PS-00215-2025

1/62  Expediente Nº: EXP202414354 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 12 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a A.A.A. (en adelante, A.A.A.), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202414354 (PS/00215/2025) ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían constituir una posible infracción imputable a A.A.A. con NIF ***NIF.1 (en adelante, A.A.A. , ***FARMACIA.1, la farmacia o parte denunciada) a raíz de una denuncia presentada por la Direcció General D’Ordenació i Regulació Sanitària de la Comunidad Autónoma de Cataluña tras la realización de inspecciones a oficinas de farmacia en el ejercicio de sus competencias. La denuncia tuvo entrada en la AEPD el 7 de septiembre de 2023, remitida por la Autoritat Catalana de Protecció de Dades en cumplimiento del artículo 14 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. En la misma, la Direcció General D’Ordenació i Regulació Sanitària alerta sobre posibles vulneraciones de la normativa de protección de datos respecto al tratamiento de datos personales de residentes en centros geriátricos por parte de determinadas oficinas de farmacia como, entre otros: presuntos accesos y cesiones ilícitos a datos personales de salud o el intercambio de datos personales a través de medios electrónicos no seguros. SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 19 de octubre de 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/62 de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: .-1-. Respecto a la información proporcionada por el Servicio de Inspección de Farmacia de Cataluña. Para el caso particular que nos ocupa, el Servicio de Inspección de Farmacia aporta la siguiente información en sus escritos de respuesta con fecha de registro 22 de enero de 2024 y con fecha de registro 14 de mayo de 2024: . .-1.1-. Inspección a ***FARMACIA.1. Extractos del acta ***ACTA.1. (…) -1.2-. Inspección a ***FARMACIA.2 ***ACTA.2 de 9 de mayo de 2023. Extractos del acta (…) .-1.3-. Inspección a ***FARMACIA.3 . Extractos del acta ***ACTA.3 (…) .-1.4-. Inspección a ***FARMACIA.4. Extractos del acta ***ACTA.4 (…) .-1.5-. Inspección a farmacia ***FARMACIA.5. Extractos del acta ***ACTA.5 (…) .-1.6-. Inspección a farmacia ***FARMACIA.6. Extractos del acta ***ACTA.6 (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/62 .-2-. Respecto a las evidencias aportadas en las actas de inspección de la Inspección de Farmacia de Cataluña. Para el caso particular de esta oficina de farmacia, el Servicio de Inspección de Farmacia aporta el Servicio de Inspección de Farmacia aporta las Actas de Inspección especificadas en el apartado previo, en las que se corroboran las manifestaciones anteriores. Se reproducen aquellos aspectos vinculados con la parte denunciada .-2.1.. ACTA ***ACTA.1 a farmacia A.A.A.. (…) En la que se especifican las manifestaciones mostradas a continuación (traducción no oficial): “(…)” Esta acta incluye las siguientes evidencias: • Correo electrónico de B.B.B. <***EMAIL.1> para ***EMPRESA.1 (parte denunciada) con fecha 27 de junio 2022, en el que le informaba que había “comprado” una nueva farmacia dónde trasladaba el “negocio” de las residencias (…) .-2.2.. ACTA ***ACTA.2 a ***FARMACIA.2. (…) En el acta se especifican las manifestaciones mostradas a continuación en lo referente a la parte denunciada (traducción no oficial): (…) .-2.3-. ACTA ***ACTA.3 a ***FARMACIA.3. (…) En la que se especifican las manifestaciones mostradas a continuación en lo referente a la parte denunciada (traducción no oficial): (…) .-2.4-. ACTA ***ACTA.4 a ***FARMACIA.4 (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/62 .-2.1.7-. ACTA ***ACTA.5 a ***FARMACIA.5 . (…) En la que se especifican las manifestaciones mostradas a continuación en lo referente a la parte denunciada (traducción no oficial): (…) .-2.1.8-. ACTA ***ACTA.6 a farmacia ***FARMACIA.6 (…) En el acta se corroboran las manifestaciones aportadas por el Servicio de Inspección de Farmacia como resumen, que son casi una traducción literal del acta. .-3-. Respecto a la información aportada en las respuestas a los requerimientos de información de la AEPD. Con fecha 6 de noviembre de 2024 se realiza un requerimiento de información a la parte denunciada solicitándole, entre otros puntos, el listado de las residencias a las que presta o ha prestado servicio, descripción de los tratamientos realizados y su base de legitimación, la copia del Registro de Actividades de Tratamiento (RAT), del Análisis de Riesgos y de la Evaluación del Impacto (en adelante, EIPD) e información sobre el intercambio de los datos personales con terceras entidades. La parte denunciada responde a este requerimiento de información con fecha de registro 20 de noviembre de 2024, solicitando la suspensión provisional de las actuaciones de investigación, alegando la existencia de una querella penal relacionada y la sustracción por parte del querellado de una parte importante de la documentación requerida. La solicitud de suspensión provisional es denegada con fecha 13 de diciembre de 2024. Tras la denegación de la solicitud de suspensión provisional de las actuaciones previas de investigación, la parte denunciada responde al requerimiento de información con fecha de registro 22 de enero de 2025, así como el 27 de marzo de 2025, proporcionando la siguiente documentación adjunta a su escrito de respuesta: .- Excel con datos de las Residencias. Aportado con fecha 27/03/2025. .- Consentimientos informados de pacientes no institucionalizados para tratamientos SPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/62 .- Registro de las Actividades de Tratamiento, relativo a las actividades de tratamiento de datos personales de los residentes .- Protocolo de información a paciente .- Evidencia alta SPD .- Análisis de Riesgos del tratamiento .- Análisis de Necesidad de EIPD .- Política de protección de datos .- Correo electrónico de B.B.B. .- Querella, en contra de B.B.B. .- Listado Excel de empresas externas .- Conversación WhatsApp con B.B.B. .- Acuerdo del traspaso de Robot .- (…) Señala como datos identificativos y de contacto de la oficina de farmacia: (…) La oficina de farmacia está representada por C.C.C., letrada colegiada en el (...) con número ***REFERENCIA.1, y DNI ***NIF.2, en favor de quien se aporta autorización de representación. La parte denunciada manifiesta haber adquirido la farmacia por compraventa en fecha 21/03/2017. De la información recabada durante la investigación se ha puesto de manifiesto que: .-3.1-. Antecedentes aportados por la parte denunciada en contestación al requerimiento de la AEPD. En su respuesta a la AEPD de 22 de enero de 2025 la parte denunciada pone de manifiesto lo siguiente: “1. La farmacia requerida por la Autoridad es de mi titularidad. 2. B.B.B. (en adelante B.B.B.), era trabajador contratado en el momento en que yo adquirí por compraventa la farmacia (21/03/2017), manteniéndose su contratación como la del resto de personal con posterioridad a esta adquisición. 3. B.B.B. fue presentado por el anterior titular como el trabajador encargado de llevar la gestión de la farmacia en el ámbito financiero, contable, gestión de proveedores, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/62 facturación, y, en especial, la gestión de residencias de mayores a las que se prestaba servicio desde la farmacia. 4. B.B.B. no tiene titulación de farmacéutico, pero sí tiene amplios conocimientos financieros y de contabilidad así como una gran capacidad comercial y poder de convencimiento. 5. B.B.B. era además propietario del local en el que se encuentra ubicada la farmacia, del cual se dispone en concepto arrendamiento. 6. Con la adquisición de la farmacia, decidí mantener los servicios que venían prestándose por el titular anterior a las mismas residencias. 7. B.B.B. continuó siendo el encargado de la gestión de toda la organización y facturación con dichas residencias, funciones que le fueron asignadas por mí, y las que desempeñaba como trabajador. Yo me encargaba de la gestión en el ámbito sanitario y farmacéutico, garantizando que los servicios farmacéuticos fuera correctamente prestados a los pacientes de estos centros. 8. Facilité instrucciones a B.B.B. para que procediera a recabar las firmas de los contratos con las residencias con las que continuaría trabajando la Farmacia, así como que realizara la gestión administrativa de recabar las firmas de los consentimientos de SPD. Era B.B.B. Idóneo para realizar esta función porque era quien mantenía contactos con las residencias, heredadas del anterior titular. B.B.B. tramitó oportunamente la firma de dichos contratos y consentimientos de SPD, quedando almacenados estos en formato papel en la rebotica debidamente custodiados junto al resto de documentación de la farmacia. 9. En el mes de febrero de 2020, (…). 10. Durante el (...), la farmacia continuó prestando servicios de manera óptima en cumplimiento de los requisitos exigidos por Sanidad (contando con farmacéutico sustituto..) y B.B.B. continuó al frente de la gestión económica de la farmacia, que incluía la gestión de las relaciones con las Residencia. 11. (…), B.B.B. le remitió un email que se aporta como DOC 9 Email B.B.B.. En este correo, como se lee, (…) me comunicó que bajo un testaferro compraría otra farmacia a la que trasladaba, por decisión unilateral, todas las residencias. Así también recuerda que el local donde radica mi farmacia es de su propiedad, como refuerzo a las amenazas por rescindir el contrato de arrendamiento que ya me había proferido en otras ocasiones. 12. Una vez recibido este email le llamé sorprendida, y tuvimos un encuentro muy tenso en el que le referí que lo que estaba haciendo no era lícito y que debíamos finalizar su relación laboral. En esta llamada B.B.B. me amenazó con echarme del local de su propiedad, y confirmó su voluntad de destruir mi farmacia, llevándose los clientes, las residencias, dejándome con deudas, e incluso profirió amenazas hacia mi integridad física. 13. Posteriormente a este email intenté llegar a un acuerdo con B.B.B. y D.D.D., este último administrador de ***EMPRESA.2, a quienes unen relaciones de amistad e intereses económicos y comerciales, siendo ambos administradores de varias sociedades como se acredita más adelante. Mi objetivo inicial era que no se llevaran el negocio de las residencias dejando a mi farmacia con una afectación tan profunda en su facturación. Finalmente, y bajo amenazas, acepté “migajas” ofrecidas por B.B.B. en el marco de esa negociación que en realidad condujo a la imposición de condiciones que posteriormente no fueron cumplidas. En ese momento quise evitar en la media posible la conflictividad por miedo a perderlo todo y miedo a las amenazas físicas y económicas de B.B.B.. El acuerdo consintió en una venta forzada no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/62 voluntaria de la unidad productiva tal y como se refleja en el acuerdo que se aporta como DOC 13 Acuerdo. 14. En fecha 31/10/2022, (…),B.B.B. y D.D.D., sin que yo me encontrara en la farmacia y que ya había anunciado mi incorporación (…), se personaron en la farmacia para trasladar algunos bienes objeto del acuerdo (como el robot y mobiliario), aprovechando para sustraer documentación en papel que obraba en la farmacia como contratos, consentimientos y facturas que pertenecían a la actividad de mi farmacia. 15. Pocos días después, constaté habían sustraído toda la documentación que acreditaba las relaciones con las Residencias (especialmente los contratos con residencias, contrato de prestación de servicios y encargo de tratamiento con ***EMPRESA.2...). De esta forma me dejaron desprovista de elementos para exigir a las Residencias cualquier tipo cumplimiento contractual, o la atención de deudas que persistían. Cometieron estos hechos para imposibilitarme de mantener cualquier contacto con dichas residencias, motivado por los planes que posteriormente materializaron dejándome a deber importantes cantidades de dinero. 