Vi allego il testo della privacy della fidelity card che ora sto facendo firmare ma che vorrei integrare.
La mia intenzione è di creare dei gruppi di clienti (attraverso l’uso appunto dei dati provenienti dalla fidelity) che abbiano le stesse necessità: per chi è diabetico di misurare la glicemia, per chi ha il colesterolo alto di misurare appunto il colesterolo o magari provare un integratore che potrebbe aiutarlo in tal senso, e così via.
Così non mi pare certo di promuovere farmaci, semmai integratori e comunque non facci sicuramente diagnosi.
Vorrei un vostro parere.

Il tema della tutela dei dati personali è notoriamente delicato e, per dire subito le cose come stanno, implica spesso – anche se questo aspetto sembra curiosamente sfuggire ai più – qualche intervento da parte del Titolare del trattamento [quindi del titolare individuale della farmacia o del rappresentante legale della società titolare], che si vanno evidentemente ad aggiungere a quelli che già per conto loro gravano, e talora pesantemente, sulla gestione dell’esercizio.
Ed è un tema tanto “sensibile” che Federfarma ha pensato giustamente di coinvolgere anche qui la piattaforma Promofarma, finalizzata a fornire al farmacista – anche in ossequio alle direttive impartite dal Garante Privacy – l’adeguato software per la gestione dei dati sensibili.
È ragionevole pensare che il titolare di farmacia sia tenuto a individuare comunque i dati trattati e valutare perciò quali adempimenti – tra quelli previsti dal Regolamento – porre in essere in relazione alla tipologia e alla quantità dei dati, ai rischi che vi sono connessi e agli ulteriori parametri disciplinati dalla nuova normativa.
Nel provvedimento del Garante vengono distinte tre finalità che possono essere perseguite con il trattamento dei dati della clientela:

– la fidelizzazione vera e propria;

– la profilazione; e

– il marketing diretto.

Inoltre, il Titolare del trattamento, sempre in conformità a quanto disposto dal GDPR, dovrà operare secondo i principi di necessità, liceità, correttezza e trasparenza, qualità dei dati e proporzionalità e dovrà anche adoperarsi – fin dalla progettazione del trattamento – per utilizzare quanto meno possibile dati che possano identificare il cliente, preferendo quindi tendenzialmente quelli anonimi, fermo che i dati devono comunque rispettare i canoni della pertinenza e della non eccedenza in relazione agli scopi dei vari trattamenti.
Perciò, al momento in cui fornisce i propri dati per aderire al programma di fidelizzazione, il cliente deve essere informato circa l’uso che la farmacia ne farà o potrà farne e l’informativa deve anche essere improntata alla chiarezza e alla completezza.
Il Garante precisa inoltre che “devono essere poste in distinta e specifica evidenza, le caratteristiche dell’eventuale attività di profilazione e/o di marketing”, e in particolare il cliente deve essere reso edotto che il consenso prestato ai detti fini è indipendente dalla fidelizzazione vera e propria e deve essere “specifico, informato e distinto per ciascuna di esse”.
Nell’operare il “trattamento” il Titolare del trattamento deve in ogni caso attenersi anche a quanto disposto dall’art. 5 par. 1 lett. e) del Regolamento UE n. 679/2016, per il quale “i dati devono essere conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per i quali sono trattati”.
Qui però va ricordato anche quanto previsto dal considerando 39 del Reg. UE: tale norma, accanto al principio della limitazione della conservazione, dispone che “onde assicurare che i dati personali non siano conservati più a lungo del necessario, il titolare del trattamento dovrebbe stabilire un termine per la cancellazione o per la verifica periodica”, ed è bene sottolineare che la verifica periodica è necessaria soprattutto nella conservazione dei dati ai fini del marketing.

  • Il c.d. principio dell’accountability e il Titolare del trattamento

Quando necessario – è chiaro – queste misure vanno riesaminate e aggiornate, ricordando che esse includono/dovrebbero includere – ove richiesto dalla specifica attività di trattamento – anche l’attuazione da parte del Titolare del trattamento di strategie adeguate appunto alla protezione dei dati.
In generale si deve però ritenere che il principio e i suoi vari contenuti derivano dalla concezione-base per la quale gli individui sono responsabili per le proprie azioni all’interno del sistema e devono, proprio per questo, renderne conto ai terzi che ne facciano richiesta.

