Articolo a cura di: Redazione - Studio Legale Calvello
Le farmacie utilizzano sempre più spesso e-mail e newsletter per comunicare con i clienti, informare sulla disponibilità di prodotti, ricordare appuntamenti e proporre iniziative commerciali. Quando queste comunicazioni contengono tracking pixel capaci di rilevare l’apertura dei messaggi, il trattamento dei dati personali richiede verifiche ulteriori, soprattutto se le informazioni raccolte possono essere collegate agli acquisti di medicinali, alle prestazioni sanitarie o alle condizioni di salute degli interessati. Il consenso a ricevere comunicazioni promozionali non autorizza automaticamente qualsiasi forma di tracciamento o profilazione. Per il titolare della farmacia, il problema consiste nel distinguere le finalità dei diversi trattamenti, verificare la configurazione delle piattaforme utilizzate e documentare le condizioni che rendono lecito l’invio delle comunicazioni. In presenza di campagne già attive, database storici o contestazioni dei clienti, può essere necessaria una valutazione legale delle procedure adottate.
Newsletter e tracking pixel nelle farmacie: quando una comunicazione commerciale diventa un trattamento di dati sanitari
Una farmacia può raccogliere l’indirizzo e-mail di un cliente per molte ragioni: gestire una prenotazione, comunicare l’arrivo di un medicinale, trasmettere informazioni relative a un acquisto oppure inviare promozioni. Queste attività non hanno necessariamente la stessa finalità e non possono essere considerate indistintamente autorizzate perché il cliente ha comunicato il proprio indirizzo. Il dato raccolto per eseguire un servizio sanitario o commerciale non diventa automaticamente utilizzabile per campagne pubblicitarie. Occorre individuare la base giuridica pertinente a ciascun trattamento e rispettare le disposizioni specifiche sulle comunicazioni promozionali.
La questione assume particolare delicatezza quando la farmacia utilizza software di newsletter che inseriscono nei messaggi immagini invisibili o altri identificativi tecnici. Il tracking pixel può consentire alla piattaforma di registrare il caricamento di una risorsa associata a un determinato destinatario, ricavando informazioni sull’apertura apparente dell’e-mail, sull’orario dell’evento e, secondo la configurazione, su ulteriori elementi tecnici. Questi dati possono essere associati all’indirizzo e-mail, al profilo cliente o alle successive interazioni con la campagna. La semplice presenza di un pixel non comporta necessariamente un trattamento di dati relativi alla salute, ma la valutazione cambia quando il tracciamento è collegato a informazioni sanitarie o permette di ricavarle.
Consideriamo una farmacia che invia una newsletter dedicata ai prodotti per il controllo della glicemia. Se il sistema registra individualmente quali destinatari aprono il messaggio e utilizza questa informazione per creare segmenti commerciali, può emergere un’inferenza sulle condizioni di salute o sugli interessi sanitari delle persone. La sola apertura di un messaggio non dimostra che il destinatario sia affetto da una determinata patologia. Ciò non esclude che, nel contesto di una profilazione individuale, le informazioni elaborate possano assumere la natura di dati relativi alla salute ai sensi dell’articolo 9 del Regolamento (UE) 2016/679.
Il rischio aumenta quando il sistema di marketing viene collegato al gestionale della farmacia. Uno storico di acquisti, prescrizioni, prenotazioni o prestazioni sanitarie può consentire di costruire profili molto dettagliati. Utilizzare queste informazioni per selezionare i destinatari di campagne promozionali richiede una valutazione autonoma rispetto al trattamento originariamente effettuato per la dispensazione dei medicinali o l’erogazione del servizio. La liceità del trattamento sanitario originario non legittima automaticamente il successivo impiego dei dati per finalità pubblicitarie.