16. Además de verme despojada de documentación de vital importancia para acreditar cumplimiento normativo, me fue cerrado de manera brusca y sorpresiva, sin previo aviso, el acceso a los datos del programa ***EMPRESA.2, donde constaba el histórico de servicios prestados a pacientes de residencias (dispensación de medicamentos, venta de productos y sistema personalizado de dosificación). Este cierre de mis credenciales que me impidió de forma definitiva el acceso fue ejecutado por las mismas personas, B.B.B. y D.D.D. de mutuo acuerdo, con los mismos fines. 17. B.B.B. ha mostrado siempre un objetivo claro que es hacerse con el control del negocio de las residencias, a través de un entramado que se describe en la querella actualmente interpuesta en su contra por mí. 18. A raíz de estos hechos me encuentro profundamente afectada (…). 19. Con el referido email y todas las actuaciones que siguieron al mismo, B.B.B. de común acuerdo con D.D.D. impuso ese “cambio de rumbo” de forma totalmente brusca y malintencionada, despojándome de las relaciones con las residencias, me sustrajo documentación legal y financiera, cargó con el robot y software de SPD de ***EMPRESA.2, dejándome sin evidencias ni datos de pacientes a los que presté servicios. Por último, el stock dispuesto para satisfacer las peticiones de pacientes de residencias se quedó en la Farmacia sin que haya sido comprado o abonado por la nueva farmacia adquirida por B.B.B. a través del testaferro. 20. Cuando ocurrieron los hechos sentí miedo de acudir a la policía o emprender acciones legales por razón de las amenazas a mi integridad física proferidas por B.B.B., y por el miedo de “cabrearle más” y que esto pudiera acelerar un mayor daño a mi actividad profesional, mi situación económica y fundamental a mi integridad. 21. (…) por parte de B.B.B., quien menospreciaba mis aportaciones, saltándose mis instrucciones, y haciéndome sentir incompetente, generando un ambiente hostil (…). En sus interacciones, B.B.B. utilizaba expresiones como: "(…)", subrayando su superioridad profesional en los ámbitos financiero y contable. 22. La pretensión de control de mi farmacia se materializo por completo a partir de (…), momento en el que B.B.B. se hizo con el control de la farmacia, limitó mi participación en la gestión de la farmacia y dejó mi criterio subordinado al suyo, haciéndose con el control total en áreas clave de gestión, y especialmente en la toma de decisiones estratégicas, como el control de los contactos de las residencias, una fuente importante de ingresos económicos, la coordinación del personal y las claves de la cuenta bancaria de la farmacia, que solo ostentaba él. Otros elementos que refuerzan la asimetría en la relación incluyen el hecho de que todas las deudas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/62 hipotecarias asociadas al negocio estaban a nombre mío, y el local donde se encuentra la farmacia es propiedad de B.B.B., a través de una sociedad que tiene con su pareja lo que añade un elemento más de vulnerabilidad (…). 23. (…) ha destruido la viabilidad de la farmacia llevándose las residencias a por decisión unilateral que hizo efectiva a base de amenazas, dejando un reguero de deudas e impagos a mi farmacia, y destruyendo de alguna manera mi vida personal y profesional. (…).” .-3.2-. Respecto las residencias a las que presta o ha prestado servicio. .-3.2.1-. Identificación de las residencias. La parte denunciada facilita como documento el listado Excel de residencias a las que ha prestado servicio junto con la fecha de comienzo y fin. Refiere habe dado tanto servicio de atención farmacéutica como dispensación de absorbentes de incontinencia urinaria a los residentes de dichos centros. (…) Este Excel es facilitado con fecha 27/03/2025 por (…) representante C.C.C.. .-3.2.2-. Respecto a los tratamientos realizados sobre los datos de carácter personal de los residentes. La parte denunciada indica en su escrito de respuesta al requerimiento el listado de tratamientos que realiza sobre los datos personales de los residentes de las residencias anteriores tanto en los que actúa como responsable del tratamiento como en los que actúa como encargado. Aporta el RAT como documento que describe dichos tratamientos. Descripción de los tratamientos en calidad de RESPONSABLE: Actividad de tratamiento “PACIENTES DE CENTROS SOCIOS SANITARIOS (MEDICAMENTOS)”: abarca el tratamiento de datos de pacientes de Centros Sociosanitario para la venta de medicamentos. Actividad de tratamiento denominada “PACIENTES SISTEMA PERSONALIZADO DE DOSIFICACIÓN (SPD)”: Abarca el tratamiento de datos de pacientes de Centros Sociosanitario a los que se realiza un seguimiento farmacológico consistente en el sistema personalizado de dosificación. Descripción de los tratamientos en calidad de ENCARGADO: Actividad de tratamiento “PACIENTES DE CENTROS SOCIOS SANITARIOS (OTROS PRODUCTOS)”: Abarca el tratamiento de datos de pacientes de Centros Sociosanitarios en calidad de encargado de tratamiento, para la venta de productos farmacéuticos, en especial de absorbentes de incontinencia urinaria. Con relación al ROL, la parte reclamada afirma tratar los datos tanto en calidad de responsable del tratamiento como en calidad de encargado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/62 “Esta distinción se realiza teniendo en cuenta la capacidad de decisión y responsabilidad en el tratamiento de los datos de los pacientes que viene determinada por el tipo de producto dispensado y/o el servicio prestado. Las Farmacias vienen obligadas por ley a prestar asistencia sanitaria y farmacéutica a pacientes asumiendo una responsabilidad directa sobre el proceso de dispensación de medicamentos y los servicios farmacológicos. Deben ejercer una vigilancia en los relativo a la dispensación de los medicamentos y al seguimiento farmacologico, así como comprobar la procedencia de la dispensación y la autenticidad de las recetas, detectar urgencias farmacéuticas y posibles interacciones en las prescripciones, pudiendo paralizar el tratamiento de acuerdo con sus criterios profesionales. Por este motivo la Farmacia, si bien recibe de la Residencia la información sobre los pacientes a quienes se destinan los medicamentos y los servicios farmacológicos, no puede seguir instrucciones de la Residencia en cuanto a la dispensación, vigilancia y tratamiento de los datos, sino que actúa como un profesional que decide sobre dicha dispensación, vigilancia y sobre la finalidad de tratamiento de los datos. Además, las actividades de las Farmacias vienen reguladas por normativa especial que obliga al registro y conservación de los datos personales de los pacientes bajo su responsabilidad por plazos específicos. En el caso especial de la venta de absorbentes de incontinencia, la Farmacia no cuenta con esta capacidad de decisión, sino que es contratada como entidad vendedora, debiendo seguir instrucciones de la residencia (quien actúa como responsable). La Farmacia tampoco ejerce una concreta vigilancia respecto a estos productos ya que no existe posibilidad de urgencias farmacéuticos o interacciones al tratarse de pañales. Para la venta de absorbentes la Farmacia recibe instrucciones de la residencia en cuanto a marca, cantidad, proveedores, no ostentando capacidad de decisión como en el caso de los SPD y los medicamentos. Las ventas las realiza la Farmacia haciendo uso de las tarjetas sanitarias que los centros le facilitan para acceder a la receta electrónica y efectuar dicha venta. En ese sentido la Farmacia solamente verifica que efectivamente existe la prescripción y que la receta está debidamente cumplimentada, y así efectúa la venta siguiendo el procedimiento establecido por la residencia. Por este motivo se ha diferenciado entre los tratamientos anteriores y el tratamiento de datos para fines de venta de absorbentes, en cuyo tratamiento la RESIDENCIA actúa como RESPONSABLE y la ***FARMACIA.1, como ENCARGADA”. .-3.2.3-. Respecto a los residentes a los que se prepara la medicación a través de SPD. La parte denunciada proporciona el número de residentes de cada residencia a los que se prepara la medicación a través de SPD e indica que la base de legitimación para el tratamiento de los datos personales para SPD es el artículo 6.1

1. a)RGPD: El interesado dio su consentimiento. Este número se puede visualizar en la tabla del apartado 3.1.1 anterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/62 El total de residentes a los que se preparaba la medicación a través de SPD es aproximadamente 1600. Con relación a los consentimientos informados que se recaban por parte del paciente para poder acceder al SPD, la parte denunciada aporta una muestra de consentimientos recogidos en los que se constata la autorización de varios pacientes para preparar la medicación en un SPD, con fechas de firma en 2017 y 2018. Es importante recalcar que estos consentimientos aportados son Consentimientos informados de pacientes no institucionalizados. .-3.2.4-. Respecto a los residentes a los que se les proporcionan absorbentes de incontinencia urinaria. La parte denunciada proporciona el número de residentes de cada residencia a los que proporcionaron absorbentes de incontinencia urinaria e indica que la base de legitimación para el tratamiento de los datos personales es la ejecución del encargo. Este número se puede visualizar en la tabla del apartado 3.1.1 anterior. El total de residentes a los que se proporcionaban absorbentes de incontinencia urinaria es aproximadamente 200. La parte denunciada no aporta los contratos de encargo, alegando: “(…).” El mencionado WhatsApp aportado, señala: “(…).” .-3.2.5-. Respecto a los contratos con las residencias. Requeridos los contratos suscritos con las residencias a las que se prestaba servicio, la parte denunciada manifiesta: “Se suscribieron con cada residencia los contratos de cesión de datos y los contratos de encargo del tratamiento al momento de la adquisición de la farmacia, encargándose de esta gestión B.B.B.. En cuanto a la cesión de datos, si bien la normativa no exige la firma de contratos de cesión, se decidió documentar la relación existente. Así mismo, en cuanto al encargo, fueron las residencias la que instaron a la firma de los contratos de encargado de tratamiento. Tal y como se ha explicado en los antecedentes, B.B.B. sustrajo, entre otros documentos, los contratos con las Residencias por lo que no es posible aportar lo solicitado. Como bien sabe esta Autoridad, se ha interpuesto una querella (se aporta como DOC 10 Querella, en contra de B.B.B., cuyo procedimiento judicial se encuentra ventilándose actualmente. Una de las pretensiones es recuperar la documentación sustraída ilícitamente por el querellado (…)”. .-3.2.6-. Respecto a los procedimientos seguidos para cumplir con el deber de información a los residentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/62 Con relación a los procedimientos seguidos para cumplir con el deber de información a los residentes, la parte denunciada facilita el documento “Protocolo de información a paciente”, que establece el procedimiento para informar a los interesados sobre el tratamiento de sus datos personales. La parte denunciada indica en su escrito de respuesta al requerimiento: “Siguiendo dicho protocolo, se facilitaba la información a los pacientes de SPD en el momento en el que se iniciaba el tratamiento de sus datos. Para ello se le entregó a las Residencias por parte de B.B.B. el modelo de consentimiento informado y era la Residencia quien facilitaba los modelos de SPD firmado por los pacientes o sus representantes legales siempre en formato papel a B.B.B..” Respecto a la información a pacientes de centros sociosanitarios, el mencionado protocolo especifica: “Cuando los datos se obtienen de CENTRO SOCIOSANITARIO • Obligatorio informar al paciente directamente o a través de su Rte. legal (que puede ser un familiar o el propio Centro) .- En un plazo máximo de 1 mes, aunque se recomienda facilitar la información lo antes posible. • Cómo debe proceder la Farmacia para la dispensación de medicamentos a pacientes del Centro: .