Vendita di farmaci online e trattamento dei dati di acquisto: si esprime la Corte di Giustizia Ue

I dati di acquisto di farmaci non soggetti a prescrizione medica, venduti online da una farmacia autorizzata, non devono essere considerati dati relativi alla salute ai sensi del Gdpr. Possono quindi essere trattati senza la preventiva raccolta del consenso dell’interessato. Ne consegue che non costituisce atto di concorrenza sleale nei confronti di una farmacia, la condotta di un’altra farmacia che venda i propri farmaci online senza raccogliere preventivamente il consenso degli acquirenti. Sono queste le conclusioni rese da Maciej Szpunar, avvocato generale della Corte di Giustizia dell’Unione europea (Cgue) nella causa C-21/23, pubblicate lo scorso 25 aprile.

I fatti e la questione sottoposta alla Corte

La domanda di pronuncia pregiudiziale rivolta alla Corte di Giustizia si inserisce nel contesto di un’azione inibitoria promossa a livello nazionale da una farmacia tedesca (DR) allo scopo di porre fine alla commercializzazione online parte di una farmacia concorrente (ND), attraverso Amazon, di medicinali non soggetti a prescrizione.

A detta della ricorrente, ND avrebbe violato l’articolo 9 del Gdpr per avere trattato i dati dei clienti che avevano ordinato i medicinali online (nominativi, indirizzi di consegna e informazioni relative al prodotto ordinato) senza raccoglierne preventivamente il consenso. Ciò avrebbe legittimato DR ad agire per inibire tale condotta, poiché ai sensi del diritto tedesco la violazione di una norma di legge, compresa la normativa privacy, può costituire un atto di concorrenza sleale da parte di una impresa a danno di un’altra.

Il tribunale tedesco di primo grado (Tribunale del Land di Dessau-Roßlau) accoglieva il ricorso di DR, ritenendo che la commercializzazione su Amazon di medicinali costituisse un trattamento di dati relativi alla salute, a cui i clienti di ND non avrebbero espressamente acconsentito (circostanza che legittimerebbe l’azione inibitoria promossa dalla ricorrente ai sensi del diritto tedesco in materia di concorrenza).

Nel successivo giudizio di secondo grado davanti al Tribunale superiore del Land di Namburg, la corte rigettava l’appello proposto dalla soccombente ND, che presentava ricorso per cassazione davanti al Bundesgerichtshof, il quale sospendeva il giudizio e sottoponeva alla Cgue, fra le altre, la seguente questione pregiudiziale: “Se i dati che i clienti di un farmacista, che interviene in qualità di venditore su una piattaforma di vendite online, forniscono su tale piattaforma, quando ordinano medicinali la cui vendita sia effettivamente riservata alle farmacie ma che non sono tuttavia soggetti a prescrizione medica (nome del cliente, indirizzo di consegna e informazioni necessarie all’individuazione del medicinale ordinato la cui vendita è riservata alle farmacie), siano dati relativi alla salute ai sensi dell’articolo 9, paragrafo 1, del RGPD e dell’articolo 8, paragrafo 1, della direttiva 95/46”.

I dati “relativi” alla salute

Ai sensi dell’articolo 4, punto 15, del Gdpr e del Considerando numero 35, per “dati relativi alla salute” si intendono i dati personali attinenti alla salute fisica o mentale di una persona fisica che rivelano informazioni relative al suo stato di salute, tra le quali qualsiasi informazione riguardante una malattia, una disabilità, il rischio di malattie, l’anamnesi medica, i trattamenti clinici o lo stato fisiologico o biomedico dell’interessato, indipendentemente dalla sua fonte. In altre parole, l’elemento determinante per stabilire se i dati siano relativi alla salute è il fatto che sia possibile o meno trarre, da tali informazioni, conclusioni sullo stato di salute dell’interessato. La medesima linea è altresì confermata dall’European Data Protection Board (Linee-guida 03/2020 sul trattamento dei dati relativi alla salute a fini di ricerca scientifica nel contesto dell’emergenza legata a Covid 19).