È necessario distinguere anche le comunicazioni strettamente funzionali al servizio dalle iniziative commerciali. Un messaggio che informa il cliente della disponibilità di un prodotto prenotato presenta caratteristiche differenti da una newsletter che propone nuovi acquisti. Se nella comunicazione di servizio vengono inserite offerte personalizzate o strumenti di monitoraggio destinati ad alimentare successive campagne promozionali, occorre esaminare separatamente queste ulteriori finalità. La qualificazione dell’e-mail come transazionale non rende automaticamente lecito qualsiasi tracciamento incorporato nel messaggio.
Per le farmacie, il primo controllo consiste quindi nel ricostruire quali indirizzi vengono utilizzati, da quali sistemi provengono, quali categorie di informazioni sono associate ai destinatari e quali dati vengono effettivamente raccolti dalle piattaforme di invio. Questa ricognizione permette di individuare eventuali utilizzi commerciali di informazioni raccolte per finalità sanitarie, prima ancora di affrontare la validità dei consensi o l’adeguatezza delle informative.
Consenso GDPR, dati relativi alla salute e promozioni: quali verifiche deve effettuare la farmacia
La disciplina applicabile alle e-mail promozionali deve essere ricostruita considerando congiuntamente il GDPR e l’articolo 130 del D.Lgs. 196/2003. Per l’invio di comunicazioni commerciali mediante posta elettronica, la regola generale è quella del consenso preventivo, salvo le specifiche condizioni previste dalla normativa. Quando il trattamento coinvolge dati relativi alla salute, occorre anche individuare una delle condizioni di liceità stabilite dall’articolo 9 del GDPR. Il consenso al marketing e l’eventuale consenso esplicito al trattamento di dati sanitari rispondono a requisiti giuridici che devono essere verificati rispetto alle concrete finalità perseguite.
Un punto particolarmente delicato riguarda il cosiddetto soft spam, disciplinato dall’articolo 130, comma 4, del Codice Privacy. La disposizione consente, a determinate condizioni, l’utilizzo dell’indirizzo e-mail acquisito nel contesto della vendita di un prodotto o servizio per promuovere prodotti o servizi propri analoghi, purché l’interessato sia stato adeguatamente informato e possa opporsi al trattamento inizialmente e in occasione delle successive comunicazioni. Questa disciplina non costituisce un’autorizzazione generale alla profilazione sanitaria né permette di utilizzare indiscriminatamente dati sulle prescrizioni o sulle patologie per selezionare le offerte. La sua applicabilità deve essere verificata anche rispetto alla natura dei prodotti promossi e alla provenienza dell’indirizzo utilizzato.
Una farmacia che dispone di migliaia di contatti raccolti negli anni non può presumere che tutti siano utilizzabili per newsletter commerciali. Alcuni indirizzi potrebbero essere stati acquisiti esclusivamente per prenotazioni, fatturazione, consegna di prodotti o comunicazioni relative a prestazioni sanitarie. Altri potrebbero essere accompagnati da consensi formulati in termini generici, privi di indicazioni sulle effettive finalità del trattamento. Prima di utilizzare questi contatti occorre verificare la documentazione disponibile, la validità delle autorizzazioni eventualmente raccolte e la possibilità di dimostrare la liceità delle attività svolte.
Il tracciamento delle aperture richiede un esame ulteriore. Quando il pixel permette di associare l’evento a un destinatario identificato o identificabile, non è sufficiente considerarlo una semplice funzione statistica del software. Devono essere valutate la finalità del monitoraggio, le informazioni effettivamente raccolte, la base giuridica e le condizioni previste dalla disciplina applicabile. Le indicazioni del Garante Privacy sui tracking pixel nelle e-mail e nelle newsletter costituiscono un riferimento specifico per esaminare il trattamento e le eventuali deroghe, senza presumere che ogni funzione di misurazione delle aperture abbia identiche caratteristiche tecniche o giuridiche.
Occorre prestare attenzione alla distinzione tra statistiche realmente aggregate e monitoraggio individuale. Un report che presenta soltanto dati complessivi, senza possibilità di risalire ai destinatari, pone questioni differenti rispetto a un sistema che conserva per ciascun cliente le aperture, i clic e le interazioni. La successiva aggregazione dei risultati non rende necessariamente anonima la raccolta iniziale. Analogamente, l’eventuale consenso al tracciamento deve essere valutato separatamente dall’autorizzazione a ricevere comunicazioni commerciali, quando le finalità e le condizioni giuridiche lo richiedono.