- La Farmacia, antes de iniciar los tratamientos de datos, debe proceder con la firma de un contrato de cesión de datos con el Centro Sociosanitario en el que este último figure como cedente y la Farmacia como cesionaria. .- En este acuerdo se debe adjuntará como Anexo 1 la cláusula informativa que contiene la información de acuerdo con el art. 13 y 14 del RGPD*, que debe recibir el paciente o su representante legal. Mediante la firma del mencionado contrato de cesión, el Centro Sociosanitario se compromete a informar a sus pacientes o sus Rtes. legales, sobre el contenido de la cláusula. • Cómo debe proceder la Farmacia para sistema personalizado de dosificación a pacientes del Centro: .- Si se realizara sistema personalizado de dispensación (SPD), se debe adjuntar como Anexo 2 al contrato de cesión (que se firmará en todo caso) la cláusula de consentimiento informado que contiene la información de acuerdo con el art. 13 y 14 del RGPD*, así como recabar el consentimiento del paciente o de su Rte. legal para incluirle en el SPD. *En los casos en los que el Centro sociosanitario ostente poder suficiente de representación de sus pacientes institucionalizados, podrá ser este Centro quien firme los consentimientos y cláusulas en nombre de dicho paciente y se dará por informado con la entrega de la mencionada cláusula. *En los casos en los que se realice algún tratamiento por parte de la farmacia en calidad de encargado, es decir, tratamientos en los que la farmacia no decida sobre la finalidad de los datos, se procederá con la firma del contrato de encargo de tratamiento facilitado por el Centro previa revisión e asesoría externa.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/62 .-3.2.7-. Respecto a la adhesión de la farmacia al Convenio de colaboración entre el Departamento de Salud y el Consejo de Colegios de Farmacéuticos de Cataluña para la prestación de SPD. La ***FARMACIA.1 aporta como evidencia el Formulario de adhesión al convenio para participar en el Servicio de Seguimiento Farmacoterapéutico con Sistemas Personalizados de Dosificación firmado con fecha 12 de abril de 2017, en el que se especifican todos los trabajadores de la farmacia. .-3.3-. Respecto a la documentación requerida por la AEPD. La parte denunciada facilita los siguientes documentos junto a su escrito de respuesta al requerimiento de información realizado por la AEPD: .- Registro de las Actividades de Tratamiento, relativo a las actividades de tratamiento de datos personales de los residentes .- Análisis de Riesgos del tratamiento .- Análisis de Necesidad de EIPD .-3.3.1-. Respecto al RAT. La parte denunciada facilita como el Registro de las Actividades de Tratamiento, con fecha de creación 26/04/2017, fecha de actualización 16/04/2021 y sin firma. De este documento se extrae la siguiente información: Descripción de los tratamientos en calidad de RESPONSABLE: • Tratamiento “PACIENTES DE CENTROS SOCIOS SANITARIOS (MEDICAMENTOS)”: Tratamiento de datos de pacientes de Centros Sociosanitario para la venta de medicamentos. Alta 26/04/2017. .- Finalidades: Gestión y control sanitario, Gestión contable, fiscal y administrativo .- Legitimación: Prestación de asistencia sanitaria Art. 9.1 h del Reglamento General de Protección de datos; Cumplimiento de obligaciones legales previstas en LEY 14/ de 25 de abril, General de Sanidad; Real Decreto 1718/2010, de 17 de diciembre, sobre receta médica y órdenes de dispensación; Ley 31/1991, de 13 de diciembre, de Ordenación Farmacéutica de Cataluña. […] .- Datos identificativos DNI/NIF/NIE/Pasaporte, nombre y apellidos, residencia a la que pertenece, código de paciente, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/62 (...), tarjeta sanitaria, pauta posológica del tratamiento con el medicamento dispensado, cantidades y marca del medicamento dispensado. .- Categorías de datos especiales o penales Salud. El acceso a datos de medicamentos puede ser un indicador que permita llegar a un dato de salud Descripción de los tratamientos en calidad de RESPONSABLE: • Tratamiento “PACIENTES SISTEMA PERSONALIZADO DE DOSIFICACIÓN (SPD)”: Tratamiento de datos de pacientes para sistema personalizado de dosificación (SPD) y atención farmacéutica. Alta 26/04/2017. .- Finalidades: Gestión y control sanitario, Gestión contable, fiscal y administrativa .- Legitimación: Consentimiento Art. 6.1
2. a)RGPD. El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; Prestación de asistencia sanitaria Art. 9.1 h del Reglamento General de Protección de datos; Cumplimiento de obligaciones legales previstas en LEY 14/ de 25 de abril, General de Sanidad; Real Decreto 1718/2010, de 17 de diciembre, sobre receta médica y órdenes de dispensación; Ley 31/1991, de 13 de diciembre, de Ordenación Farmacéutica de Cataluña. […] .- Datos identificativos DNI/NIF/NIE/Pasaporte, nombre y apellidos, residencia a la que pertenece, código de paciente, (...), tarjeta sanitaria, pauta posológica del tratamiento con el medicamento dispensado, cantidades y marca del producto vendido. .- Categorías de datos especiales o penales Salud. Descripción de los tratamientos en calidad de ENCARGADO: • Tratamiento “PACIENTES DE CENTROS SOCIOS SANITARIOS (OTROS PRODUCTOS)”: Tratamiento de datos de pacientes de Centros Sociosanitarios para la venta de productos en especial de absorbentes de incontinencia. Alta 26/04/2017. .- Responsable CENTRO SOCIO SANITARIO (Excel con datos identificativos e información de cada centro) .- Encargado ***FARMACIA.1 .- Finalidades: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/62 Prestar los servicios encargados relativos a efectuar la venta de pañales de incontinencia urinaria a pacientes según pedidos e instrucciones del Centro. .- Legitimación: Encargo del tratamiento por parte del Centro Socio Sanitario. […] .- Datos identificativos DNI/NIF/NIE/Pasaporte, nombre y apellidos, residencia a la que pertenece, código de paciente, (...), tarjeta sanitaria, proveedor, cantidades y marca del producto vendido. .- Categorías de datos especiales o penales No se tratan datos sensibles más allá de conocerse la necesidad del paciente del producto en cuestión. .-3.3.2-. Respecto al Análisis de Riesgos. La parte denunciada aporta como el documento de Análisis de Riesgos relativo a las actividades que involucran el tratamiento de datos personales, con fecha 01/10/2021 y sin firma. En este documento se identifican amenazas y riesgos para los siguientes dos tratamientos: • Tratamiento 1: PACIENTES DE CENTROS SOCIOSANITARIOS (Medicamentos) Descripción: Tratamiento de datos de pacientes de Centros Sociosanitarios para la dispensación de medicamentos. • SPD Tratamiento 2: PACIENTES SISTEMA PERSONALIZADO DE DOSIFICACIÓN Descripción: Tratamiento de datos de pacientes para sistema personalizado de dosificación (SPD) y atención farmacéutica. El análisis concluye que todos los riesgos residuales una vez implementadas las medidas de seguridad son bajos o muy bajos, no obstante, llaman la atención los siguientes puntos: .- Se analizan los riesgos derivados del escenario de riesgo Confidencialidad. Se evalúa un riesgo inicial Alto y se incluye como una de las medidas mitigadoras: “Se recomienda aplicar medidas adicionales tales como la seudonimización en los programas informáticos y el cifrado de archivos con datos personales cuando estos vayan a enviarse por email.”, afirmándose un riesgo residual Bajo. .- Se analizan los riesgos derivados Cesiones/comunicaciones de datos. C/ Jorge Juan, 6 28001 – Madrid del escenario de riesgo www.aepd.es sedeaepd.gob.es 15/62 Se evalúa un riesgo inicial Medio y se incluye como una de las medidas mitigadoras: “Recibimos datos de Centros Sociosanitarios: Cuando el responsable sea destinatario de datos, deberá documentar la relación mantenida con el cedente a través de un acuerdo o contrato de cesión. Se estará a lo establecido en el Protocolo de información a los interesados, para atender la obligación de informar al interesado en el plazo de 1 mes desde la recepción de datos. Comunicamos datos a encargados de centros sociosanitarios: Cuando resulte necesario comunicar datos a encargados de tratamiento de centros sociosanitarios, deberá verificarse la existencia de dicho contrato antes de proceder con la comunicación de datos. Cuando resulte necesario comunicar información a terceras empresas proveedoras de productos de centros sociosanitarios, deberá evitarse comunicar datos personales facilitándose exclusivamente datos sobre productos, marca y cantidad sin identificar a pacientes. Los datos remitidos a terceros vía email deben ir en archivo adjunto con contraseña la que se informará por vía alternativa.”, afirmándose un riesgo residual Bajo. .-3.4-. Respecto a terceras entidades. Requerida la descripción de los tratamientos realizados por terceras entidades relacionadas con la farmacia, la parte denunciada manifiesta: “(…)Por su parte la empresa ***EMPRESA.2, (…) proveía un software de gestión de SPD que era utilizado por las Residencias para introducir los datos de los pacientes que requerían estos seguimientos. Cuando adquirí la farmacia todas las residencias ya trabajaban con ***EMPRESA.2, así que la Farmacia mantuvo el mismo sistema para efectuar los SPD. En este sentido ***EMPRESA.2 prestaba servicios con acceso a datos a las Residencias siendo un encargado de tratamiento de estas. Era la Residencia la que abría ficha e introducía los datos personales en el software de ***EMPRESA.2. Yo, por mi parte, no introducía nuevos datos personales en dicho sistema limitándome acceder y a indicar en cada caso si se había efectuado la dispensación y el SPD correctamente o si se había detectado alguna incidencia en cuyo caso contactaba con la enfermera encargada del paciente para comunicarlo, pero esta gestión era telefónica. Cuando B.B.B. adquirió mediante testaferro la nueva farmacia, el acceso al software de ***EMPRESA.2 me fue cerrado brusca y sorpresivamente. Esto sucedió así porque entre B.B.B. y D.D.D. se había orquestado una especie de complot para desposeerme de todos los acuerdos con las Residencias. Puede verse que (…) poseen negocios juntos, de hecho, han sido ambos administradores de la sociedad ***EMPRESA.3.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/62 .-3.5-. Respecto al intercambio de información de datos personales de los residentes. Consultada por el procedimiento de intercambio de información de datos personales entre la oficina de farmacia y las residencias, la parte denunciada contesta: “Para la gestión con las residencias se trabajaba con el programa ***EMPRESA.2. La Residencia creaba una ficha a los pacientes donde insertaba los datos del paciente, incluyendo datos identificativos, datos de su medicación o producto farmacéutico, y la pauta posológica en caso de requerirse SPD, código de su tarjeta sanitaria. La residencia disponía de un lector de código de barras que leía la tarjeta sanitaria, la que una vez leída, permitía automáticamente introducir el código. En otras ocasiones se introducía este código manualmente por las residencia en el programa. Una vez con estos datos yo desde la farmacia accedía a la ficha creada de cada paciente para proceder con las dispensaciones y ventas o bien con el servicio de SPD de acuerdo con los datos introducidos. En caso de incidencia contactaba con las enfermeras que atendían a los pacientes para comunicarlo. Una vez realizada la venta o servicio, yo lo dejaba registrada en el programa ***EMPRESA.2.” Consultada por el procedimiento de intercambio de información de datos personales entre la oficina de farmacia y otras terceras entidades, la parte denunciada manifiesta que no se comunicaban datos personales otras entidades. .