Corte di giustizia Ue, i dati di chi acquista otc online sono “sanitari” e quindi serve il consenso

Le informazioni che i clienti di una farmacia digitano su una piattaforma online quando ordinano a distanza un farmaco senza obbligo di ricetta costituiscono dati relativi alla salute, ai sensi
dell’articolo 8, paragrafo 1, della direttiva 95/46 e dell’articolo 9, paragrafo 1, del Regolamento generale sulla protezione dei dati (Rgpd), anche quando non c’è la certezza che i medicinali acquistati siano destinati a loro. Di conseguenza, è necessario che l’interessato presti esplicito consenso al trattamento dei suoi dati, ossia nome, indirizzo, età o altro ancora. È quanto afferma la Corte di giustizia Ue nella sentenza – pubblicata venerdì 4 ottobre – che interviene sulla controversia insorta tra due farmacisti tedeschi riguardo alla vendita su Amazon di farmaci senza obbligo di prescrizione.

Il caso era già stato trattato da Pharmacy Scanner nel maggio scorso, quando erano uscite le conclusioni dell’avvocato generale Maciej Szpunar, perché interessa da vicino anche la farmacia italiana: all’origine, infatti, c’è la causa per concorrenza sleale avviata nel 2017 da un farmacista di Monaco nei confronti di un collega, titolare in Sassonia-Anhalt, che dalla sua “vetrina” su Amazon commercializzava alcuni otc riservati nel Paese tedesco alla distribuzione esclusiva in farmacia. Secondo il farmacista monacense, in sintesi, la commercializzazione su Amazon di medicinali dalla distribuzione esclusiva nel canale farmaceutico è abusiva perché non rispetta gli obblighi relativi alla protezione dei dati personali: infatti, al momento dell’ordine online i clienti «devono inserire informazioni quali il nome, l’indirizzo di consegna e gli elementi necessari per personalizzare detti medicinali», informazioni che unite a principio attivo e posologia dei farmaci acquistati configurerebbe «un trattamento di dati relativi alla salute che, ai sensi del Gdpr, sarebbe vietato in assenza di consenso esplicito da parte dei clienti».

Nel marzo 2018 il Tribunale regionale di Dessau-Roßlau aveva dato ragione al ricorrente, quindi nel novembre 2019 il giudice d’Appello aveva confermato la decisione. In terzo grado, invece, il Bundesgerichtshof (la Corte federale di giustizia) ha preferito rimettere la questione alla Corte Ue con una domanda di pronuncia pregiudiziale imperniata su due quesiti. Il primo non vale la pena di essere esaminato perché richiama norme in materia di concorrenza sleale specifiche della legislazione tedesca. Il secondo invece vede le farmacie italiane tra gli spettatori interessati: quando l’acquisto riguarda un farmaco che non è soggetto a obbligo di ricetta (e che in Germania è commercializzato esclusivamente in farmacia), dati come l’indirizzo del paziente e il tipo di medicinale acquistato vanno o no annoverati tra le informazioni “sulla salute” di cui all’articolo 9 del Gdpr e all’articolo 8 della 95/46?

Nel suo parere della primavera scorsa, l’avvocato generale della Corte Ue Maciej Szpunar aveva optato per il no: in linea di principio gli otc «non sono destinati al trattamento di uno stato di malattia particolare, ma possono essere utilizzati più in generale per curare disturbi del quotidiano cui tutti sono potenzialmente soggetti e che non sono sintomatici di una patologia o di un particolare stato di salute». Inoltre «sono spesso acquistati anche a titolo preventivo, per averli a disposizione in caso di necessità o prima di un viaggio lontano dal luogo di residenza abituale», e per finire non è infrequente che chi lo acquista non è poi colui che li usa.

Di avviso opposto la Corte Ue, che nella sentenza pubblicata venerdì scorso ricorda quanto detta l’articolo 4, punto 1 del Gdpr, laddove afferma che «i dati relativi agli acquisti di medicinali che consentono di trarre conclusioni sullo stato di salute di una persona identificata o identificabile, devono essere considerati dati relativi alla salute». Per identificabile, prosegue la Corte, si intende la possibilità di risalire a un’informazione che fa riferimento all’identità della persona «come un nome, un numero di identificazione, dati relativi all’ubicazione, un identificatore online, oppure uno o più elementi specifici specifici della natura fisica, fisiologica, identità genetica, psicologica, economica, culturale o sociale».

Di conseguenza, le informazioni che i clienti della farmacia attiva su Amazon inseriscono al momento dell’ordine – come il loro nome, l’indirizzo di consegna e gli elementi che identificano i medicinali – costituiscono certamente “dati personali”, in quanto riguardano persone fisiche identificate o identificabili. Inoltre, continua la sentenza, la Corte ha già statuito che «per garantire un livello elevato di protezione dei diritti e delle libertà fondamentali delle persone fisiche, la nozione di “dati relativi alla salute” deve essere interpretata estensivamente». Anche perché, ricorda la Corte, per tratte da informazioni meramente anagrafiche informazioni sulla salute dell’acquirente sullo stato di salute dell’interessato potrebbero bastare l’assemblaggio di informazioni di diversa provenienza oppure un semplice lavoro deduttivo.

Pertanto, è la conclusione dei giudici europei, «le informazioni che i clienti di una farmacia presente sul web attraverso un operatore online inseriscono quando ordinano i medicinali – come il loro nome, l’indirizzo di consegna e gli elementi necessari all’individualizzazione dei medicinali – costituiscono dati relativi alla salute anche quando tali medicinali non sono soggetti a prescrizione medica».

«Effettivamente la posizione assunta nel maggio scorso dall’avvocato generale, che aveva negato la natura di dati sensibili ai dati personali trasmessi dall’utente durante la procedura di acquisto online, aveva suscitato sorpresa e perplessità» commenta a Pharmacy Scanner Quintino Lombardo, di Lombardo e Cosmo IusFarma Studio Legale «oggi invece la sentenza della Corte di Giustizia conferma la correttezza dell’approccio più rigoroso alla questione, che poi è in linea con i precedenti della stessa Corte e con quanto ritenuto dalla nostra Corte di cassazione. Insomma, stiamo parlando di dati sensibili, perché dati sanitari o comunque relativi allo stato di salute degli utenti, perché è possibile il collegamento tra l’identità del soggetto che acquista il medicinale e l’esigenza terapeutica che il medicinale deve soddisfare. Non c’è dubbio, allora, che la vendita online di medicinali (in Italia, lo ricordiamo, solo quelli dispensabili senza ricetta, e solo da parte di farmacie e parafarmacie autorizzate) necessiti sempre dell’acquisizione di uno specifico consenso, che segue all’apposita informativa, dovendosi sempre distinguere il consenso espresso al trattamento dei dati sanitari, obbligatorio per la fornitura del medicinale, da quello diverso ed eventuale per altre finalità, come quelle di marketing».