La farmacia deve inoltre controllare il funzionamento delle revoche. Un cliente potrebbe voler continuare a ricevere comunicazioni promozionali senza accettare determinate attività di monitoraggio, ove queste siano basate su un consenso distinto. Il sistema informatico deve essere in grado di rispettare le preferenze applicabili, evitando che l’aggiornamento del gestionale o una successiva importazione dei contatti riattivi funzioni di tracciamento non autorizzate. Per approfondire questo problema è utile esaminare le modalità di revoca del tracciamento senza rinunciare alla newsletter.
Un’ulteriore verifica riguarda i soggetti che materialmente gestiscono le campagne. Se la farmacia affida l’invio delle newsletter a un’agenzia marketing o utilizza una piattaforma esterna, deve accertare i rispettivi ruoli privacy, le operazioni consentite e le eventuali condizioni di nomina del responsabile del trattamento ai sensi dell’articolo 28 del GDPR. La presenza di un contratto con il fornitore non esaurisce gli obblighi del titolare, che deve comprendere quali dati vengono comunicati, dove sono trattati, quali soggetti possono accedervi e se sono previsti trasferimenti verso Paesi terzi.
Questi controlli assumono un peso maggiore quando il database commerciale contiene informazioni che possono rivelare condizioni di salute. La separazione tra dati necessari all’attività sanitaria e dati utilizzabili per il marketing, insieme alla limitazione degli accessi e alla configurazione delle funzioni di profilazione, deve essere valutata prima dell’attivazione delle campagne. La farmacia deve poter ricostruire e documentare le scelte effettuate, soprattutto quando il software propone automaticamente funzionalità di monitoraggio individuale o segmentazione dei destinatari.
Controlli privacy, responsabilità della farmacia e rischi in caso di tracking non conforme
Quando una farmacia utilizza newsletter con tracking pixel, la verifica della conformità non può limitarsi all’esistenza di un’informativa privacy o alla presenza di una casella per il consenso. Occorre esaminare il funzionamento effettivo del sistema, partendo dalla raccolta degli indirizzi fino alla conservazione delle informazioni sulle aperture e sulle interazioni dei destinatari. La farmacia, in qualità di titolare del trattamento, deve essere in grado di dimostrare la liceità delle operazioni effettuate anche quando la gestione tecnica delle campagne è affidata a soggetti esterni.
Un primo controllo riguarda la configurazione della piattaforma di email marketing. Alcuni servizi consentono di attivare automaticamente il monitoraggio delle aperture, la registrazione dei clic e la creazione di segmenti di destinatari in base al comportamento rilevato. Queste funzioni devono essere esaminate singolarmente, verificando se siano necessarie per le finalità dichiarate e quali dati personali comportino la raccolta. La farmacia dovrebbe conoscere gli identificativi utilizzati, le informazioni trasmesse ai server del fornitore e i tempi di conservazione applicati. Non è sufficiente che il software presenti le statistiche come aggregate quando, nelle fasi precedenti, registra eventi riconducibili ai singoli clienti.
La valutazione diventa più delicata se il sistema di newsletter comunica con il gestionale della farmacia. L’associazione tra indirizzo e-mail, storico degli acquisti e comportamento del destinatario può consentire trattamenti di profilazione che coinvolgono informazioni sanitarie. In questi casi occorre verificare la necessità di una valutazione d’impatto ai sensi dell’articolo 35 del GDPR, considerando natura, contesto, finalità e rischi del trattamento. La DPIA non è automaticamente obbligatoria per ogni newsletter, ma può diventarlo quando il trattamento presenta un rischio elevato per i diritti e le libertà delle persone fisiche. Per approfondire i presupposti della valutazione è possibile consultare il nostro articolo sulla DPIA e sui casi in cui l’azienda deve effettuare una valutazione d’impatto privacy.