-3.6-. Respecto al traslado de los Robots de preparación de SPD ( ***EMPRESA.4 de 180 canisters y ***EMPRESA.2 de 240 canisters) facilitado por la empresa ***EMPRESA.2. La parte denunciada manifiesta: “El acuerdo al que llegué (amenazada y coaccionada, no libremente) con B.B.B. y D.D.D., era que se realizaba una venta de unidad productiva, que incluía el negocio de las residencias de mayores (es decir, los contratos de prestación de servicios) y el robot adquirido por E.E.E. que permitía la gestión automática de los SPD al trabajar este robot conectado al software ***EMPRESA.2. Se aporta como DOC 13 Acuerdo. El traspaso de Robot y de los contratos como parte de esta unidad productiva no suponía traspaso de datos de pacientes, ni consentimientos ni de ningún dato personal. El Robot es una máquina que se conecta al software y recibe ordenes de actuación pero no almacena, por sí solo datos personales. En ningún caso se acordó que se produciría una cesión de datos personales de pacientes titularidad desde mi farmacia hacia la nueva farmacia adquirida por estas personas y su correspondiente testaferro. Los datos de SPD, y venta de medicamentos estaban registrados en ***EMPRESA.2 en un área a la que solamente tenía acceso yo o mi personal autorizado para ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/62 Una vez ejecutado el acuerdo y traspasado físicamente el robot, sorpresivamente y a traición, B.B.B. y D.D.D. de común acuerdo, cambiaron las claves de acceso impidiéndome acceder a ***EMPRESA.2, sin previo aviso y sin darme tiempo a realizar una copia externa de esta información. A día de hoy en la vía penal consta querella interpuesta, entre otros motivos, por un posible de lito de revelación de secretos”. Analizado el “Acuerdo del traspaso de Robot” se constata la siguiente información: Contrato privado elevado a público con fecha 17 de noviembre de 2022 entre A.A.A. (vendedor) y F.F.F. (comprador): Contrato de Compraventa de Unidad Productiva Residencial. Ambos son titulares de farmacias y el comprador está interesado en la compra de la Unidad Productiva Residencial (“negocio consistente en el suministro de servicios y medicamentos a centros sociosanitarios, según la necesidad de los pacientes de estos centros, contando con un sistema robótico especializado al efecto y con el equipo afectos a dicha actividad que así lo acepte.”) El contrato de compraventa de Unidad Productiva Residencial unido a esta elevación a público especifica (el subrayado es de la AEPD): “La Unidad Productiva Residencial objeto de compraventa está compuesta de los siguientes activos, bienes, derechos, obligaciones, contratos y elementos, entendidos como un conjunto de medios organizados que ha permitido al Vendedor llevar a cabo la actividad referida de proveer de servicios y medicamentos a centros sociosanitarios: (
3. i)Acuerdos de producción SPD (Sistemas personalizado de dosificación) con los centros sociosanitarios, para el suministro ordenado medicamentos a sus residentes, cuyo detalle de centros consta en el Anexo I. (
4. ii)La totalidad de los medicamentos y materiales relativos al negocio que representa la Unidad Productiva Residencial con los que cuenta el Vendedor en stock en sus instalaciones, se adjunta inventario como Anexo II. (iii) Sistema robótico compuesto de hardware y software con capacidad para organizar comprimidos médicos según necesidad del paciente, tal y como se indica en el Anexo III. El Comprador declara expresamente que conoce en detalle la totalidad de los elementos que componen la Unidad Productiva Residencial y que ha podido comprobar su estado de forma detenida, declarando estar conforme y que dicha Unidad Productiva Residencial se presenta útil para el uso que pretende darle. Adicionalmente a lo anterior, el personal afecto a la Unidad Productiva Residencial, será contratado por el Comprador, respetando las mismas condicientes salariales, antigüedad, convenio. […] CLÁUSULAS: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/62 SEGUNDA: (…) 170.000 euros, que es el resultante de aplicar el 10% a la factuarción estimada en un año teniendo en cuenta la venta neta recurrente del último mes de lo realmente traspasado. (…) CUARTA.- Obligaciones y garantías de las partes […] (
5. i)Suscripción de la documentación o realización de las actuaciones precisas para la efectiva transmisión del 100% de la unidad reproductiva por parte del Vendedor a la Compradora, quien asume y se subroga en la posición de aquel, con efectos a la fecha de firma, de los contratos y licencias en relación con la Unidad Productiva, según se indica en los Anexos I a III. (…) (
6. ii)Traslado efectivo de la Aplicación Robótica desde las instalaciones en las que se encuentra a las instalaciones del Comprador. El traslado queda condicionado a que por parte del Vendedor se produzca la efectiva transmisión de la totalidad de la Unidad Productiva y, se realizará por una empresa especializada seleccionada por el Comprador y a su cargo.” Anexo I: Residencias incluidas en el contrato: (…) ANEXO II Inventario Según datos registrados en los ficheros de contadores del software (...) de la medicación para producción mediante el sistema robótico descrito en el Anexo III. Anexo III: Sistema robótico • • • • (…): […] Impresora Caja fuerte Mobiliario destinado a producción SPD .-3.8-. Respecto al correo recibido en julio de 2022 enviado por B.B.B.. Solicitada copia del correo recibido en julio de 2022, enviado por B.B.B., en el que le informaba que había “comprado” una nueva farmacia dónde trasladaba el “negocio” de las residencias, este correo es aportado por la parte denunciada en el 22 de enero de 2025: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/62 Se constata que es un correo enviado por B.B.B. a la titular de la farmacia denunciada en fecha 27 de junio de 2022. El subrayado es de la AEPD. “(…) Como a las reuniones debemos llegar sabiendo la agenda, os paso de forma resumida el cambio de rumbo que vamos a tomar como farmacia. así mañana por la mañana podemos tener una reunión, aunque sea telefónica. El tema de la problemática con el local de Previsión Sanitaria no ha mejorado y las soluciones pasaban desde la venta de la sección de residencias a otra farmacia, el traslado de la farmacia a otro local o la compra de una farmacia donde desarrollar la gestión de las residencias. Al final y después de ir buscando la solución que ha aparecido ha sido la compra de una farmacia. Aquí es donde entra el cambio de rumbo, pues la idea es hacerlo de la siguiente forma: - En esta farmacia el titular será F.F.F. - En el tercer trimestre de este año trasladaremos la sección al pleno de residencias a la nueva farmacia - Todo el equipo tanto humano de residencias así como los aparatos se trasladaran a la nueva farmacia. - Todo el stock de medicamentos sobrante en ***FARMACIA.7 será comprado por la nueva farmacia - Tu recibirás por la venta del 50% del valor de la sección de residencias, según calculo de compra venta de empresas, unos 300.000€ pagaderos en tres años con el mantenimiento de la residencio las vendidas - La farmacia de ***FARMACIA.7 continuara con el mismo equipo y las mismas directrices - Yo continuaré llevando la gestión de ***FARMACIA.7 y también de la nueva - Tu te podrás incorporar a la gestión de la ***FARMACIA.7 en el tiempo y manera que creas conveniente. - Replantear la ***FARMACIA.7 a su sede del local de 60mc a primeros de año seria una buena opción Apúntate las dudas que te genere y mañana lo hablamos en persona o por teléfono. No obstante como no estamos hablando de nada inmediato, nos podemos ir tranquilamente de vacaciones y perfilar detalles a la vuelta. B.B.B.” .-3.9-. Respecto a cuestiones adicionales “Con posterioridad al acuerdo y la retirada del robot y mobiliario por parte de B.B.B. acompañado de D.D.D., diversos clientes de mi farmacia me informaron de que G.G.G. (farmacéutica sustituta en mi farmacia que se había ido voluntariamente a la nueva farmacia en la que se emplaza la sección de residencias de B.B.B.), había realizado llamadas telefónicas a los teléfonos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/62 personales de estos clientes para indicarles que dejen de asistir a mi farmacia y pasen a hacerlo por la nueva farmacia situada (…). Tras recibir quejas de unos 6 clientes habituales remití mensajes vía aplicación de WhatsApp a B.B.B. reclamando este hecho y haciéndole constar que esta acción es ilícita. A lo que él me respondió que hablará con la persona en cuestión. Esto aún hoy en día sigue pasando. Tras este desagradable acontecimiento me pongo en contacto con la empresa ***EMPRESA.5, encargada del programa de gestión de la farmacia y proveedora de los sistemas informáticos, para reclamar cómo es posible que la nueva farmacia tenga los datos de mis clientes. Me indican que si tienen los datos es porque B.B.B. (con nociones de informática) hizo hecho una copia de la misma sin autorización mía y la cedió a la farmacia adquirida por el bajo el farmacéutico testaferro. Así mismo, además de haber realizado una copia del software de gestión de mi farmacia, tanto B.B.B. como D.D.D., de común acuerdo, al cerrarme el acceso a ***EMPRESA.2 es evidente que copiaron los datos de mi área privada en ***EMPRESA.2 para cederlos sin mi autorización a la nueva farmacia adquirida por B.B.B. bajo su testaferro, con el fin de facilitar el trabajo de esta nueva farmacia con los residentes y la facturación del negocio. Lo anterior pone en evidencia un acceso a datos no autorizado, una cesión de datos responsabilidad de mi farmacia inconsentida, burlándose así la privacidad de los pacientes, junto a la sustracción de contratos, consentimientos, facturas me dejan en una situación de indefensión con la consiguiente imposibilidad de hacer frente a varios aspectos del requerimiento que desde esta Autoridad se realiza. Ante la pregunta de ¿por qué no denuncié estos hechos ante las diferentes instancias? la respuesta es clara: (…). En este momento, en el que poco me queda, he reunido las fuerzas para interponer la querella La parte denunciada aporta (…). CUARTO La oficina de farmacia ***CÓDIGO.2, situada en (…) es titularidad de A.A.A. con NIF ***NIF.1 desde el 21 de marzo de 2017. Hasta esa fecha fue titularidad de H.H.H.. QUINTO: La parte denunciada aportó junto a sus escritos de respuesta al requerimiento, autorización para la representación y realización de los trámites necesarios ante la Agencia Española de Protección de Datos, en el marco del presente expediente, a C.C.C., letrada colegiada en el (...) con número ***REFERENCIA.1, y DNI ***NIF.2. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/62 I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
7. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas 1. Normativa sectorial aplicable 1.1 Oficinas de farmacia Las oficinas de farmacia son, de acuerdo con el artículo 86.6 del Real Decreto Legislativo 1/2015, de 24 de julio, por el que se aprueba el texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios, establecimientos sanitarios privados, de interés público. Su regulación se encuentra, entre otras normas de aplicación, en la Ley 14/1986, de 25 de abril, General de Sanidad; la Ley 16/1997, de 25 de abril, de Regulación de Servicios de las Oficinas de Farmacia; el Real Decreto Legislativo 1/2015, de 24 de julio, por el que se aprueba el texto refundido de la Ley de garantías y uso racional de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/62 los medicamentos y productos sanitarios; así como en la legislación autonómica aplicable como, en el caso de Cataluña, la Ley 31/1991, de 13 de diciembre, de Ordenación Farmacéutica de Cataluña. Tanto la Ley 14/1986, de 25 de abril como la Ley 16/1997, de 25 de abril, señalan: “el farmacéutico titular-propietario de las mismas, asistido, en su caso, de ayudantes o auxiliares, deberá prestar los siguientes servicios básicos a la población: 1. La adquisición, custodia, conservación y dispensación de los medicamentos y productos sanitarios. 2. La vigilancia, control y custodia de las recetas médicas dispensadas (…)”. Por su parte, el artículo 3 del Real Decreto Legislativo 1/2015, de 24 de julio, es más tajante al afirmar que la custodia, conservación y dispensación de medicamentos de uso humano corresponde exclusivamente a: “
8. a)A las oficinas de farmacia abiertas al público, legalmente autorizadas.
