Una farmacia trata datos personales al dispensar, atender consultas, preparar sistemas personalizados de dosificación, gestionar personal o emitir facturas. Parte de esa información se refiere a la salud y necesita una protección especialmente cuidadosa. La misma herramienta de gestión puede contener datos sujetos a finalidades, accesos y plazos diferentes; no conviene tratarla como un único archivo disponible para cualquier uso del negocio.
El cumplimiento debe conectar las obligaciones farmacéuticas con el RGPD. Hay que distinguir la asistencia sanitaria de la venta comercial, la conservación de recetas de otros documentos clínicos y la función profesional del farmacéutico de los servicios que recibe de sus proveedores. Esta guía ofrece un procedimiento para ordenar esas decisiones sin imponer consentimiento a toda dispensación ni dar por autorizada cualquier reutilización del historial.
Datos de salud y bases jurídicas de la dispensación
Los datos vinculados a medicamentos, prescripciones y seguimiento de una persona pueden revelar información sobre su estado de salud, aunque un medicamento no permita deducir siempre un diagnóstico único. No hace falta conocer con certeza una patología para reconocer la sensibilidad del conjunto. Una factura administrativa puede contener datos ordinarios; si incorpora un tratamiento identificable, su contenido exige un análisis adicional.
Para tratar categorías especiales de datos hay que identificar tanto una base del artículo 6 como una condición del artículo 9 del RGPD. En actividades asistenciales pueden concurrir obligaciones legales y la condición sanitaria del artículo 9.2.h, en el marco normativo aplicable y con las garantías de secreto del artículo 9.3. No basta con citar únicamente «asistencia sanitaria» para cualquier finalidad que la farmacia decida añadir.
La Ley 44/2003 de ordenación de las profesiones sanitarias incluye la farmacia entre las profesiones sanitarias y delimita funciones de dispensación y colaboración farmacoterapéutica. El Real Decreto 1718/2010 regula los tratamientos vinculados a recetas. Dentro de ese marco, los usos necesarios para la asistencia y el control de la prestación no dependen de obtener un consentimiento publicitario ni de una aceptación general de la política de privacidad.
La información al paciente sigue siendo obligatoria. Debe explicar quién trata los datos, las finalidades, las bases, destinatarios, conservación y derechos, con los demás elementos pertinentes. Además, el consentimiento informado para una actuación sanitaria y el consentimiento RGPD son conceptos distintos. El análisis general del sector sanitario permite situar esa diferencia, que también afecta al diseño de formularios de atención farmacéutica.
Receta electrónica: acceso profesional y límites de uso
El Real Decreto 1718/2010 regula la dispensación electrónica del Sistema Nacional de Salud, con identificación del paciente y, cuando corresponda, de la persona en quien delegue. Su artículo 9 limita el acceso a los datos necesarios para la correcta dispensación informada y el seguimiento del tratamiento, conforme a los procedimientos de la administración sanitaria competente. El acceso profesional queda registrado en el sistema.
Esto exige cuentas y credenciales gestionadas correctamente, sin compartir certificados como una contraseña de mostrador. El personal debe utilizar los accesos que correspondan a sus funciones y las reglas de la plataforma autonómica. Que un dato pueda consultarse técnicamente no significa que exista una finalidad profesional para hacerlo. Consultar la medicación de un familiar o vecino por curiosidad sigue siendo un uso ajeno a la asistencia autorizada.
La receta electrónica no debe confundirse con sistemas de farmacovigilancia. Sus finalidades, intervinientes y reglas de acceso son específicas. Tampoco permite descargar indiscriminadamente todo el historial del paciente a una aplicación comercial. El artículo 18.4 delimita la información que puede conservar la oficina tras dispensar y validar recetas electrónicas del SNS, vinculándola a lo necesario para facturación en los términos del artículo 9.4.
