Pod koniec stycznia br. Główny Inspektor Farmaceutyczny (GIF) wydał komunikat, w którym ostrzega o możliwych konsekwencjach wyroku Trybunału Sprawiedliwości Unii Europejskiej (TSUE) dla aptek sprzedających produkty lecznicze za pośrednictwem ich stron internetowych. TSUE ocenił w wyroku, na wniosek sądu niemieckiego, czy dane przekazywane przez klientów apteki podczas składania zamówień, stanowią dane szczególnych kategorii. Wydaje się, że podmioty prowadzące apteki internetowe powinny zwrócić szczególną uwagę na ten wyrok i możliwe jego następstwa dla zapewnienia zgodności przetwarzania danych z przepisami prawa.
Szeroka definicja danych szczególnych kategorii
4 października 2024 r. TSUE wydał wyrok w sprawie C‑21/23. Sprawa miała swój początek przed sądem niemieckim, gdzie przedsiębiorca prowadzący aptekę internetową wniósł powództwo wobec innego przedsiębiorcy prowadzącego aptekę pod nazwą Lindenapotheke. W pozwie wskazał on, że pozwany prowadzi sprzedaż produktów leczniczych za pośrednictwem platformy Amazon, a do złożenia zamówienia klienci zobowiązani są do podania swoich danych osobowych, w tym informacji niezbędnych do indywidualizacji zamówionych produktów leczniczych. Powód domagał się zaniechania takiej działalności przez pozwanego do czasu aż zostanie zagwarantowane, że klient będzie mógł wyrazić zgodę na przetwarzanie danych dotyczących zdrowia. Wobec zapytania przesłanego przez sąd niemiecki, sprawa ostatecznie trafiła pod rozstrzygnięcie TSUE.
Jedną z kwestii, które były oceniane przez TSUE w wyroku była kwalifikacja danych osobowych podawanych przez klienta apteki w celu złożenia zamówienia. Trybunał orzekł, że jeżeli podmiot prowadzący aptekę wprowadza do obrotu za pośrednictwem platformy internetowej produkty lecznicze, których sprzedaż jest zastrzeżona dla aptek, to dane przekazywane przez klientów tej apteki, takie jak nazwisko, adres dostawy i informacje niezbędne do indywidualizacji zamówionych produktów leczniczych, stanowią dane szczególnych kategorii (dotyczące zdrowia), a więc dane osobowe, o których mowa w art. 9 RODO. Co istotne, TSUE wskazał, że dla takiej kwalifikacji nie ma znaczenia, że zakup danego produktu leczniczego nie wymaga okazania recepty. TSUE zauważył przy tym, że taki proces przetwarzania danych osobowych może ujawniać informacje dotyczące zdrowia, niezależnie od tego czy informacje te dotyczą klienta składającego zamówienia, czy też jakiejkolwiek innej osoby fizycznej.
GIF zwraca uwagę na możliwe konsekwencje wyroku TSUE
Pod koniec stycznia br. GIF opublikował komunikat, w którym informuje apteki prowadzące sprzedaż w Internecie o możliwych konsekwencjach wyroku TSUE. GIF zwraca uwagę na rozszerzenie definicji danych szczególnych kategorii (dotyczących zdrowia), co może wiązać się z koniecznością przeglądu dotychczas stosowanych rozwiązań w zakresie przetwarzania danych osobowych przez apteki internetowe. W ocenie GIF, w konsekwencji wyroku TSUE przedsiębiorcy prowadzący apteki internetowe powinni zwrócić uwagę m.in. na kwestie:
- treści klauzul informacyjnych publikowanych na stronach internetowych aptek, za pośrednictwem których prowadzą one sprzedaż produktów leczniczych;
- uzyskiwania wyraźnej zgody klientów aptek internetowych na przetwarzanie danych osobowych;
- dokumentacji w zakresie ochrony danych osobowych;
- zwiększonego ryzyka związanego z przetwarzaniem danych osobowych klientów aptek.
Jakie konsekwencje może mieć wyrok TSUE?
Dyskusyjne jest zakwalifikowanie przez TSUE wszystkich danych osobowych przekazywanych przez klienta apteki internetowej podczas składania zamówienia, w tym również jego nazwiska oraz adresu dostawy, jako danych dotyczących zdrowia.
Wydaje się jednak, że nie ma wątpliwości, że za takie dane mogą być uznane informacje dotyczące zamawianych przez klienta produktów leczniczych. Trybunał słusznie wskazuje w wyroku, że przetwarzanie danych szczególnych kategorii podlega szczególnemu reżimowi prawnemu, w tym w kontekście podstawy prawnej przetwarzania. TSUE podkreślił, że co do zasady przetwarzanie danych szczególnych kategorii jest zabronione, chyba że znajdzie zastosowanie jeden z wyjątków wskazanych w art. 9 ust. 2 RODO, w tym np. klient udzieli wyraźnej zgody na przetwarzanie danych lub przetwarzanie danych jest niezbędne do celów zapewnienie szeroko rozumianej opieki zdrowotnej, na podstawie przepisów prawa.
Wydaje się, że w kontekście przetwarzania danych osobowych klientów aptek internetowych zastosowanie znajdzie drugi ze wskazanych wyjątków, biorąc pod uwagę, że sprzedaż ta jest regulowana przepisami prawa farmaceutycznego.
Należy jednak pamiętać, że każdy proces przetwarzania powinien zostać przeanalizowany indywidualnie, w oparciu o okoliczności danej sprawy.
Nie ulega wątpliwości, że wyrok TSUE powinien być impulsem dla przedsiębiorców prowadzących sprzedaż produktów leczniczych w Internecie do przeglądu wdrożonych środków technicznych i organizacyjnych, pod kątem uwzględnienia kwestii przetwarzania danych szczególnych kategorii. Podczas takiego przeglądu, administrator powinien przeanalizować m.in.:
- jakie dane osobowe przetwarza oraz w jakim celu;
- na jakiej podstawie prawnej;
- czy wdrożona dokumentacja obejmuje kwestię przetwarzania danych szczególnych kategorii;
- czy klauzule informacyjne przekazywane klientom podczas zakupów produktów leczniczych obejmują kwestię przetwarzania takich danych;
- czy procesy przetwarzania danych szczególnych kategorii zostały ujęte w rejestrze czynności przetwarzania.
Podmioty prowadzące apteki internetowe powinny również zweryfikować, czy przeprowadzona analiza ryzyka obejmuje kwestię przetwarzania danych szczególnych kategorii oraz związane z tym zagrożenia dla osób, której dane dotyczą.
Warto zwrócić uwagę, że podmioty przetwarzające dane o stanie zdrowia zostały objęte planem kontroli sektorowych Urzędu Ochrony Danych Osobowych na 2025 r.
Wyrok TSUE:
Komunikat GIF:
https://www.gov.pl/web/gif/komunikat-glownego-inspektora-farmaceutycznego-z-dnia-30-stycznia-2025-r