9. b)A los servicios de farmacia de los hospitales, de los centros de salud y de las estructuras de atención primaria del Sistema Nacional de Salud para su aplicación dentro de dichas instituciones o para los medicamentos que exijan una particular vigilancia, supervisión y control del equipo multidisciplinar de atención a la salud, de conformidad con la calificación otorgada por la Agencia Española de Medicamentos y Productos Sanitarios para tales medicamentos (…)”. Las oficinas de farmacia están obligadas, de acuerdo con el artículo 86.3 del Real Decreto Legislativo 1/2015, de 24 de julio, a la “dispensación de medicamentos que se les demanden tanto por los particulares como por el Sistema Nacional de Salud en las condiciones reglamentarias establecidas”. No obstante, debe respetarse el principio de libre elección de farmacia. Así esta norma consagra como infracción grave en su artículo 111 b): “26.ª Coartar la libertad del usuario en la elección de la oficina de farmacia mediante cualquier acto u omisión”. También se tipifica como infracción grave en el mismo artículo: “22.ª Defraudar, las oficinas de farmacia, al Sistema Nacional de Salud o al beneficiario del mismo con motivo de la facturación y cobro de recetas oficiales”. Se subraya, asimismo, que, de acuerdo con el mencionado Real Decreto Legislativo, 1/2015, de 24 de julio, constituye una infracción muy grave según el artículo 111 c): “23.ª Realizar, por parte de las oficinas de farmacia, actividades de distribución de medicamentos a otras oficinas de farmacia, entidades de distribución autorizadas, u otras entidades, centros o personas físicas sin autorización para la actividad de distribución o bien la realización de envíos de medicamentos fuera del territorio nacional” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/62 Por su parte, la Ley 16/1997, de 25 de abril, consagra la figura del farmacéutico como elemento esencial e imprescindible para el funcionamiento de una oficina de farmacia al determinar en su artículo 5: “1. La presencia y actuación profesional de un farmacéutico es condición y requisito inexcusable para la dispensación al público de medicamentos. La colaboración de ayudantes o auxiliares no excusa la actuación de farmacéutico en la oficina de farmacia, mientras permanezca abierta al público, ni excluye su responsabilidad profesional. 2. Las Comunidades Autónomas podrán regular el número mínimo de farmacéuticos adjuntos, que, además del titular, deban prestar servicios en las oficinas de farmacia al objeto de garantizar la adecuada asistencia profesional a los usuarios. Esta regulación deberá tener en cuenta, entre otros factores, el volumen y tipo de actividad de las oficinas de farmacia y el régimen de horario de los servicios. 3. Sin perjuicio de la actuación del adjunto, el farmacéutico titular será responsable de garantizar el servicio a los usuarios”. Asimismo, el artículo 103 de la Ley 14/1986, de 25 de abril, General de Sanidad señala: “1. La custodia, conservación y dispensación de medicamentos corresponderá:
10. a)A las oficinas de farmacia legalmente autorizadas.
11. b)A los servicios de farmacia de los hospitales, de los Centros de Salud y de las estructuras de Atención Primaria del Sistema Nacional de Salud para su aplicación dentro de dichas instituciones o para los que exijan una particular vigilancia, supervisión y control del equipo multidisciplinario de atención a la salud. 2. Las oficinas de farmacia abiertas al público se consideran establecimientos sanitarios a los efectos previstos en el título IV de esta Ley. 3. Las oficinas de farmacia estarán sujetas a la planificación sanitaria en los términos que establezca la legislación especial de medicamentos y farmacias. 4. Sólo los farmacéuticos podrán ser propietarios y titulares de las oficinas de farmacia abiertas al público”. En consecuencia, el titular de la farmacia es quien responde de las actuaciones realizadas por la oficina de farmacia y a quien cabe exigir responsabilidades. 1.2 Dispensación de medicamentos Además de la normativa anteriormente mencionada, resulta de interés en materia de dispensación farmacéutica el Real Decreto 1718/2010, de 17 de diciembre, sobre receta médica y órdenes de dispensación cuyo capítulo IV está dedicado a “la receta médica electrónica oficial del SNS”, contemplando los criterios generales de su desarrollo, así como la coordinación en el SNS. En su artículo 9, se señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/62 “1. La dispensación será realizada por las oficinas de farmacia conectadas al sistema de receta médica electrónica, mediante el procedimiento normalizado establecido por las autoridades sanitarias competentes, que determinarán sus condiciones específicas, siendo necesario el certificado electrónico del titular de la oficina de farmacia, o, en su caso, del farmacéutico regente, adjunto o sustituto, expedido por la entidad competente. 2. Tras la identificación inequívoca del paciente, y en su caso de la persona en quien delegue, el farmacéutico sólo podrá acceder desde los equipos instalados en la oficina de farmacia, con los requisitos y condiciones que se establecen en el apartado siguiente, a los datos necesarios para una correcta dispensación informada y seguimiento del tratamiento y dispensará exclusivamente, de entre las prescripciones pendientes de dispensar, las que el paciente solicite. 3. Sólo se permitirá el acceso de los farmacéuticos al sistema electrónico mediante la tarjeta sanitaria del paciente debidamente reconocida por el sistema de receta electrónica, debiendo ser devuelta de forma inmediata a su titular y sin que pueda ser retenida en la oficina de farmacia. El acceso del farmacéutico siempre quedará registrado en el mencionado sistema. 4. En el momento de la dispensación, los sistemas de receta electrónica deberán incorporar y remitir a las Administraciones sanitarias correspondientes, los datos de identificación del producto dispensado, codificados conforme al Nomenclátor oficial de productos farmacéuticos del Sistema Nacional de Salud, número de envases dispensados y su identificación unitaria cuando sea posible, identificación de la oficina de farmacia dispensadora, utilizando para ello el NIF/CIF de su titular, así como el número de identificación de la oficina de farmacia otorgado por la Administración sanitaria competente, y la fecha de dispensación, en el formato que el nodo nacional de intercambio tenga establecido al efecto. Esta información será la única que quedará a efectos de facturación en la organización farmacéutica colegial, en tanto intervenga como responsable de la misma, y estará a disposición de las Administraciones sanitarias competentes de conformidad con su normativa de aplicación”. Asimismo, en su artículo 11 determina: “El sistema de receta médica electrónica garantizará la seguridad en el acceso y transmisión de la información, así como la protección de la confidencialidad de los datos, de conformidad con lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. Se implantarán las medidas de seguridad de nivel alto, previstas en la referida normativa de protección de datos de carácter personal. Para garantizar dichos niveles de seguridad, esta información sólo será accesible desde la oficina de farmacia a efectos de dispensación, residirá de forma permanente en los sistemas de receta electrónica gestionados por las Administraciones sanitarias y no podrá ser almacenada en los repositorios o servidores ajenos a éstas, establecidos para efectuar la facturación, una vez esta se haya producido.” A nivel autonómico, en Cataluña destaca el Real Decreto 159/2007, de 24 de julio, Recepta electrònica i la tramitació telemàtica de la prestació farmacèutica a càrrec del Servei Català de la Salut. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/62 Por último, señalar la Orden SLT/72/2008, de 12 de febrero, por la que se desarrolla el Decreto 159/2007, de 24 de julio, por el que se regula la receta electrónica y la tramitación telemática de la prestación farmacéutica a cargo del Servicio Catalán de la Salud. En su artículo 7 determina: “Con el fin de acceder a la dispensación de recetas electrónicas, se tiene que identificar la persona paciente como titular del derecho a la prestación farmacéutica a la oficina de farmacia mediante la presentación de la tarjeta sanitaria individual, y se tiene que entregar al farmacéutico o farmacéutica la hoja de medicación activa donde se recoja el tratamiento para el que se solicita la dispensación del producto incluido en la prestación farmacéutica.” 1.3 Sistema personalizado de dosificación (SPD). El artículo 86.1 del Real Decreto Legislativo 1/2015, de 24 de julio, señala que, en las oficinas de farmacia, los farmacéuticos, son responsables de la dispensación de medicamentos a los ciudadanos y participarán en el uso racional de los mismos y abre la puerta a la posibilidad de implementación de este tipo de sistemas: “1. En las oficinas de farmacia, los farmacéuticos, como responsables de la dispensación de medicamentos a los ciudadanos, velarán por el cumplimiento de las pautas establecidas por el médico responsable del paciente en la prescripción y cooperarán con él en el seguimiento del tratamiento a través de los procedimientos de atención farmacéutica, contribuyendo a asegurar su eficacia y seguridad. Asimismo, participarán en la realización del conjunto de actividades destinadas a la utilización racional de los medicamentos, en particular a través de la dispensación informada al paciente. Una vez dispensado el medicamento podrán facilitar sistemas personalizados de dosificación a los pacientes que lo soliciten, en orden a mejorar el cumplimiento terapéutico, en los tratamientos y con las condiciones y requisitos que establezcan las administraciones sanitarias competentes”. La regulación del SPD parte de los Criterios consensuados entre las diferentes Comunidades Autónomas y la Agencia Española del Medicamento y Productos Sanitarios, para la preparación de sistemas personalizados de dosificación por parte de las oficinas de farmacia que define el SPD como (el subrayado es de la AEPD): “el conjunto de actuaciones profesionales farmacéuticas post dispensación desarrolladas por la oficina de farmacia, previa autorización por parte del paciente o de su representante legal, que confluyen en el proceso de reacondicionamiento de todos o de parte de los medicamentos que toma un paciente polimedicado en dispositivos de dosificación personalizada (DDP), tipo multidosis (blíster con alvéolos), multicompartimental (pastilleros semanales o bandejas de medicación compartimentadas) u otros similares con igual finalidad, para un periodo determinado, con el objetivo de facilitar la correcta utilización de los mismos mediante una buena información al paciente y una adecuada preparación y supervisión del tratamiento. Los medicamentos pueden extraerse de su envase primario original antes de prepararse en DDP o ser preparados en DDP manteniendo el envase primario”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/62 Tal y como se establece en los criterios, los requisitos en estos establecidos serán de aplicación tanto en lo casos en los que la SPD se realice a pacientes que los recojan en la propia oficina de farmacia, como en aquellos supuestos en los que los pacientes se encuentren en centros residenciales: “Los requisitos establecidos en este documento serán de aplicación tanto en los casos de SPD preparados a solicitud de pacientes para su entrega en la oficina de farmacia como en aquellos otros casos que vayan destinados a pacientes institucionalizados. Las oficinas de farmacia pueden preparar medicación en SPD para aquellos pacientes de la misma que lo soliciten, una vez les hayan dispensado la medicación prescrita por un facultativo. En cualquier caso, la receta médica (o documento de indicación facultativa en caso de medicamentos no sujetos a prescripción médica) debe estar disponible en la farmacia en su formato original, u otro soporte válido autorizado (receta electrónica), antes de dispensar los medicamentos”. Asimismo, se establecen, con carácter general los siguientes requisitos para que una oficina de farmacia pueda prestar este tipo de servicios: “- Declaración responsable del titular de la oficina de farmacia (…) - Preparación: La preparación de los medicamentos en SPD debe realizarse por la misma oficina de farmacia en la cual han sido dispensados y que es la que lleva a cabo la entrega de los dispositivos y el seguimiento del cumplimiento terapéutico de los pacientes. En ningún caso, puede encargarse la preparación de los SPD a otra oficina de farmacia o a un tercero, ni tampoco pueden prepararse SPD para terceros. (…) - Documentación necesaria: .Registro de datos de los pacientes que deben cumplir con la normativa vigente de protección de datos. .Hojas de control de la medicación activa del paciente deben incluir la dosis, posología y duración del tratamiento. .Justificantes de cambios de tratamiento del prescriptor del centro. .Consentimiento por escrito del paciente (…)” A partir de estos criterios consensuados, cada Comunidad Autónoma puede establecer sus propias guías, instrucciones