Los sistemas regionales pueden añadir procedimientos y requisitos técnicos dentro de sus competencias. La farmacia debe identificar cuáles utiliza, quién administra permisos y cómo se registran incidencias. Una actualización del programa o la incorporación de una nueva persona debe acompañarse de revisión de accesos, evitando que las credenciales de quien deja el puesto sigan operativas.
Recetas y documentos: varios plazos de conservación
El artículo 18.3 del Real Decreto 1718/2010 establece que, una vez dispensadas y diligenciadas, las recetas médicas en papel se conservan en la oficina durante tres meses. Al finalizar, deben destruirse mediante métodos que impidan reconstruir el documento. La propia norma exceptúa las recetas de estupefacientes o psicotrópicos y otras sometidas a gestión o control posterior, que siguen sus reglas e instrucciones específicas.
Para recetas electrónicas privadas, el apartado cuarto remite al mismo período que las de papel y exige anular los registros una vez concluido el plazo, teniendo en cuenta las reglas aplicables al tipo de receta. Las recetas electrónicas del SNS tienen su régimen particular. Por tanto, no debe programarse un borrado uniforme de todo el sistema a los tres meses ni extender sin fundamento la conservación de todas las recetas durante años.
En materia de estupefacientes, el artículo 17 del Real Decreto 1675/2012 prevé cinco años para las recetas dispensadas que quedan en poder de la oficina, con la excepción de las oficiales del SNS, que siguen el procedimiento de ese sistema, y sin perjuicio de las instrucciones autonómicas competentes. Exige seguridad, confidencialidad y destrucción que impida reconstrucción cuando termine la conservación. Este plazo no debe trasladarse a cualquier documento sanitario por analogía.
La documentación clínica tiene otra lógica. La Ley 41/2002, artículo 17, exige a los centros sanitarios conservarla durante el tiempo adecuado y al menos cinco años desde el alta de cada proceso asistencial, con otros supuestos de conservación previstos legalmente. Debe comprobarse cuándo un documento generado en la actividad farmacéutica forma parte de esa documentación y qué normativa autonómica concurre. La regla clínica no sustituye automáticamente la regulación específica de las recetas.
Conviene mantener una relación de categorías documentales con norma aplicable, fecha que inicia el cómputo, acceso durante la conservación y método de eliminación. Facturación, gestión laboral, dispensación y atención farmacéutica no tienen por qué terminar al mismo tiempo. La limitación de la conservación exige justificar cada duración y evitar que el archivo histórico siga disponible para usos comerciales ordinarios.
Libro recetario y control de estupefacientes
El libro recetario y el libro de contabilidad de estupefacientes no son nombres intercambiables. El artículo 15 del Real Decreto 1718/2010 regula el registro de dispensaciones sujetas a anotación por la normativa específica y las autoridades competentes, con datos obligatorios y autorización del soporte. El artículo 20 del Real Decreto 1675/2012 regula la contabilidad de movimientos de sustancias y medicamentos estupefacientes.
La farmacia debe comprobar qué registro corresponde a cada operación, cómo se corrigen errores y quién puede consultar o exportar los datos. Un programa puede facilitar ambos registros, pero no elimina las diferencias normativas. La minimización tampoco significa omitir un dato que una disposición exige consignar: significa limitar su recogida y uso a lo necesario, respetar la finalidad y evitar duplicados innecesarios en archivos paralelos.
SPD y colaboración con residencias
Un sistema personalizado de dosificación puede requerir información sobre pautas, cambios de medicación y personas autorizadas para recibir el servicio. Hay que concretar el procedimiento, los profesionales que intervienen y las condiciones sanitarias aplicables, incluidas las autonómicas. La documentación debe permitir realizar la prestación con seguridad, sin convertirla en un repositorio indiscriminado de toda la vida clínica del paciente.
Cuando interviene una residencia, la relación no se convierte automáticamente en un encargo de tratamiento. Si cada organización decide finalidades y medios dentro de sus responsabilidades asistenciales, pueden existir responsables distintos; si deciden conjuntamente, debe analizarse corresponsabilidad. Solo las operaciones realizadas por cuenta y bajo instrucciones de otro responsable encajan en un contrato de encargado. El contrato debe describir lo que ocurre, no imponer una etiqueta que contradiga la autonomía profesional.