  • L’accountability e il titolare della farmacia

Tuttavia questo principio – da cui crediamo discendano a carico del titolare di farmacia le prescrizioni che andremo a indicare – non prevede più un’acritica esecuzione di adempimenti cartacei o l’adozione di misure informatiche individuate in un elenco dal legislatore, ma, ben diversamente, sancisce per il Titolare del trattamento l’obbligo di mettere in atto misure tecniche e organizzative adeguate per garantire il rispetto delle disposizioni regolamentari e naturalmente il Titolare dovrà essere sempre in grado di dimostrare che il trattamento vi si sia nel concreto pienamente conformato.
Ma l’ambito in cui il farmacista dovrà verosimilmente meglio e più compiutamente adeguarsi al nuovo disciplinare sarà soprattutto proprio quello relativo alle campagne di fidelizzazione della clientela, attraverso le quali del resto vengono raccolti dati sensibili dietro la consegna della c.d. fidelity card infatti potrebbe essere utilizzata per finalità di profilazione così richiedendo una chiara e dettagliata applicazione appunto del principio dell’accountability.
Potranno essere raccolti ed utilizzati i dati pertinenti per l’invio di materiale pubblicitario – anche attraverso mail o sms – o di comunicazioni commerciali o per la vendita diretta: si tratta, di regola, dei soli dati direttamente correlati all’identificazione dell’intestatario della carta o di suoi familiari, ovvero di persone da lui indicate.
Il che, in ragione dell’accountability, imporrà che l’eventuale utilizzazione di dati personali derivanti dalla profilazione sia oggetto di un consenso differenziato dei diretti interessati.
In tal senso diventa quindi necessario anche un richiamo delle prescrizioni in merito alla

  • Informativa sulla privacy

Il GDPR, cioè, precisa le caratteristiche e i contenuti dell’Informativa sulla privacy che il Titolare del trattamento deve rendere nota – o consegnare anche con modalità informatiche – solo quando, nel caso della farmacia, tra questa e il cliente si instauri ad esempio, come accennato poco fa, un rapporto appunto di fidelizzazione.
Prima del conferimento dei dati e del rilascio della fidelity card [senza mai dimenticare che la farmacia non può consentirne l’utilizzo per l’acquisto o l’approvvigionamento di farmaci], pertanto, deve essere fornita al cliente un’informativa chiara e completa, al fine di consentire un’adesione del tutto consapevole alle iniziative proposte.
Nel rispetto del principio di correttezza non sono consentiti comportamenti suscettibili di incidere sulle scelte libere e consapevoli del cliente nell’adesione ai “programmi di fidelizzazione”.
Nello svolgimento delle operazioni preordinate al rilascio della “carta”, non può certo ritenersi corretto indurre il cliente ad aderire al programma senza aver avuto le spiegazioni e il tempo necessari per essere previamente informati così da maturare quel consenso consapevole [cui si è poco fa accennato] riguardo ai dati da fornire, specie in ordine alla profilazione o al marketing [come potrebbe, poniamo, accadere sollecitando una rapida sottoscrizione mentre il cliente è in fila alla cassa senza un esame preventivo di un’informativa].
L’informativa tuttavia può anche utilizzare – questo ci sembra opportuno precisarlo – formule sintetiche e, per così dire, colloquiali, purché chiare e inequivoche, e però deve contenere comunque tutti gli elementi richiesti dal Codice cosicché non sembra possano ritenersi consentiti generici riferimenti, e men che meno rinvii, a regolamenti di servizio non acclusi.
In ogni caso, l’informativa – quando inserita all’interno di moduli – va adeguatamente evidenziata e collocata in modo autonomo e unitario in un apposito riquadro, per essere così agevolmente individuabile rispetto ad altre clausole del regolamento di servizio eventualmente riportato in calce o a margine.
Vanno in particolare poste in distinta e specifica evidenza le caratteristiche dell’eventuale attività di profilazione e/o di marketing, come pure l’intenzione di cedere a terzi [specificamente individuati] i dati per finalità da indicare puntualmente.
Deve risultare parimenti chiara la circostanza che, per questi scopi, il conferimento dei dati e il consenso sono liberi e facoltativi rispetto alle ordinarie attività legate alla fidelizzazione in senso stretto.