o documentos. Así, Cataluña cuenta con la Guia de seguiment farmacoterapèutic amb Sistemes Personalitzats de Dosificació (Guía de seguimiento farmacoterapéutico con sistemas personalizados de dosificación, en adelante, Guía SPD) de 2012, que exigía contar con una autorización administrativa específica concedida por el órgano competente ya sea para preparar SPD de manera manual o de manera automatizada. La autorización deberá renovarse cada 5 años y cuando se produzca un cambio de titularidad o de robot, entre otros supuestos (traducción no oficial): “(…) 5. Autorización administrativa: Los farmacéuticos titulares de una oficina de farmacia que quiera llevar a cabo el servicio de SPD requieren de una autorización administrativa al efecto. La resolución de las solicitudes corresponde al Director General de Regulación, Planificación y Recursos Sanitarios del Departamento de Salud (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/62 En el año 2014 fue actualizada la Guía SPD, pasando de un sistema basado en la autorización administrativa a un sistema de adhesión al Convenio suscrito entre la Administración y el Colegio de Farmacéuticos de Cataluña (traducción no oficial): “5. Adhesión Los farmacéuticos titulares de la oficina de farmacia que quieran llevar a cabo el servicio de seguimiento farmacoterapéutico con SPD han de formalizar su adhesión al convenio de colaboración entre el Departamento de Salud y el Consejo del Colegio de Farmacéuticos de Cataluña para la prestación del servicio de seguimiento farmacoterapéutico con sistemas personalizados de dosificación a las oficinas de farmacia. La adhesión al convenio de colaboración comporta el cumplimiento de los siguientes requisitos: a. Asumir las responsabilidades inherentes a esta actividad y durante el tiempo dentro del conjunto de actividades de atención farmacéutica, siguiendo el protocolo de la Guía de seguimiento farmacoterapéutico con sistemas personalizados de dosificación del Departamento de Salud y el Consejo del Colegio de Farmacéuticos de Cataluña. b. En el caso de traslado de la oficina de farmacia, cambio de titularidad, o modificación estructural sustancial posterior de las condiciones existentes en el momento de la adhesión, debe formalizarse de nuevo. El formulario de adhesión (anexo I) debe presentarse en el Colegio de Farmacéuticos del ámbito territorial correspondiente a través de la página web del Colegio de Farmacéuticos. El Colegio Oficial de Farmacéuticos verificará los datos del formulario y formalizará la adhesión. Adherido al Convenio, el farmacéutico titular también deberá notificar a la Agencia Española de Protección de Datos (AEPD) el nuevo fichero creado por la prestación del servicio. El formulario de adhesión debe contener la siguiente información: a. Datos de la oficina de farmacia: Nombre y apellidos del/los farmacéutico/s titular/es de la oficina de farmacia. Datos de identificación de la oficina de farmacia (dirección y número de oficina de farmacia). Datos de contacto: teléfono, correo electrónico. b. Datos del personal de la oficina de farmacia que interviene en el programa: Nombre y apellidos de los distintos trabajadores. Para cada uno de ellos: Titulación académica Puesto de trabajo: farmacéutico titular, regente, adjunto, sustituto, técnico o auxiliar. Tipo de responsabilidad atribuida en el programa, de acuerdo con el punto 4.2.3. de la presente guía.” Además, se establece que, una vez que se tuviera la condición previa necesaria que habilita para poder preparar SPD, es necesario contar con el consentimiento previo informado del paciente (traducción no oficial): “4.4.3. Consentimiento informado del paciente Para poder llevar a cabo el servicio, es necesario disponer de la autorización firmada del paciente o el representante legal (Anexo 3). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/62 En el documento de consentimiento informado, con la firma del paciente y del farmacéutico, quedará constancia de que el paciente o el representante: • Conoce y ha entendido en qué consiste el servicio de seguimiento farmacoterapéutico con SPD y cuál es su finalidad. • Asume voluntariamente que se le preste el servicio, y que se mantendrá mientras dure el acuerdo. • Consiente el registro de sus datos personales, farmacológicos y sanitarios para ser usados exclusivamente en el servicio de seguimiento con SPD. • Deja en depósito en la farmacia la medicación previamente dispensada para la preparación de los DDP. • Avisará de cualquier cambio de medicación u otras circunstancias que puedan modificar las condiciones iniciales del tratamiento.” También se prevé la necesidad de informar al paciente (traducción no oficial): “(…) La información que el farmacéutico debe proporcionar al paciente tiene que incluir la siguiente: - Explicar de forma clara y sencilla qué es y en qué consiste el servicio de SPD (…) Explicar que para el buen funcionamiento del servicio farmacéutico necesita disponer de sus datos personales y farmacéuticos actualizados, manteniendo confidencialidad total y garantía de protección de datos, para lo que deberá otorgar su consentimiento informado”. De la misma manera, se establece como responsable al farmacéutico titular de la farmacia (traducción no oficial): “(…) El farmacéutico titular de la oficina de farmacia es el responsable de las actividades que se llevan a cabo en la farmacia. Cualquier incidencia con el producto final es responsabilidad de la oficina de farmacia y, por tanto, del farmacéutico titular(…)”. En cualquier caso, no cabe realizar subcontrataciones a otra farmacia y requiere de formación continuada y la determinación precisa de las funciones de cada empleado. 2. Sobre la presunción de veracidad de las actas de la Inspección de farmacia El artículo 108 del Real Decreto Legislativo 1/2015, de 24 de julio, por el que se aprueba el texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios, señala que compete a las administraciones sanitarias en el ámbito de sus competencias la realización de las inspecciones necesarias para asegurar el cumplimiento de lo previsto en esta ley. Este artículo supone prácticamente una reproducción de lo previsto por el artículo 30 de la Ley 14/1986, de 25 de abril, General de Sanidad que determina que “todos los centros y establecimientos sanitarios, así como las actividades de promoción y publicidad, estarán sometidos a la inspección y control por las Administraciones Sanitarias competentes”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/62 Ambas normas prevén, en sus artículos 108.3 y 31 respectivamente, a tales efectos, una serie de potestades para el personal al servicio de las Administraciones Públicas en el ejercicio de la potestad inspectora entre las que se incluyen la posibilidad de entrar libremente y sin notificación en los centros sujetos a las mismas, como son las oficinas de farmacia; así como proceder a las pruebas, investigaciones o exámenes necesarios para comprobar el cumplimiento normativo; tomar muestras, en orden a la comprobación del cumplimiento de las mismas, así como realizar cuantas actuaciones sean precisas en orden al cumplimiento de las funciones de inspección que desarrollen. En el ámbito autonómico, la Ley 26/2010, de 3 de agosto, de régimen jurídico y de procedimiento de las administraciones públicas de Catalunya consagra en su artículo 89.2 la consideración de autoridad del personal de su Administración encargado de las funciones públicas de inspección y control. A este respecto conviene señalar que el artículo 77.5 de la LPACAP establece la presunción de veracidad de los documentos firmados por empleados públicos que tengan la consideración de autoridad, salvo prueba en contrario. En concreto, señala: “los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observándose los requisitos legales correspondientes recojan los hechos constatados por aquéllos, harán prueba de éstos salvo que se acredite lo contrario”. En el mismo sentido, la anteriormente citada Ley 26/2010, de 3 de agosto, de Catalunya en su artículo 90. 1 determina que los hechos constatados por el personal de la Administración encargado de las funciones públicas de inspección y control, y que se formalizan en un documento público observando los requisitos legalmente establecidos, tienen valor probatorio, sin perjuicio de las pruebas que puedan aportar las personas interesadas en defensa de sus derechos e intereses. En consecuencia, las actas han de estar firmadas ineludiblemente por el inspector, sin perjuicio de que la falta de firma por parte del inspeccionado no invalide el acta ni su valor probatorio. 3. Responsabilidad del tratamiento en el ámbito de protección de datos personales El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/62 El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Por su parte, las Directrices 07/2020 del Comité Europeo de Protección de Datos sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» (en adelante, Directrices 07/2020) destacan que los conceptos de responsable del tratamiento y encargado del tratamiento son conceptos funcionales, siendo necesario establecerlos en virtud de sus actividades concretas en el caso analizado y no en función de la designación formal que pueda figurar en el contrato: “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato).Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable.” (subrayado de la AEPD). En definitiva, la identificación del responsable debe realizarse atendiendo a criterios materiales de acuerdo con las condiciones y circunstancias reales de cada tratamiento, no puede entenderse como una mera constatación formal de lo que figure, por ejemplo, en un contrato suscrito entre partes. Así, habrá ocasiones en las que los partícipes en una cadena de tratamientos se hayan identificado respectivamente como responsable y encargado y, sin embargo, atendiendo a quién determina la finalidad del tratamiento y los medios esenciales del mismo la figura de responsable le corresponde a quien fue identificado formalmente como tal. A lo ya expuesto hasta el momento, cabe añadir que dichas Directrices del CEPD destacan: “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las determina. Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” (subrayado de la AEPD). Asimismo, las referidas Directrices del CEPD 07/2020 abogan por una interpretación amplia del concepto de responsable del tratamiento con el fin de promover una protección eficaz y completa de los interesados. En este sentido, prevén: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/62 “14. Puesto que el objetivo último de la atribución de la función de responsable del tratamiento es garantizar la responsabilidad proactiva y una protección eficaz e integral de los datos personales, el concepto de «responsable» debería interpretarse de un modo suficientemente amplio, de manera que promueva, en la medida de lo posible, una protección eficaz y completa de los interesados , con el fin de garantizar la plena eficacia del Derecho de la Unión en materia de protección de datos, evitar lagunas y prevenir las posibles elusiones de la normativa, sin que todo ello suponga una merma de las atribuciones del encargado del tratamiento.” (subrayado de la AEPD). Por otra parte, tal y como enuncia el artículo 4.7 del RGPD, es posible que en ocasiones sea una norma la que defina al responsable, ya sea de manera implícita o explícita. Así, puede ocurrir que una norma establezca obligaciones que suponen tratamientos de datos personales y se lo encomiende a un determinado ente, que tendrá la condición de responsable del tratamiento desde la perspectiva de protección de datos. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que A.A.A. la dispensación de medicamentos y pañales, llevada a cabo por la oficina de farmacia A.A.A. conlleva un conjunto de operaciones realizadas sobre datos personales como, entre otros, el acceso a los datos personales que constan en el Sistema Nacional de Salud (SNS), su consulta y cotejo de los mismos, así como su estructuración y organización. Asimismo, en el presente caso se observa que la farmacia A.A.A. ha llevado a cabo otras operaciones como la recogida, conservación, transmisión de datos personales de pacientes o residentes de centros geriátricos. Aun cuando A.A.A. se identifica como encargado del tratamiento respecto a la dispensación de absorbentes de incontinencia urinaria, no puede obviarse que la normativa sectorial citada anteriormente atribuye en exclusiva a las oficinas de farmacia la dispensación de medicamentos o productos sanitarios que requieran receta, como los pañales. En consecuencia, las oficinas de farmacia son las únicas que determinan los fines y los medios respecto al mencionado tratamiento. Por tanto, A.A.A. no puede definirse en los términos de encargado que recoge el artículo 4.8 del RGPD, que señala: “8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;” (Subrayado de la AEPD). A mayor abundamiento, las Directrices 07/2020 indican dos condiciones fundamentales para poder tener la consideración de encargado del tratamiento: “76. Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones fundamentales:
12. a)ser un ente independiente del responsable del tratamiento; y