Un altro aspetto riguarda la documentazione. Le attività di marketing e di eventuale profilazione devono essere correttamente rappresentate nel registro dei trattamenti, quando applicabile, con indicazione delle finalità, delle categorie di interessati e dati, dei destinatari, dei tempi di conservazione e delle misure di sicurezza. Le informative devono descrivere in modo comprensibile le operazioni realmente effettuate. I contratti con i fornitori che operano come responsabili del trattamento devono disciplinare le rispettive attività secondo l’articolo 28 del GDPR, senza lasciare indeterminate le modalità di accesso ai dati o il ricorso a ulteriori subresponsabili.
La farmacia deve inoltre valutare se i dati utilizzati per le campagne siano accessibili a personale non autorizzato o a fornitori che non hanno necessità di conoscere informazioni sanitarie. Un’agenzia incaricata della promozione di prodotti parafarmaceutici, ad esempio, non dovrebbe ricevere indiscriminatamente lo storico delle prescrizioni o delle prestazioni sanitarie dei clienti. La minimizzazione dei dati e la separazione delle finalità devono trovare applicazione nelle autorizzazioni informatiche, nelle procedure interne e nelle istruzioni impartite ai soggetti coinvolti.
Le irregolarità possono emergere anche dopo l’avvio delle campagne. Un cliente potrebbe chiedere quali informazioni siano state raccolte sulle sue aperture, contestare l’utilizzo del proprio indirizzo per finalità pubblicitarie o rivolgersi al Garante per la protezione dei dati personali. In queste situazioni la farmacia deve ricostruire il trattamento, verificare la documentazione disponibile e rispondere alle richieste dell’interessato nei termini previsti dalla normativa. L’eventuale assenza di una base giuridica valida, l’utilizzo incompatibile di dati sanitari o il mancato rispetto delle opposizioni possono determinare interventi correttivi dell’Autorità e, ricorrendone i presupposti, sanzioni amministrative.
Se viene accertato internamente che una campagna ha utilizzato dati o funzioni di tracciamento senza le condizioni giuridiche necessarie, occorre valutare tempestivamente la sospensione delle operazioni interessate, la correzione delle configurazioni e le misure necessarie per impedire ulteriori trattamenti illeciti. La sola irregolarità del consenso non integra automaticamente un data breach: quest’ultimo richiede una violazione della sicurezza che comporti, accidentalmente o in modo illecito, distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati personali. La distinzione è importante per individuare correttamente gli obblighi applicabili, compresa l’eventuale notifica al Garante.
Per le farmacie che effettuano trattamenti complessi di dati sanitari, il coinvolgimento del DPO, quando nominato, può consentire una valutazione coordinata delle attività di marketing e delle procedure di protezione dei dati. La nomina del responsabile della protezione dei dati non è automaticamente obbligatoria per ogni farmacia privata: occorre verificare i presupposti dell’articolo 37 del GDPR, anche in relazione alla natura e alla scala dei trattamenti. Abbiamo affrontato specificamente questi aspetti nell’approfondimento dedicato al DPO per farmacie, agli obblighi di nomina e alle attività da seguire.
Consideriamo il caso ipotetico di una farmacia che utilizza un gestionale collegato a una piattaforma di email marketing. Gli indirizzi dei clienti sono stati raccolti nel corso degli anni per prenotazioni, acquisti e richieste di informazioni. Successivamente, la farmacia ha attivato newsletter promozionali con tracking delle aperture e segmentazione automatica dei destinatari sulla base dei prodotti acquistati.
Durante una verifica emerge che alcune campagne sono associate a categorie di medicinali dalle quali potrebbero essere ricavate informazioni sulle condizioni di salute. Il sistema registra individualmente le aperture e utilizza questi eventi per selezionare i destinatari dei messaggi successivi. La documentazione disponibile non permette inoltre di ricostruire con sufficiente precisione quali clienti abbiano autorizzato le diverse finalità.
