DPO in farmacia: l’esenzione che non c’è

Chiedete a un titolare di farmacia se debba nominare un DPO. Nella grande maggioranza dei casi la risposta arriverà rapida e sicura: no, le farmacie sono escluse, lo ha detto il Garante.
È una delle convinzioni più solidamente radicate nel settore. Ed è, a rigore, il frutto di un fraintendimento – o meglio, di una sintesi giornalistica che ha perso per strada tre parole decisive.

Che cosa dice davvero il provvedimento del Garante

Il documento cui tutti fanno riferimento è il provvedimento del Garante n. 55 del 7 marzo 2019, «Chiarimenti sull’applicazione della disciplina per il trattamento dei dati relativi alla salute in ambito sanitario» (doc. web 9091942), adottato in risposta a numerosi quesiti pervenuti dagli operatori del settore, tra cui quelli di Federfarma.

Nella sezione dedicata al Responsabile della protezione dei dati, l’Autorità affronta anzitutto il caso del singolo professionista sanitario che opera in regime di libera professione a titolo individuale, e chiarisce che costui non è tenuto alla designazione, perché il Considerando 91 del Regolamento e le Linee guida WP243 escludono espressamente tali trattamenti dalla nozione di larga scala.

E poi aggiunge il passaggio da cui tutto discende: considerazioni analoghe valgono anche per farmacie, parafarmacie, aziende ortopediche e sanitarie, i quali soggetti – se non effettuano trattamenti di dati personali su larga scala – non sono obbligati a designare il RPD.

Il periodo ipotetico non è un vezzo stilistico. È il contenuto stesso della risposta. Il Garante non ha affermato che le farmacie non trattano dati su larga scala: ha affermato che, qualora non lo facciano, l’obbligo non sussiste. Che è esattamente ciò che l’articolo 37, paragrafo 1, lettera c), del GDPR dice già di suo, per chiunque.

Come una condizione è diventata un’esenzione

Il comunicato diffuso dalla Federazione nel marzo 2018 – e ripreso pressoché letteralmente da tutta la stampa di settore – riferiva invece che, secondo il Garante, «le farmacie non effettuano trattamenti su larga scala e pertanto non devono designare il DPO».

Sparisce il se. Sparisce l’ipotesi. Resta una constatazione di fatto, valida per l’intera categoria, a prescindere dalla dimensione, dai servizi erogati, dal bacino di utenza, dall’assetto proprietario.

La differenza fra i due enunciati è la stessa che corre fra «chi guida sopra i limiti è sanzionabile» e «gli automobilisti non superano i limiti». Il primo è una norma; il secondo è un’affermazione empirica che, per essere vera, andrebbe verificata caso per caso.

Va detto con chiarezza: Federfarma non è un’autorità di controllo e i suoi comunicati non hanno valore normativo. Ma hanno avuto un effetto pratico enorme, perché hanno offerto a decine di migliaia di titolari una risposta rassicurante a una domanda scomoda, e nessuno ha più sentito il bisogno di riaprire il documento originale.

L’analogia con il libero professionista non regge

Il ragionamento del Garante procede per analogia: le farmacie stanno al DPO come il singolo professionista sanitario. Ma l’analogia, se la si osserva da vicino, è fragile.

Il libero professionista che opera a titolo individuale è una persona fisica che segue un numero circoscritto di assistiti, senza struttura organizzativa e senza dipendenti. La farmacia è un’impresa, con collaboratori, spesso costituita in forma societaria, che opera in convenzione con il Servizio sanitario nazionale su un bacino territoriale che la stessa legge definisce: la pianta organica assegna una sede farmaceutica ogni 3.300 abitanti. Ogni farmacia italiana ha quindi, per costruzione normativa, un bacino potenziale di alcune migliaia di persone, e ne serve in concreto una quota rilevante, in modo continuativo, per anni.

