos suscritos entre A.A.A. y las residencias en los que la parte denunciada se identifica como encargada del tratamiento y estas como responsables, no puede obviarse que la normativa sectorial citada anteriormente atribuye en exclusiva a las oficinas de farmacia la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/70 dispensación de medicamentos o productos sanitarios que requieran receta. En consecuencia, las oficinas de farmacia son las únicas que determinan los fines y los medios respecto al mencionado tratamiento. Por tanto, A.A.A. no puede definirse en los términos de encargado que recoge el artículo 4.8 del RGPD en sus relaciones con las residencias, que señala: “8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” (Subrayado de la AEPD). A mayor abundamiento, las Directrices 07/2020 indican dos condiciones fundamentales para poder tener la consideración de encargado del tratamiento: “76. Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones fundamentales:
- a)ser un ente independiente del responsable del tratamiento; y
- b)tratar datos personales por cuenta del responsable.” (Subrayado de la AEPD) Tal y como ha indicado el CEPD en sus Directrices 07/2020, actuar por cuenta de alguien significa servir a sus intereses: “80. En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación».” Si bien la primera de las condiciones concurriría en el supuesto analizado, en tanto que la oficina de farmacia en cuestión es un ente independiente de los centros geriátricos donde se encuentran los residentes, en ningún caso puede afirmarse que A.A.A. trata los datos de los residentes (que adquieren respecto a la oficina de farmacia la condición de cliente o paciente) por cuenta de las residencias, esto es, “en nombre” de estas o “por delegación de estas” para todo lo que concierne a la dispensación de medicamentos y productos sanitarios, sino que lo hacen en el ejercicio de las funciones u obligaciones que la normativa aplicable les atribuye en exclusiva. La farmacia es, por tanto, respecto a ese tratamiento, la única que determina los fines y medios, de la misma manera que lo hará la residencia respecto a los tratamientos de datos personales de sus residentes en el ámbito de sus funciones. Se trata, por tanto, de responsables sucesivos (y, por ende, de tratamientos sucesivos), cada uno en el ámbito de sus funciones o de las competencias que tengan legalmente atribuidas. Así, la residencia no define los fines de la dispensación farmacéutica o la preparación de SPD, ni tampoco los medios esenciales o no esenciales de estas En línea con lo anterior, conviene añadir, además, que aun cuando consten contratos suscritos entre A.A.A., las residencias y otras oficinas de farmacia, anexos a un contrato de encargo, en los que las residencias autorizan a A.A.A. a comunicar datos de los residentes a terceras farmacias para que estas dispensen pañales, no puede obviarse que la normativa sectorial citada anteriormente atribuye en exclusiva a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/70 oficinas de farmacia la dispensación de medicamentos o productos sanitarios que requieran receta, sin que quepa, además, la posibilidad de realizar subcontrataciones entre farmacias. Así se desprende del mencionado artículo 111
- c)23ª del Real Decreto Legislativo 1/2015, de 24 de julio, por el que se aprueba el texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios, que establece como infracción muy grave lo siguiente: “23.ª Realizar, por parte de las oficinas de farmacia, actividades de distribución de medicamentos a otras oficinas de farmacia, entidades de distribución autorizadas, u otras entidades, centros o personas físicas sin autorización para la actividad de distribución o bien la realización de envíos de medicamentos fuera del territorio nacional”. Atendiendo a lo anterior, A.A.A., realiza las actividades de dispensación de medicamentos, pañales y SPD, así como las relativas la compartición de los datos personales de los pacientes o usuarios, en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tales actividades, en virtud del artículo 4.7 del RGPD. 4. Los datos de salud como dato de categoría especial. El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
- b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/70
- d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
- e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
- f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
- g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
- h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
- i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
- j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/70 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." Hay que señalar que los datos de categoría especial son aquellos datos personales cuyo tratamiento requiere de una protección reforzada, debido a su incidencia especial en la intimidad, las libertades públicas y los derechos fundamentales de la persona. Así considerados, su tratamiento, en principio, está prohibido tanto por el RGPD, salvo que exista alguna de las circunstancias indicadas en el artículo 9.2 del RGPD. Por tanto, los datos de categoría especial son datos personales que, por su importancia para la privacidad del individuo, han de ser tratados con mayor cuidado y siguiendo unos requisitos especiales. El Considerando 71 señala : “sobre las decisiones automatizadas y la elaboración de perfiles, los responsables del tratamiento deben utilizar métodos que corrijan «los factores que introducen inexactitudes en los datos personales y reduzcan al máximo