Cuantos menos datos guardas, menos tienes que proteger y menos te pueden sancionar. Es la idea más simple del RGPD y la que más se olvida en el mostrador.
Un encargo no necesita casi nada para funcionar: saber qué es, para quién y cómo avisarle. Todo lo demás es riesgo sin beneficio.
Por qué importa
Desde la sentencia Lindenapotheke del Tribunal de Justicia de la UE (octubre de 2024), está claro que los datos de quien encarga a una farmacia medicamentos de venta exclusiva en farmacia son datos de salud, aunque no necesiten receta. Y los datos de salud son una categoría especial: tratarlos mal sale caro.
En 2025 la AEPD sancionó a una farmacia (resolución PS-00187-2025) que llevaba, fuera de su sistema de receta, un Excel con más de 1.700 registros: código de identificación del paciente, nombre, médico y medicamento. Estaba en el escritorio de los ordenadores del mostrador, con una sola contraseña para todos, y no se informaba a los clientes. La multa fue de 16.000 €, que quedaron en 9.600 € por reconocer los hechos y pagar voluntariamente.
Lo que sí necesitas
Para un encargo normal, esto es suficiente:
- Nombre, o nombre e inicial del apellido.
- Teléfono, para avisarle, y si acepta que sea por WhatsApp.
- Producto, con su presentación.
- Fecha en que se apunta y fecha prevista.
- Precio aproximado y lo que ha pagado a cuenta.
- Estado y dónde está guardado.
- Quién lo atendió, como dato interno del equipo.
Para guardarlos no necesitas pedir un consentimiento: la base es el propio encargo que te pide el cliente, junto con la excepción de asistencia sanitaria del artículo 9.2.h) del RGPD para los datos de salud. Lo que sí necesitas es informarle.
Lo que mejor no apuntes
- El número de tarjeta sanitaria o el código del paciente. Para un encargo no sirve de nada, y para la receta ya está el sistema oficial.
- El DNI, salvo que haga falta de verdad.
- El diagnóstico o el motivo: «para la tensión», «para su madre con alzhéimer». Es justo lo que convierte un encargo en un dato de salud explícito.
- El médico o el centro de salud, salvo que lo necesites para gestionar una receta pendiente concreta.
- Copias o fotos de recetas fuera del sistema oficial.
- Fotos de la libreta enviadas por WhatsApp al móvil de alguien.
El Real Decreto 1718/2010 dice que, tras dispensar una receta electrónica del sistema de salud, la farmacia solo puede conservar la información necesaria para la facturación. Es el mismo espíritu: guarda lo que necesitas para hacer tu trabajo, no más.
La misma línea, bien y mal
Así se ve la diferencia en una línea de la libreta o del programa:
Carmen López, DNI 0000000X, tarjeta CIP xxxx. Pastillas de la tensión que le manda la Dra. Ruiz. Para su marido, que está con quimio.
Carmen L. · 6xx xxx xxx · WhatsApp: sí · Producto pedido · 12,50 € · Por pedir · Apuntó: MR
Las dos sirven igual para pedir el producto y avisar a Carmen. Pero la primera tiene un DNI, un número de tarjeta, una médica, una enfermedad y un tratamiento de un tercero. Si esa libreta se pierde o alguien la fotografía, el problema es serio. Con la segunda, casi no hay nada que proteger.
Cuánto tiempo guardarlo
No hay ninguna norma que fije un plazo para los encargos, y la AEPD no valida tablas generales: cada responsable fija los suyos y tiene que poder justificarlos. Un criterio razonable:
- Mientras el encargo esté abierto, todo lo necesario para gestionarlo.
- Cuando se entrega o se cancela, borra o anonimiza los datos de contacto que ya no necesitas.
- Los justificantes económicos, como tiques, facturas o lo pagado a cuenta, se conservan bloqueados durante los plazos fiscales y mercantiles, que en general van de cuatro a seis años.
Si usas papel, las hojas cerradas van a la destructora, no a la papelera.
Informa y protege
Guardar pocos datos no basta: hay que informar y protegerlos.
- Cartel informativo visible en el mostrador, con copia completa disponible, y una frase al pedir el teléfono: «Lo usamos solo para avisarte de tu encargo».
- Acceso individual: nada de una contraseña para todo el equipo.
- Pantallas y libretas fuera de la vista del público.
- Registro de actividades de tratamiento al día. Si tratas datos de salud, es obligatorio aunque seas una empresa pequeña.
No informar al cliente es una infracción muy grave según la ley española, y en las sanciones a farmacias de 2025 cada fallo de información o de seguridad se castigó con 3.000 €.
Si usas una app o un programa
Usar una herramienta externa no te quita la responsabilidad, pero bien hecha la reduce. Antes de contratarla, comprueba:
- Que el proveedor firma contigo un contrato de encargado del tratamiento, como exige el artículo 28 del RGPD.
- Dónde se guardan los datos. El RGPD no obliga a que estén en la UE, pero si salen fuera tiene que haber garantías, y tienes que poder explicarlo.
- Que cada persona del equipo tenga su propio acceso y quede registrado quién hace cada cosa.
- Que los registros no se puedan borrar sin rastro, para poder demostrar qué pasó si alguien pregunta.
- Que puedas exportar y borrar tus datos si dejas de usarla.
La lista para mañana
- Revisa qué columnas tiene tu libreta, tu Excel o tu programa y quita las que no necesitas.
- Pon el cartel informativo en el mostrador.
- Cambia la contraseña compartida por accesos individuales.
- Decide cuánto tiempo guardas los encargos cerrados y apúntalo en tu registro de actividades.
- Si usas una app, pide el contrato de encargado.
Este artículo es divulgativo y no sustituye el asesoramiento jurídico. Ante dudas sobre tu caso, consulta con tu colegio o con un especialista en protección de datos.
Fuentes
- TJUE, asunto C-21/23 Lindenapotheke, comunicado de prensa de 4/10/2024. curia.europa.eu
- AEPD. Resolución PS-00187-2025. aepd.es
- AEPD. Guía para profesionales del sector sanitario. aepd.es
- AEPD. Directrices para la elaboración de contratos entre responsables y encargados del tratamiento. aepd.es
- Real Decreto 1718/2010, de receta médica (art. 18). boe.es
- Ley Orgánica 3/2018 de Protección de Datos (LOPDGDD). boe.es