Vale la pena notare un’asimmetria che il provvedimento stesso lascia aperta. Il Garante afferma che il trattamento dei dati dei pazienti svolto da un ospedale privato, da una casa di cura o da una residenza sanitaria assistenziale rientra, in linea generale, nel concetto di larga scala. Una RSA di sessanta posti letto è dunque presunta “grande”; una farmacia che gestisce le terapie di quattromila assistiti sarebbe presunta “piccola”. Il criterio distintivo non è esplicitato, e non è agevole ricostruirlo.

C’è di più. Nello stesso provvedimento, alla sezione dedicata al registro delle attività di trattamento, il Garante colloca farmacie, parafarmacie e aziende ortopediche accanto a ospedali privati, case di cura, RSA e aziende sanitarie del SSN, escludendole tutte dall’esenzione prevista dall’articolo 30, paragrafo 5, perché trattano categorie particolari di dati in modo non occasionale e con rischio per gli interessati. Lo stesso documento, insomma, considera la farmacia un soggetto che tratta dati sanitari in via ordinaria, sistematica e rischiosa. Sostenere che quei medesimi trattamenti non raggiungano mai la larga scala richiede almeno una spiegazione.

Che cosa significa “larga scala”

Le Linee guida WP243 del Gruppo di lavoro Articolo 29, fatte proprie dall’EDPB, indicano quattro criteri per valutare la larga scala: il numero di interessati, in valore assoluto o come proporzione della popolazione di riferimento; il volume e la varietà dei dati trattati; la durata e la persistenza del trattamento; la sua estensione geografica.

Provate ad applicarli a una farmacia che aderisce pienamente al modello della farmacia dei servizi. Numero di interessati: alcune migliaia, corrispondenti a una quota significativa della popolazione del comune o del quartiere. Varietà dei dati: prescrizioni, terapie croniche, dispensazione per conto, aderenza terapeutica, prenotazioni CUP, referti di telemedicina, esiti di screening, anagrafiche vaccinali, storici di acquisto legati alle carte fedeltà. Durata: permanente, quotidiana, pluriennale. Estensione: l’intero bacino della sede farmaceutica, e — attraverso il Fascicolo sanitario elettronico e i sistemi regionali — ben oltre.

Il Considerando 91 offre certamente argomenti in senso contrario, laddove àncora la nozione di larga scala a quantità considerevoli di dati «a livello regionale, nazionale o sovranazionale». Ed è ragionevole ritenere che la singola farmacia rurale di un comune di mille abitanti resti fuori. Ma proprio questo è il punto: si tratta di una valutazione, non di una categoria.

Il 2019 è lontanissimo

Il chiarimento del Garante ha oggi sette anni. Nel frattempo la farmacia è cambiata più di quanto non fosse cambiata nei quarant’anni precedenti.

È entrata a regime la farmacia dei servizi delineata dal D.Lgs. 153/2009, con la sperimentazione estesa a tutte le Regioni. Il DM 77/2022 ha inserito la farmacia nella rete territoriale accanto a Case della Comunità e assistenza domiciliare. L’emergenza pandemica ha portato in farmacia tamponi, vaccinazioni e certificazioni. È arrivata la telemedicina di primo livello, con elettrocardiogrammi e holter telerefertati. È arrivato il Fascicolo sanitario elettronico 2.0, che la farmacia alimenta e, con il consenso del paziente, consulta. È arrivato il dossier farmaceutico. E il Regolamento (UE) 2025/327 sullo spazio europeo dei dati sanitari, in vigore dal 26 marzo 2025 e applicabile per fasi a partire dal 2029, farà della dispensazione elettronica una delle prime categorie prioritarie di dati scambiate a livello europeo.

Un chiarimento reso quando la farmacia dispensava farmaci e prenotava visite non può essere applicato meccanicamente a una farmacia che eroga prestazioni sanitarie, referta a distanza e alimenta il fascicolo di ogni cittadino.

