Obligații GDPR & NIS2 — CAEN 4773: Comerț cu amănuntul al produselor farmaceutice în magazine specializate

GDPR pentru farmacii — CAEN 4773

Farmaciile prelucrează date din categorii speciale conform art. 9 GDPR de la fiecare client care prezintă o rețetă: diagnosticul implicit din prescripție, istoricul de achiziție al medicamentelor cu prescripție și cardurile de fidelitate corelate cu achizițiile de medicamente creează profiluri sensibile ale clienților. Farmaciile sunt, alături de cabinetele medicale, printre cele mai expuse entități la sancțiuni GDPR din sectorul privat din România.

Date sensibile prelucrate în farmacie

• Rețete medicale — conțin diagnostic implicit, CNP-ul pacientului, datele medicului prescriptor; tratamente ca date de sănătate art. 9
• Istoricul de achiziție cu prescripție — un profil de cumpărare al medicamentelor cu prescripție este, per se, date de sănătate conform GDPR, chiar dacă nu conține un diagnostic explicit
• Carduri de fidelitate și programe de loialitate — dacă un card de fidelitate înregistrează achizițiile de medicamente, creează un profil de sănătate care necesită bază legală explicită și nota de informare specifică; cel mai frecvent risc subestimat în farmacii
• Sisteme de gestiune farmacie (FarmaManager, Farmec, WinPharm etc.) — furnizorul software este procesatorul tău; obligatoriu acord DPA scris

Cardurile de fidelitate — riscul specific farmaciilor

Corelarea achizițiilor de medicamente cu cardurile de identificare ale clienților creează profiluri de sănătate care se califică drept categorii speciale (art. 9 GDPR). Nota de informare trebuie să menționeze explicit acest scop și baza legală utilizată. Consimțământul pentru programul de loialitate nu poate fi condiție pentru eliberarea medicamentelor — o eroare frecventă în farmacii. Rețelele de farmacie cu mai multe puncte de lucru au obligații suplimentare: registru de prelucrări centralizat și proceduri armonizate.

DPO și NIS2 pentru farmacie

Farmaciile independente mici pot fi scutite de obligativitatea DPO dacă prelucrarea nu este la scară. Rețelele de farmacie și farmaciile cu volume mari de prescripții intră aproape sigur sub art. 37(1)(c). Sectorul farmaceutic retail este inclus în sectorul sănătate din NIS2, cu obligații de securitate cibernetică pentru entitățile de dimensiune medie și mare (50+ angajați sau 10M+ EUR).

Documente obligatorii minime

• Nota de informare a clienților afișată vizibil în farmacie și pe site (art. 13 GDPR)
• Politica de fidelizare cu nota de informare specifică pentru cardurile care înregistrează achiziții de medicamente
• DPA cu furnizorul software de gestiune farmacie
• Registrul de prelucrări (art. 30) — incluzând activitățile de operator și procesator

Analizează mai jos obligațiile complete ale farmaciei tale, adaptate dimensiunii și structurii specifice.