Debe organizarse cómo se comunican cambios, quién verifica destinatarios y qué información acompaña a cada entrega. Una etiqueta visible no debería revelar más de lo necesario a personas ajenas. Las comunicaciones necesitan canales adecuados y trazabilidad suficiente para evitar confundir pacientes. Que dos entidades estén sujetas a secreto no autoriza por sí solo cualquier intercambio: hace falta una finalidad, base jurídica y condición para datos de salud aplicables.
Fidelización y venta de parafarmacia
La gestión de un programa de puntos tiene que separarse de la atención y de los expedientes de dispensación. El tratamiento necesario para administrar una prestación contractual puede apoyarse en esa base, mientras que otras finalidades requieren su propio análisis. Si se solicita consentimiento, debe ser específico, libre y demostrable, con retirada sencilla. No procede condicionar la dispensación necesaria a aceptar ofertas.
La publicidad por correo o medios electrónicos equivalentes está sujeta al artículo 21 de la LSSI: solicitud o autorización expresa, con la excepción delimitada de relación contractual previa, contacto obtenido lícitamente y productos o servicios propios similares, ofreciendo oposición sencilla y gratuita en la recogida y en cada mensaje. Esta excepción no autoriza a utilizar historias de medicación para segmentación comercial ni elimina las condiciones adicionales del artículo 9.
La farmacia debe evitar trasladar automáticamente al perfil comercial los medicamentos comprados, las consultas recibidas o inferencias sobre enfermedades. Una base del artículo 6 no basta para tratar datos de salud con fines ajenos a la asistencia. También debe poder ejecutar una baja publicitaria sin cerrar la información necesaria para obligaciones sanitarias. La separación de permisos, finalidades y accesos facilita que esa decisión se aplique realmente.
Seguridad física, sistemas y proveedores
La confidencialidad empieza en el mostrador. Conviene colocar pantallas y documentos fuera de la vista de otras personas, ofrecer atención discreta para consultas sensibles y verificar a quién se entrega la información. Estas medidas organizativas deben adaptarse al local. No se necesita una regla universal sobre distancias para reconocer que explicar una medicación en voz alta ante toda la cola puede exponer datos innecesariamente.
Los sistemas necesitan permisos por función, actualizaciones, copias protegidas y capacidad de recuperar la información. El cifrado y otras medidas se seleccionan según riesgos y entorno, sin reducir la seguridad a una contraseña común. También hay que controlar accesos remotos de mantenimiento y retirar permisos cuando termina un servicio. El análisis debe cubrir integridad y disponibilidad: perder la información necesaria para dispensar correctamente puede perjudicar a los pacientes.
Alojamiento, mantenimiento o destrucción documental pueden implicar encargados cuando el proveedor trata datos por cuenta de la farmacia. Otros servicios pueden actuar como responsables para sus propias funciones. Para encargos, el artículo 28 exige un contrato u otro acto jurídico vinculante conforme al Derecho de la Unión o de un Estado miembro, por escrito, incluido formato electrónico, que regule instrucciones, confidencialidad, seguridad, subencargos, asistencia y, a elección del responsable, devolución o supresión al terminar y supresión de las copias, salvo que el Derecho de la Unión o de un Estado miembro exija conservar los datos.
La documentación de salida debe comprobar que los datos se devuelven o eliminan según corresponda y que las copias se gestionan conforme a las obligaciones aplicables. La ubicación del servidor y los accesos desde terceros países también necesitan revisión; una dirección europea del proveedor no basta para excluir transferencias internacionales. La contratación debe permitir entender quién accede a la información y para qué.