el riesgo de error, asegurar los datos personales de forma que se tengan en cuenta los posibles riesgos para los intereses y derechos del interesado e impedir, entre otras cosas, efectos discriminatorios en las personas físicas por motivos de raza u origen étnico, opiniones políticas, religión o creencias, afiliación sindical, condición genética o estado de salud u orientación sexual, o tratamiento que dé lugar a medidas que produzcan tal efecto”. (el subrayado es de la AEPD). El artículo 4.15 del RGPD define “datos relativos a la salud” como “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud”. El Considerando 35 del RGPD aclara dicha definición señalando que “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.” Conviene señalar que, el Tribunal de Justicia de la Unión Europea (TJUE) ha consignado un concepto amplio de los datos de salud. Así, de conformidad con la STJUE de 4 de octubre de 2024, en el asunto C 21/23 (el subrayado es de la AEPD): “76 Entre estas categorías especiales de datos personales, que se enumeran en el artículo 8, apartado 1, de la Directiva 95/46 y en el artículo 9, apartado 1, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/70 del RGPD, figuran los datos relativos a la salud. Estos incluyen, de conformidad con el artículo 4, punto 15, del Reglamento, en relación con su considerando 35, todos los datos personales que revelen información sobre el estado de salud física o mental pasado, presente o futuro de una persona física, incluidos los datos relativos a la prestación de servicios de atención sanitaria a esa persona. 81 A este respecto, el Tribunal de Justicia ya ha declarado que, a la vista del objetivo de la Directiva 95/46 y del RGPD, de asegurar un alto nivel de protección de las libertades y de los derechos fundamentales de las personas físicas, en particular, de su intimidad, en relación con el tratamiento de los datos personales que las afectan, el concepto de «datos relativos a la salud» previsto en el artículo 9, apartado 1, de dicho Reglamento y en el artículo 8, apartado 1, de la citada Directiva debe interpretarse de forma amplia (véanse, en este sentido, las sentencias de 6 de noviembre de 2003, Lindqvist, C 101/01, EU:C:2003:596, apartado 50, y de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C 184/20, EU:C:2022:601, apartado 125)”. Asimismo, la misma STJUE determina que cuando el tratamiento de datos personales pueda revelar indirectamente informaciones sensibles de una persona, dichos datos se encuadran en el régimen previsto en el artículo 9 del RGPD: “82 En particular, no cabe interpretar tales disposiciones en el sentido de que el tratamiento de datos personales que puedan desvelar indirectamente informaciones sensibles sobre una persona física queda fuera del régimen de protección reforzado establecido por las mencionadas disposiciones, pues de quedar fuera se menoscabaría el efecto útil de ese régimen y la protección de las libertades y de los derechos fundamentales de las personas físicas que pretende garantizar (sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C 184/20, EU:C:2022:601, apartado 127)“. En la misma línea, la mencionada sentencia determina que las categorías especiales de datos personales están sometidos a la prohibición del art. 9 del RGPD independientemente de que sea información exacta o no y de que el tratamiento tenga por finalidad obtener datos personales que pertenezcan a dicha categoría: “87 Esta prohibición de principio es independiente de que la información revelada por el tratamiento en cuestión sea o no exacta y de que dicho farmacéutico actúe con el fin de obtener información comprendida en alguna de las categorías especiales contempladas en el artículo 8, apartado 1, de la Directiva 95/46 y el artículo 9, apartado 1, del RGPD. En efecto, teniendo en cuenta los riesgos significativos para las libertades fundamentales y los derechos fundamentales de los interesados, generados por cualquier tratamiento de datos personales comprendidos en tales categorías, estas disposiciones tienen por objeto prohibir dichos tratamientos, con independencia de la finalidad que expresen y de la exactitud de la información en cuestión [véase, en este sentido, la sentencia de 4 de julio de 2023, Meta Platforms y otros. (Condiciones generales del servicio de una red social), C 252/21, EU:C:2023:537, apartados 69 y 70]”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/70 Por su parte, la STS de 8 de octubre, en el recurso de casación 1920/21, reafirma el concepto amplio de datos de salud, al indicar que: “(…) cabe subrayar, al respecto, que la lectura del artículo 4.15 y del considerando 35 del Reglamento general de protección de datos avalan, tal como sostiene la sentencia de la Audiencia Nacional impugnada, la inclusión de la noción de "datos relativos a Ia salud" de los datos referidos al estado de salud de los deportistas, pues, aunque la normativa de la Unión Europea no contiene ninguna previsión especifica acerca de los datos relacionados con la aplicación de las técnicas de control del dopaje, define en un sentido amplio el tratamiento de los datos de salud. El considerando 35 del citado Reglamento (ÜE) 2016/679 incluye específicamente, entre los datos relativos a la salud, todos los datos relativos al estado de salud de! interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro, incluyendo la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad”. No cabe duda, por tanto, de que los datos referentes a la dispensación de medicamentos o pañales por parte de una farmacia, el CIPA (Código de Identificación Personal Autonómico), el