In una situazione di questo tipo, il nostro intervento professionale consisterebbe nell’esaminare i flussi di dati tra gestionale e piattaforma, verificare le basi giuridiche, controllare i consensi documentati e individuare le funzioni da sospendere o riconfigurare. Particolare attenzione richiederebbe la separazione tra informazioni sanitarie e attività commerciali. La riorganizzazione dovrebbe comprendere l’aggiornamento delle procedure e della documentazione privacy, oltre alla verifica dei rapporti contrattuali con i fornitori. L’eventuale ripresa delle campagne dipenderebbe dalla liceità delle specifiche operazioni e dall’effettiva attuazione delle misure individuate.
FAQ: e-mail promozionali, tracking pixel e dati sanitari nelle farmacie
La regola generale per le comunicazioni promozionali mediante e-mail è il consenso preventivo. L’articolo 130, comma 4, del Codice Privacy prevede una specifica eccezione per la promozione di prodotti o servizi propri analoghi a quelli già acquistati, nel rispetto delle condizioni stabilite dalla disposizione. Questa possibilità non autorizza automaticamente la profilazione sanitaria o il tracciamento individuale delle aperture.
Non necessariamente. Occorre verificare le finalità del tracciamento, le informazioni raccolte e la disciplina applicabile. Quando il monitoraggio costituisce un trattamento distinto basato sul consenso, l’autorizzazione deve rispettare i requisiti di specificità, informazione e libertà previsti dal GDPR. La semplice iscrizione alla newsletter non può essere considerata un’autorizzazione indiscriminata a qualsiasi attività di profilazione.
La farmacia può utilizzare gli acquisti di medicinali per inviare offerte personalizzate?
L’utilizzo dello storico degli acquisti per finalità promozionali richiede particolare cautela, perché può coinvolgere dati relativi alla salute o informazioni dalle quali ricavare condizioni sanitarie. Il trattamento deve avere una base giuridica valida ai sensi dell’articolo 6 del GDPR e, quando ricade nell’articolo 9, una specifica condizione che consenta il trattamento delle categorie particolari di dati. La disponibilità delle informazioni nel gestionale non ne legittima automaticamente l’utilizzo pubblicitario.
La farmacia, quale titolare del trattamento, conserva le responsabilità che il GDPR le attribuisce anche quando utilizza una piattaforma esterna. Il fornitore può assumere proprie responsabilità in relazione al ruolo effettivamente svolto e agli obblighi applicabili. È necessario verificare le impostazioni del software, i contratti, le istruzioni impartite e le operazioni concretamente effettuate.
Deve anzitutto verificare le caratteristiche del tracciamento, le finalità perseguite e le basi giuridiche disponibili. Se emergono trattamenti illeciti, occorre individuare le misure correttive, valutare la sospensione delle funzioni interessate e verificare gli eventuali obblighi ulteriori. La gestione di reclami, richieste degli interessati o accertamenti del Garante richiede una ricostruzione documentata delle attività svolte.
Le farmacie che utilizzano newsletter, CRM e piattaforme di marketing devono poter distinguere i dati necessari all’erogazione dei servizi sanitari dalle informazioni trattate per finalità promozionali. Quando le campagne prevedono tracking individuale, segmentazione dei clienti o utilizzo dello storico degli acquisti, una verifica giuridica e tecnica può individuare criticità nei consensi, nelle informative, nei contratti con i fornitori e nelle configurazioni dei sistemi.
Noi dello Studio Legale Calvello assistiamo farmacie, società titolari di farmacie e gruppi organizzati nella valutazione della conformità GDPR, nella revisione delle procedure di marketing, nella gestione dei rapporti con i fornitori e nell’esame di contestazioni relative al trattamento dei dati personali. L’attività può comprendere anche il supporto al DPO e la verifica della documentazione necessaria per dimostrare le scelte effettuate dal titolare.
Per richiedere una valutazione delle newsletter già utilizzate, delle funzioni di tracking pixel o delle procedure di trattamento dei dati sanitari, è possibile contattare lo Studio Legale Calvello per una consulenza in materia di privacy e compliance aziendale.