Cámaras, destrucción e incidentes
Si existen cámaras, debe justificarse su finalidad y configurar el encuadre para evitar captar innecesariamente pantallas o documentación sanitaria. El artículo 22 de la LOPDGDD exige información visible y establece la supresión en un máximo de un mes. La excepción para acreditar actos contra personas, bienes o instalaciones exige poner las imágenes a disposición de la autoridad competente dentro de las setenta y dos horas desde que se conoce la existencia de la grabación. No permite conservar indiscriminadamente todo el archivo.
Los documentos no deben depositarse legibles en residuos accesibles. La destrucción debe realizarse cuando corresponda conforme al plazo aplicable y con un método que impida reconstruirlos. Si se contrata ese servicio, deben controlarse recogida, custodia y destino. El justificante del proveedor es útil, pero necesita corresponderse con un procedimiento real; no corrige que las recetas hayan permanecido previamente en un contenedor abierto al público.
Toda brecha debe documentarse y evaluarse. La notificación de una brecha a la autoridad se realiza sin dilación indebida y, cuando sea posible, dentro de setenta y dos horas desde que se tiene constancia, salvo que sea improbable un riesgo para derechos y libertades; si se retrasa, deben explicarse los motivos. La comunicación a afectados se analiza por separado y se realiza sin dilación indebida cuando sea probable un alto riesgo, salvo las excepciones legales. La presencia de datos de salud es relevante, pero no sustituye esa evaluación.
Cuándo debe designarse un DPO
No basta con comprobar el tamaño del establecimiento. El artículo 37 del RGPD contempla, entre otros supuestos, actividades principales que implican tratamiento a gran escala de categorías especiales o datos penales, así como actividades principales que requieren una observación habitual y sistemática a gran escala. Además, el artículo 34.1.l de la LOPDGDD exige DPO a centros sanitarios legalmente obligados a mantener historias clínicas, exceptuando a profesionales de la salud que ejercen individualmente.
La calificación concreta importa. El Real Decreto 1277/2003 distingue centros, servicios y establecimientos sanitarios y clasifica las oficinas de farmacia como establecimientos sanitarios privados de interés público. No debe equipararse sin examen cualquier farmacia a un centro obligado a mantener historias clínicas, ni concluir que toda titularidad individual excluye cualquier supuesto del artículo 37. Deben revisarse organización, servicios asistenciales y obligaciones documentales realmente aplicables.
El análisis debe documentar volumen, categorías, duración, extensión y organización del tratamiento, junto con el criterio nacional. Si se amplían servicios o se integran tratamientos de varios establecimientos, corresponde revisarlo. La guía sobre designación obligatoria de DPO desarrolla estas condiciones. La decisión de no designarlo no elimina las obligaciones de seguridad, documentación o atención de derechos.
Mantener un procedimiento útil para el personal
El registro de actividades debe distinguir asistencia, dispensación, gestión comercial, personal y seguridad. El pequeño tamaño no exime automáticamente: la excepción del artículo 30.5 no opera cuando el tratamiento no es ocasional, puede entrañar riesgo o incluye categorías especiales del artículo 9 o datos de condenas e infracciones penales del artículo 10. La farmacia debe identificar responsables internos de permisos, conservación y solicitudes para que las decisiones no dependan de quién esté atendiendo en ese momento.
Los derechos se atienden sin dilación indebida y como máximo en un mes, con posible extensión de otros dos meses por complejidad o número, informada y motivada dentro del primero. Si no se da curso a la solicitud, los motivos y la información sobre reclamación y tutela judicial deben comunicarse sin dilación y a más tardar en un mes. Una petición de supresión exige comprobar obligaciones sanitarias de conservación y explicar qué puede eliminarse o mantenerse, no responder con una negativa genérica.
Los expedientes de sanidad y salud pueden utilizarse para estudiar obligaciones concretas sin afirmar que una infracción sea la más frecuente del sector sin evidencia. Al valorar software de cumplimiento, deben verificarse sus funciones documentales y su ajuste al procedimiento. Las guías de fisioterapia, psicología y clínicas veterinarias ofrecen comparaciones sectoriales, conservando las diferencias entre pacientes humanos, titulares de animales y profesionales implicados.