13. b)tratar datos personales por cuenta del responsable.” (Subrayado de la AEPD) Tal y como ha indicado el CEPD en sus Directrices 07/2020, actuar por cuenta de alguien significa servir a sus intereses: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/62 “80. En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación».” Si bien la primera de las condiciones concurriría en el supuesto analizado, en tanto que la oficina de farmacia en cuestión es un ente independiente de los centros residenciales donde se encuentran los residentes, en ningún caso puede afirmarse que A.A.A. trata los datos de los residentes (que adquieren respecto a la oficina de farmacia la condición de cliente o paciente) por cuenta de las residencias, esto es, “en nombre” de estas o “por delegación de estas”, sino que lo hacen en el ejercicio de las funciones u obligaciones que la normativa aplicable les atribuye en exclusiva. Atendiendo a lo anterior, A.A.A. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. 4. Los datos de salud como dato de categoría especial. El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
14. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
15. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
16. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
17. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/62 organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
18. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
19. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
20. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
21. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
22. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
23. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/62 Hay que señalar que los datos de categoría especial son aquellos datos personales cuyo tratamiento requiere de una protección reforzada, debido a su incidencia especial en la intimidad, las libertades públicas y los derechos fundamentales de la persona. Así considerados, su tratamiento, en principio, está prohibido tanto por el RGPD, salvo que exista alguna de las circunstancias indicadas en el artículo 9.2 del RGPD. Por tanto, los datos de categoría especial son datos personales que, por su importancia para la privacidad del individuo, han de ser tratados con mayor cuidado y siguiendo unos requisitos especiales. El Considerando 71 señala : “sobre las decisiones automatizadas y la elaboración de perfiles, los responsables del tratamiento deben utilizar métodos que corrijan «los factores que introducen inexactitudes en los datos personales y reduzcan al máximo el riesgo de error, asegurar los datos personales de forma que se tengan en cuenta los posibles riesgos para los intereses y derechos del interesado e impedir, entre otras cosas, efectos discriminatorios en las personas físicas por motivos de raza u origen étnico, opiniones políticas, religión o creencias, afiliación sindical, condición genética o estado de salud u orientación sexual, o tratamiento que dé lugar a medidas que produzcan tal efecto”. (el subrayado es de la AEPD). El artículo 4.15 del RGPD define “datos relativos a la salud” como “datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud”. El Considerando 35 del RGPD aclara dicha definición señalando que “Entre los datos personales relativos a la salud se deben incluir todos los datos relativos al estado de salud del interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro. Se incluye la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad con la Directiva 2011/24/UE del Parlamento Europeo y del Consejo; todo número, símbolo o dato asignado a una persona física que la identifique de manera unívoca a efectos sanitarios; la información obtenida de pruebas o exámenes de una parte del cuerpo o de una sustancia corporal, incluida la procedente de datos genéticos y muestras biológicas, y cualquier información relativa, a título de ejemplo, a una enfermedad, una discapacidad, el riesgo de padecer enfermedades, el historial médico, el tratamiento clínico o el estado fisiológico o biomédico del interesado, independientemente de su fuente, por ejemplo un médico u otro profesional sanitario, un hospital, un dispositivo médico, o una prueba diagnóstica in vitro.” Conviene señalar que, el Tribunal de Justicia de la Unión Europea (TJUE) ha consignado un concepto amplio de los datos de salud. Así, de conformidad con la STJUE de 4 de octubre de 2024, en el asunto C 21/23 (el subrayado es de la AEPD): “76 Entre estas categorías especiales de datos personales, que se enumeran en el artículo 8, apartado 1, de la Directiva 95/46 y en el artículo 9, apartado 1, del RGPD, figuran los datos relativos a la salud. Estos incluyen, de conformidad con el artículo 4, punto 15, del Reglamento, en relación con su considerando 35, todos los datos personales que revelen información sobre el estado de salud física o mental pasado, presente o futuro de una persona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/62 física, incluidos los datos relativos a la prestación de servicios de atención sanitaria a esa persona. 81 A este respecto, el Tribunal de Justicia ya ha declarado que, a la vista del objetivo de la Directiva 95/46 y del RGPD, de asegurar un alto nivel de protección de las libertades y de los derechos fundamentales de las personas físicas, en particular, de su intimidad, en relación con el tratamiento de los datos personales que las afectan, el concepto de «datos relativos a la salud» previsto en el artículo 9, apartado 1, de dicho Reglamento y en el artículo 8, apartado 1, de la citada Directiva debe interpretarse de forma amplia (véanse, en este sentido, las sentencias de 6 de noviembre de 2003, Lindqvist, C 101/01, EU:C:2003:596, apartado 50, y de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C 184/20, EU:C:2022:601, apartado 125)”. Asimismo, la misma STJUE determina que cuando el tratamiento de datos personales pueda revelar indirectamente informaciones sensibles de una persona, dichos datos se encuadran en el régimen previsto en el artículo 9 del RGPD: “82 En particular, no cabe interpretar tales disposiciones en el sentido de que el tratamiento de datos personales que puedan desvelar indirectamente informaciones sensibles sobre una persona física queda fuera del régimen de protección reforzado establecido por las mencionadas disposiciones, pues de quedar fuera se menoscabaría el efecto útil de ese régimen y la protección de las libertades y de los derechos fundamentales de las personas físicas que pretende garantizar (sentencia de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C 184/20, EU:C:2022:601, apartado 127)“. En la misma línea, la mencionada sentencia determina que las categorías especiales de datos personales están sometidos a la prohibición del art. 9 del RGPD independientemente de que sea información exacta o no y de que el tratamiento tenga por finalidad obtener datos personales que pertenezcan a dicha categoría: “87 Esta prohibición de principio es independiente de que la información revelada por el tratamiento en cuestión sea o no exacta y de que dicho farmacéutico actúe con el fin de obtener información comprendida en alguna de las categorías especiales contempladas en el artículo 8, apartado 1, de la Directiva 95/46 y el artículo 9, apartado 1, del RGPD. En efecto, teniendo en cuenta los riesgos significativos para las libertades fundamentales y los derechos fundamentales de los interesados, generados por cualquier tratamiento de datos personales comprendidos en tales categorías, estas disposiciones tienen por objeto prohibir dichos tratamientos, con independencia de la finalidad que expresen y de la exactitud de la información en cuestión [véase, en este sentido, la sentencia de 4 de julio de 2023, Meta Platforms y otros. (Condiciones generales del servicio de una red social), C 252/21, EU:C:2023:537, apartados 69 y 70]”. Por su parte, la STS de 8 de octubre, en el recurso de casación 1920/21, reafirma el concepto amplio de datos de salud, al indicar que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/62 “(…) cabe subrayar, al respecto, que la lectura del artículo 4.15 y del considerando 35 del Reglamento general de protección de datos avalan, tal como sostiene la sentencia de la Audiencia Nacional impugnada, la inclusión de la noción de "datos relativos a Ia salud" de los datos referidos al estado de salud de los deportistas, pues, aunque la normativa de la Unión Europea no contiene ninguna previsión especifica acerca de los datos relacionados con la aplicación de las técnicas de control del dopaje, define en un sentido amplio el tratamiento de los datos de salud. El considerando 35 del citado Reglamento (ÜE) 2016/679 incluye específicamente, entre los datos relativos a la salud, todos los datos relativos al estado de salud de! interesado que dan información sobre su estado de salud física o mental pasado, presente o futuro, incluyendo la información sobre la persona física recogida con ocasión de su inscripción a efectos de asistencia sanitaria, o con ocasión de la prestación de tal asistencia, de conformidad”. No cabe duda, por tanto, de que los datos referentes a la dispensación de medicamentos o pañales por parte de una farmacia, el CIPA (Código de Identificación Personal Autonómico), el número de tarjeta sanitaria son datos de salud, así como también lo son todos aquellos que revelen de manera indirecta el estado de salud de una persona. En cualquier caso, las circunstancias que permiten el levantamiento de la prohibición del tratamiento de datos de salud establecida por el artículo 9.1 vienen determinadas en el artículo 9.2 del RGPD. Es decir, es necesario que concurra alguna de las premisas establecidas en el mencionado artículo para que se pueda llevar a cabo el tratamiento de datos de salud. Estas excepciones han de interpretarse de manera restrictiva, tal y como se desprende de los considerandos del 51 al 56 del RGPD. La dispensación de medicamentos y pañales supone el tratamiento de datos de salud y el levantamiento de la prohibición de tratamiento de estos datos se encontrará en el artículo 9.2 h); en la medida en que el tratamiento es necesario para la prestación de asistencia o tratamiento de tipo sanitario. Además, el artículo 9.3 exige, para la premisa concreta del artículo 9.2
24. h)que el tratamiento se realice por un profesional sujeto a la obligación de derecho profesional o bajo su responsabilidad. El levantamiento de la prohibición contenida en la letra
25. h)del artículo 9.2, así como las previsiones añadidas del artículo 9.3 para la utilización de esta premisa exige una norma del Derecho a la UE o del Estado miembro que lo regule, que, en el caso de España, requiere que la asistencia o tratamiento de tipo sanitario se encuentre recogido en una norma con rango de ley, en la medida en que el derecho a la protección de datos personales es un derecho fundamental. En este sentido, las diferentes operaciones de tratamiento de datos personales que conlleva la dispensación de medicamentos por las oficinas de farmacia encontraría su habilitación en la Ley 14/1986, de 25 de abril, General de Sanidad; la Ley 16/1997, de 25 de abril, de Regulación de Servicios de las Oficinas de Farmacia; el Real Decreto Legislativo 1/2015, de 24 de julio, por el que se aprueba el texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios; así como en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/62 legislación autonómica aplicable como, en el caso de Cataluña, la Ley 31/1991, de 13 de diciembre, de Ordenación Farmacéutica de Cataluña. Así, por ejemplo, las oficinas de farmacia están obligadas, de acuerdo con el artículo 86.3 del Real Decreto Legislativo 1/2015, de 24 de julio, a la “dispensación de medicamentos que se les demanden tanto por los particulares como por el Sistema Nacional de Salud”. IV Obligaciones incumplidas. Artículo 6 del RGPD. Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
26. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
27. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
28. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
29. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
30. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
31. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
32. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
33. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
34. c)y e), deberá ser establecida por:
35. a)el Derecho de la Unión, o
36. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/62 disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
37. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
38. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
39. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
40. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
41. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." En este sentido, el considerando 32 del RGPD establece que: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.” A su vez, el artículo 4 del RGPD, relativo a definiciones, establece en el apartado 11: “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/62 declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;” Por otra parte, el artículo 24 del RGPD desarrolla el principio de responsabilidad proactiva del responsable del tratamiento, exigiendo que su actuación no solo sea conforme al RGPD sino que, además, sea capaz de demostrarlo: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario”. En definitiva, el tratamiento de datos personales requiere la existencia de una base legal que lo legitime. La elección de la base más adecuada del tratamiento, en caso de existir varias, corresponde al responsable, igual que compete a este acreditar que el tratamiento se realiza conforme a una base de legitimación. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. 1. Primera conducta infractora del artículo 6 del RGPD: preparación de SPD sin contar con el consentimiento expreso de los interesados. Tal y como se ha señalado en las Cuestiones Previas de este acuerdo de inicio, la realización de SPD requiere, una vez que se ha cumplido con las condiciones previas necesarias para que una oficina de farmacia pueda proceder a su preparación, contar con el consentimiento informado del paciente. Se trata, en definitiva, de una actividad separada a la dispensación de medicamentos. Así se exige tanto por los Criterios consensuados entre las diferentes Comunidades Autónomas y la Agencia Española del Medicamento y Productos Sanitarios, para la preparación de sistemas personalizados de dosificación por parte de las oficinas de farmacia como en la Guía de SPD de Cataluña. De esta manera, estos documentos normativos determinan la base de legitimación específica que exige la preparación de SPD de una medicación una vez que los medicamentos ya hubieran sido dispensados. Se requiere un consentimiento en los mismos términos que prevé el RGPD: demostrable, inequívoco, informado, específico para ese tratamiento concreto y libre. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/62 El concepto de “informado” referente al consentimiento, se encuentra estrechamente ligado al principio de licitud, lealtad y transparencia contenido en el artículo 5. 1
42. a)del RGPD, así como al deber de información del responsable para con los interesados previsto en los artículos 13 y 14 del RGPD. Así, facilitar información a los interesados antes de obtener su consentimiento es esencial para que estos puedan tomar decisiones informadas, comprender qué están permitiendo y a quién respecto al uso de sus datos personales. El CEPD en las Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679 señala que: “63. Si no se cumplen los requisitos relativos al consentimiento informado, el consentimiento no será válido y el responsable podrá estar incumpliendo el artículo 6 de RGPD. 64. Para que el consentimiento sea informado es necesario comunicar al interesado ciertos elementos que son cruciales para poder elegir. Por tanto, el CEPD opina que se requiere, al menos, la información siguiente para obtener el consentimiento válido: i. la identidad del responsable del tratamiento ii. el fin de cada una de las operaciones de tratamiento para las que se solicita el consentimiento iii. qué (tipo
43. de)datos van a recogerse y utilizarse (…)”. En concreto, la Guía de SPD de Cataluña exige contar con una “autorización firmada del paciente o del representante legal” en el que quede constancia de los siguientes aspectos que se recogen, a su vez, en el Anexo 3 de la mencionada Guía: “Consentimiento informado del usuario/residente y protección de datos del Servicio de seguimiento farmacéutico con sistemas personalizados de dosificación. (…) Declaro que: (
44. i)Que he leído y entendido la información incluida en el formulario de información y consentimiento sobre el servicio de SPD (sistema personalizado de dispensación diaria. (
45. ii)Que he recibido respuesta satisfactoria de todas las preguntas y, cuando no he entendido alguna palabra o expresión, el médico el farmacéutico o la persona responsable (…) me ha explicado el significado. (iii) Que para el buen funcionamiento del servicio, autorizo que puedan registrar mis datos fármaco terapéuticos, de los cuales no se hará ningún otro uso sin mi consentimiento explícito. (
46. iv)Que entiendo y autorizo la cesión de mis datos personales de forma anonimizada a la empresa designada por el responsable del tratamiento con la única finalidad de tratarlos a efectos de la correcta preparación de la SPD. (
47. v)Que soy consciente que en cualquier momento puedo salir libremente de la prestación de este servicio, sin que eso pueda repercutir en la atención médica y sanitaria”. En el presente caso, de lo suscrito en el acta de la Inspección de Farmacia ***ACTA.1 (“…”), respecto a la inspección realizada el 28 de noviembre de 2023 en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/62 establecimiento de la parte denunciada, A.A.A. preparaba SPD para pacientes residentes en centros geriátricos, para lo cual trataba los datos personales de estos. Así lo confirma la propia denunciada en su respuesta a la AEPD en la que indica que llevó a cabo esta actividad desde marzo de 2017 hasta octubre de 2022 para cerca de 1.600 residentes de más de 25 centros geriátricos distintos. En la misma respuesta señala que el consentimiento se basaba en el artículo 6.1
48. a)del RGPD y asegura que el interesado dio su consentimiento. A este respecto, aporta una muestra de consentimientos firmados entre los años 2017 y 2018 que no se corresponden con usuarios de residencias. Así, en la totalidad de los documentos remitidos figura en la parte superior “consentimiento informado de paciente no institucionalizado”. En conclusión, en el presente caso, no consta acreditado el consentimiento informado de los residentes legalmente exigido para la preparación de medicación en SPD que la parte denunciada preparó de manera continuada entre marzo de 2017 hasta octubre de 2022, correspondiendo a la parte denunciada demostrar su existencia en tanto que responsable del tratamiento. Atendiendo a lo anterior, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 6 del RGPD. 1. Segunda conducta infractora del artículo 6 del RGPD: tratamiento ilícito de datos personales de residentes para la dispensación de medicamentos y pañales A.A.A. dispensaba la medicación que posteriormente preparaba en SPD a los residentes de centros geriátricos, para lo cual trataba los datos personales de estos. Por tanto, la dispensación de medicamentos se produjo entre marzo de 2017 hasta octubre de 2022 para un total de 1.600 afectados. Los datos personales de los pacientes los obtenía de las residencias, a través del programa ***EMPRESA.2. Así se recoge en el acta ***ACTA.1: “(…)”. Además, en algunos casos, aunque no solía ser lo habitual, puesto que generalmente eran dispensados por otras farmacias, dispensaba pañales a algunos residentes. En la mencionada acta figura: “(…)”. En su escrito de contestación a la AEPD de 22 de enero de 2025, completado el 27 de marzo de 2025, confirma este hecho y asegura que dispensaba pañales de manera directa para un total aproximado de 200 residentes de 14 residencias distintas entre marzo de 2017 y octubre de 2022. Si bien se reconoce como responsable para la dispensación de medicamentos, asegura que para la dispensación de pañales actuaba como encargado del tratamiento, siendo responsables las residencias. Así se identifica también en el RAT remitido. Asegura, además, que se firmaron unos contratos de encargo con las residencias y que estos no son aportados por haber sido sustraídos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/62 Tal y como se ha indicado en las Cuestiones Previas del presente documento, no cabe la consideración de la parte denunciada como encargada del tratamiento, siendo responsable del tratamiento de datos personales para la dispensación de pañales y/o medicamentos. Por otra parte, asegura que la base de legitimación que amparaba el tratamiento de los datos personales de los residentes para la dispensación de medicación se encuentra en el artículo 6.1 a), el consentimiento de los interesados. Se subraya que la normativa sectorial específica consagra el principio de libertad de elección de farmacia de usuario o paciente, tal y como se ha determinado en las Cuestiones Previas de este documento, lo que significa que el paciente o usuario es libre de elegir la farmacia que desea que proceda a la dispensación de su medicación. Dicho esto, en el presente supuesto no consta el consentimiento de los pacientes para el tratamiento de sus datos por A.A.A. para la dispensación de medicamentos y/o pañales. Por otra parte, el artículo 6.1 b), que consagra el contrato como base de legitimación, exige que el tratamiento sea necesario para la ejecución de un contrato en el que el interesado sea parte. No constan contratos suscritos por los residentes afectados, en tanto que titulares del derecho fundamental, o por sus representantes legales. Analizadas otras bases de legitimación posibles, se significa que tampoco puede aplicarse en este caso los supuestos de que el tratamiento fuera necesario para el cumplimiento de una obligación legal o el ejercicio de una misión de interés público reconocidas en una norma con rango de ley. Tal y como se ha señalado previamente, las previsiones normativas recogidas en la legislación sectorial específica levantarían la prohibición del tratamiento de datos de salud por parte de las oficinas de farmacia, conforme al artículo 9.2 h), pero no puede considerarse que las mencionadas previsiones normativas amparen el tratamiento de una farmacia concreta en detrimento de otra y que, por tanto, puedan constituir por sí mismas una base de legitimación. En cuanto al interés vital, el considerando 46 del RGPD establece la excepcionalidad de esta base legal y su singularidad, cuando manifiesta que solo deben tratarse datos personales sobre esta base cuando el tratamiento no pueda basarse manifiestamente en una base jurídica diferente. Asimismo, menciona que ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado como, por ejemplo, cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano. Y es que la consideración de interés vital necesariamente viene referida a la existencia de un riesgo cierto, plausible, no simplemente potencial basado en datos generales, no concretos en atención a la necesidad de este tratamiento concreto que pase por encima de otras bases jurídicas del tratamiento, como podría ser el consentimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 43/62 Por último, el interés legítimo de A.A.A. exigiría la existencia en primer término de éste, y posteriormente, una ponderación del mismo con los derechos y libertades de los afectados, algo que no se aprecia en el presente caso. En definitiva, no se aprecia la existencia de base legal que ampare el tratamiento de dispensación de medicamentos y pañales realizados por A.A.A. respecto a los datos personales de los residentes de los centros geriátricos anteriormente mencionados. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 6 del RGPD. 2. Tercera conducta infractora del artículo 6 del RGPD: cesión ilícita de datos personales a otras oficinas de farmacia. Tal y como se recoge en el acta ***ACTA.1 de la Inspección de Farmacia, la parte denunciada facilitaba datos personales de residentes a otras oficinas de farmacia para que estas les dispensaran directamente absorbentes de incontinencia urinaria: “(…)” La realización de estas actuaciones (…) se confirman en el acta ***ACTA.5 relativa a una inspección realizada a una de las farmacias dispensadores de pañales: “(…)”. Asimismo, en el acta ***ACTA.6 relativa a una inspección realizada a otra farmacia colaboradora se confirma que el inicio de las actuaciones se remonta al año 2017: “(…)”. Por su parte, en el acta ***ACTA.3 correspondiente a una tercera farmacia dispensadora se indica: “(…)”. La fecha de fin de la actividad, tal y como consta en el acta ***ACTA.5 respecto a una inspección realizada el 12 de febrero de 2024 a una de las farmacias dispensadoras de pañales, se produjo el 28 de octubre de 2022, fecha a partir de la cual la cesión de datos para la dispensación de pañales pasó a realizarse por la ***FARMACIA.2. En el mencionado correo, la parte denunciada (***EMAIL.2) informa de que la “(…)”. En el propio correo remitido por la parte denunciada se señala que “todo seguirá como antes”. De lo recogido en las actas anteriormente mencionadas, se desprende que la manera en que se producía la cesión de los datos era a través de correos electrónicos, así como mediante la facilitación de claves de acceso a ***EMPRESA.2 de donde se obtenía: “(…)”. Posteriormente, las farmacias dispensadoras remitían mediante correo electrónico con datos de pacientes a efectos de proceder a la facturación. En este sentido, destaca un correo de fecha 31/10/2022 de la farmacia ***FARMACIA.6 a la parte denunciada con un excel que contenía en un Excel, los residentes, pañales, aportaciones y la fecha de dispensación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 44/62 Así, en el acta ***ACTA.4 respecto a una inspección realizada el 10 de enero de 2024 a otra oficina de farmacia dispensadora de pañales, establece (el subrayado es de la AEPD): “(…)”