Studio Cravero ConsultingAggiornato al 19 agosto 2026
Cosa tratta davvero una farmacia
L'elenco è più lungo di quanto sembri, e comprende trattamenti che raramente finiscono nel registro dell'art. 30.
- Ricetta elettronica e dematerializzata: codice fiscale, prescrizione, terapia
- Fascicolo Sanitario Elettronico, dove la farmacia è abilitata alla consultazione o all'alimentazione
- Farmaci con obbligo di registrazione e relativa documentazione
- Servizi in farmacia: misurazioni, screening, telemedicina, somministrazione vaccinale dove prevista
- Prenotazioni CUP e altri servizi di intermediazione
- Fidelity card e programmi di fidelizzazione
- Videosorveglianza dell'area vendita e del retro
- Dipendenti e collaboratori, con la sorveglianza sanitaria che ne consegue
- Preparazioni galeniche su prescrizione nominativa
Fidelity card: il punto più delicato
La conseguenza pratica: servono due consensi separati e revocabili in modo indipendente, uno per la partecipazione al programma e uno per l'analisi degli acquisti a fini di profilazione. E l'informativa deve spiegare chiaramente cosa viene dedotto dai dati, non limitarsi a menzionare la finalità di marketing.
La riservatezza al banco
È l'adempimento meno documentale e più concreto. Il Garante è intervenuto più volte sul tema della riservatezza nei luoghi aperti al pubblico dove si trattano dati sanitari, e la farmacia è il caso tipico: una fila, un bancone, e conversazioni che riguardano la salute.
Le misure che funzionano sono organizzative prima che tecnologiche:
- Segnalazione di una distanza di cortesia, rispettata anche quando c'è coda
- Uno spazio appartato per il consiglio e per i servizi che comportano misurazioni o colloquio
- Monitor non visibili dalla zona di attesa
- Formazione del personale su come si chiede e come si risponde a voce in presenza di terzi
- Gestione dei farmaci in consegna senza esporre nomi o terapie
Videosorveglianza
Ammessa per finalità di sicurezza, ma con vincoli precisi: informativa a due livelli con cartello ben visibile, angoli di ripresa limitati a quanto necessario, nessuna ripresa dell'area dove si svolge il colloquio riservato, tempi di conservazione contenuti e coordinamento con lo Statuto dei lavoratori per la parte che riguarda i dipendenti.
Gli adempimenti, in ordine
- Registro dei trattamenti completo, inclusi servizi e fidelizzazione
- Valutazione motivata sull'obbligo di DPO, da conservare anche se l'esito è negativo
- Informative per clienti, dipendenti e fornitori, distinte per finalità
- Nomine dei responsabili: gestionale, commercialista, consulente del lavoro, fornitori dei servizi in farmacia
- Autorizzazioni e istruzioni scritte per farmacisti e personale di banco
- Valutazione d'impatto dove ricorrono i presupposti, tipicamente su fidelity card con profilazione e videosorveglianza estesa
- Misure di riservatezza documentate, non solo adottate
- Procedura di data breach e formazione del personale
Se la farmacia usa strumenti di intelligenza artificiale — assistenti per il consiglio, analisi dei consumi, sistemi di previsione del magazzino — si aggiunge l'obbligo di alfabetizzazione del personale previsto dall'art. 4 dell'AI Act, in vigore dal 2 febbraio 2025.
Domande frequenti
Una farmacia deve nominare il DPO?
Non automaticamente. L'obbligo scatta quando il trattamento di categorie particolari avviene su larga scala, criterio che una singola farmacia difficilmente raggiunge mentre gruppi e catene con più esercizi rientrano più facilmente. La valutazione va comunque svolta e messa per iscritto: anche la decisione di non nominare il DPO è una scelta che va motivata e conservata.
La fidelity card richiede un consenso particolare?
Sì, se registra gli acquisti. I prodotti acquistati in farmacia possono rivelare informazioni sullo stato di salute, quindi la profilazione diventa un trattamento di categorie particolari e richiede un consenso esplicito, libero e distinto da quello per l'adesione al programma. I due consensi devono essere revocabili in modo indipendente.
Che misure servono per la riservatezza al banco?
Distanza di cortesia segnalata e fatta rispettare, uno spazio appartato per il consiglio e per i servizi, monitor non visibili dalla zona di attesa, gestione dei farmaci in consegna senza esporre nomi o terapie, e formazione del personale su come rivolgersi al cliente in presenza di altre persone.
Posso installare telecamere che riprendono il banco?
Sì per finalità di sicurezza, ma con limiti. Gli angoli di ripresa vanno contenuti a quanto strettamente necessario, l'area destinata al colloquio riservato non va inquadrata, servono informativa a due livelli con cartello visibile e tempi di conservazione limitati. Per la parte che riguarda i dipendenti si applica anche lo Statuto dei lavoratori.
I servizi di telemedicina in farmacia cambiano gli obblighi?
Sì, li aumentano. La telemedicina comporta il trattamento di dati sanitari con il coinvolgimento di fornitori tecnologici e professionisti esterni: vanno definiti i ruoli, formalizzate le nomine, valutato l'impatto e disciplinata la conservazione dei referti. È uno degli ambiti in cui l'assetto documentale va costruito prima di avviare il servizio.
Quanto costa mettere a norma una farmacia?
Dipende dall'ampiezza dei servizi offerti e dallo stato di partenza della documentazione. Una farmacia con soli servizi tradizionali richiede un intervento contenuto; una che eroga telemedicina, screening e programmi di fidelizzazione con profilazione richiede un lavoro più articolato. La prima call di valutazione è gratuita.
Approfondimenti: GDPR per la sanità · valutazione d'impatto · informative privacy · cosa fa il DPO.
A cura del Dott. Pietro Cravero, DPO certificato (IDcert, Master II livello in Trattamento dei Dati Personali — Università Roma Tre). Studio Cravero Consulting ricopre il ruolo di DPO esterno per aziende, studi professionali ed enti pubblici in tutta Italia. Chi sono.
La tua farmacia ha una valutazione scritta sul DPO?
Anche decidere di non nominarlo è una scelta da motivare e conservare. La prima call è gratuita e serve a fare il punto.