Privacy e marketplace, parere Cgue: i dati di chi acquista otc online non sono “sanitari”

Le informazioni  che i clienti forniscono quando acquistano farmaci senza ricetta su una piattaforma di e-commerce (quali nome, indirizzo e prodotti ordinati) non rientrano tra i «dati relativi alla salute» e dunque non obbligano alla raccolta preventiva del consenso da parte del rivenditore. È quanto scrive Maciej Szpunar, avvocato generale della Corte di giustizia Ue, nel parere del 24 aprile scorso sulla causa C-21/23 che contrappone due farmacisti titolari tedeschi: il primo, Michael Spiegel di Gräfenhainichen, si serve di Amazon per commercializzare con la sua farmacia alcuni otc, che in Germania hanno distribuzione esclusiva in farmacia; l’altro, Hermann J. Vogel di Monaco, gli ha fatto causa nel 2017 per concorrenza sleale. Secondo la legge tedesca, infatti, l’azienda che viola la normativa sulla privacy si avvantaggia illegittimamente suoi suoi concorrenti, anche se l’entrata in vigore del Gdpr ha fatto sollevare molti dubbi sulla norma.

In primo grado, il tribunale regionale di Dessau/Rosslau aveva accolto il ricorso e dichiarato inammissibili le vendite di farmaci tramite marketplace perché violano le norme sulla protezione dei dati sanitari, a meno che non venga raccolto il consenso del cliente. In appello il Tribunale superiore di Naumburg si era allineato alla sentenza di primo grado, invece in ultima istanza la Corte federale di giustizia (Bundesgerichtshof), competente in materia di diritto della concorrenza, aveva interrotto il procedimento e si è rivolto alla Corte di giustizia Ue (Cgue) con una richiesta di pronuncia pregiudiziale.

In particolare, i giudici tedeschi hanno chiesto ai colleghi europei se i dati che i clienti forniscono a una piattaforma di e-commerce quando comprano medicinali non soggetti a prescrizione medica da una farmacia che vende su quella stessa piattaforma (come nome, indirizzo di consegna e prodotti ordinati) acie), siano dati relativi alla salute ai sensi dell’articolo 9, paragrafo 1, del Gdpr e dell’articolo 8, paragrafo 1, della direttiva 95/46.

Nel suo parere, che non anticipa la sentenza ma rappresenta soltanto un’indicazione di lavoro per il giudizio finale della Corte, l’avvocato polacco ha risposto negativamente al quesito. «Dall’articolo 4, punto 15, del Gdpr» scrive il magistrato «emerge come l’elemento determinante per stabilire se alcuni dati personali costituiscano dati relativi alla salute è il fatto che sia possibile trarre conclusioni sullo stato di salute dell’interessato. In altri termini, i “dati relativi alla salute” non si limitano ai dati medici o a quelli direttamente connessi a problemi di salute, ma comprendono anche qualsiasi dato che consenta di trarre conclusioni sullo stato di salute dell’interessato, sia esso uno stato patologico o fisiologico».

Tuttavia, prosegue Szpunar, se è vero che ci sono dati la cui correlazione con lo stato di salute del titolare è evidente per la loro stessa natura, ce ne sono altri che diventano tali solo in talune circostanze. Per esempio, l’identità dell’interessato diventa un dato sanitario sensibile quando a trattarli è una struttura sanitaria, «per contro gli stessi dati potrebbero essere qualificati diversamente per il fatto di non essere trattati da un ente del settore sanitario e non essere quindi collegati ad altri dati relativi all’interessato. In altri termini, il medesimo dato può
rivelare più informazioni sullo stato di salute di una persona quando è trattato da un ente sanitario piuttosto che da un soggetto estraneo a tale settore».

La considerazione si applica al caso trattato: i medicinali non soggetti a prescrizione, scrive l’avvocato generale, «non sono in linea di principio destinati al trattamento di uno stato particolare, ma possono essere utilizzati più in generale per curare disturbi del quotidiano cui tutti sono potenzialmente soggetti e che non sono sintomatici di una patologia o di un particolare stato di salute». Inoltre, continua, tali farmaci «sono spesso acquistati anche a titolo preventivo, per averli a disposizione in caso di necessità o prima di un viaggio lontano dal luogo di residenza abituale. A titolo esemplificativo, un ordine di paracetamolo non permette di dedurre alcunché quanto allo stato esatto di una persona, essendo tale molecola indicata per il trattamento di diversi dolori e stati febbrili e rientrando spesso tra i medicinali di cui le persone dispongono nella propria abitazione, a prescindere da ogni particolare necessità».

In secondo luogo, «il fatto che una persona ordini online un medicinale non soggetto a prescrizione non implica necessariamente che tale persona, i cui dati sono trattati, ne sarà l’utilizzatore. Infatti, è frequente che un ordine su un sito di vendita online venga effettuato da una persona titolare di un account in nome e per conto di una persona che ne è piva. In assenza di prescrizione che indichi nominalmente la persona cui è destinato il medicinale, non si può dedurre dall’ordine di un prodotto liberamente accessibile online che tale prodotto sia destinato all’utilizzo da parte dell’acquirente. Di conseguenza, da tali dati non è legittimo trarre alcuna conclusione sullo stato di salute della persona i cui dati sono trattati, in modo da poterli qualificare come «dati relativi alla salute».

Ciò è tanto più vero nell’online, conclude Szpunar, dove «una persona può effettuare un ordine via Internet senza che sia necessario fornire dati precisi sulla sua identità, in particolare quando la consegna del prodotto non avviene all’indirizzo dell’interessato ma tramite un punto di consegna, e quando non sono richiesti altri dati relativi all’identità civile ai fini della fatturazione». Il giudizio di merito della Corte Ue, che solitamente si allinea al parere dell’avvocato generale ma non sempre, dovrebbe arrivare per la seconda metà dell’anno. Szpunar, come hanno fatto notarte alcuni commentatori, è noto ai farmacisti tedeschi per essersi espresso anche sulla causa del 2016 relativa alla legittimità degli sconti praticati dalle farmacie online olandesi sui farmaci con ricetta venduti a distanza in Germania.