número de tarjeta sanitaria son datos de salud, así como también lo son todos aquellos que revelen de manera indirecta el estado de salud de una persona. En cualquier caso, las circunstancias que permiten el levantamiento de la prohibición del tratamiento de datos de salud establecida por el artículo 9.1 vienen determinadas en el artículo 9.2 del RGPD. Es decir, es necesario que concurra alguna de las premisas establecidas en el mencionado artículo para que se pueda llevar a cabo el tratamiento de datos de salud. Estas excepciones han de interpretarse de manera restrictiva, tal y como se desprende de los considerandos del 51 al 56 del RGPD. La dispensación de medicamentos y pañales supone el tratamiento de datos de salud y el levantamiento de la prohibición de tratamiento de estos datos se encontrará en el artículo 9.2 h); en la medida en que el tratamiento es necesario para la prestación de asistencia o tratamiento de tipo sanitario. Además, el artículo 9.3 exige, para la premisa concreta del artículo 9.2
- h)que el tratamiento se realice por un profesional sujeto a la obligación de derecho profesional o bajo su responsabilidad. El levantamiento de la prohibición contenida en la letra
- h)del artículo 9.2, así como las previsiones añadidas del artículo 9.3 para la utilización de esta premisa exige una norma del Derecho a la UE o del Estado miembro que lo regule, que, en el caso de España, requiere que la asistencia o tratamiento de tipo sanitario se encuentre recogido en una norma con rango de ley, en la medida en que el derecho a la protección de datos personales es un derecho fundamental. En este sentido, las diferentes operaciones de tratamiento de datos personales que conlleva la dispensación de medicamentos por las oficinas de farmacia encontraría su habilitación en la Ley 14/1986, de 25 de abril, General de Sanidad; la Ley 16/1997, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/70 25 de abril, de Regulación de Servicios de las Oficinas de Farmacia; el Real Decreto Legislativo 1/2015, de 24 de julio, por el que se aprueba el texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios; así como en la legislación autonómica aplicable como, en el caso de Cataluña, la Ley 31/1991, de 13 de diciembre, de Ordenación Farmacéutica de Cataluña. Así, por ejemplo, las oficinas de farmacia están obligadas, de acuerdo con el artículo 86.3 del Real Decreto Legislativo 1/2015, de 24 de julio, a la “dispensación de medicamentos que se les demanden tanto por los particulares como por el Sistema Nacional de Salud”. IV Obligación incumplida. Artículo 6 del RGPD. Licitud del tratamiento El artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
- c)y e), deberá ser establecida por:
- a)el Derecho de la Unión, o
- b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/70 La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
- a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
- b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
- c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
- d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
- e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." En este sentido, el considerando 32 del RGPD establece que: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/70 A su vez, el artículo 4 del RGPD, relativo a definiciones, establece en el apartado 11: “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;” Por otra parte, el artículo 24 del RGPD desarrolla el principio de responsabilidad proactiva del responsable del tratamiento, exigiendo que su actuación no solo sea conforme al RGPD sino que, además, sea capaz de demostrarlo: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario”. En definitiva, el tratamiento de datos personales requiere la existencia de una base legal que lo legitime. La elección de la base más adecuada del tratamiento, en caso de existir varias, corresponde al responsable, igual que compete a este acreditar que el tratamiento se realiza conforme a una base de legitimación. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. 1. Primera conducta infractora del artículo 6 del RGPD: preparación de SPD sin contar con el consentimiento expreso de los interesados. Tal y como se ha señalado en las Cuestiones Previas de este acuerdo de inicio, la realización de SPD requiere, una vez que se ha cumplido con las condiciones previas necesarias para que una oficina de farmacia pueda proceder a su preparación, contar con el consentimiento informado del paciente. Se trata, en definitiva, de una actividad separada a la dispensación de medicamentos. Así se exige tanto por los Criterios consensuados entre las diferentes Comunidades Autónomas y la Agencia Española del Medicamento y Productos Sanitarios, para la preparación de sistemas personalizados de dosificación por parte de las oficinas de farmacia como en la Guía de SPD de Cataluña. De esta manera, estos documentos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/70 normativos determinan la base de legitimación específica que exige la preparación de SPD de una medicación una vez que los medicamentos ya hubieran sido dispensados. Se exige un consentimiento en los mismos términos que prevé el RGPD: demostrable (firmado), inequívoco, informado y libre. El concepto de “informado” referente al consentimiento, se encuentra estrechamente ligado al principio de licitud, lealtad y transparencia contenido en el artículo 5. 1