  • I contenuti dell’informativa

Ecco però un breve elenco degli elementi imprescindibili dell’Informativa:

  • indicazione dei dati di contatto del responsabile del trattamento (se esistente);
  • precisazioni circa il trasferimento (eventuale) dei dati personali in Paesi terzi e in ordine agli strumenti utilizzati;
  • indicazione della base giuridica del trattamento e precisazioni sugli interessi che le regole sull’informativa intendono tutelare;
  • indicazione del periodo di conservazione dei dati (con i criteri adottati per stabilire tale periodo);
  • precisazioni sugli eventuali processi-base decisionali automatizzati (ad es. la profilazione), sulla loro logica e le conseguenze per gli interessati.

Con riguardo specifico, però, al farmacista/imprenditore e al trattamento di dati personali per finalità attinenti “in senso lato alla cura” [come le strategie di marketing], è opportuna un’ulteriore puntualizzazione.
Esattamente, come chiarisce anche qui il Garante, i trattamenti “attinenti solo in senso lato alla cura, ma non strettamente necessari” richiedono, anche se effettuati da un professionista della sanità, “una distinta base giuridica, da individuarsi eventualmente nel consenso dell’interessato o in un altro presupposto di liceità”.
I trattamenti in ambito sanitario, che pretendono il consenso esplicito dell’interessato, nel provvedimento n. 55 del 12 giugno 2019, sono [pur esemplificativamente] elencati/raggruppati in categorie diverse tra le quali però figurano altresì espressamente sia quella dei trattamenti preordinati alla fidelizzazione della clientela effettuati dalle farmacie [attraverso i programmi di, riportiamo testualmente, “accumulo punti, al fine di fruire di servizi e prestazioni accessorie attinenti al settore farmaceutico-sanitario, aggiuntivi rispetto alle attività di assistenza farmaceutica tradizionalmente svolta dalle farmacie territoriali pubbliche e private nell’ambito del Servizio sanitario nazionale (SSN)”] e sia quella dei trattamenti effettuati dai professionisti sanitari per finalità commerciali.
Confermata quindi la base giuridica del consenso, il trattamento dei dati personali della clientela – all’interno delle strategie di marketing – deve rispettare tutte le disposizioni previste nel GDPR.
Premesso tutto questo, indipendentemente dagli strumenti utilizzati [che siano cioè app, fidelity card e campagne promozionali], le strategie di vendita rientrano tutte, attenzione, nel novero delle operazioni svolte per finalità differenti dalla cura.
Il Titolare del trattamento deve pertanto sempre informare l’interessato sulle principali finalità dello stesso: anzi, deve farlo in modo chiaro e conciso e deve rispettare anche il principio di minimizzazione oltre a dover garantire un’adeguata sicurezza dei dati trattati, come sancito ancora una volta dai princìpi dell’art. 5 del GDPR.
Da ultimo, il ruolo di imprenditore/professionista del farmacista merita ancora una notazione: con il Regolamento resta cioè fermo e invariato, come del resto è opportunamente ribadito anche nel quesito, il divieto di trattare i dati sanitari per finalità di fidelizzazione e di profilazione della clientela, cosicché la profilazione – che rientra naturalmente anch’essa tra le finalità dei programmi fedeltà – può essere effettuata solo con dati anonimi o non identificativi e senza una relazione tra quelli che permettono di individuare gli interessati e le indicazioni relative agli acquisti effettuati, e ovviamente non può avere ad oggetto se non dati personali diversi da quelli “sensibili”.
Come si vede, in definitiva, il progetto fin troppo sintetizzato nel quesito [mancano infatti alcuni dati che in questa vicenda possono assumere grande rilievo non solo pratico] merita di essere attentamente scrutinato [anche] alla luce di quanto fin qui si è osservato, tanto più che la materia – almeno sulla carta molto complessa – non sembra destinata in un prossimo futuro ad individuare vie di autentica semplificazione.
Ma tutt’altro…

(gustavo bacigalupo- federico mongiello)

La SEDIVA e lo Studio Bacigalupo Lucidi prestano assistenza contabile, commerciale e legale alle farmacie italiane da oltre 50 anni!