Il Gdpr all’articolo 9 pone un generale divieto di trattare tali dati, salvo che ricorra una delle condizioni elencate al secondo paragrafo, tra le quali il consenso espresso dell’interessato. Quale considerazione generale, l’acquisto di farmaci può certamente essere idoneo a disvelare informazioni relative alla salute del suo acquirente, essendo il farmaco il prodotto per la salute per eccellenza; tuttavia, nella specifica fattispecie posta all’attenzione della Corte, l’avvocato generale ha ritenuto tale collegamento tra acquisto dei medicinali e lo stato di salute degli acquirenti troppo tenue per potere rientrare nell’ambito dell’articolo 9 Gdpr.

Le conclusioni dell’avvocato generale

In particolare, secondo Szpunar, nel caso di acquisto di farmaci non soggetti a prescrizione medica per tramite di una piattaforma online non è possibile trarre conclusioni certe sullo stato di salute dell’acquirente, a partire dai dati di condivisi in fase di acquisto, atteso che:

• i farmaci non soggetti a prescrizione medica sono, in linea di principio, destinati al trattamento di disturbi del quotidiano, non sintomatici di una patologia o di un particolare stato di salute (si pensi a prodotti a base di paracetamolo, indicati per il trattamento di diversi dolori e stati febbrili);
• tali farmaci sono spesso acquistati a titolo preventivo, per averli a disposizione in caso di necessità o prima di uno spostamento più o meno lungo dalla propria dimora abituale;
• l’acquisto potrebbe essere effettuato da una persona in favore di un’altra (es., il figlio per il padre) e, trattandosi di prodotti che non richiedono la prescrizione del medico, dai dati di acquisto non è possibile risalire all’effettivo utilizzatore;
• infine, non sempre i dati forniti al venditore/alla piattaforma nel contesto di un acquisto online consentono di risalire univocamente all’acquirente, sia egli o meno l’effettivo utilizzatore (specialmente, qualora la consegna sia effettuata presso un punto di ritiro, che è proprio una delle modalità messe a disposizione da Amazon).

Pertanto, alla luce di quanto sopra, i dati dei clienti di un farmacista trasmessi al momento dell’ordine su una piattaforma di vendita online di medicinali, la cui vendita è riservata alle farmacie ma che non sono soggetti a prescrizione, non sarebbero qualificati come “dati relativi alla salute” ai sensi degli articoli 4, punto 15, e 9 del Gdpr, in quanto da essi si possono trarre solo conclusioni ipotetiche o imprecise sullo stato di salute della persona che effettua l’ordine online. Sulla base di questo criterio si può altresì desumere, a contrario, che i dati relativi alla vendita (laddove consentito dagli ordinamenti nazionali) o alla prenotazione online di farmaci soggetti a prescrizione debbano in ogni caso essere considerati “dati relativi alla salute” e come tali soggetti a ulteriori vincoli e restrizioni.

Un cambio di paradigma?

In questo caso, dunque, l’avvocato generale ha adottato un’interpretazione restrittiva della nozione di “dati relativi alla salute”, laddove, fino ad oggi, la Corte di Giustizia ne ha sempre sostenuto un’interpretazione particolarmente estensiva, volta a garantire una maggiore protezione agli interessati, resa necessaria dalla natura particolarmente sensibile di tali informazioni che riguardano la vita privata e i diritti fondamentali della persona.

Infatti, la Corte di Giustizia ha interpretato la nozione di “categorie particolari di dati personali” in modo tale da riferirsi non solo a dati intrinsecamente sensibili, ma anche a dati che “svelano indirettamente, al termine di un’operazione intellettuale di deduzione o di raffronto, informazioni di tale natura” (Sentenza del 1 agosto 2022, Vyriausioji tarnybinės etikos komisija C‑184/20, EU:C:2022:601, punto 123)..

Le possibili implicazioni

In questa stessa direzione, si richiama anche – per quanto riguarda l’Italia – una recente ordinanza della Corte di Cassazione (numero 28417 dell’11 ottobre 2023) in cui si specifica che “dato sanitario” è qualsiasi informazione riferibile ad uno status della persona da cui si evince la necessità di assistenza medica, indipendentemente dalla specificità con cui essa viene indicata.

Pertanto, sarà particolarmente interessante vedere se la posizione dell’avvocato generale sarà confermata dalla decisione della Corte di Giustizia nelle prossime settimane, perché potrebbe aprire la strada a una valutazione più rigorosa sull’effettiva capacità di un’informazione di rivelare lo stato di salute di una persona e quindi di essere classificata come dato sanitario.