- a)del RGPD, así como al deber de información del responsable para con los interesados previsto en los artículos 13 y 14 del RGPD. Así, facilitar información a los interesados antes de obtener su consentimiento es esencial para que estos puedan tomar decisiones informadas, comprender qué están permitiendo y a quién respecto al uso de sus datos personales. El CEPD en las Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679 señala que: “63. Si no se cumplen los requisitos relativos al consentimiento informado, el consentimiento no será válido y el responsable podrá estar incumpliendo el artículo 6 de RGPD. 64. Para que el consentimiento sea informado es necesario comunicar al interesado ciertos elementos que son cruciales para poder elegir. Por tanto, el CEPD opina que se requiere, al menos, la información siguiente para obtener el consentimiento válido: i. la identidad del responsable del tratamiento ii. el fin de cada una de las operaciones de tratamiento para las que se solicita el consentimiento iii. qué (tipo
- de)datos van a recogerse y utilizarse (…)”. La Guía de SPD de Cataluña exige contar con una “autorización firmada del paciente o del representante legal” en el que quede constancia de los siguientes aspectos que se recogen, a su vez, en el Anexo 3 de la mencionada Guía: “Consentimiento informado del usuario/residente y protección de datos del Servicio de seguimiento farmacéutico con sistemas personalizados de dosificación. (…) Declaro que: (
- i)Que he leído y entendido la información incluida en el formulario de información y consentimiento sobre el servicio de SPD (sistema personalizado de dispensación diaria. (
- ii)Que he recibido respuesta satisfactoria de todas las preguntas y, cuando no he entendido alguna palabra o expresión, el médico el farmacéutico o la persona responsable (…) me ha explicado el significado. (iii) Que para el buen funcionamiento del servicio, autorizo que puedan registrar mis datos fármaco terapéuticos, de los cuales no se hará ningún otro uso sin mi consentimiento explícito. (
- iv)Que entiendo y autorizo la cesión de mis datos personales de forma anonimizada a la empresa designada por el responsable del tratamiento con la única finalidad de tratarlos a efectos de la correcta preparación de la SPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/70 (
- v)Que soy consciente que en cualquier momento puedo salir libremente de la prestación de este servicio, sin que eso pueda repercutir en la atención médica y sanitaria”. Según el Acta de la Inspección de Farmacia de Cataluña ***ACTA.1 levantada con motivo la inspección realizada al establecimiento el 08/02/2024, A.A.A. preparaba medicación en SPD para unos 450 residentes correspondientes a 15 residencias. No obstante, en su respuesta a requerimiento de información de esta Agencia de 9 de diciembre de 2024, A.A.A. informa que ha preparado SPD para un total de 1072 residentes desde el 1 de marzo de 2022, si bien “en la actualidad presta este servicio a 676 residentes”. Asimismo, A.A.A. ha informado, en su respuesta de 9 de diciembre de 2024, que facilita a sus pacientes una “hoja de consentimiento informado del servicio de seguimiento farmacoterapéutico con SPD”. Y, se firma por los residentes a los que realiza SPD, si bien precisa que “lo que se aporta como evidencia es la plantilla en blanco, a fin de respetar los derechos y la protección de los titulares de los datos”. El consentimiento informado debe ser documentado de manera clara y precisa, por lo que la presentación de una plantilla de consentimiento informado en blanco resulta a toda vista absolutamente ineficaz pues carece de fuerza probatoria al no reflejar la voluntad libre, específica, informada, e inequívoca de los residentes afectados ni acreditar los hechos que A.A.A. pretende sustentar. Al respecto, es conveniente referirse al artículo 5.2 del RGPD (principio de responsabilidad proactiva), conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de licitud en relación con el artículo 6.1 del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa en materia de protección de datos, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la Directiva 95/46/CEE, derogada por el RGPD, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. En conclusión, en el presente caso, no consta acreditado el consentimiento informado de los residentes legalmente exigido para la preparación de medicación en SPD que la parte denunciada lleva preparando desde el 1 de marzo de 2022 hasta la actualidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/70 Atendiendo a lo anterior, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 6 del RGPD. 1. Segunda conducta infractora del artículo 6 del RGPD: tratamiento ilícito de datos personales de residentes para la dispensación de medicación y absorbentes de incontinencia urinaria. A.A.A. dispensa medicación y pañales a los residentes de centros geriátricos para lo cual trataba los datos personales de estos. Así se recoge en el acta de la Inspección de Farmacia de Cataluña ***ACTA.1 respecto a la inspección realizada al establecimiento el 08/02/2024: “(…)”. También lo reconoce la propia parte denunciada en su contestación de 9 de diciembre de 2024 al señalar que facilita la continuidad terapéutica y el acceso a medicamentos y/o productos sanitarios para residentes de centros geriátricos. Manifiesta que, desde el 1 de marzo de 2022 ha dispensado medicamentos y/o pañales para un total de 1.142, si bien “en la actualidad son 746 residentes”. En concreto, señala que ha dispensado pañales y medicamentos a 20 residencias, y que el inicio de actividad se remonta al año 2008. Asimismo, señala que, en la actualidad continúa prestando estos servicios para, las residencias (…). Sin perjuicio de que a estas últimas tres la dispen