Le catene non sono farmacie singole

Dal 2017, con la legge annuale per il mercato e la concorrenza n. 124, la titolarità delle farmacie è aperta alle società di capitali. Sono nate catene che controllano decine o centinaia di esercizi, con un unico titolare del trattamento, gestionali centralizzati, programmi di fidelizzazione comuni, dataset unificati.

Per questi soggetti la questione non ammette dubbi: il numero di interessati è nell’ordine delle centinaia di migliaia, il trattamento è regolare e sistematico, i dati sono in larga parte sanitari. Ricorrono contemporaneamente le lettere b) e c) dell’articolo 37, paragrafo 1. Eppure l’affermazione categorica «le farmacie non devono designare il DPO» è stata recepita anche da loro, in forza di un comunicato pensato per la farmacia a conduzione familiare.

Il punto che nessuno considera: l’esenzione va dimostrata

Anche ammettendo che una determinata farmacia sia effettivamente fuori dall’obbligo, resta un problema che il dibattito ha completamente ignorato.

Le Linee guida WP243 sono esplicite: quando la designazione non è obbligatoria, il titolare deve documentare l’analisi interna svolta per accertarlo e conservarla, così da poterla esibire all’autorità di controllo. È la traduzione operativa del principio di responsabilizzazione degli articoli 5, paragrafo 2, e 24 del Regolamento.

Ne discende una conseguenza che vale per la quasi totalità delle farmacie italiane: chi non ha nominato il DPO perché «lo ha detto Federfarma» non ha compiuto alcuna valutazione, non ha nulla da esibire e si trova quindi in una posizione di non conformità a prescindere da quale sia la risposta corretta nel merito. Non è la mancata nomina a essere contestabile, ma la mancanza della decisione motivata.

Un’affermazione di categoria non è un atto di accountability. L’accountability, per definizione, non è delegabile a un’associazione di rappresentanza.

La domanda giusta

Vale infine la pena ricordare che l’articolo 37, paragrafo 4, consente sempre la designazione volontaria, e che le stesse WP243 la raccomandano come buona prassi per i soggetti privati che svolgono compiti di interesse pubblico – categoria in cui la farmacia convenzionata rientra senza sforzo, essendo l’assistenza farmaceutica un servizio pubblico essenziale. Attenzione, però: una volta designato, anche volontariamente, il DPO è soggetto integralmente agli articoli 37, 38 e 39, e la designazione va comunicata al Garante.

La domanda che il titolare di farmacia dovrebbe porsi, dunque, non è «sono obbligato?», ma: quanti interessati tratto, con quali dati, per quanto tempo, con quale estensione? E, soprattutto: dove ho scritto la risposta?

Perché il giorno di un’ispezione – e le farmacie sono già rientrate nei piani ispettivi dell’Autorità – la domanda non sarà se il DPO fosse obbligatorio. Sarà: mi mostri come lo avete stabilito.

Fonti

• Regolamento UE 2016/679, artt. 5, 24, 30, 37, 38, 39; Considerando 91.
• Garante per la protezione dei dati personali, Chiarimenti sull’applicazione della disciplina per il trattamento dei dati relativi alla salute in ambito sanitario, provv. 7 marzo 2019, n. 55, doc. web 9091942.
• Gruppo di lavoro art. 29, Linee guida sui Responsabili della protezione dei dati (RPD), WP243 rev.01, adottate il 5 aprile 2017, punto 2.1.3, fatte proprie dall’EDPB con Endorsement n. 1/2018.
• Federfarma, comunicato agli associati sugli adempimenti GDPR, marzo 2018.
• Lgs. 3 ottobre 2009, n. 153, e L. 18 giugno 2009, n. 69 (farmacia dei servizi).
• 4 agosto 2017, n. 124, art. 1, commi 157 e ss. (titolarità in forma societaria).
• M. 23 maggio 2022, n. 77 (modelli e standard per l’assistenza territoriale).
• Regolamento (UE) 2025/327 sullo spazio europeo dei dati sanitari.